搜索

[21855] 2021-04-08_HVV场景下如何收敛互联网暴露面

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-08_HVV场景下如何收敛互联网暴露面 H V V 场 景 下 如 何 收 敛 互 联 网 暴 露 面 L e m o n S e c   2 0 2 1 - 0 4 - 0 8 你 的 企 业 有 哪 些 私 有 应 用 在 互 联 网 上 ？ 如 何 防 御 ？         越 来 越 复 杂 的 网 络 环 境 ， 越 来 越 激 烈 的 对 抗 ， 如 何 去 快 速 收 敛 资 产 在 互 联 网 上 暴 露 面 就 变 得 越 来 越 重 要 。 而 那 些 内 部 应 用 、 私 有 应 用 因 为 各 种 原 因 在 互 联 网 上 ， 既 要 能 够 提 供 应 用 服 务 ， 更 希 望 只 给 企 业 组 织 架 构 之 内 人 使 用 ， 这 是 新 时 代 下 给 我 们 的 新 的 命 题 和 挑 战 。         H V V 场 景 （ 下 称 重 保 活 动 ） 有 点 类 似 一 次 小 型 的 高 级 持 续 攻 击 （ A P T ） 演 练 ， 作 为 防 守 方 的 大 型 甲 方 政 企 将 会 遭 受 国 内 顶 尖 安 全 “ 红 队 ” 的 模 拟 真 实 攻 击 。 网 络 安 全 是 一 个 有 对 手 的 战 场 ， 面 对 这 种 有 组 织 的 攻 击 ， 我 们 应 该 来 如 何 面 对 ？   一 、 一 、 H V V 场 景 下 常 见 的 攻 击 手 段 场 景 下 常 见 的 攻 击 手 段 1 . 1     发 现 互 联 网 的 暴 露 面 发 现 互 联 网 的 暴 露 面         兵 马 未 动 ， 斥 候 先 行 。 一 般 “ 红 队 ” 在 真 正 攻 击 之 前 会 摸 清 该 政 企 在 整 个 互 联 网 中 的 资 产 暴 露 面 ， 很 多 时 候 发 现 的 哪 些 s h a d o w   I T 连 甲 方 自 己 都 不 清 楚 ， 更 何 谈 去 防 护 ， 造 成 快 速 失 分 。 所 以 发 现 互 联 网 中 的 资 产 暴 露 面 变 得 尤 为 重 要 。 首 先 基 本 获 得 基 本 的 信 息 ： 域 名 & I P & 邮 件 地 址 等 ， 其 次 获 得 该 政 企 在 互 联 网 的 暴 露 面 ， 典 型 如 下 V P N 远 程 访 问 通 道 互 联 网 上 的 公 共 服 务 互 联 网 上 的 私 有 服 务 （ 对 企 业 内 部 人 员 & 外 包 等 开 放 ） 邮 件 服 务 （ 分 两 类 针 对 人 的 钓 鱼 攻 击 ， 针 对 服 务 的 攻 击 ）   1 . 2     威 胁 情 报 收 集 威 胁 情 报 收 集         获 得 了 该 政 企 的 域 名 & I P & 邮 件 地 址 等 信 息 后 ， “ 红 队 ” 同 时 会 在 暗 网 、 G i t h u b   、   G i t l a b 、 百 度 云 盘 等 收 集 相 关 政 企 泄 露 的 威 胁 情 报 ， 例 如 人 名 、 账 号 名 、 各 种 邮 箱 地 址 、 某 后 台 的 账 号 密 码 、 某 V P N 的 账 号 密 码 、 某 平 台 的 A c c e s s K e y ， 以 及 泄 露 出 来 的 开 发 技 术 文 档 等 ， 这 些 威 胁 情 报 结 合 上 面 互 联 网 的 暴 露 面 对 具 体 的 实 施 攻 击 起 到 非 常 重 要 的 指 导 作 用 。   