设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18176] 2020-10-28_红蓝对抗之蓝队防守：ATT&CK框架的 ...
返回列表 发新帖
查看: 0|回复: 0

[18176] 2020-10-28_红蓝对抗之蓝队防守：ATT&CK框架的应用

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-10-28_红蓝对抗之蓝队防守：ATT&CK框架的应用 红 蓝 对 抗 之 蓝 队 防 守 ： A T T & C K 框 架 的 应 用 D B a p p S e c u r i t y _   H A C K 之 道   2 0 2 0 - 1 0 - 2 8               企 业 大 规 模 数 字 化 转 型 的 浪 潮 下 ， 各 类 网 络 入 侵 事 件 频 发 、 A P T 和 黑 客 团 伙 活 动 猖 獗 ， 合 规 性 驱 动 的 传 统 安 全 防 护 建 设 已 无 法 满 足 需 求 。 近 年 来 随 着 各 级 红 蓝 对 抗 行 动 的 开 展 ， 企 业 安 全 建 设 正 逐 步 向 实 战 化 转 型 ， 而 M I T R E （ 一 个 向 美 国 政 府 提 供 系 统 工 程 、 研 究 开 发 和 信 息 技 术 支 持 的 非 营 利 性 组 织 ） 提 出 的 A T T & C K 框 架 正 是 在 这 一 过 程 中 能 够 起 到 指 导 性 作 用 的 重 要 参 考 。           A T T & C K 框 架 在 2 0 1 9 年 的 G a r t n e r   S e c u r i t y   &   R i s k   M a n a g e m e n t   S u m m i t 会 上 ， 被 F - S e c u r e 评 为 十 大 关 注 热 点 。 A T T & C K 是 一 套 描 述 攻 击 者 战 术 、 技 术 和 执 行 过 程 的 共 享 知 识 库 ， 能 够 关 联 已 知 的 黑 客 组 织 、 攻 击 工 具 、 检 测 数 据 源 和 检 测 思 路 、 缓 解 措 施 等 内 容 。 A T T & C K 能 够 全 面 覆 盖 洛 克 希 德 - 马 丁 公 司 提 出 的 K i l l   C h a i n 内 容 ， 并 在 此 基 础 上 提 供 更 细 粒 度 的 攻 击 技 术 矩 阵 和 技 术 详 情 。 A T T & C K 分 为 三 个 部 分 ， 分 别 是 P R E - A T T & C K ， A T T & C K   f o r   E n t e r p r i s e 和 A T T & C K   f o r   M o b i l e 。 其 中 ， P R E - A T T & C K 包 含 的 战 术 有 优 先 级 定 义 、 选 择 目 标 、 信 息 收 集 、 脆 弱 性 识 别 、 攻 击 者 开 放 性 平 台 、 建 立 和 维 护 基 础 设 施 、 人 员 的 开 发 。 A T T & C K   f o r   E n t e r p r i s e 包 括 的 战 术 有 初 始 化 访 问 、 执 行 、 持 久 化 、 权 限 提 升 、 防 御 逃 避 、 凭 据 访 问 、 发 现 、 横 向 移 动 、 收 集 、 命 令 与 控 制 、 数 据 外 传 、 影 响 。 这 些 基 于 A P T 组 织 及 黑 客 团 伙 的 披 露 信 息 进 行 分 析 梳 理 的 详 细 信 息 能 够 有 效 指 导 实 战 化 的 红 蓝 对 抗 ， 目 前 已 在 多 个 领 域 得 到 较 好 的 应 用 。           在 红 蓝 对 抗 中 ， 防 守 方 都 可 以 按 照 事 前 、 事 中 、 事 后 三 个 阶 段 进 行 应 对 ， 在 A T T & C K 框 架 的 指 导 下 实 现 安 全 体 系 建 立 、 运 营 和 提 升 的 闭 环 改 进 。 