搜索

[21796] 2021-03-22_2021HW参考HVV行动之蓝军经验总结

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-03-22_2021HW参考HVV行动之蓝军经验总结 2 0 2 1 H W 参 考 | H V V 行 动 之 蓝 军 经 验 总 结 L e m o n S e c   2 0 2 1 - 0 3 - 2 2 转 自 乌 雲 安 全 H W 行 动 ， 攻 击 方 的 专 业 性 越 来 越 高 ， A T T & C K 攻 击 手 段 覆 盖 率 也 越 来 越 高 ， 这 对 于 防 守 方 提 出 了 更 高 的 要 求 ， H W 行 动 对 甲 方 是 一 个 双 刃 剑 ， 既 极 大 地 推 动 了 公 司 的 信 息 安 全 重 视 度 和 投 入 力 量 ， 但 同 时 对 甲 方 人 员 的 素 质 要 求 有 了 很 大 提 升 ， 被 攻 破 ， 轻 则 批 评 通 报 ， 重 则 岗 位 不 保 ； 大 的 金 融 、 央 企 可 能 不 担 心 ， 有 很 强 的 防 护 ， 很 全 面 的 安 全 值 守 ； 但 是 相 当 多 的 二 级 单 位 或 者 中 型 公 司 ， 可 能 没 那 么 专 业 ， 然 后 听 从 乙 方 来 忽 悠 ， 上 一 堆 设 备 ， 上 大 屏 展 示 ， 图 很 酷 炫 ， 数 字 很 夸 张 ， 每 天 防 守 几 万 次 攻 击 ， 不 是 说 这 些 没 用 ， 而 是 首 先 要 立 足 于 将 产 品 和 服 务 用 好 ， 比 如 资 产 梳 理 ， 比 如 防 火 墙 ， w a f 策 略 优 化 ， 这 个 应 该 是 甲 方 最 基 础 的 事 情 ， 也 不 应 该 全 部 交 给 乙 方 ， 有 的 单 位 被 忽 悠 上 了 态 势 感 知 ， 但 是 连 基 本 的 w a f 策 略 也 没 有 优 化 ， 报 表 表 面 上 很 客 观 ， 实 际 的 攻 击 含 金 量 很 低 ； 作 为 参 与 了 作 为 参 与 了 2 年 年 H W 的 甲 方 ， 总 结 了 一 些 防 御 尤 其 是 边 界 防 御 的 基 本 要 素 ， 简 单 明 了 ， 抛 砖 引 玉 ， 给 大 家 参 考 。 的 甲 方 ， 总 结 了 一 些 防 御 尤 其 是 边 界 防 御 的 基 本 要 素 ， 简 单 明 了 ， 抛 砖 引 玉 ， 给 大 家 参 考 。 一 、 一 、 H W 战 略 与 战 术 战 略 与 战 术 首 先 在 H W 期 间 （ 其 实 平 时 也 需 要 这 样 ） ， 都 是 战 略 上 藐 视 敌 人 、 战 术 上 重 视 敌 人 ， 敌 暗 我 明 ， 敌 众 我 寡 ， 这 个 现 实 是 摆 在 眼 前 的 ， 而 且 我 方 是 一 定 存 在 漏 洞 的 ， 这 个 也 是 必 然 的 ， 兵 来 将 挡 水 来 土 掩 的 方 式 不 再 适 用 于 现 代 化 的 网 络 战 ， 基 于 这 样 考 虑 ， 我 们 可 以 做 如 下 假 设 ： 基 于 这 样 考 虑 ， 我 们 可 以 做 如 下 假 设 ：
► 我 方 是 一 定 存 在 漏 洞 的 ， 攻 方 也 一 定 存 在 破 绽 ， 高 手 对 决 就 看 谁 先 露 出 破 绽 ； ► 一 次 成 功 的 攻 击 ， 背 后 必 定 有 1 0 次 以 上 的 失 败 攻 击 ； ► 拥 有 0 d a y 类 的 核 弹 、 能 够 一 发 制 敌 的 绝 世 高 手 是 很 少 的 ； ► 将 敌 人 由 暗 转 明 ， 只 要 发 现 敌 人 露 出 破 绽 ， 绝 不 恋 战 ， 立 即 封 堵 i p ， 歼 灭 敌 人 有 生 力 量 ； ► 攻 击 者 都 是 有 成 本 的 ， 也 都 是 检 软 柿 子 捏 ， 打 不 过 一 定 不 会 投 入 巨 大 的 时 间 和 人 力 成 本 ， 一 定 会 换 目 标 攻 击 。 以 上 的 假 设 也 适 应 于 真 实 的 黑 客 攻 击 ， 尤 其 是 勒 索 类 、 病 毒 木 马 类 ， 这 类 攻 击 往 往 是 广 撒 网 ， 弱 者 上 钩 ， 因 为 他 们 不 在 乎 攻 击 的 是 啥 行 业 啥 客 户 ， 最 终 的 目 标 是 经 济 利 益 。 