搜索

[28522] 2020-08-23_主动式网络防御-现代CyberSOC-建立协作式网络安全的策略

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-19
2020-08-23_主动式网络防御-现代CyberSOC-建立协作式网络安全的策略 主 动 式 网 络 防 御 - 现 代 C y b e r ​ ​ S O C - 建 立 协 作 式 网 络 安 全 的 策 略 B h u v a n e s h   O t s 安 全   2 0 2 0 - 0 8 - 2 3 B h u v a n e s h ， 担 任 网 络 安 全 分 析 师 。 积 极 致 力 于 现 代 网 络 攻 击 和 A P T 的 防 御 机 制 。 目 前 正 在 从 事 网 络 威 胁 搜 寻 并 收 集 洞 察 信 息 和 防 御 模 型 。 为 “   主 动 网 络 防 御   ”   创 建 一 本 书 ， 并 计 划 为 一 些 狩 猎 可 疑 事 件 创 建 运 行 手 册 。 以 下 内 容 由 我 创 建 ， 作 为 我 即 将 出 版 的 书 / 模 型 的 试 用 版 。 早 些 年 ， 每 个 人 都 依 赖 S O C （ 包 括 防 火 墙 ， W A F ， S I E M 等 ） ， 构 建 S O C 的 优 先 级 提 供 了 安 全 性 ， 并 且 C I A 得 到 了 维 护 。 但 是 ， 随 后 出 现 的 攻 击 和 威 胁 行 动 者 变 得 更 具 挑 战 性 ， 现 有 的 S O C 将 无 法 为 C I A 提 供 更 好 的 安 全 性 。 现 有 S O C 发 生 故 障 的 原 因 有 很 多 ， 它 仅 取 决 于 S I E M 。 许 多 组 织 相 信 集 成 了 所 有 安 全 设 备 ， 例 如 防 火 墙 ， 路 由 器 ， A V S I E M 中 的 D B 和 D B 解 决 方 案 以 及 相 关 的 用 例 ， 将 为 它 们 提 供 超 过 数 据 C I A 的 1 0 0 ％ 安 全 性 。 但 是 ， 由 于 A P T 的 出 现 ， 这 一 切 都 失 败 了 。 这 些 年 来 的 A P T 攻 击 故 意 表 明 ， 在 网 络 空 间 中 ， 组 织 应 实 施 0 信 任 防 御 模 型 。 造 成 现 有 S O C 失 败 的 主 要 原 因 是 ， 我 们 主 要 关 注 暴 力   登 录 尝 试 ， 失 败 登 录 ， 失 败 H T T P 请 求 和 恶 意 软 件 传 播 的 用 例 。 但 是 ， 我 们 必 须 了 解 辩 护 者 何 时 开 始 学 习 ， 罪 犯 也 将 以 更 好 的 方 式 发 展 。 A P T 小 组 正 在 不 断 发 展 和 滥 用 我 们 经 常 使 用 的 真 实 应 用 程 序 ， 并 在 驻 留 时 间 中 停 留 了 数 年 而 未 被 发 现 。 A P T 的 兴 起 的 兴 起 A d v a n c e d   P e r s i s t e n c e   T h r e a t ， 这 些 组 不 是 个 人 身 份 。 他 们 大 多 是 具 有 专 门 知 识 团 队 的 组 织 或 国 家 （ 基 于 议 程 / 政 治 原 因 ） 。 他 们 不 是 普 通 的 专 家 ， 而 是 训 练 有 素 的 专 业 人 员 ， 并 且 有 可 能 闯 入 任 何 系 统 并 在 L A N 中 横 向 移 动 而 不 会 被 多 年 困 扰 。 即 使 您 的 防 病 毒 软 件 也 无 法 检 测 到 这 种 移 动 ， 因 为 它 们 不 会 创 建 恶 意 软 件 ， 它 们 只 会 滥 用 正 版 应 用 程 序 （ 例 如 P o w e r S h e l l ） ， 并 且 像 正 版 进 程 一 样 横 向 移 动 。 