一 、 准 备 阶 段 一 、 准 备 阶 段 攻 击 面 评 估 攻 击 面 评 估             攻 击 面 指 企 业 在 遭 受 内 、 外 部 入 侵 时 可 能 的 起 始 突 破 点 或 中 间 跳 板 ， 包 括 但 不 限 于 ： 对 外 提 供 业 务 的 W e b 系 统 、 邮 件 系 统 、 V P N 系 统 ， 对 内 提 供 服 务 的 O A 系 统 、 运 维 系 统 、 开 发 环 境 ， 员 工 使 用 的 各 类 账 号 、 办 公 终 端 等 。             企 业 的 攻 击 面 是 广 泛 存 在 的 ， 在 企 业 内 进 行 攻 击 面 评 估 属 于 信 息 收 集 和 脆 弱 性 识 别 的 过 程 ， 能 够 帮 助 企 业 在 早 期 应 对 攻 击 者 入 侵 活 动 。 该 过 程 映 射 到 攻 击 链 中 属 于 “ 侦 察 ” 阶 段 。
            由 于 攻 防 的 不 对 称 性 ， 在 红 蓝 对 抗 中 防 守 方 往 往 处 于 弱 势 ， 攻 击 方 只 需 要 单 点 突 破 即 可 ， 而 防 守 方 需 要 建 立 覆 盖 所 有 攻 击 面 的 纵 深 防 御 体 系 ， 很 难 做 到 万 无 一 失 。 但 在 信 息 收 集 阶 段 ， 是 为 数 不 多 的 防 守 方 占 优 的 阶 段 信 息 收 集 阶 段 ， 是 为 数 不 多 的 防 守 方 占 优 的 阶 段 ， 主 要 原 因 包 括 ： 1 .   攻 击 方 只 能 通 过 互 联 网 公 开 信 息 （ G o o g l e 、 社 交 网 站 、 G i t h u b ） 或 传 统 社 工 方 式 获 取 部 分 企 业 信 息 ， 而 防 守 方 能 够 获 得 完 整 的 企 业 内 部 信 息 ， 包 括 网 络 架 构 、 业 务 系 统 、 资 产 信 息 、 员 工 信 息 等 等 ， 掌 握 以 上 信 息 不 但 能 够 梳 理 潜 在 入 侵 点 、 发 现 防 御 中 的 薄 弱 环 节 ， 还 能 够 结 合 诱 骗 或 欺 诈 技 术 （ D e c e p t i o n ， 如 蜜 罐 ） ， 在 攻 击 者 能 够 获 取 到 的 信 息 中 埋 点 ， 实 现 类 似 软 件 “ 动 态 污 染 动 态 污 染 ” 的 检 测 和 追 踪 效 果 。 2 .   攻 击 面 评 估 能 够 在 特 定 阶 段 （ 如 重 保 时 期 ） 通 过 采 取 更 严 格 的 管 控 措 施 降 低 入 侵 风 险 ， 通 过 有 限 的 代 价 获 取 最 大 攻 击 者 入 侵 通 过 有 限 的 代 价 获 取 最 大 攻 击 者 入 侵 难 度 提 升 难 度 提 升 ， 具 有 很 高 的 投 资 回 报 率 。 例 如 ， 获 取 V P N 通 道 ， 相 当 于 突 破 了 企 业 传 统 的 防 护 边 界 ， 直 接 获 取 内 网 漫 游 的 权 限 。 在 特 定 情 况 下 ， 通 过 增 强 V P N 防 护 ， 能 够 大 大 缩 减 攻 击 者 入 侵 成 功 的 可 能 性 。 突 破 V P N 主 要 有 2 种 方 式 ， 利 用 V P N 服 务 器 本 身 的 漏 洞 或 通 过 合 法 V P N 账 号 入 侵 。 对 于 第 一 种 方 式 ， 关 注 V P N 厂 商 漏 洞 披 露 信 息 、 做 好 补 丁 升 级 管 理 ， 能 够 有 效 减 少 大 部 分 威 胁 ； 对 于 利 用 0 d a y 漏 洞 攻 击 V P N 获 取 远 程 访 问 权 限 的 场 景 ， 通 过 V P N 自 身 日 志 审 计 的 方 式 ， 关 联 V P N 账 号 新 建 、 变 更 及 V P N 服 务 器 自 身 发 起 的 访 问 内 网 的 流 量 ， 也 能 够 及 时 发 现 未 知 的 漏 洞 攻 击 行 为 。 对 于 第 二 种 攻 击 V P N 合 法 账 号 的 入 侵 方 式 ， 增 加 V P N 账 号 的 口 令 复 杂 度 要 求 、 临 时 要 求 修 改 V P N 账 号 口 令 并 增 加 双 因 子 验 证 （ 如 绑 定 手 机 号 短 信 验 证 ） ， 都 可 以 在 牺 牲 部 分 用 户 体 验 的 情 况 下 极 大 削 减 攻 击 者 攻 击 成 功 的 可 能 性 。             