基 于 这 样 的 考 虑 ， 我 们 要 作 出 详 细 的 战 术 规 划 动 作 ： 基 于 这 样 的 考 虑 ， 我 们 要 作 出 详 细 的 战 术 规 划 动 作 ： ► 知 己 知 彼 ， 谁 是 我 们 的 朋 友 ， 谁 是 我 们 的 敌 人 ， 是 H W 的 首 要 问 题 ， 朋 友 当 然 指 的 就 是 安 全 设 备 、 安 全 体 系 和 安 全 人 员 ， 包 括 监 控 、 分 析 研 判 、 应 急 等 ， 谁 是 我 们 的 敌 人 ， 就 是 指 我 们 要 第 一 时 间 识 别 攻 击 者 并 作 出 响 应 。 这 个 方 面 还 要 加 一 条 ， 就 是 谁 是 我 们 要 保 护 的 目 标 ， 如 果 我 们 连 自 己 的 资 产 都 不 清 楚 ， 就 谈 不 上 保 护 ， 所 以 资 产 摸 底 ， 互 联 网 暴 露 面 收 窄 ， 一 定 是 我 们 要 做 的 第 一 要 务 ； 互 联 网 暴 露 面 大 ， 战 线 拉 得 过 长 ， 仗 就 不 好 打 ， 这 个 道 理 都 懂 。 ► 避 敌 锋 芒 、 绝 不 恋 战 ， 防 守 方 往 往 要 分 兵 四 处 防 守 ， 而 攻 击 方 只 需 攻 其 一 处 ， 所 以 要 在 有 限 的 时 间 和 有 限 的 空 间 内 反 击 ， 该 封 堵 该 封 堵 i p 绝 不 手 软 ， 该 下 线 系 统 绝 不 含 糊 绝 不 手 软 ， 该 下 线 系 统 绝 不 含 糊 。 ► 诱 敌 深 入 、 攻 其 薄 弱 ， 让 攻 方 露 出 破 绽 ， 立 马 出 局 。 攻 方 不 按 套 路 出 牌 ， 防 守 方 也 不 能 够 规 规 矩 矩 作 战 ， 蜜 罐 使 用 的 好 就 是 一 个 非 常 好 用 的 场 景 （ 封 I P 甚 至 溯 源 ） ； 能 够 御 敌 于 国 门 之 外 最 好 （ 决 战 于 境 外 ） ， 但 大 多 数 场 景 阵 地 战 是 打 不 过 的 ， 边 界 失 守 时 有 发 生 ， 这 时 候 就 靠 纵 深 防 御 体 系 来 拉 锯 战 了 。 ► 稳 扎 稳 打 ， 有 效 联 动 ， 快 速 响 应 ， 让 自 己 的 各 种 安 全 设 备 发 挥 出 最 大 效 能 ， 敌 我 双 方 都 有 漏 洞 的 情 况 下 ， 就 比 谁 的 的 响 应 快 谁 响 应 快 谁 就 赢 。 攻 方 发 现 漏 洞 之 后 ， 他 们 利 用 漏 洞 打 通 一 个 通 往 内 网 的 道 路 也 需 要 时 间 ， 而 且 即 使 通 向 了 内 网 进 行 游 弋 渗 透 ， 也 一 定 会 有 露 出 破 绽 的 时 候 ， 所 以 就 需 要 比 响 应 ， 这 个 时 候 就 要 看 安 全 监 控 和 值 守 来 发 挥 作 用 。 上 面 说 的 可 能 还 是 比 较 虚 ， 下 面 就 详 细 描 述 一 些 防 御 细 节 ， 首 先 当 然 是 H W 设 备 套 餐 ， 哪 些 是 最 基 本 的 ， 然 后 将 设 备 策 略 优 化 ， 发 挥 到 极 致 ， 极 致 的 关 键 就 是 封 I P ， 而 且 是 自 动 化 的 封 堵 ， 最 后 就 是 通 过 监 控 类 策 略 ， 人 工 介 入 来 弥 补 防 御 类 设 备 的 不 足 等 等 。 二 、 二 、 H W 设 备 套 餐 设 备 套 餐 在 H W 前 ， 各 种 安 全 公 司 都 会 推 销 花 样 很 多 的 H W 套 餐 ， 如 果 不 差 钱 的 主 当 然 是 多 多 益 善 ， 但 是 相 当 多 的 企 业 估 计