A P T 的 关 键 组 件 是 横 向 移 动 ， 持 久 性 ， 创 建 C n C 通 道 ， 仅 通 过 D N S 请 求 获 得 有 效 负 载 等 等 。 到 目 前 为 止 ， 每 次 A P T   攻 击 都 记 录 有 ， 它 们 确 实 具 有 传 播 网 络 的 独 特 方 法 ， 并 且 高 度 依 赖 开 放 端 口 ， 不 受 保 护 的 网 络 区 域 ， 易 受 攻 击 的 应 用 程 序 ， 网 络 共 享 等 。 一 旦 入 侵 ， 它 们 便 会 做 他 们 打 算 做 的 事 。 主 动 防 御 模 型 主 动 防 御 模 型 您 对 防 御 任 何 现 代 网 络 攻 击 和 A P T 攻 击 的 看 法 ， 您 应 该 思 考 并 建 立 一 个 类 似 于 “   对 手   ”   的 防 御 机 制 。 建 立 防 御 模 型 时 ， 您 应 该 了 解 对 手 的 战 术 ， 以 及 它 们 如 何 进 入 ？ 它 们 如 何 传 播 ？ 他 们 如 何 渗 透 ？ 对 于 这 些 查 询 ， 洛 克   · 马 丁 的 网 络 查 杀 链 和 “   M I T R   A T T ＆ C K ” 可 以 更 好 地 了 解 这 些 攻 击 。 确 切 地 说 ， 对 手 是 如 何 潜 入 您 的 网 络 的 ， 以 及 他 如 何 在 不 被 抓 住 的 情 况 下 走 出 去 。 您 还 可 以 根 据 C y b e r   K i l l 链 的 阶 段 在 现 有 S O C 中 实 现 用 例 ， 这 将 为 您 提 供 有 关 网 络 攻 击 的 见 解 。 网 络 威 胁 情 报 网 络 威 胁 情 报 阻 止   I O C 和 I P 不 能 为 您 提 供 1 0 0 ％ 的 网 络 攻 击 安 全 性 。 最 近 的 A P T 攻 击 正 在 发 展 ， 使 用 D G A   算 法 ， 并 且 经 常 更 改 域 ， 使 用 V P N 和 T O R 节 点 （ D a r k N e t ） 的 源 I P 地 址 ， 欺 骗 等 。 根 据 记 录 ， 到 目 前 为 止 ， 由 于 恶 意 软 件 攻 击 ， 全 球 已 有 5 0 0 万 个 I P 地 址
被 列 入 黑 名 单 ， 网 络 间 谍 ， A P T ， T O R 等 。 让 我 们 假 设 我 们 现 有 的 S O C 。 我 们 将 要 放 置 监 视 S I E M 中 5 0 0 万 个 列 入 黑 名 单 的 I P S 的 监 视 列 表 吗 ？ 另 一 方 面 ， 我 们 是 否 要 在 外 围 防 火 墙 中 阻 止 5 0 0 万 个 列 入 黑 名 单 的 I P ？ 两 者 都 被 视 为 行 动 计 划 ， 而 不 是 事 件 响 应 。 A P T 组 正 在 使 用 各 种 技 术 并 永 远 隐 藏 其 踪 迹 ， 因 此 仅 依 靠 I O C （ I P ， d o m a i n ， h a s h 和 U R L ） 不 再 起 作 用 。 您 应 该 考 虑 T T P （ 战 术 ， 技 术 和 程 序 ， 有 时 也 称 为 工 具 ， 技 术 和 程 序 ） 。 这 些 T T P 在 收 集 有 关 操 作 系 统 的 信 息 方 面 起 着 至 关 重 要 的 作 用 攻 击 者 根 据 这 些 信 息 使 用 网 络 工 件 ， 并 为 特 定 的 通 信 方 式 或 特 定 的 “   d l l ” 或 “   e x e ”   构 建 用 例 ， 从 而 可 以 洞 悉 攻 击 。 还 需 要 D a r k N e t 情 报 ， 其 中 大 部 分 经 过 过 滤 或 被 盗 的 数 据 都 是 在 黑 市 中 以 金 钱 或 进 一 步 庇 护 的 方 式 出 售 的 。 威 胁 情 报 还 基 于 可 用 资 源 提 供 全 局 威 胁 信 息 。 