A T T & C K 框 架 内 所 有 攻 击 技 术 都 有 对 应 的 攻 击 目 的 和 执 行 攻 击 所 需 的 环 境 、 依 赖 ， 对 其 分 解 可 以 提 取 每 项 攻 击 技 术 适 用 的 攻 击 对 象 ， 参 照 企 业 内 的 资 产 和 服 务 ， 评 估 攻 击 面 暴 露 情 况 和 风 险 等 级 ， 能 够 帮 助 制 定 有 效 的 攻 击 面 缩 减 、 消 除 或 监 控 手 段 。 例 如 ， 防 守 方 需 要 在 红 蓝 对 抗 前 检 查 企 业 内 部 的 共 享 目 录 、 文 件 服 务 器 、 B Y O D 设 备 是 否 符 合 安 全 基 线 要 求 ， 是 否 存 在 敏 感 信 息 ， 并 针 对 这 些 内 容 设 定 合 规 性 要 求 和 强 制 措 施 ， 以 缩 减 该 攻 击 面 暴 露 情 况 。
            综 上 ， A T T & C K 框 架 可 以 帮 助 防 守 方 了 解 攻 击 目 标 、 提 炼 攻 击 面 并 制 定 攻 击 面 缩 减 手 段 ， 同 时 也 能 够 通 过 攻 击 面 评 估 为 后 续 增 强 威 胁 感 知 能 力 、 总 结 防 御 差 距 、 制 定 改 进 方 案 提 供 参 考 标 准 。 威 胁 感 知 体 系 建 立 威 胁 感 知 体 系 建 立             传 统 的 安 全 防 护 和 管 控 措 施 存 在 的 主 要 问 题 在 于 没 有 全 景 威 胁 感 知 的 体 系 ， 无 法 及 时 有 效 地 监 测 威 胁 事 件 、 安 全 风 险 和 入 侵 过 程 。 威 胁 感 知 体 系 的 建 立 ， 可 以 有 效 地 把 孤 立 的 安 全 防 御 和 安 全 审 计 手 段 串 联 起 来 ， 形 成 完 整 的 企 业 安 全 态 势 ， 为 防 守 方 实 现 实 时 威 胁 监 控 、 安 全 分 析 、 响 应 处 置 提 供 基 础 。 建 立 威 胁 感 知 体 系 主 要 包 括 以 下 准 备 工 作 ：             1 . 数 据 源 梳 理 数 据 源 梳 理 ： 数 据 是 实 现 安 全 可 见 性 的 基 础 元 素 ， 缺 少 多 维 度 和 高 质 量 的 数 据 会 严 重 影 响 监 控 覆 盖 面 ； 同 时 ， 很 多 企 业 会 为 了 满 足 网 络 安 全 法 、 等 保 标 准 等 法 律 和 标 准 要 求 存 储 大 量 设 备 、 系 统 和 业 务 日 志 数 据 。 因 此 ， 在 数 据 源 的 规 划 、 管 理 上 ， 由 威 胁 驱 动 的 数 据 源 需 求 和 由 合 规 驱 动 的 日 志 数 据 留 存 ， 存 在 匹 配 度 低 、 使 用 率 低 、 有 效 性 低 的 诸 多 问 题 ， 需 要 防 守 方 加 以 解 决 。 *   W e   c a n ’ t   d e t e c t   w h a t   w e   c a n ’ t   s e e .             在 进 行 数 据 源 规 划 时 ， 需 根 据 企 业 实 际 存 在 的 攻 击 面 、 威 胁 场 景 和 风 险 情 况 进 行 设 计 根 据 企 业 实 际 存 在 的 攻 击 面 、 威 胁 场 景 和 风 险 情 况 进 行 设 计 。 例 如 ： 针 对 员 工 邮 箱 账 号 可 能 会 遭 受 攻 击 者 暴 力 破 解 、 泄 露 社 工 库 撞 库 的 风 险 ， 需 要 采 集 哪 些 数 据 ？ 首 先 需 要 考 虑 企 业 实 际 的 邮 件 系 统 情 况 ， 比 如 使 用 自 建 的 E x c h a n g e 邮 件 服 务 ， 需 要 采 集 的 数 据 包 括 ： E x c h a n g e 邮 件 追 踪 日 志 、 I I S 中 间 件 日 志 、 S M T P / P O P 3 / I M A P 等 邮 件 协 议 日 志 。 其 次 还 需 要 具 体 考 虑 攻 击 者 是 通 过 O W A 访 问 页 面 爆 破 ？ 