1 . 3     常 见 具 体 攻 击 手 段 常 见 具 体 攻 击 手 段           根 据 攻 击 实 战 和 A T T & C K 框 架 总 结 起 来 在 初 始 阶 段 和 凭 证 访 问 阶 段 大 致 有 以 下 几 种 最 常 用 的 攻 击 手 段 类 型 ：   初 始 访 问 ： 使 用 外 部 泄 露 的 有 效 账 号 直 接 进 入 初 始 访 问 ： 使 用 外 部 泄 露 的 有 效 账 号 直 接 进 入           结 合 威 胁 情 报 和 资 产 的 摸 排 ， 攻 击 者 顺 藤 摸 瓜 利 用 泄 露 的 有 效 账 号 进 入 （ 核 心 ） 系 统 直 接 失 分 。   我 们 的 思 考 ： 是 否 能 够 让 泄 露 的 账 号 密 码 变 成 不 是 唯 一 的 登 录 凭 证 ？   初 始 访 问 ： 钓 鱼 凭 证 初 始 访 问 ： 钓 鱼 凭 证           钓 鱼 攻 击 是 重 保 活 动 中 或 者 说 是 真 正 的 A P T 攻 击 中 也 是 经 常 用 到 的 一 种 手 段 ， 攻 击 者 假 冒 公 司 、 组 织 甚 至 政 府 机 构 等 权 威 机 构 的 名 义 ， 发 送 虚 假 内 容 、 恶 意 文 件 或 恶 意 链 接 ， 诱 使 受 害 者 点 击 或 者 登 陆 账 号 密 码 等 。 一 旦 受 害 者 点 击 链 接 或 输 入 账 号 密 码 ， 有 效 账 号 被 窃 取 ， 直 接 造 成 失 分 。   我 们 的 思 考 ： 是 否 能 够 让 泄 露 的 账 号 密 码 变 成 不 是 唯 一 的 登 录 凭 证 ？   初 始 访 问 ： 利 用 外 部 远 程 服 务 漏 洞 攻 击 初 始 访 问 ： 利 用 外 部 远 程 服 务 漏 洞 攻 击
        利 用 黑 客 可 接 触 到 的 外 部 远 程 服 务 的 漏 洞 发 起 攻 击 ， 例 如 境 外 A P T 组 织 D a r k h o t e l ( A P T - C - 0 6 ) ， 利 用 某 V P N 服 务 商 设 备 漏 洞 ， 实 现 入 侵 劫 持 并 下 发 恶 意 文 件 的 A P T 攻 击 活 动 ， 我 国 多 处 驻 外 机 构 及 相 关 政 府 单 位 遭 遇 不 同 程 度 的 攻 击 。 网 络 犯 罪 分 子 通 过 扫 描 发 现 未 打 补 丁 的 大 量 V P N 设 备 ， 获 得 远 程 访 问 的 权 限 后 ， 查 看 管 理 日 志 ， 获 得 管 理 员 密 码 ， 进 而 访 问 整 个 网 络 ， 禁 用 多 因 素 认 证 手 段 ， 从 而 使 得 整 个 I T 系 统 瘫 痪 。 严 重 失 分 。 我 们 的 思 考 ： 是 否 能 够 避 免 匿 名 攻 击 ， 并 且 还 能 够 给 企 业 员 工 提 供 应 用 服 务 ？   初 始 访 问 ： 暴 力 破 解 初 始 访 问 ： 暴 力 破 解 & 漏 洞 探 测 漏 洞 探 测           黑 客 在 互 联 网 上 会 收 集 企 业 资 产 ， 对 资 产 会 进 行 账 号 密 码 的 暴 力 破 解 ， 以 及 探 测 其 弱 点 和 漏 洞 （ s q l 注 入 ， X S S ， C S R F ， 缓 冲 区 溢 出 ， 上 传 漏 洞 等 ） ， 一 旦 获 得 攻 击 成 功 ， 造 成 失 分 。 我 们 的 思 考 ： 是 否 避 免 暴 力 破 解 和 漏 洞 探 测 ， 并 且 还 能 给 企 业 员 工 够 提 供 应 用 服 务 ？   