也 没 那 么 土 豪 ， 所 以 从 自 身 条 件 出 发 选 择 一 个 合 适 的 H W 套 餐 ， 必 须 的 套 餐 包 括 ： 防 火 墙 + W A F + 蜜 罐 + 威 胁 监 测 系 统 （ 流 量 分 析 回 溯 或 态 势 感 知 类 ） + 安 全 值 守 （ 一 个 人 的 信 息 安 全 部 也 得 至 少 7 * 9 小 时 值 班 ） ， 这 个 我 认 为 是 所 有 企 业 必 须 上 的 ； 那 么 豪 华 套 餐 ， 就 包 括 防 火 墙 + W A F + 蜜 罐 + 威 胁 监 测 系 统 （ 流 量 分 析 回 溯 或 态 势 感 知 类 ） + 威 胁 情 报 + 主 机 H I D S   + 安 全 服 务 （ 渗 透 测 试 、 安 全 监 控 组 、 分 析 组 、 处 置 组 、 报 告 总 结 组 ） 等 。 各 个 企 业 可 以 根 据 自 己 情 况 ， 有 针 对 性 的 上 一 些 设 备 ， 这 些 设 备 和 服 务 ， 不 只 是 为 了 H W 临 阵 磨 枪 ， 而 是 真 的 是 要 常 态 化 运 营 。 虽 然 有 了 这 些 设 备 ， 还 是 万 里 长 征 走 完 第 一 步 ， 很 多 企 业 啥 设 备 都 上 ， 用 简 单 的 产 品 堆 叠 ， 最 终 效 果 不 好 ， 影 响 了 老 板 对 信 息 安 全 的 看 法 ， 会 认 为 信 息 安 全 团 队 能 力 不 行 ， 所 以 有 了 设 备 ， 还 需 要 响 应 的 策 略 、 配 置 和 服 务 进 行 运 营 好 。 三 、 拦 截 策 略 优 化 三 、 拦 截 策 略 优 化 对 安 全 设 备 的 策 略 优 化 ， 是 一 个 很 细 且 长 期 的 过 程 ， 一 般 安 全 设 备 商 ， 他 们 的 k p i 是 卖 设 备 ， 让 设 备 去 上 线 验 收 ， 而 甲 方 的 k p i 是 要 防 止 信 息 安 全 事 件 的 发 生 ， 所 以 这 就 是 一 个 矛 盾 ， 除 非 特 别 有 钱 的 甲 方 ， 常 驻 一 个 安 全 团 队 来 进 行 运 营 ， 一 般 很 多 公 司 ， 都 是 靠 甲 方 自 己 去 做 安 全 策 略 的 优 化 ， 下 面 我 们 分 这 几 个 维 度 来 分 享 一 下 几 个 经 验 技 巧 ： ► 拦 截 事 件 分 类 ► 防 火 墙 拦 截 策 略 ► W a f 拦 截 策 略 ► 流 量 监 控 类 策 略 拦 截 事 件 分 类 这 块 ， 我 们 一 定 要 有 这 么 三 类 ： 阻 止 会 话 、 阻 止 会 话 并 短 暂 封 堵 阻 止 会 话 、 阻 止 会 话 并 短 暂 封 堵 I P 、 阻 止 会 话 并 长 期 封 堵 、 阻 止 会 话 并 长 期 封 堵 I P ； ； 防 火 墙 是 边 界 全 部 防 护 ， w a f 则 是 针 对 具 体 每 个 站 点 来 设 置 策 略 ， 为 了 误 报 ， 设 备 上 线 时 候 ， 乙 方 都 推 荐 不 会 用 封 堵 类 策 略 ， 但 是 在 实 战 场 景 是 一 定 要 有 封 堵 类 的 策 略 的 ， 因 为 在 因 为 在 H W 中 ， 红 方 高 手 很 多 ， 而 且 可 能 有 很 多 我 们 不 知 中 ， 红 方 高 手 很 多 ， 而 且 可 能 有 很 多 我 们 不 知 道 的 神 兵 利 器 道 的 神 兵 利 器 ， 我 们 的 设 备 有 可 能 能 够 防 住 他 一 招 两 式 ， 但 是 没 法 保 证 说 对 方 所 有 绝 招 能 够 拦 截 ， 所 以 我 们 在 策 略 上 也 要 进 行 封 堵 ， 发 现 敌 人 破 绽 就 封 堵 i p 立 马 让 其 下 线 ， 敌 人 要 继 续 攻 击 就 得 换 个 i p 来 ， 这 样 抬 高 了 攻 击 成 本 。 一 定 要 自 动 封 一 定 要 自 动 封 i p ， 自 动 封 ， 自 动 封 i p ， 自 动 封 ， 自 动 封 i p ， 能 永 久 封 就 永 久 封 ， 重 要 的 事 情 说 三 遍 。 ， 能 永 久 封 就 永 久 封 ， 重 要 的 事 情 说 三 遍 。 那 么 问 题 来 了 ， 如 何 封 堵 i p 并 不 产 生 误 报 了 ？ 封 堵 i p 如 果 是 靠 人 工 一 个 一 个 判 断 再 操 作 也 是 不 可 取 的 ， 所 以 一 定 要 进 行 策 略 优 化 ， 自 动 进 行 封 堵 操 作 。 我 们 通 过 优 化 ， 每 天 自 动 化 封 堵 1 0 0 0 个 i p 左 右 （ 永 久 封 堵 ） ， 而 且 基 本 上 无 误 报 ， 如 何 自 动 化 封 堵 ， 我 们 将 下 一 个 文 章 详 细 介 绍 。 3 . 1   防 火 墙 拦 截 策 略 防 火 墙 拦 截 策 略 首 先 在 防 火 墙 上 ， 对 来 自 于 互 联 网 的 以 下 端 口 拦 截 并 永 久 封 堵 （ 或 长 期 封 堵 i p ） 的 策 略 。