许 多 O E M 商 还 提 供 各 种 威 胁 矩 阵 信 息 ， 使 用 的 工 具 ， 使 用 的 工 件 等 。 每 天 ， 您 的 情 报 团 队 不 仅 应 收 集 有 关 I O C 的 信 息 ， 还 应 收 集 有 关 信 息 。 他 们 必 须 争 取 有 关 新 兴 I O A 和 I O E 的 细 节 。 A P T 组 在 利 用 此 漏 洞 方 面 训 练 有 素 。 因 此 ， 我 们 需 要 收 集 更 多 的 信 息 以 指 示 组 织 中 的 剥 削 迹 象 ， 并 确 保 在 被 攻 击 者 利 用 之 前 将 其 修 复 。 一 个 网 络 情 报 节 目 是 所 有 关 于 揭 露 谁 ， 什 么 ， 何 地 ， 何 时 ， 为 何 以 及 如 何 后 面 的 网 络 攻 击 。 战 术 和 操 作 情 报 可 以 帮 助 您 确 定 攻 击 的 方 式 和 方 式 ， 有 时 甚 至 在 何 时 何 地 。 网 络 威 胁 搜 寻 网 络 威 胁 搜 寻 收 集 信 息 后 ， 我 们 必 须 寻 找 。 网 络 威 胁 搜 寻 是 一 种 现 代 方 法 ， 可 以 了 解 网 络 杀 死 链 或 “ 斜 接 攻 击 ” 并 搜 寻 未 知 的 攻 击 变 体 。 当 您 知 道 局 域 网 中 正 在 发 生 的 事 情 时 ， 您 可 以 直 接 进 入 事 件 响 应 。 但 是 ， 当 您 怀 疑 某 个 事 件 时 ， 想 要 在 L A N 中 搜 寻 未 知 变 体 （ A P T ） 的 痕 迹 ， 就 会 出 现 威 胁 搜 寻 。 威 胁 搜 寻 为 您 提 供 了 对 威 胁 向 量 的 深 入 分 析 ， 您 可 以 缩 小 威 胁 范 围 。 事 件 变 成 事 件 之 前 。 在 每 个 组 织 中 ， 都 应 聘 用 威 胁 搜 寻 团 队 ， 并 主 动 寻 找 可 疑 事 件 ， 并 确 保 它 不 会 成 为 事 件 或 对 手 的 违 规 行 为 。 他 们 应 该 了 解 A P T 攻 击 历 史 并 检 查 网 络 中 的 工 件 。 不 要 寻 找 已 知 的 I O C ， 请 分 解 它 们 传 播 的 方 法 。 到 底 要 狩 猎 什 么 ？ -   例 子 ： 1 .   寻 找 网 络 信 标 2 .   寻 找 内 幕 特 权 升 级 3 .   寻 找 不 寻 常 的 D N S 请 求 4 .   寻 找 不 寻 常 的 网 络 共 享 5 .   寻 找 网 络 侦 察 6 .   寻 找 不 匹 配 的 W i n d o w s 服 务 （ 父 / 子 进 程 ） 7 .   寻 找 特 权 升 级   -   访 问 令 牌   操 纵 8 .   寻 找 U A C 绕 过 9 .   寻 找 凭 证 转 储 1 0 .   在 S M B 管 道 上 搜 寻 信 标 1 1 .   寻 找 隐 秘 频 道 1 2 .   寻 找 C n C 流 量 1 3 .   寻 找 阴 影 1 4 .   寻 找 可 疑 的 隧 道 同 样 ， 在 局 域 网 中 狩 猎 也 有 多 种 条 件 。 我 们 可 以 利 用 M i t r e   A T T ＆ C K   框 架 和 检 查 A P T 历 史 记 录 并 了 解 它 们 。 它 将 提 供 更 好 的 理 解 ， 我 们 可 以 将 搜 索 方 法 映 射 到 框 架 ， 并 查 看 可 以 实 现 的 程 度 。 停 留 时 间 ， 即 对 手 停 留 在 您 的 网 络 中 并 了 解 每 个 区 域 ， 共 享 ， 数 据 库 ， 网 络 协 议 ， 映 射 ， 路 由 ， 易 受 攻 击 的 端 点 等 的 时 间 。 威 胁 搜 寻 可 帮 助 您 找 到 任 何 对 象 的 横 向 移 动 和 持 续 行 为 网 络 攻 击 。
