搜索

[21825] 2021-03-31_HW参考蓝军攻略之攻击日志分析技巧

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-03-31_HW参考蓝军攻略之攻击日志分析技巧 H W 参 考   |   蓝 军 攻 略 之 攻 击 日 志 分 析 技 巧 L e m o n S e c   2 0 2 1 - 0 3 - 3 1 作 者 ： 新 华 三 安 全 攻 防 实 验 室 随 着 网 络 安 全 态 势 逐 渐 严 峻 ， 网 络 威 胁 开 始 关 系 到 关 键 基 础 设 施 和 国 计 民 生 ， 网 络 安 全 问 题 上 升 为 国 家 安 全 层 面 的 挑 战 。 为 了 落 实 “ 实 战 化 、 常 态 化 、 体 系 化 ” 的 关 键 基 础 设 施 保 护 体 系 要 求 ， 2 0 1 6 年 起 ， 越 来 越 多 的 行 业 和 安 全 厂 商 加 入 到 演 习 行 动 中 ， 定 期 操 演 ， 暴 露 隐 患 ， 培 养 能 打 硬 仗 的 专 业 后 备 力 量 。 作 为 演 习 中 重 要 的 角 色 之 一 — — 蓝 队 ， 其 主 要 职 责 是 负 责 演 习 中 的 防 守 。 依 托 参 演 单 位 现 有 网 络 安 全 防 御 体 系 ， 完 成 实 战 中 的 网 络 安 全 事 件 监 测 、 预 警 、 分 析 、 验 证 、 溯 源 和 处 置 。 其 中 ， 对 威 胁 的 有 效 识 别 和 及 时 响 应 ， 是 蓝 队 工 作 中 最 重 要 的 一 环 ， 新 华 三 安 全 攻 防 实 验 室 结 合 多 年 H W 参 演 经 验 ， 输 出 蓝 队 演 习 攻 略 之 日 志 分 析 技 巧 ， 以 供 分 享 探 讨 。 总 体 思 路 总 体 思 路 N G F W 、 I P S 、 W A F 、 蜜 罐 等 网 络 安 全 设 备 构 筑 起 网 络 边 界 上 的 一 道 道 防 线 ， 在 演 练 实 战 中 ， 这 些 设 备 都 可 能 产 生 海 量 告 警 ， 能 准 确 及 时 地 分 析 日 志 ， 从 日 志 中 发 现 攻 击 方 的 痕 迹 ， 后 续 的 预 警 、 处 置 和 溯 源 才 有 据 可 循 ， 有 效 日 志 分 析 也 能 及 早 阻 断 或 击 退 攻 击 方 的 进 攻 ， 逼 其 放 弃 尝 试 或 者 转 移 攻 击 目 标 。 因 此 ， 日 志 的 快 速 处 理 对 于 守 方 至 关 重 要 。 日 志 的 快 速 处 理 对 于 守 方 至 关 重 要 。 哪 怕 部 署 了 态 势 感 知 、 S I M E S 等 安 管 平 台 ， 鉴 于 平 台 对 各 厂 家 日 志 的 兼 容 性 、 平 台 自 身 关 联 规 则 的 通 用 性 、 以 及 对 战 时 特 殊 场 景 的 策 略 适 配 度 ， 都 无 可 避 免 的 产 生 告 警 偏 差 ， 因 此 ， 对 于 蓝 队 而 言 ， 人 工 对 传 统 安 全 设 备 的 日 志 走 读 是 不 可 避 免 的 。
攻 击 告 警 日 志 分 析 ， 首 先 需 要 具 备 一 定 的 攻 防 基 础 知 识 ， 能 读 懂 日 志 所 对 应 攻 击 、 漏 洞 或 工 具 流 量 的 大 致 含 义 ， 其 次 可 以 从 攻 击 方 和 正 常 业 务 角 度 分 析 思 考 日 志 的 产 生 机 理 ， 再 次 ， 需 要 对 于 各 类 日 志 形 成 自 己 的 总 结 经 验 ， 后 续 碰 到 相 似 情 况 可 果 断 处 置 。 技 巧 总 结 技 巧 总 结 1 . 