搜索

[12615] 2018-04-22_宜信防火墙自动化运维之路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-04-22_宜信防火墙自动化运维之路 宜 信 防 火 墙 自 动 化 运 维 之 路 宜 信 安 全 应 急 中 心   F r e e B u f   2 0 1 8 - 0 4 - 2 2 写 在 前 面 写 在 前 面 作 者 浅 言 作 者 浅 言 做 了 多 年 安 全 运 维 的 我 一 直 想 出 点 干 货 ， 经 常 看 众 大 神 分 享 经 验 ， 仰 望 的 同 时 总 是 想 有 一 天 自 己 也 能 贡 献 点 什 做 了 多 年 安 全 运 维 的 我 一 直 想 出 点 干 货 ， 经 常 看 众 大 神 分 享 经 验 ， 仰 望 的 同 时 总 是 想 有 一 天 自 己 也 能 贡 献 点 什 么 。 在 宜 信 的 这 些 年 工 作 了 许 久 ， 经 验 也 积 攒 了 一 些 ， 不 敢 说 干 货 多 硬 ， 只 能 算 是 近 几 年 工 作 经 验 的 沉 淀 ， 希 么 。 在 宜 信 的 这 些 年 工 作 了 许 久 ， 经 验 也 积 攒 了 一 些 ， 不 敢 说 干 货 多 硬 ， 只 能 算 是 近 几 年 工 作 经 验 的 沉 淀 ， 希 望 能 给 阅 读 者 带 来 启 示 和 帮 助 。 更 欢 迎 同 行 各 位 大 佬 给 予 斧 正 ， 共 同 交 流 经 验 和 从 业 心 得 体 会 ， 在 此 谢 过 。 望 能 给 阅 读 者 带 来 启 示 和 帮 助 。 更 欢 迎 同 行 各 位 大 佬 给 予 斧 正 ， 共 同 交 流 经 验 和 从 业 心 得 体 会 ， 在 此 谢 过 。 本 文 简 介 本 文 简 介 文 章 分 为 2 个 部 分 — — 正 文 篇 1 . 0   &   正 文 篇 2 . 0 ， 1 . 0 篇 编 写 于 2 0 1 7 年 ， 2 . 0 篇 编 写 于 2 0 1 8 年 ， 是 对 1 . 0 版 本 的 升 级 与 优 化 ， 通 过 标 题 标 注 以 示 区 分 。 正 文 篇 正 文 篇 1 . 0 互 联 网 金 融 行 业 快 速 发 展 ， 覆 盖 范 围 广 ，   行 业 规 范 监 管 要 求 等 特 点 ， 宜 信 作 为 互 联 网 金 融 企 业 ， 传 统 运 维 模 式 已 问 题 凸 显 。 异 构 网 络 架 构 下 多 品 牌 防 火 墙 并 存 ， 各 大 厂 商 产 品 从 配 置 管 理 角 度 也 不 尽 相 同 ， 包 含 G U I 、 C L I 、 W E B 等 多 种 方 式 ， 了 解 防 火 墙 安 全 策 略 的 使 用 状 况 ， 及 时 发 现 安 全 隐 患 ， 详 细 记 录 防 火 墙 安 全 策 略 的 变 更 ， 帮 助 管 理 员 配 置 出 正 确 的 安 全 策 略 ， 确 保 防 火 墙 的 配 置 符 合 外 部 以 及 内 部 的 安 全 规 范 等 问 题 ， 运 维 工 作 急 迫 一 套 集 中 管 理 平 台 完 成 这 些 内 容 。 更 好 的 安 全 来 源 于 更 好 的 管 理 ， 我 们 要 解 决 什 么 问 题 ？ 更 好 的 安 全 来 源 于 更 好 的 管 理 ， 我 们 要 解 决 什 么 问 题 ？ 策 略 自 主 查 询 策 略 自 主 查 询 ： 提 供 用 户 自 助 查 询 功 能 ， 解 决 用 户 疑 惑 如 A 到 B 的 访 问 是 否 默 认 已 经 开 通 ？ 策 略 申 请 ： 策 略 申 请 ： 平 台 填 写 申 请 安 全 策 略 五 元 组 及 日 期 ， 事 由 等 相 关 信 息 ， 平 台 利 用 预 制 规 则 对 申 请 进 行 预 判 断 ，