初 始 访 问 ： 未 授 权 访 问 初 始 访 问 ： 未 授 权 访 问         顾 名 思 义 ， 没 有 得 到 授 权 ， 却 能 得 到 访 问 权 限 。 这 种 漏 洞 经 常 出 现 在 后 端 服 务 上 ， 很 多 程 序 员 开 发 的 时 候 只 认 为 界 面 没 有 显 示 就 没 有 权 限 ， 往 往 很 多 时 候 后 端 的 接 口 都 没 有 做 权 限 验 证 。 随 着 开 发 的 应 用 越 来 越 多 ， 开 发 人 员 水 平 也 是 参 差 不 齐 ， 很 难 避 免 。 一 旦 获 得 攻 击 成 功 ， 造 成 失 分 。 我 们 的 思 考 ： 是 否 能 够 让 那 些 未 权 限 的 服 务 只 给 想 服 务 的 人 服 务 ？   凭 证 访 问 ： 盗 取 凭 证 攻 击 凭 证 访 问 ： 盗 取 凭 证 攻 击         一 旦 登 录 后 ， 系 统 会 产 生 一 个 登 录 凭 证 用 于 后 期 用 户 和 系 统 交 互 识 别 身 份 。 凭 证 盗 用 有 多 种 方 式 结 合 和 X S S 攻 击 相 配 合 ， 攻 击 者 在 你 的 浏 览 器 上 执 行 特 定 的 J a v a   S c r i p t 脚 本 ， 取 得 你 的 访 问 凭 证 。 有 些 大 B O S S 能 够 在 大 网 里 面 捞 登 录 凭 证 。 被 中 了 木 马 ， 有 可 能 登 录 凭 证 被 盗 。           一 旦 拿 到 登 录 凭 证 ， 攻 击 者 就 可 以 像 用 户 一 样 ， 以 用 户 的 权 限 跟 系 统 交 互 。 进 一 步 进 行 扩 大 战 果 ， 容 易 失 大 分 。 我 们 的 思 考 ： 能 够 让 系 统 感 知 到 那 些 盗 用 的 凭 证 是 被 盗 用 的 ， 以 及 能 够 及 时 让 其 失 效 ？ 二 、 私 有 应 用 与 远 程 访 问 二 、 私 有 应 用 与 远 程 访 问         从 上 面 我 们 可 以 看 到 ， 政 企 里 面 往 往 有 如 下 服 务 V P N 远 程 访 问 通 道 （ 私 有 服 务 ） 互 联 网 上 的 公 共 服 务 （ 公 共 服 务 ） 互 联 网 上 的 私 有 服 务 （ 私 有 服 务 ） 邮 件 服 务 （ 接 收 来 自 互 联 网 邮 件 ， 公 共 服 务 ； 企 业 用 户 查 收 邮 件 ， 私 有 服 务 ）           那 些 公 共 服 务 （ 如 淘 宝 ， 京 东 等 需 要 匿 名 浏 览 ， 用 户 觉 得 不 错 才 开 始 注 册 账 号 ） 暂 时 不 在 我 们 的 讨 论 范 围 内 。 我 们 关 心 的 重 点 是 那 些 在 互 联 网 上 的 私 有 服 务 （ 预 先 定 义 好 组 织 架 构 ， 例 如 员 工 ， 外 包 等 ） ， 如 何 让 他 们 安 全 的 提 供 服 务 。 既 能 享 受 到 互 联 网 的 便 利 ， 又 能 像 “ 内 网 ” 一 样 宁 静 和 安 心 。  