端 口 端 口 策 略 策 略 封 堵 封 堵 4 4 5 拦 截 永 久 封 堵 3 3 8 9 拦 截 永 久 封 堵 1 4 3 3 拦 截 永 久 封 堵 6 3 7 9 拦 截 永 久 封 堵 2 1 8 1 拦 截 永 久 封 堵 1 1 2 1 1 拦 截 永 久 封 堵 2 7 0 1 7 拦 截 永 久 封 堵 5 0 0 7 0 拦 截 永 久 封 堵 1 1 2 1 1 拦 截 永 久 封 堵 5 9 0 0 拦 截 永 久 封 堵 以 上 为 高 危 端 口 包 括 远 程 桌 面 、 V N C 、 常 见 数 据 库 服 务 等 端 口 ， 以 上 是 攻 方 必 攻 之 地 ， 对 于 这 样 的 端 口 ， 一 定 要 封 而 且 要 封 堵 来 源 I P 。 对 于 数 据 中 心 外 联 互 联 网 ， 一 定 要 采 取 限 制 策 略 ， 禁 止 外 联 互 联 网 ， 对 于 很 多 企 业 来 说 ， 由 于 历 史 原 因 ， 可 能 直 接 放 通 了 互 联 网 的 对 外 访 问 ， 那 么 就 要 仔 细 梳 理 ， 哪 些 是 必 要 的 访 问 ， 要 采 用 白 名 单 方 式 。 服 务 器 外 访 ， 有 个 攻 方 常 用 的 攻 击 方 式 ， 就 是 d n s 回 显 式 注 入 ， 那 么 就 将 d n s l o g . c n 等 域 名 加 入 拦 截 和 监 控 。 3 . 2   W A F 拦 截 策 略 拦 截 策 略 W A F 在 使 用 中 最 大 的 问 题 也 就 是 误 报 与 漏 报 , 同 时 ， w a f 绕 过 是 红 方 必 然 要 求 的 一 个 技 能 ， 所 以 在 实 战 中 ， w a f 是 必 然 会 被 绕 过 ， 但 是 不 代 表 w a f 策 略 就 不 需 要 优 化 ， 那 么 w a f 策 略 优 化 可 以 有 这 么 几 点 ： 3 . 2 . 1   u s e r - a g e n t 防 止 扫 描 器 防 止 扫 描 器 红 方 在 踩 点 过 程 中 ， 必 然 要 用 扫 描 器 ， 连 接 高 危 端 口 的 扫 描 器 方 式 在 上 面 的 防 火 墙 策 略 已 经 拦 截 ， 那 么 就 开 始 用 w e b 应 用 扫 描 器 ， 常 见 的 扫 描 器 u s e r - a g e n t 如 下 ， 策 略 都 是 永 久 封 堵 。  
类 似 如 上 u s e r - a g e n t 包 含 上 述 关 键 字 的 ， 都 将 拦 截 并 封 堵 源 i p ， 在 这 些 u s e r - a g e n t 中 ， 有 一 个 非 常 重 要 的 u s e r - a g e n t 为 p y t h o n ， 这 个 对 于 很 多 扫 描 甚 至 是 p o c 都 是 用 p y t h o n 开 发 ， 所 以 封 堵 这 个 很 有 必 要 。 当 然 这 个 也 存 在 误 报 ， 那 么 就 是 在 软 件 开 发 过 程 中 ， 也 可 能 有 测 试 人 员 模 拟 测 试 场 景 ， 那 么 就 要 进 行 区 分 。 3 . 2 . 2   u r l 参 数 中 防 止 高 危 参 数 中 防 止 高 危 P O C 攻 击 攻 击 很 多 高 危 漏 洞 一 出 来 ， 针 对 该 漏 洞 的 p o c 扫 描 就 非 常 多 ， 针 对 这 些 p o c 的 扫 描 攻 击 ， 可 以 建 立 一 个 u r l 列 表 来 拦 截 ， w a f 本 身 策 略 更 新 也 有 这 方 面 的 配 置 ， 可 以 拦 截 ， 但 是 由 于 w a f 策 略 本 身 是 需 要 有 通 用 性 ， 他 会 将 策 略 做 的 更 严 格 ， 我 们 自 定 义 策 略 可 以 更 宽 松 ， 比 如 前 段 时 间 F 5 的 远 程 代 码 执 行 漏 洞 爆 发   ( C V E - 2 0 2 0 - 5 9 0 2 )   ， 那 么 我 们 已 经 确 定 没 有 使 用 F 5 ， 或 者 F 5 不 会 暴 露 在 公 网 ， 那 么 我 们 可 以 将 u r l 关 键 字 如 下 进 行 拦 截 ， 发 现 即 封 堵 。 / t m u i / l o g i n . j s p / . . ; / t m u i / l o c a l l b / w o r k s p a c e / t m s h C m d . j s p 常 见 的 p o c 攻 击 u r l 特 征 清 单 如 下 ， 以 下 基 本 上 发 现 为 攻 方 必 然 扫 描 的 u r l ， 当 然 有 一 些 需 要 根 据 企 业 情 况 分 析 ， 比 如