从 日 志 发 现 攻 击 源 i p 在 攻 防 演 练 前 期 ， 最 重 要 的 是 识 别 出 攻 击 方 的 I P 并 进 行 及 时 处 理 。 攻 击 方 源 I P 打 出 的 日 志 通 常 具 有 以 下 类 别 及 特 点 ： 扫 描 探 测 类 扫 描 探 测 类 演 习 期 间 ， 很 多 局 点 扫 描 探 测 类 日 志 占 所 有 攻 击 日 志 （ I P S ） 的 9 0 % 以 上 ， 此 类 日 志 主 要 来 源 于 自 研 自 研 / 开 源 全 网 扫 描 器 、 僵 开 源 全 网 扫 描 器 、 僵 尸 网 络 发 起 的 自 动 化 感 染 传 播 尸 网 络 发 起 的 自 动 化 感 染 传 播 。 而 在 攻 防 演 练 实 战 中 ， 攻 击 者 通 常 采 用 F o f a ， Z o o m E y e 等 搜 索 引 擎 对 目 标 进 行 资 产 收 集 。 在 找 到 资 产 的 网 络 区 间 后 ， 细 心 的 攻 击 方 会 对 C 段 进 行 全 端 口 扫 描 ， 通 过 连 续 的 端 口 扫 描 日 志 或 者 N M A P 指 纹 信 息 日 志 ， 通 常 能 判 定 出 攻 击 者 针 对 性 的 网 络 探 测 行 为 ， 很 可 能 是 演 练 攻 击 方 。 同 时 ， 有 的 攻 击 方 在 探 测 目 标 时 ， 会 使 用 自 研 的 扫 描 器 进 行 主 动 扫 描 ， 或 者 通 过 代 理 转 发 至 X R a y 、 W 1 3 S C A 扫 描 器 进 行 被 动 扫 描 。 这 种 扫 描 会 在 短 时 间 内 出 现 一 个 源 I P 对 一 个 目 标 服 务 器 大 量 的 S Q L 注 入 、 X S S 等 常 规 的 W E B 漏 洞 等 攻 击 日 志 ， 这 种 情 况 基 本 也 能 判 定 为 攻 击 方 行 为 。 这 类 扫 描 类 日 志 ， 特 点 是 日 志 量 特 别 大 ， 攻 击 源 日 志 量 特 别 大 ， 攻 击 源 I P 相 对 固 定 ， 攻 击 持 续 时 间 短 或 长 或 短 ， 扫 描 产 生 的 日 志 类 型 较 相 对 固 定 ， 攻 击 持 续 时 间 短 或 长 或 短 ， 扫 描 产 生 的 日 志 类 型 较 多 多 。 值 得 注 意 的 是 ， 很 多 客 户 网 络 是 部 署 有 负 载 均 衡 和 反 向 代 理 设 备 的 ， 需 要 获 取 到 日 志 的 真 实 源 I P 才 能 进 行 针 对 性 的 防 护 ， 切 忌 直 接 封 堵 ， 以 免 影 响 业 务 。 手 工 试 探 类 手 工 试 探 类 在 高 水 准 的 对 抗 和 演 习 中 ， 攻 击 方 通 常 不 会 进 行 盲 目 的 扫 描 。 在 找 到 目 标 资 产 后 ， 他 们 会 进 行 谨 慎 的 手 工 尝 试 ， 这 类 尝 试 性 的 日 志 ， 很 容 易 被 大 量 的 扫 描 日 志 所 淹 没 。 因 此 ， 对 于 某 些 提 示 攻 击 方 意 图 的 告 警 日 志 提 示 攻 击 方 意 图 的 告 警 日 志 ， 也 需 要 进 行 重 点 处 理 。 比 如 攻 击 方 找 到 上 传 点 ， 会 进 行 手 工 上 传 测 试 ， 找 到 疑 似 S t r u t s 2 ， T h i n k P H P 框 架 的 系 统 ， 会 用 开 源 工 具 或 者 带 编 码 绕 过 的 自 研 工 具 进 行 尝 试 ， 在 登 录 框 进 行 S Q L 手 工 尝 试 ， 或 者 用 S h i r o 反 序 列 化 工 具 尝 试 等 。 这 些 攻 击 流 量 产 生 的 日 志 数 量 极 少 ，