还 是 通 过 邮 件 协 议 认 证 爆 破 ？ 还 是 通 过 W e b m a i l 或 客 户 端 接 口 撞 库 ？ 不 同 的 企 业 开 放 的 邮 箱 访 问 方 式 不 同 ， 暴 露 的 攻 击 面 和 遭 受 的 攻 击 方 法 也 有 所 区 别 ， 需 要 根 据 实 情 梳 理 所 需 的 数 据 源 。             在 数 据 源 梳 理 上 ， 由 于 涉 及 到 的 威 胁 类 型 、 攻 击 方 法 众 多 ， 考 虑 周 全 很 困 难 ， 可 以 通 过 参 考 A T T & C K 框 架 选 取 企 业 相 关 的 攻 击 技 术 ， 统 计 所 需 的 数 据 源 类 型 ， 并 梳 理 数 据 源 采 集 、 接 入 优 先 级 。 关 于 数 据 源 优 先 级 筛 选 ， 2 0 1 9 年 M I T R E   A T T & C K c o n   2 . 0 会 议 上 R e d   C a n a r y 发 布 的 议 题 ： P r i o r i t i z i n g   D a t a   S o u r c e s   f o r   M i n i m u m   V i a b l e   D e t e c t i o n   根 据 总 体 数 据 源 使 用 的 频 率 做 了 T o p   1 0 排 序 ， 如 下 图 所 示 ：
            该 统 计 结 果 并 未 考 虑 企 业 实 际 攻 击 面 范 围 、 数 据 源 获 取 的 难 易 程 度 等 ， 不 应 生 搬 硬 套 照 抄 。 但 在 大 部 分 情 况 下 可 以 考 虑 先 构 建 包 括 网 络 镜 像 流 量 、 终 端 行 为 审 计 日 志 、 关 键 应 用 服 务 日 志 在 内 的 基 础 数 据 源 的 采 集 规 划 ， 再 通 过 实 际 的 检 测 效 果 增 强 补 充 。             2 .   检 测 规 则 开 发 检 测 规 则 开 发 ： 大 数 据 智 能 安 全 平 台 （ 或 参 考 G a r t n e r 所 提 的 M o d e r n   S I E M 架 构 ） 已 逐 步 取 代 传 统 的 S I E M 产 品 ， 成 为 企 业 威 胁 感 知 体 系 的 核 心 大 脑 。 传 统 的 攻 击 检 测 方 法 大 多 是 基 于 特 征 签 名 （ S i g n a t u r e ） ， 采 用 I O C 碰 撞 的 方 式 执 行 ， 在 实 际 攻 防 对 抗 过 程 中 存 在 告 警 噪 音 过 多 、 漏 报 严 重 、 外 部 情 报 数 据 和 特 征 库 更 新 不 及 时 等 问 题 ， 且 在 防 守 方 看 来 无 法 做 到 检 测 效 果 的 衡 量 和 能 力 评 估 。 因 此 ， 新 的 检 测 理 念 需 要 从 行 为 和 动 机 出 发 ， 针 对 攻 击 者 可 能 执 行 的 操 作 完 善 审 计 和 监 控 机 制 新 的 检 测 理 念 需 要 从 行 为 和 动 机 出 发 ， 针 对 攻 击 者 可 能 执 行 的 操 作 完 善 审 计 和 监 控 机 制 ， 再 采 用 大 数 据 关 联 分 析 的 方 式 去 识 别 攻 击 活 动 。             A T T & C K 框 架 在 这 里 就 起 到 了 非 常 重 要 的 参 考 作 用 ， 框 架 中 的 每 项 攻 击 技 术 ， 知 识 库 都 描 述 了 相 应 的 检 测 手 段 和 过 程 ， 以 T 1 1 1 0 暴 力 破 解 为 例 ， 其 D e t e c t i o n 描 述 如 下 图 所 示 。             虽 然 没 有 抽 象 出 具 体 检 测 方 法 、 检 测 规 则 ， 但 提 炼 出 了 需 要 监 控 的 设 备 以 及 能 够 提 炼 攻 击 痕 迹 的 日 志 。 参 考 这 部 分 描 述 ， 防 守 方 能 高 效 的 通 过 相 关 资 料 收 集 、 内 部 攻 击 技 术 模 拟 、 特 征 提 炼 等 方 式 完 成 检 测 方 法 和 检 测 规 则 的 开 发 、 部 署 、 测 试 。 