我 们 企 业 没 有 使 用 p h p 作 为 开 发 语 言 ， 那 么 大 量 p h p 的 漏 洞 可 以 直 接 拦 截 并 封 堵 ： / p h p m y a d m i n / w l s - w s a t / C o o r d i n a t o r P o r t T y p e / _ a s y n c / A s y n c R e s p o n s e S e r v i c e / _ a s y n c / A s y n c R e s p o n s e S e r v i c e S o a p 1 2 u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p / _ a s y n c / b e a _ w l s _ d e p l o y m e n t _ i n t e r n a l N C F i n d W e b ? s e r v i c e = I P r e a l e r t C o n f i g S e r v i c e & f i l e n a m e a c t i o n = n c . u i . i u f o . r e l e a s e . I n f o R e l e a s e A c t i o n & m e t h o d = c r e a t e B B S R e l e a s e & T r e e S e l e c t e d I D = & T a b l e S e l e c t e d I D = / u a p w s / s e r v i c e . s v n / f o r m a t W E B - I N F / w e b . x m l / c g i - b i n / l i b a g e n t . c g i / c o n f i g . p h p f c k e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / F C K e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / a s p / c o n n e c t o r . a s p / F C K e d i t o r / e d i t o r / f i l e m a n a g e r / b r o w s e r / d e f a u l t / b r o w s e r . h t m l f c k e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / t e s t . h t m l / s e c u r e / C o n t a c t A d m i n i s t r a t o r s ! d e f a u l t . j s p a / p h p i n f o . p h p / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p / w e a v e r / b s h . s e r v l e t . B s h S e r v l e t / c o n s o l e / / w l s - w s a t / s o l r / a d m i n / c o r e s ? w t = j s o n / i n s t a l l . t x t / i n s t a l l . p h p / p l u g i n s / w e a t h e r m a p / e d i t o r . p h p / ? q = n o d e & d e s t i n a t i o n = n o d e / h e d w i g . c g i / d e v i c e . r s p ? c m d = l i s t & o p t = u s e r / n o d e / ? _ f o r m a t = h a l _ j s o n