因 此 ， 作 为 威 胁 猎 人 ， 您 必 须 牢 记 ： 1 . ） 积 极 主 动 ；   2 . ） 假 设 您 已 经 是 受 害 者 了 ；   3 . ） 了 解 对 手 的 行 为 ；   4 . ） 寻 找 未 知 对 象 ；   5 . ） 了 解 您 的 网 络 。 事 件 响 应 事 件 响 应 传 统 的 事 件 响 应 提 供 对 事 件 （ 违 反 事 件 ） 的 缓 解 和 补 救 措 施 ， 而 威 胁 搜 寻 可 让 您 了 解 任 何 可 疑 或 怪 异 事 件 ， 并   在 事 件 发 生 之 前 进 行 缓 解 。 但 是 ， 任 何 S O C 都 绝 对 需 要 事 件 响 应 者 和 响 应 团 队 ， 在 这 些 事 件 响 应 者 和 响 应 团 队 的 帮 助 下 ， 它 们 可 以 缓 解 当 前 事 件 并 解 决 开 放 的 漏 洞 ， 这 将 打 破 攻 击 链 ， 并 减 少 网 络 威 胁 的 可 能 性 。 I R 团 队 应 确 保 C I A 没 有 被 破 坏 ， 数 据 也 没 有 被 过 滤 掉 。 事 件 响 应 团 队 还 可 以 在 清 单 中 部 署 网 络 查 杀 链 模 型 ， 并 确 定 攻 击 的 范 围 。 一 个 事 件 响 应 计 划 可 以 受 益 的 企 业 通 过 概 述 如 何 从 一 个 持 续 时 间 和 伤 害 减 少 安 全 事 故 ， 确 定 参 加 的 利 益 方 ， 简 化 取 证 分 析 ， 加 速 恢 复 时 间 ， 减 少 负 面 宣 传 ， 最 终 提 高 企 业 的 管 理 人 员 ， 业 主 和 股 东 的 信 心 。 现 代 现 代 S O C 和 专 业 技 能 和 专 业 技 能 正 如 我 们 所 看 到 并 经 历 的 各 种 A P T 攻 击 和 现 代 网 络 间 谍 活 动 一 样 ， 我 们 应 该 发 展 并 制 定 增 强 的 网 络 安 全 策 略 。 该 模 型 提 供 了 有 关 网 络 攻 击 的 见 解 ， 因 此 我 们 需 要 一 支 具 有 各 种 技 能 的 专 家 团 队 。 威 胁 搜 寻 ， 开 放 源 代 码 威 胁 情 报 和 D a r k N e t 情 报 ， 主 动 事 件 处 理 程 序 和 急 救 人 员 ， 恶 意 软 件 研 究 人 员 以 及 能 够 了 解 W i n d o w s   架 构 和 恶 意 软 件 行 为 的 人 员 的 特 定 技 能 集 。 这 些 技 能 是 保 护 网 络 免 受 现 代 网 络 攻 击 的 最 主 要 手 段 。 例 如 ， 如 何 计 划 一 个 现 代 化 的 C y b e r S O C 团 队 。
结 论 结 论 网 络 弹 性 是 一 个 不 断 发 展 的 观 点 ， 正 在 迅 速 得 到 认 可 。 该 概 念 从 本 质 上 将 信 息 安 全 ， 业 务 连 续 性 和 （ 组 织 ） 弹 性 等 领 域 结 合 在 一 起 。 该 模 型 具 有 将 威 胁 ， 威 胁 ， 响 应 和 S O C 整 合 在 一 起 的 概 念 ， 可 为 组 织 提 供 复 杂 的 安 全 结 构 。 确 定 活 动 的 优 先 级 将 更 有 帮 助 ， 我 们 可 以 轻 松 地 防 御 现 代 攻 击 。 该 模 型 包 括 “ 自 适 应 响 应 ， 分 析 监 控 ， 欺 骗 ， 情 报 ， 多 样 性 ， 动 态 定 位 ， 基 于 现 有 策 略 的 特 权 限 制 ， 任 务 关 键 和 非 关 键 服 务 / 服 务 器 的 重 新 调 整 ， 事 件 的 关 联 和 快 速 响 应 ” 的 关 键 元 素 。 它 主 要 解 决 A P T   威 胁 ， 并 提 供 对 攻 击 和 可 能 的 媒 介 的 深 入 了 解 。 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理