却 不 能 被 防 守 方 轻 易 忽 略 ， 可 以 针 对 最 近 一 年 或 近 年 爆 出 的 漏 洞 、 以 及 客 户 资 产 情 况 ， 进 行 有 针 对 性 的 日 志 搜 索 ， 一 旦 发 现 ， 可 以 进 行 封 堵 或 加 固 ， 同 时 顺 藤 摸 瓜 ， 或 去 态 势 感 知 等 平 台 上 进 行 上 下 文 关 联 ， 进 一 步 判 断 攻 击 是 否 成 功 、 摸 出 攻 击 者 意 图 。 这 类 能 反 映 攻 击 方 意 图 的 尝 试 类 I P S 检 测 规 则 列 表 ， 可 以 在 实 战 中 加 以 总 结 和 积 累 。 异 常 属 性 类 异 常 属 性 类 考 虑 到 攻 方 可 能 将 扫 描 器 和 C 2 服 务 器 部 署 在 个 人 V P S 上 ， 而 这 些 V P S 极 有 可 能 是 个 人 购 买 的 云 服 务 。 在 攻 击 日 志 分 析 时 ， 对 于 I P 归 属 地 是 国 内 外 的 云 服 务 商 的 情 况 都 需 要 加 以 关 注 。 有 的 攻 击 方 会 在 深 夜 乘 防 守 方 警 惕 性 降 低 时 进 行 攻 击 尝 试 ， 因 此 半 夜 出 现 的 新 增 攻 击 日 志 源 ， 也 值 得 警 惕 。 攻 击 源 I P 的 时 间 属 性 也 有 一 定 价 值 ， 如 果 某 个 源 I P 只 在 攻 防 演 练 开 始 之 才 出 现 日 志 ， 而 之 前 并 未 出 现 过 攻 击 行 为 ， 很 可 能 来 自 于 演 练 攻 击 方 。 单 纯 从 攻 击 日 志 的 各 类 属 性 特 点 来 分 析 日 志 ， 也 能 起 到 一 定 作 用 ， 当 然 以 上 方 法 结 合 分 析 ， 效 果 更 好 。 N O D （ N e w l y   O b s e r v e d   D o m a i n ） ， 域 名 也 是 可 疑 的 观 察 对 象 之 一 。 在 演 习 前 突 然 新 增 的 域 名 ， 极 有 可 能 是 红 队 为 活 动 前 做 的 准 备 。 对 于 这 类 N O D 域 名 可 以 提 前 分 析 获 取 ， 加 入 关 注 名 单 。 一 旦 产 生 类 似 的 外 联 日 志 ， 哪 怕 原 有 的 情 报 和 态 势 系 统 没 有 告 警 ， 也 建 议 马 上 行 动 ， 展 开 失 陷 资 产 排 查 ， 并 向 前 溯 源 ， 最 大 程 度 的 还 原 攻 击 路 径 。 2 . 关 注 重 点 事 件 日 志 高 级 别 的 演 练 持 续 时 间 为 两 到 三 周 ， 进 入 中 后 期 ， 人 倦 马 乏 ， 很 容 易 进 入 懈 怠 疏 漏 。 其 实 ， 红 队 的 比 拼 在 演 习 中 段 已 经 进 入 焦 灼 状 态 ， 大 比 分 在 此 时 拉 开 。 蓝 队 也 需 要 加 强 投 入 ， 在 中 后 期 更 需 要 关 注 一 些 重 点 事 件 ， 及 时 发 现 包 括 0 d a y 、 新 增 外 、 新 增 外 联 、 内 网 异 常 行 为 联 、 内 网 异 常 行 为 之 类 的 风 险 。 攻 击 方 此 时 会 亮 出 各 家 压 箱 底 的 武 器 ， 0 d a y 的 使 用 和 针 对 防 护 设 备 的 变 形 绕 过 都 是 常 态 ， 不 排 除 现 有 的 防 护 设 备 和 系 统 暂 时 “ 失 明 ” ， 难 以 全 面 覆 盖 到 攻 击 链 的 每 一 个 点 ， 这 时 ， 在 日 志 中 发 现 蛛 丝 马 迹 ， 找 到 关 键