/ _ u s e r s / o r g . c o u c h d b / m a i l s m s / s ? d u m p C o n f i g = % 2 F & f u n c = A D M I N % 3 A a p p S t a t e m a i l s m s / s ? f u n c = A D M I N : a p p S t a t e & d u m p C o n f i g = / / p l u s / d o w n l o a d . p h p / d r u i d / i n d e x . h t m l o r g . a p a c h e . d u b b o / t m u i / l o g i n . j s p / . . ; / t m u i / l o c a l l b / w o r k s p a c e / t m s h C m d . j s p 这 些 u r l 代 表 啥 含 义 就 不 再 描 述 了 ， 基 本 上 踩 点 扫 描 中 ， 如 上 的 地 址 都 是 跑 不 掉 的 。 3 . 2 . 3 h t t p 请 求 中 高 危 特 征 值 字 段 请 求 中 高 危 特 征 值 字 段 还 有 一 类 p o c ， 是 通 过 h t t p 请 求 中 包 含 恶 意 代 码 来 执 行 的 ， 比 如 s t r u t s 2 漏 洞 ， 比 如 f a s t j s o n 漏 洞 ， 所 以 也 需 要 对 类 似 特 征 值 进 行 防 范 , 比 如 我 们 用 部 分 包 含 特 征 样 例 如 下 ： p a r t = " c o m . s u n . x m l . i n t e r n a l . w s . e n c o d i n g . x m l . X M L M e s s a g e $ X m l D a t a S o u r c e " , p a r t = " j a v a . l a n g . P r o c e s s B u i l d e r " , p a r t = " c o m m a n d " p a r t = " g e t R u n t i m e " , p a r t = " e x e c " , p a r t = " j a v a . l a n g . R u n t i m e " p a r t = " t y p e = j a v a . n e t . I n e t S o c k e t A d d r e s s " p a r t = " d a t a S o u r c e N a m e = r m i " p a r t = " # o g n l U t i l = # c o n t a i n e r . g e t I n s t a n c e ( @ c o m . o p e n s y m p h o n y . x w o r k 2 " p a r t = " . O g n l C o n t e x t " , p a r t = " D E F A U L T _ M E M B E R _ A C C E S S " 3 . 2 . 4 信 息 泄 露 类 的 扫 描 信 息 泄 露 类 的 扫 描 对 于 部 分 扫 描 ， 在 很 多 w a f 产 品 策 略 中 ， 可 能 将 其 列 为 低 危 ， 或 者 仅 仅 拦 截 而 不 封 堵 。 那 么 我 们 应 该 自 定 义 一 些 信 息 泄 露 的 u r l ， 直 接 拦 截 并 封 堵 ， 样 例 如 下 ： / c o n f i g u r a t i o n / c o n f i g . p h p / . b a s h _ h i s t o r y / . g i t / c o n f i g / . h t p a s s w d / a d m i n . r a r / a d m i n . s q l / b a c k u p . g z