此 外 ， 高 级 持 续 性 威 胁 （ A P T ） 使 用 了 较 多 的 白 利 用 技 术 ， 无 法 有 效 区 分 攻 击 者 和 普 通 工 作 人 员 。 但 通 过 开 发 检 测 规 则 对 数 据 源 进 行 过 滤 提 炼 ， 打 上 技 术 标 签 ， 后 续 再 综 合 所 有 异 常 行 为 能 够 发 现 此 类 攻 击 活 动 。 这 样 再 与 传 统 的 检 测 方 法 结 合 ， 就 提 供 了 更 加 有 效 的 补 充 手 段 。
            综 上 ， 威 胁 感 知 体 系 的 建 立 ， 需 要 通 过 数 据 源 梳 理 和 检 测 规 则 开 发 来 完 成 基 础 准 备 工 作 ， A T T & C K 框 架 可 以 帮 助 防 守 方 快 速 了 解 所 需 数 据 源 、 并 协 助 开 发 对 应 的 检 测 规 则 ， 使 防 守 方 脱 离 安 全 可 见 性 盲 区 ， 实 现 安 全 防 护 能 力 的 可 量 化 、 可 改 进 。 内 部 模 拟 对 抗 内 部 模 拟 对 抗             为 摸 清 目 前 网 络 安 全 防 御 能 力 并 找 出 薄 弱 点 ， 部 分 企 业 会 进 行 内 部 红 蓝 对 抗 模 拟 演 练 ， A T T & C K 知 识 库 在 模 拟 红 队 攻 击 、 组 织 内 部 对 抗 预 演 上 具 有 非 常 高 的 参 考 价 值 。             1 . 红 队 技 术 指 导 红 队 技 术 指 导 ： A T T & C K 框 架 包 含 了 2 6 6 种 攻 击 技 术 种 攻 击 技 术 描 述 ， 模 拟 红 队 可 以 借 鉴 其 中 部 分 技 术 进 行 特 定 战 术 目 的 的 专 项 测 试 或 综 合 场 景 测 试 。 在 开 展 内 网 信 息 收 集 专 项 测 试 时 ， 可 以 通 过 参 考 并 复 现 “ 发 现 ” 、 “ 收 集 ” 战 术 目 的 下 的 攻 击 技 术 ， 对 内 网 暴 露 的 攻 击 面 逐 一 测 试 ； 在 开 展 模 拟 场 景 演 练 时 ， 可 以 挑 选 不 同 的 战 术 目 的 制 定 模 拟 攻 击 流 程 ， 从 矩 阵 中 选 择 相 关 技 术 实 施 。 以 典 型 的 红 队 钓 鱼 攻 击 场 景 为 例 ， 攻 击 技 术 链 包 括 ： 钓 鱼   - >   h t a 执 行   - >   服 务 驻 留   - >   凭 证 获 取   - >   远 程 系 统 发 现   - >   管 理 员 共 享 ， 如 下 图 红 色 链 路 所 示 。             2 .   蓝 队 效 果 评 估 蓝 队 效 果 评 估 ： 内 部 模 拟 对 抗 是 企 业 防 守 方 检 查 实 际 威 胁 感 知 能 力 的 最 佳 手 段 ， 对 蓝 队 来 说 具 有 查 漏 补 缺 的 效 果 。 攻 击 行 为 是 否 被 记 录 、 检 测 规 则 是 否 有 效 、 有 无 绕 过 或 误 报 、 攻 击 面 梳 理 是 否 遗 漏 、 威 胁 场 景 是 否 考 虑 充 分 等 很 多 问 题 只 有 在 实 际 测 试 中 才 会 暴 露 。 同 时 ， 防 守 方 也 可 以 通 过 模 拟 演 练 提 炼 极 端 情 况 下 的 缓 解 预 案 ， 包 括 ： 临 时 增 加 防 御 拦 截 措 施 、 增 加 业 务 访 问 管 控 要 求 、 加 强 人 员 安 全 意 识 教 育 和 基 线 管 理 等 。             综 上 ， 内 部 模 拟 是 红 蓝 对 抗 实 战 阶 段 验 证 所 有 准 备 工 作 有 效 性 的 手 段 ， 作 为 大 考 前 的 模 拟 考 ， 对 防 守 方 具 有 很 大 的 查 漏 补 缺 、 优 化 完 善 的 作 用 ， 而 A T T & C K 框 架 在 这 个 阶 段 ， 对 模 拟 红 队 攻 击 、 协 助 蓝 队 查 找 问 题 都 起 到 了 参 考 作 用 。 二 、 开 展 阶 段 二 、 开 展 阶 段