攻 击 手 段 与 反 思 点   私 有 应 用 还 可 以 分 为 远 程 访 问 类 （ V P N ） 和 W E B 类 ， 在 这 里 先 讨 论 下 远 程 访 问 （ V P N ） 场 景 下 面 对 攻 击 的 常 见 手 段 ， 如 何 做 到 互 联 网 暴 露 面 收 敛 以 及 账 号 安 全 的 加 强 。   三 、 下 一 代 零 信 任 远 程 访 问 三 、 下 一 代 零 信 任 远 程 访 问         Z R A 是 Z e r o   t r u s t   R e m o t e   A c c e s s 的 缩 写 ， 作 为 V P N 的 升 级 版 本 ， 希 望 下 一 代 零 信 任 远 程 访 问 Z R A 不 仅 提 供 远 程 访 问 通 道 ， 更 重 要 的 是 提 供 全 面 的 安 全 保 障 。         为 了 应 对 远 程 访 问 场 景 下 的 互 联 网 暴 露 面 和 账 号 安 全 的 问 题 ， 我 们 希 望 能 够 Z R A 基 于 零 信 任 网 络 理 念 ， 基 于 可 信 设 备 和 风 险 感 知 能 力 体 系 ， 让 自 身 服 务 在 互 联 网 上 隐 身 ， 让 不 可 信 设 备 寸 步 难 行 ， 同 时 对 设 备 身 份 和 用 户 身 份 进 行 鉴 别 ， 以 用 户 身 份 为 访 问 凭 证 进 行 接 入 授 权 访 问 。 用 户 在 访 问 企 业 内 网 应 用 时 ， 系 统 会 对 访 问 者 、 访 问 设 备 和 访 问 环 境 进 行 动 态 评 估 判 定 ， 最 小 访 问 权 限 ， 确 保 企 业 的 远 程 访 问 安 全 。
Z R A ( Z e r o   t r u s t   R e m o t e   A c c e s s ) 3 . 1     具 备 自 身 服 务 隐 身 功 能 具 备 自 身 服 务 隐 身 功 能   Z R A 是 外 网 访 问 内 网 的 关 键 通 道 ， 要 让 Z R A 服 务 在 互 联 网 上 能 够 隐 身 ， 不 能 够 被 探 测 和 扫 描 到 。 避 免 出 现 远 程 访 问 服 务 直 接 裸 露 在 互 联 网 上 ， 被 人 打 穿 打 透 ， 成 为 攻 击 者 的 后 门 通 道 。 技 术 上 可 以 通 过 S D P 的 单 包 敲 门 （ S P A ） 协 议 或 者 反 向 连 接 的 P 2 P 模 式 。         并 且 Z R A 要 具 备 灵 活 的 访 问 控 制 模 型 ， 让 受 保 护 的 内 网 资 源 也 做 一 定 的 所 谓 隐 身 。 3 . 2     建 立 基 于 可 信 设 备 的 防 御 体 系 建 立 基 于 可 信 设 备 的 防 御 体 系           攻 击 者 不 仅 需 要 账 号 密 码 ， 同 时 也 需 要 设 备 来 攻 击 。 所 以 可 信 设 备 以 及 设 备 环 境 的 感 知 就 变 得 非 常 重 要 。         设 备 变 成 可 信 设 备 需 要 信 任 的 传 递 ， 不 单 需 要 账 号 密 码 ， 还 需 要 有 多 因 子 认 证 M F A 或 者 扫 码 。 等 到 我 们 员 工 基 本 都 变 成 可 信 设 备 了 ， 那 么 在 重 保 期 间 就 可 以 开 启 重 保 模 式 （ 白 名 单 模 式 ） ， 任 何 不 可 信 设 备 将 再 也 敲 不 开 大 门 。   可 信 设 备 防 御 体 系 和 自 身 服 务 隐 身 帮 助 企 业 有 效 抵 御 利 用 外 部 远 程 服 务 漏 洞 攻 击 和 暴 力 破 解 & 漏 洞 探 测 以 及 未 授 权 访 问 等 。 3 . 