是 否 为 合 理 需 求 ？ 是 否 无 需 开 通 ?   从 需 求 提 出 阶 段 减 少 人 工 成 本 和 快 速 预 响 应 。 策 略 审 核 变 更 ： 策 略 审 核 变 更 ： 管 理 员 得 到 相 应 申 请 通 知 邮 件 后 通 过 平 台 进 行 策 略 评 估 后 ， 进 行 同 意 变 更 下 发 策 略 或 打 回 动 作 。 审 计 ： 审 计 ： 平 台 记 录 所 有 用 户 申 请 ， 管 理 员 的 操 作 记 录 ， 方 便 后 期 查 询 并 满 足 如 等 保 及 其 他 合 规 要 求 。 报 表 ： 报 表 ： 可 看 到 各 部 门 当 前 使 用 了 哪 些 安 全 规 则 。 配 置 管 理 ： 配 置 管 理 ： 通 过 平 台 对 设 备 配 置 进 行 备 份 ， 方 便 进 行 配 置 比 对 和 配 置 恢 复 工 作 。 平 台 开 发 过 程 中 两 个 核 心 问 题 需 要 解 决 ： 平 台 开 发 过 程 中 两 个 核 心 问 题 需 要 解 决 ： 1 ： 如 何 判 断 一 个 主 机 访 问 另 外 主 机 经 过 哪 些 网 络 设 备 ？ 2 ： 如 何 将 各 个 厂 商 防 火 墙 策 略 导 出 并 离 线 合 并 生 成 统 一 数 据 库 作 为 平 台 基 础 。 综 合 考 虑 对 比 各 种 方 案 ， 如 携 程 网 运 维 平 台 路 由 计 算 方 法 ， F i r e m o n 的 配 置 抓 取 生 成 拓 扑 等 ， 我 们 最 终 采 用 使 用 P y t h o n 的 三 方 库 N e t w o r k x 做 拓 扑 计 算 和 生 成 ， 将 各 区 域 网 段 定 义 为 点 对 象 ， 按 照 生 产 拓 扑 连 接 情 况 进 行 边 连 接 ， 最 终 利 用 最 短 路 径 和 权 重 特 性 完 成 主 机 通 讯 路 径 判 断 ， 并 定 位 到 经 过 哪 些 防 火 墙 。 N e x w o r k x 使 用 举 例 使 用 举 例 ~
  对 于 如 P a l o a l t o 这 种 提 供 R e s t   X M L   A P I 的 防 火 墙 直 接 利 用 其 接 口 进 行 配 置 提 取 ， C h e c k p o i n t 因 为 宜 信 暂 未 用 到 其 最 新 有 A P I 的 R 8 0 版 本 ， 只 能 通 过 厂 商 工 具 W e b V i s u a l i z a t i o n   T o o l   命 令 行 将 策 略 导 出 为 X M L 格 式 做 处 理 ， 平 台 底 层 使 用 自 动 化 脚 本 定 时 登 陆 S m a r t c e n t e r 系 统 进 行 策 略 抓 取 ， 对 于 其 他 如 使 用 命 令 行 方 式 为 主 配 置 的 防 火 墙 ， 如 山 石 / 思 科 等 通 过 命 令 完 成 策 略 相 关 导 出 和 配 置 ， 最 终 完 成 策 略 库 生 成 （ 在 此 呼 吁 各 大 厂 商 开 放 自 动 化 A P I ， 大 势 所 趋 呀 ！ ！ ！ ） P a l o a l t o   A P I 举 例 举 例   C h e c k p o i n t 自 动 登 陆 并 导 出 自 动 登 陆 并 导 出  