            准 备 过 程 越 充 分 ， 在 实 际 红 蓝 对 抗 行 动 开 展 阶 段 对 防 守 方 来 说 就 越 轻 松 。 经 过 验 证 的 威 胁 感 知 体 系 在 这 里 将 起 到 主 导 作 用 。 资 产 风 险 监 控 资 产 风 险 监 控             除 了 封 堵 、 上 报 潜 在 的 红 队 攻 击 I P 外 ， 对 于 已 突 破 边 界 防 护 进 入 内 网 漫 游 阶 段 的 攻 击 者 ， 基 于 A T T & C K 框 架 能 够 有 效 识 别 资 产 （ 终 端 / 服 务 器 ） 风 险 ， 发 现 疑 似 被 攻 陷 的 内 网 主 机 。             通 过 为 每 个 资 产 创 建 独 立 的 独 立 的 A T T & C K 主 机 威 胁 分 布 矩 阵 图 主 机 威 胁 分 布 矩 阵 图 ， 汇 聚 该 主 机 上 近 期 被 检 测 到 的 所 有 攻 击 技 术 活 动 ， 然 后 根 据 该 矩 阵 图 上 所 标 注 的 攻 击 技 术 的 分 布 特 征 训 练 异 常 模 型 ， 监 控 主 机 是 否 失 陷 。 异 常 模 型 从 以 下 三 个 维 度 识 别 攻 击 ：             1 . 攻 击 技 术 分 布 异 常 攻 击 技 术 分 布 异 常 ： 多 个 战 术 下 发 生 攻 击 、 某 个 战 术 下 发 生 多 个 不 同 攻 击 等 。             2 .   攻 击 技 术 数 量 异 常 攻 击 技 术 数 量 异 常 ： 主 机 上 检 测 到 大 量 攻 击 技 术 ， 与 基 线 对 比 偏 差 很 大 。             3 .   特 定 高 置 信 度 失 陷 指 标 特 定 高 置 信 度 失 陷 指 标 ： 主 机 上 触 发 了 高 置 信 度 规 则 检 测 到 的 高 风 险 告 警 （ 传 统 的 T r i g g e r 机 制 ） 。             以 下 图 为 例 ， 主 机 短 时 间 内 触 发 一 系 列 “ 发 现 ” 战 术 下 的 攻 击 技 术 ， 这 在 日 常 运 维 中 是 较 为 少 见 的 ， 与 该 主 机 或 同 类 型 主 机 基 线 对 比 偏 差 非 常 大 。 在 受 害 主 机 被 控 制 后 可 能 会 执 行 大 量 此 类 操 作 ， 故 该 机 器 风 险 很 高 ， 判 定 为 失 陷 / 高 危 资 产 。 可 疑 进 程 判 定 与 溯 源 可 疑 进 程 判 定 与 溯 源             根 据 采 集 的 终 端 行 为 日 志 （ 包 括 ： 进 程 活 动 、 注 册 表 活 动 、 文 件 活 动 和 网 络 活 动 ） ， 可 以 通 过 唯 一 进 程 I D （ G U I D ） 进 行 父 子 父 子 进 程 关 联 进 程 关 联 操 作 。 当 发 现 可 疑 进 程 活 动 时 ， 能 够 回 溯 该 进 程 的 进 程 树 ， 向 上 直 到 系 统 初 始 调 用 进 程 ， 向 下 包 含 所 有 子 进 程 ， 并 且 向 上 直 到 系 统 初 始 调 用 进 程 ， 向 下 包 含 所 有 子 进 程 ， 并 且 为 进 程 树 中 所 有 可 疑 进 程 添 加 为 进 程 树 中 所 有 可 疑 进 程 添 加 A T T & C K 攻 击 技 术 标 签 攻 击 技 术 标 签 ， 如 网 络 请 求 、 域 名 请 求 、 文 件 释 放 等 丰 富 化 信 息 ， 帮 助 防 守 方 的 安 全 分 析 人 员 判 断 该 进 程 是 否 可 疑 并 及 时 采 取 处 置 措 施 。             以 下 图 为 例 ， 发 现 可 疑 进 程 w s c r i p t . e x e 后 溯 源 其 进 程 树 ， 其 中 标 记 了 感 叹 号 的 子 进 程 为 命 中 了 A T T & C K 攻 击 技 术 的 进 程 ， 无 感 叹 号 的 子 进 程 也 属 于 该 可 疑 进 程 树 下 ， 有 可 能 是 攻 击 者 利 用 的 正 常 系 统 进 程 或 规 避 了 检 测 规 则 导 致 未 检 出 的 进 程 。 通 过 该 进 程 树 展