重 点 事 件 就 极 有 意 义 。 这 些 重 点 事 件 类 型 包 括 ： 木 马 连 接 类 木 马 连 接 类 W e b s h e l l 连 接 工 具 ， 包 括 老 式 的 大 马 ， 小 马 ， 菜 刀 ， 及 各 类 新 式 的 冰 蝎 ， 哥 斯 拉 ， 天 蝎 ， 内 存 马 等 ， 特 点 是 倾 向 于 加 密 的 通 信 ， 让 传 统 检 测 设 备 无 法 发 现 行 踪 。 在 蓝 队 的 日 常 检 测 中 ， 一 旦 发 现 木 马 远 控 连 接 工 具 ， 包 括 C o b a l t   S t r i k e 的 命 令 下 发 流 量 （ H T T P 协 议 ） 和 证 书 指 纹 规 则 （ H T T P S 协 议 ） ， M S F 自 带 木 马 M e t e r p r e t e r 及 各 类 开 源 远 控 等 的 痕 迹 ， 以 及 这 些 工 具 通 信 流 量 产 生 的 日 志 都 需 要 警 醒 ， 这 预 示 着 内 网 已 有 机 器 失 陷 。 部 分 工 具 的 加 密 流 量 通 信 单 纯 靠 某 条 规 则 无 法 检 测 ， 可 能 需 要 多 模 块 综 合 研 判 以 及 A I 分 析 模 块 协 助 处 理 。 所 以 除 了 攻 击 日 志 ， 还 需 要 将 A V 、 情 报 、 A I 研 判 模 块 产 生 的 日 志 一 并 纳 入 检 测 分 析 范 围 。 代 理 隧 道 类 代 理 隧 道 类 在 获 取 权 限 后 ， 攻 击 方 通 常 会 使 用 代 理 工 具 搭 建 隧 道 进 入 内 网 ， 以 获 得 稳 定 的 控 制 权 限 。 。 一 旦 出 现 代 理 隧 道 的 日 志 ， 也 说 明 形 势 较 为 危 急 ， 预 示 着 攻 击 方 可 能 已 经 打 入 内 网 。 这 些 代 理 类 日 志 包 括 S O C K S 的 反 向 代 理 （ E a r t h w o r m 、 F R P 、 d t u n n e l _ l i t e 等 ） 、 R e d u h 、 R e g e o r g 等 各 类 w e b 代 理 隧 道 。 传 统 设 备 如 I P S 的 先 验 规 则 只 能 检 测 到 明 文 代 理 流 量 ， 新 华 三 安 全 设 备 特 意 基 于 代 理 隧 道 进 行 了 专 项 覆 盖 ， 对 于 以 上 代 理 可 以 最 大 程 度 的 识 别 ， 加 密 的 隧 道 ， 可 以 在 协 商 阶 段 尽 早 识 别 。 横 向 扫 描 类 横 向 扫 描 类 利 用 代 理 隧 道 进 入 内 网 的 攻 击 方 ， 可 能 通 过 L a d o n 等 工 具 进 行 网 段 、 端 口 、 服 务 的 探 测 ， 以 及 使 用 爆 破 ， 撞 库 的 方 式 进 行 内 网 密 码 破 解 。 因 此 由 内 网 I P 发 起 的 扫 描 探 测 日 志 如 果 被 部 署 在 内 网 的 安 全 设 备 检 测 上 报 ， 那 么 这 些 日 志 也 是 非 常 值 得 关 注 的 。 这 几 类 重 点 事 件 的 日 志 ， 一 般 表 明 有 系 统 被 攻 陷 ， 因 此 这 些 规 则 需 要 在 演 习 之 前 保 持 开 启 状 态 ， 且 演 习 期 间 关 注 级 别 很 高 ， 即 使 出 现 的 日 志 条 数 只 有 一 条 ， 也 要 优 先 介 入 分 析 。 这 也 对 蓝 队 攻 防 基 础 提 出 了 一 定 的 要 求 ， 初 级 防 守 方 人 员 可 以 联 动 后 台 攻 防 实 验 室 进 行 有 效 协 同 ， 中 高 级 守 方 人 员 可 以 在 实 战 中 进 行 攻 击 负 载 和 技 战 法 的 总 结 ， 形 成 经 验 智 库 。 