/ b a c k u p . r a r / b a c k u p . s h / b a c k u p . s q l / b a c k u p . z i p / d a t a b a s e . r a r / d a t a b a s e . s q l / w w w r o o t . r a r 以 上 策 略 都 是 拦 截 并 封 堵 i p ， 这 个 在 我 们 实 战 中 很 有 效 ， 基 本 上 能 够 封 堵 大 部 分 的 扫 描 ， 如 果 能 够 将 扫 描 拦 截 住 ， 那 么 就 将 大 部 分 的 低 层 次 的 攻 击 给 拦 截 了 。 3 . 3 流 量 监 控 类 策 略 流 量 监 控 类 策 略 上 面 也 说 到 了 流 量 监 控 设 备 如 流 量 分 析 回 溯 、 态 势 感 知 、 威 胁 检 测 系 统 ， 基 本 上 还 是 一 个 必 需 品 ， 这 些 产 品 主 要 是 流 量 镜 像 方 式 ， 那 么 他 们 自 带 了 一 些 特 征 库 ， 可 以 监 测 到 经 过 了 安 全 设 备 之 后 还 遗 存 的 攻 击 ， 所 以 上 面 的 所 有 特 征 库 ， 依 然 适 用 于 流 量 监 控 设 备 ， 当 流 量 监 控 设 备 上 设 置 了 如 上 告 警 特 征 ， 依 然 还 存 在 ， 那 么 就 要 反 过 来 查 查 防 火 墙 和 w a f 的 配 置 ， 是 不 是 策 略 没 配 置 对 ， 还 是 说 站 点 没 配 置 全 等 等 。 3 . 3 . 1 W e b s h e l l 监 控 监 控 W e b s h e l l 监 控 是 一 个 很 难 的 事 情 ， 尤 其 是 冰 蝎 等 这 类 加 密 而 且 快 速 升 级 ， 在 流 量 层 面 监 控 的 确 比 较 复 杂 且 容 易 误 报 ， 而 且 当 到 了 w e b s h e l l 这 个 层 面 ， 说 明 敌 人 已 经 深 入 腹 地 ， 那 么 只 有 主 机 安 全 和 流 量 监 控 系 统 是 最 后 一 道 防 线 。 常 见 w e b s h e l l 上 传 中 特 征 值 如 下 ， 可 以 在 流 量 监 控 中 进 行 告 警 。 < % e x e c u t e   r e q u e s t ( " < % e x e c u t e ( r e q u e s t ( " < % E x e c u t e G l o b a l   r e q u e s t ( " % > < % E v a l ( R e q u e s t ( c h r ( < % i f ( r e q u e s t . g e t P a r a m e t e r ( " = @ e v a l ( b a s e 6 4 _ d e c o d e ( $ _ P O S T c l a s s   U   e x t e n d s   C l a s s L o a d e r { U ( C l a s s L o a d e r   c S y s t e m . T e x t . E n c o d i n g . G e t E n c o d i n g ( 9 3 6 ) . G e t S t r i n g c o m . s u n . r o w s e t . J d b c R o w S e t I m p l g e t C l a s s ( ) . f o r N a m e ( " j a v a . l a n g . R u n t i m e " ) . g e t R u n t i m e ( ) . e x e c
( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) . ( # _ m e 当 我 们 的 流 量 中 出 现 如 上 特 征 的 时 候 ， 那 么 就 要 小 心 可 能 就 真 的 有 w e b s h e l l 上 传 在 尝 试 。 其 实 流 量 监 控 和 防 火 墙 、 w a f 要 形 成 有 益 补 充 ， 防 火 墙 和 w a f 策 略 优 化 的 好 ， 那 么 流 量 监 控 设 备 中 ， 告 警 数 量 是 非 常 少 的 ， 这 样 也 方 便 安 全 监 控 人 员 进 行 值 守 ， 否 则 ， 一 天 几 千 条 几 万 条 告 警 ， 是 没 办 法 从 中 找 到 真 实 的 蛛 丝 马 迹 的 。 通 过 流 量 监 控 系 统 反 过 来 优 化 防 火 墙 、 w a f 策 略 ， 也 是 一 个 长 期 要 做 的 事 情 。 每 当 流 量 监 控 出 现 一 个 告 警 ， 而 且 告 警 来 自 于 边 界 的 话 ， 我 们 就 要 问 问 ， 这 个 告 警 真 实 吗 ？ 为 何 边 界 设 备 未 能 拦 截 ？ 如 何 优 化 ？ 等 等 。 四 、 日 志 统 一 收 集 并 自 动 化 处 置 四 、 日 志 统 一 收 集 并 自 动 化 处 置 推 荐 使 用 日 志 收 集 系 统 来 实 现 防 火 墙 、 w a f 、 蜜 罐 等 统 一 的 日 志 收 集 和 分 析 ， 并 将 攻 击 i p 进 行 统 一 呈 现 ， 我 们 已 经 使 用 了 g r a y l o g 来 做 这 个 事 情 ， 详 细 可 见 我 的 另 外 一 个 文 章 《 利 用 g r a y l o g 收 集 各 类 安 全 设 备 日 志 实 现 大 屏 展 示 》 ， 同 时 将 攻 击 i p 统 一 呈 现 还 有 一 个 好 处 ， 可 以 实 现 自 动 化 的 永 久 封 堵 ， 我 们 是 通 过 脚 本 将 攻 击 i p 入 库 ， 然 后 脚 本 调 用 防 火 墙 a p i ， 每 5 分 钟 实 施 黑 名 单 永 久 封 堵 。 这 样 的 好 处 是 显 而 易 见 的 ， 攻 击 者 在 没 有 摸 清 你 的 家 底 之 前 ， 只 有 通 过 不 断 的 探 测 来 摸 底 ， 但 是 探 测 过 程 中 被 你 不 断 的 封 堵 i p ， 那 么 他 就 知 道 碰 到 行 家 了 ， 按 照 攻 击 队 找 软 柿 子 捏 的 惯 例 ， 他 们 是 不 会 再 一 个 价 值 不 高 的 目 标 花 费 太 大 的 时 间 和 精 力 ， 这 个 对 于 勒 索 、 黑 产 团 队 也 同 样 适 用 ， 黑 产 团 队 也 是 广 撒 网 的 方 式 来 攻 击 ， 比 如 攻 击 是 有 成 本 的 ， 只 有 当 安 全 达 到 一 定 基 线 ， 那 么 就 能 够 减 少 很 多 不 应 该 的 信 息 安 全 事 件 。 如 上 事 情 优 化 完 成 之 后 ， 就 进 入 了 安 全 监 控 、 分 析 阶 段 ， 这 个 时 候 需 要 专 家 值 守 ， 通 过 全 量 日 志 分 析 系 统 ， 提 升 安 全 分 析 效 率 ， 输 入 第 三 方 H W 情 报 、 自 己 的 H W 发 现 的 问 题 ， 及 时 共 享 ， 联 动 处 置 。 如 上 为 蓝 方 H W 期 间 经 验 总 结 ， 其 实 不 只 是 H W 期 间 ， 作 为 常 态 化 安 全 运 营 ， 均 需 要 上 述 的 一 些 基 本 优 化 动 作 ， 做 完 上 述 动 作 ， 基 本 上 H W 可 以 达 到 7 0 % 的 不 出 事 情 ， 剩 下 的 3 0 % ， 一 个 是 对 手 太 强 大 ， 0 d a y 层 出 不 穷 ， 另 外 就 是 我 们 的 应 用 开 发 ， 包 括 弱 口 令 、 运 维 漏 洞 、 钓 鱼 邮 件 等 依 然 存 在 ， 有 时 候 我 们 做 了 大 量 工 作 ， 一 个 弱 口 令 ， 让 我 们 所 有 做 的 工 作 都 归 零 。 这 些 漏 洞 的 解 决 ， 也 不 是 一 朝 一 夕 ， 也 是 需 要 长 期 的 过 程 关 于 昨 天 的 广 告 ， 是 运 营 没 人 内 容 就 接 了 ， 造 成 了 特 别 不 好 的 影 响 ， 在 这 给 各 位 师 傅 道 歉 ， 我 们 也 进 行 了 深 刻 的 反 省 ， 之 后 我 们 也 会 慎 重 接 文 。
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理