示 的 信 息 ， 可 以 直 观 发 现 w s c r i p t 进 程 及 其 派 生 的 p o w e r s h e l l 进 程 存 在 大 量 可 疑 行 为 ， 这 些 进 程 信 息 也 为 后 续 联 动 终 端 防 护 软 件 处 置 或 人 工 上 机 排 查 处 置 提 供 了 充 足 的 信 息 。 应 急 响 应 对 接 应 急 响 应 对 接             在 发 现 失 陷 资 产 、 溯 源 到 可 疑 进 程 后 可 导 出 其 进 程 树 上 的 进 程 实 体 路 径 、 进 程 命 令 行 、 进 程 创 建 文 件 、 进 程 网 络 连 接 等 信 可 导 出 其 进 程 树 上 的 进 程 实 体 路 径 、 进 程 命 令 行 、 进 程 创 建 文 件 、 进 程 网 络 连 接 等 信 息 提 交 给 应 急 响 应 组 进 行 清 除 工 作 息 提 交 给 应 急 响 应 组 进 行 清 除 工 作 。 应 急 响 应 组 通 过 以 上 信 息 可 以 快 速 在 主 机 上 处 置 并 开 展 入 侵 路 径 分 析 ， 通 过 回 溯 攻 击 者 入 侵 植 入 木 马 的 手 段 ， 进 一 步 排 查 是 否 存 在 数 据 缺 失 、 规 则 缺 失 导 致 的 攻 击 漏 报 ； 并 通 过 关 联 所 有 具 有 相 似 行 为 的 终 端 ， 确 认 是 否 存 在 其 他 未 知 失 陷 资 产 。             以 上 基 于 A T T & C K 框 架 建 立 的 资 产 风 险 监 控 和 可 疑 进 程 判 定 方 法 ， 能 够 有 效 地 在 红 蓝 对 抗 过 程 中 及 时 发 现 攻 击 者 攻 击 成 功 的 痕 迹 ， 并 为 溯 源 和 应 急 响 应 处 置 提 供 数 据 支 撑 。 而 这 些 都 脱 离 不 了 以 威 胁 感 知 体 系 为 核 心 的 蓝 队 建 设 思 路 ， 更 多 与 A T T & C K 框 架 适 配 的 应 用 方 法 也 会 在 后 续 不 断 丰 富 、 增 强 。 三 、 复 盘 阶 段 三 、 复 盘 阶 段 防 御 效 果 评 估 防 御 效 果 评 估             在 红 蓝 对 抗 结 束 复 盘 阶 段 ， 防 守 方 对 防 御 效 果 的 评 估 是 非 常 重 要 的 环 节 。 具 体 包 括 以 下 内 容 ：
安 全 设 备 漏 报 分 析 安 全 设 备 漏 报 分 析 ： 结 合 攻 击 方 提 供 的 报 告 ， 把 各 个 攻 击 类 型 归 属 到 相 应 的 安 全 检 测 设 备 ， 查 看 相 关 设 备 的 告 警 与 报 告 中 的 攻 相 关 设 备 的 告 警 与 报 告 中 的 攻 击 过 程 是 否 匹 配 击 过 程 是 否 匹 配 ， 分 析 当 前 安 全 设 备 检 测 能 力 ， 较 低 检 出 率 的 设 备 需 要 后 续 协 调 厂 商 优 化 、 更 新 规 则 等 ， 以 加 强 完 善 。 规 则 误 报 调 优 规 则 误 报 调 优 ： 在 红 蓝 对 抗 开 展 阶 段 ， 为 了 确 保 对 攻 击 方 攻 击 过 程 的 全 面 覆 盖 检 测 ， 通 常 会 采 用 限 制 条 件 较 宽 松 的 规 则 检 测 模 式 ， 以 防 漏 报 对 防 守 方 造 成 的 失 分 影 响 。 例 如 ， 对 暴 力 破 解 场 景 ， 触 发 告 警 的 连 续 登 录 失 败 请 求 阈 值 可 能 设 定 的 较 低 ； 对 W e b s h e l l 植 入 场 景 ， 可 能 对 所 有 尝 试 上 传 动 态 脚 本 文 件 的 行 为 都 做 监 控 或 拦 截 ， 以 防 攻 击 者 通 过 一 些 编 码 、 混 淆 的 方 式 绕 过 特 征 检 测 等 。 这 些 限 制 条 件 宽 松 的 检 测 规 则 ， 在 红 蓝 对 抗 过 程 中 能 够 尽 量 减 少 攻 击 漏 报 ， 具 有 比 较 好 的 效 果 ； 但 同 时 ， 由 于 限 制 不 严 导 致 的 告 警 噪 音 也 会 随 之 增 加 。 