3 . 其 他 技 巧 对 于 蓝 队 团 队 而 言 ， 多 数 是 没 有 攻 击 防 御 规 则 开 发 背 景 的 。 现 场 分 析 人 员 若 对 某 条 攻 击 日 志 的 具 体 含 义 持 疑 ， 无 法 判 定 攻 无 法 判 定 攻 击 源 击 源 I P 是 否 恶 意 时 ， 可 以 结 合 该 源 是 否 恶 意 时 ， 可 以 结 合 该 源 I P 和 该 事 件 的 其 他 相 关 日 志 进 行 辅 助 分 析 和 该 事 件 的 其 他 相 关 日 志 进 行 辅 助 分 析 ， 通 过 绘 制 力 导 向 图 ， 来 判 断 该 I P 的 攻 击 意 图 。 经 验 丰 富 的 蓝 队 ， 能 理 解 常 见 业 务 通 信 流 量 和 典 型 攻 击 负 载 的 区 别 ， 但 即 使 如 此 ， 分 析 人 员 一 般 也 不 可 能 知 道 客 户 处 每 一 款 防 御 产 品 具 体 的 规 则 写 法 和 检 测 原 则 ， 此 时 可 以 借 助 载 荷 抓 取 / 取 证 功 能 ， 对 指 定 日 志 的 攻 击 负 载 进 行 下 载 分 析 ， 借 助 网 络 搜 索 引 擎 ， 也 能 初 步 判 断 是 攻 击 试 探 还 是 高 危 命 令 执 行 。
H W 期 间 ， 客 户 多 有 部 署 安 全 事 件 自 动 检 测 和 处 置 系 统 ， 很 多 攻 防 专 家 经 验 已 经 转 换 成 到 预 制 规 则 ， 在 系 统 内 进 行 自 动 处 理 了 。 遇 到 守 方 客 户 未 配 置 此 类 自 动 化 研 判 系 统 的 情 况 下 ， 分 析 人 员 可 以 通 过 脚 本 编 写 ， 自 动 化 处 理 日 志 数 据 ， 及 时 筛 选 出 高 风 险 I P 和 资 产 ， 通 过 批 量 处 理 加 速 分 析 ， 及 时 发 现 失 陷 事 件 。 总 结 总 结 攻 击 一 条 线 ， 防 守 一 大 片 。 演 习 期 间 ， 蓝 队 作 为 演 习 中 最 为 庞 大 的 阵 容 ， 也 是 最 为 辛 苦 的 角 色 。 蓝 队 队 员 需 要 对 各 类 厂 商 的 安 全 防 御 设 备 操 作 和 基 本 原 理 了 然 于 胸 ， 对 安 全 事 件 的 处 置 流 程 熟 练 掌 握 ， 对 攻 击 负 载 的 理 解 、 关 联 分 析 有 一 定 的 理 解 。 攻 防 演 练 属 于 高 强 度 对 抗 ， 蓝 队 分 析 人 员 在 连 续 十 多 天 的 精 神 重 压 之 下 ， 需 要 “ 看 全 局 、 抓 细 节 看 全 局 、 抓 细 节 ” ， 保 持 谨 慎 警 醒 ， 才 能 避 免 攻 方 的 突 破 。 诚 然 ， 一 旦 入 驻 ， 大 家 会 发 现 现 场 的 情 况 非 常 复 杂 ， 不 是 简 单 的 一 些 方 法 论 能 概 括 的 。 蓝 队 也 只 能 随 机 应 变 ， 事 前 推 动 策 略 调 优 、 资 产 梳 理 、 流 程 职 责 落 实 ， 事 中 做 好 研 判 预 警 、 协 助 事 件 定 义 和 处 置 ， 事 后 做 好 复 盘 和 总 结 ， 依 托 客 户 现 有 的 资 源 ， 最 大 程 度 发 挥 自 己 的 价 值 ， 并 引 导 客 户 改 进 。 以 上 内 容 中 的 细 节 ， 新 华 三 安 全 攻 防 实 验 室 均 整 理 出 对 应 规 则 列 表 ， 定 向 提 供 给 驻 场 蓝 队 参 考 。 最 后 ， 预 祝 所 有 蓝 队 成 员 演 习 顺 利 ！
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理