统 一 策 略 库 平 台 申 请 审 批 流 程 统 一 策 略 库 平 台 申 请 审 批 流 程 审 计 审 计 & 报 告 报 告   平 台 其 他 功 能 ： 平 台 其 他 功 能 ： 安 全 策 略 使 用 状 况 分 析 ： 安 全 策 略 使 用 状 况 分 析 ： 如 策 略 命 中 数 ， 策 略 可 合 并 梳 理 ， 实 现 策 略 优 化 及 设 备 性 能 提 升 。 防 火 墙 配 置 安 全 规 范 审 计 防 火 墙 配 置 安 全 规 范 审 计 ： 完 善 宜 信 自 身 的 安 全 规 范 ， 并 根 据 此 规 范 审 计 系 统 内 所 有 防 火 墙 设 备 上 的 安 全 策 略 配 置 ， 是 否 存 在 允 许 该 危 险 端 口 的 安 全 策 略 ， 并 做 出 相 应 的 修 改 。 平 台 当 前 开 发 完 善 功 能 ： 平 台 当 前 开 发 完 善 功 能 ： 自 动 化 防 护 建 立 自 动 化 防 护 建 立 ： 完 善 利 用 防 火 墙 与 其 他 安 全 设 备 或 威 胁 情 报 系 统 集 成 通 过 攻 击 态 势 感 知 ， 自 动 创 建 针 对 攻
击 流 量 的 安 全 策 略 防 护 。 正 文 篇 正 文 篇 2 . 0 功 能 更 新 功 能 更 新 0 x 0 1 日 志 联 动 日 志 联 动 通 过 利 用 安 全 日 志 平 台 集 成 其 他 安 全 设 备 ， 如 W A F / I D S / 主 机 等 类 型 日 志 ， 对 攻 击 者 I p 通 过 规 则 进 行 分 析 和 后 续 操 作 。 0 x 0 2 自 动 化 拦 截 自 动 化 拦 截 默 认 的 防 火 墙 策 略 依 赖 静 态 策 略 ， 例 如 基 本 都 会 放 行 互 联 网 到 一 个 W e b 系 统 的 8 0 、 4 4 3 端 口 ， 但 是 通 过 自 动 化 拦 截 功 能 实 现 在 防 火 墙 上 对 风 险 级 别 较 高 来 源 i p 的 动 态 阻 拦 ， 即 使 访 问 的 是 正 常 的 端 口 或 者 应 用 。 0 x 0 3 攻 击 可 视 化 攻 击 可 视 化 通 过 日 志 平 台 对 常 规 的 入 侵 行 为 和 拦 截 情 况 进 行 分 类 实 时 展 示 ， 并 可 生 成 报 告 ， 对 重 点 关 注 对 象 做 告 警 操 作 。 0 x 0 4 回 溯 分 析 回 溯 分 析 对 攻 击 类 型 或 业 务 的 关 注 级 别 较 高 的 对 象 进 行 自 动 抓 包 ， 解 决 常 规 I P S / I D S 海 量 日 志 分 析 困 难 的 难 题 。 0 x 0 5 威 胁 情 报 对 接 威 胁 情 报 对 接 结 合 外 部 第 三 方 威 胁 情 报 库 自 动 化 防 御 。 自 动 化 拦 截 自 动 化 拦 截
日 志 平 台 通 过 如 W A F 日 志 进 行 分 析 ， 通 过 制 定 规 则 ， 比 如 某 些 I P 采 用 多 种 攻 击 手 法 X S S + S Q L 组 合 对 业 务 进 行 了 攻 击 ， 会 统 计 产 出 恶 意 I P 更 新 至 I P _ l i s t （ 攻 击 者 i p 清 单 ） ， 并 执 行 动 拦 截 脚 本 通 知 防 墙 运 维 平 台 ， 防 火 墙 运 维 平 台 使 用 防 火 墙 R E S T f u l   A P I 接 去 更 新 动 态 拦 截 策 略 的 地 址 库 对 象 ， 对 恶 意 I P 进 拦 截 。 到 达 指 定 拦 截 时 长 后 ， 同 样 方 式 进 行 释 放 操 作 。 （ 防 火 墙 动 态 阻 止 列 表 功 能 ） 通 过 日 志 平 台 对 拦 截 情 况 进 行 实 时 监 控 。 项 目 收 益 ： 项 目 收 益 ： 设 备 性 能 提 升 ， 将 风 险 较 高 I P 直 接 在 外 层 防 火 墙 上 拒 绝 ， 减 少 内 部   W a f / 负 载 均 衡   / 服 务 器 资 源 占 用 ， 物 尽 所