在 红 蓝 对 抗 结 束 复 盘 过 程 中 ， 需 要 对 产 生 误 报 的 数 据 和 误 报 原 因 进 行 统 计 分 析 ， 完 善 检 测 规 则 逻 辑 、 边 界 对 产 生 误 报 的 数 据 和 误 报 原 因 进 行 统 计 分 析 ， 完 善 检 测 规 则 逻 辑 、 边 界 条 件 限 制 ， 配 置 适 当 的 白 名 单 过 滤 条 件 限 制 ， 配 置 适 当 的 白 名 单 过 滤 ， 为 后 续 能 够 日 常 运 营 提 供 更 具 备 可 操 作 性 和 更 实 用 的 威 胁 检 测 规 则 。 攻 击 面 再 评 估 和 数 据 可 见 性 分 析 攻 击 面 再 评 估 和 数 据 可 见 性 分 析 ： 在 红 蓝 对 抗 准 备 和 红 蓝 对 抗 开 展 阶 段 ， 防 守 方 和 攻 击 方 分 别 进 行 了 攻 击 面 评 估 、 攻 击 目 标 信 息 收 集 的 工 作 ， 因 此 在 复 盘 阶 段 可 以 通 过 对 比 双 方 掌 握 的 攻 击 面 信 息 和 攻 击 目 标 的 选 择 ， 来 挖 掘 是 否 存 在 先 前 遗 漏 的 边 缘 资 通 过 对 比 双 方 掌 握 的 攻 击 面 信 息 和 攻 击 目 标 的 选 择 ， 来 挖 掘 是 否 存 在 先 前 遗 漏 的 边 缘 资 产 、 未 知 攻 击 面 ， 通 过 攻 方 视 角 查 漏 补 缺 产 、 未 知 攻 击 面 ， 通 过 攻 方 视 角 查 漏 补 缺 。 同 时 对 遗 漏 的 攻 击 面 可 以 做 相 关 的 数 据 源 需 求 分 析 ， 补 充 缺 失 的 数 据 可 见 性 和 威 胁 感 知 能 力 。 防 御 差 距 评 估 与 改 进 防 御 差 距 评 估 与 改 进 ： 针 对 红 蓝 对 抗 中 发 现 的 薄 弱 环 节 ， 防 守 方 可 以 提 炼 改 进 目 标 、 指 导 后 续 的 安 全 建 设 工 作 。 由 于 不 同 企 业 存 在 的 攻 击 面 差 异 性 较 大 ， 重 点 关 注 的 核 心 资 产 、 靶 标 也 有 所 差 别 ， 在 准 备 过 程 中 可 能 根 据 优 先 级 选 择 了 比 较 关 键 的 几 个 领 域 优 先 开 展 ， 而 通 过 红 蓝 对 抗 发 现 的 其 他 薄 弱 环 节 ， 为 后 续 开 展 哪 些 方 向 的 工 作 提 供 了 参 考 通 过 红 蓝 对 抗 发 现 的 其 他 薄 弱 环 节 ， 为 后 续 开 展 哪 些 方 向 的 工 作 提 供 了 参 考 。 例 如 ， 重 点 加 强 生 产 环 境 安 全 防 护 的 ， 可 能 忽 略 了 员 工 安 全 意 识 培 训 ， 导 致 被 攻 击 者 钓 鱼 的 方 式 突 破 入 侵 ； 重 点 关 注 网 站 安 全 的 ， 可 能 忽 略 了 服 务 器 存 在 其 他 暴 露 在 外 的 端 口 或 服 务 ， 被 攻 击 者 通 过 探 测 发 现 ， 利 用 已 知 漏 洞 或 0 d a y 漏 洞 控 制 服 务 器 绕 过 。 结 合 A T T & C K 框 架 补 充 对 应 的 数 据 源 和 攻 击 技 术 检 测 手 段 ， 可 以 快 速 补 足 这 方 面 的 遗 漏 。             防 御 效 果 评 估 是 红 蓝 对 抗 复 盘 阶 段 重 要 的 总 结 过 程 ， 也 为 后 续 持 续 优 化 改 进 提 供 参 考 。 在 这 里 A T T & C K 框 架 起 到 的 作 用 主 要 是 统 一 攻 防 双 方 语 言 ， 将 每 一 个 攻 击 事 件 拆 分 成 双 方 都 可 理 解 的 技 术 和 过 程 ， 为 红 蓝 对 抗 走 向 红 蓝 合 作 提 供 可 能 。 ~   e n d   ~ 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:26 , Processed in 0.438728 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表