3     对 接 企 业 统 一 身 份 能 力 对 接 企 业 统 一 身 份 能 力           Z R A 主 张 尽 量 不 要 自 建 账 号 体 系 ， 应 该 提 供 更 多 的 支 持 企 业 统 一 身 份 的 对 接 ， 例 如 L D A P ， 企 业 微 信 ， 钉 钉   ,   S M A L 等 ， 这 样 用 户 在 转 岗 离 职 的 时 候 用 户 的 权 限 就 会 自 动 调 整 或 者 回 收 。 避 免 出 现 员 工 离 职 了 还 拥 有 远 程 访 问 权 限 导 致 重 要 内 部 系 统 数 据 泄 露 的 风 险 。   3 . 4     建 立 强 大 的 威 胁 感 知 能 力 建 立 强 大 的 威 胁 感 知 能 力           应 该 要 假 设 系 统 一 定 会 被 攻 击 ， 并 且 很 有 可 能 成 功 。 所 以 一 定 要 对 攻 击 事 件 本 身 有 感 知 能 力 ， 并 且 通 过 用 户 身 份 信 息 、 终 端 环 境 信 息 、 访 问 应 用 的 日 志 信 息 、 请 求 信 息 等 多 维 度 信 息 汇 聚 ， 并 结 合 各 风 险 结 果 进 行 综 合 风 险 评 估 分 析 决 策 ， 进 行 及 时 的 预 警 和 拦 截 。 包 括 但 不 限 于 ： 在 新 设 备 上 登 录 ， 必 须 二 次 认 证 才 能 登 录 I   P 地 址 突 变 （ 前 3 0 分 钟 在 国 内 登 录 ， 现 在 在 国 内 登 录 ） ， 必 须 进 行 额 外 二 次 认 证 暴 力 破 解 攻 击 ： 当 攻 击 者 进 行 账 号 密 码 暴 露 破 解 的 时 候 ， 系 统 进 行 告 警 ， 可 设 置 弹 验 证 码 。 泄 露 账 密 攻 击 ： 当 攻 击 者 使 用 泄 露 的 账 号 密 码 登 录 系 统 时 候 ， 系 统 发 现 用 户 环 境 为 新 环 境 ， 要 求 进 行 O T P 或 者 短 信 O T P 认 证 的 时 候 ， 攻 击 者 未 能 通 过 额 外 的 认 证 的 时 候 ， 系 统 需 要 记 录 该 事 件 。 凭 证 盗 用 攻 击 ： 根 据 设 备 环 境 信 息 检 测 登 录 凭 证 盗 用 攻 击 ， 系 统 记 录 该 事 件 ， 可 配 置 动 作 让 该 凭 证 失 效 。 威 胁 感 知 和 对 抗 能 力 能 够 有 效 帮 助 企 业 有 效 抵 御 试 用 外 部 泄 露 有 效 凭 证 攻 击 、 钓 鱼 攻 击 、 以 及 盗 取 凭 证 攻 击 等 。   四 、 让 传 统 的 远 程 访 问 具 备 攻 防 对 抗 能 力 四 、 让 传 统 的 远 程 访 问 具 备 攻 防 对 抗 能 力           以 上 所 思 考 的 方 向 就 是 希 望 传 统 的 远 程 访 问 具 备 攻 防 的 对 抗 能 力 。 我 们 虎 符 网 络 也 推 出 了 虎 盾 Z R A ， 就 是 希 望 在 无 边 界 化 的 大 趋 势 下 ， 帮 助 企 业 武 装 和 保 护 好 企 业 外 部 到 内 部 的 第 一 条 最 重 要 的 防 线 。 重 保 活 动 在 即 ， 假 如 您 是 甲 方 并 且 有 兴 趣 ， 可 以 一 起 来 探 讨 并 且 试 用 我 们 的 产 品 。 转 自 ： h t t p s : / / w e i b o . c o m / t t a r t i c l e / x / m / s h o w / i d / 2 3 0 9 4 0 4 6 2 2 9 6 2 6 1 8 6 6 3 2 3 1 ? _ w b _ c l i e n t _ = 1
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理