用 。 I P 信 誉 库 积 累 。 内 部 安 全 日 志 和 外 部 威 胁 情 报 的 充 分 利 用 单 个 区 域 发 现 的 攻 击 I P 可 直 接 在 多 个 数 据 中 心 出 口 同 时 拦 截 ， 提 升 整 体 安 全 性 。 I D S 自 动 抓 包 告 警 功 能 自 动 抓 包 告 警 功 能 目 前 大 多 数 的 I P S / I D S 还 是 基 于 各 自 特 征 库 对 数 据 包 进 行 入 侵 防 御 识 别 ， 如 果 判 断 为 攻 击 通 常 会 直 接 拦 截 或 低 级 事 件 采 取 记 录 日 志 动 作 ， 对 于 甲 方 安 全 人 员 能 看 到 的 只 是 某 个 地 址 到 我 们 的 应 用 有 命 中 I P S 规 则 ， 给 个 C V E 编 号 和 攻 击 基 本 解 释 就 结 束 了 ， 想 要 复 现 基 本 很 难 。 通 常 我 们 的 需 求 需 要 知 道 到 底 数 据 包 是 什 么 内 容 ， 包 含 什 么 字 段 ， 为 什 么 会 命 中 I P S 规 则 ， 这 样 也 好 给 到 开 发 人 员 进 行 代 码 修 改 ， 所 以 我 们 对 内 网 I D S 工 作 流 程 进 行 了 优 化 ， 实 现 对 关 注 的 攻 击 进 行 数 据 包 保 存 溯 源 ， 针 对 特 定 攻 击 和 事 件 也 进 行 高 级 告 警 。 流 程 流 程 1 ： I D S 接 收 内 网 所 有 需 要 关 注 的 流 量 。 2 ： 管 理 员 对 I D S 规 则 进 行 调 优 ， 将 需 要 关 注 的 事 件 l o g 发 送 到 日 志 平 台 ， 并 指 定 自 动 抓 包 动 作 ( I D S 上 针 对 某 些 攻 击 的 动 作 指 定 为 自 动 抓 包 ) ， 如 针 对 各 种 应 用 层 攻 击 ， 内 网 扫 描 事 件 等 。 3 ： 日 志 平 台 根 据 搜 索 语 句 定 时 进 行 搜 索 ， 如 果 搜 索 到 攻 击 事 件 日 志 ， 将 日 志 的 时 间 戳 和 自 动 抓 包 生 成 的 P c a p   I D 发 送 到 防 火 墙 运 维 平 台 接 口 。 4 - 5 ： 防 火 墙 运 维 平 台 通 过 防 火 墙 A P I 接 口 ， 利 用 时 间 戳 和 P c a p   I D 字 段 登 陆 设 备 进 行 数 据 包 下 载 到 本 地 ，   并 执 行 提 取 X - f o r w a r d   F o r 字 段 和 三 层 I P 地 址 。 6 ： 防 火 墙 运 维 平 台 将 提 取 出 的 X - f o r w a r d   F o r 和 I P 地 址 信 息 字 段 和 p c a p 文 件 下 载 u r l 发 送 给 日 志 平 台 ， 7 ： 日 志 平 台 进 行 白 名 单 筛 选 ， 排 除 白 名 单 后 ， 日 志 平 台 进 行 邮 件 告 警 告 警 内 容 ： 攻 击 源 地 址   目 的 地 址   攻 击 类 型   原 始 数 据 包 下 载 链 接   ， 如 图
项 目 收 益 项 目 收 益 内 网 安 全 关 注 的 攻 击 类 型 和 业 务 攻 击 事 件 发 现 时 间 大 大 缩 短 ， 从 海 量 日 志 中 准 确 提 取 了 我 们 需 要 关 注 的 信 息 ， 减 少 人 工 参 与 工 作 量 。 原 始 包 的 留 存 对 我 们 的 安 全 研 究 和 系 统 代 码 修 改 都 提 供 了 很 好 的 材 料 。 写 在 最 后 写 在 最 后 第 一 次 发 布 文 章 ， 心 情 还 是 有 点 小 激 动 ， 如 有 错 误 ， 欢 迎 斧 正 。 * 本 文 作 者 ： 宜 信 安 全 应 急 响 应 中 心 ， 转 载 请 注 明 来 自 本 文 作 者 ： 宜 信 安 全 应 急 响 应 中 心 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理