搜索

[5281] 2018-07-18_盯紧攻击者“网络杀伤链”，简单防御六步走

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-07-18_盯紧攻击者“网络杀伤链”，简单防御六步走 盯 紧 攻 击 者 “ 网 络 杀 伤 链 ” ， 简 单 防 御 六 步 走 原 创   E 安 全   E 安 全   2 0 1 8 - 0 7 - 1 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 7 月 1 8 日 文   美 国 军 方 率 先 将 “ 杀 伤 链 （ c y b e r   k i l l   c h a i n ） ” 概 念 正 式 化 ， 这 个 概 念 被 宽 泛 地 定 义 为 消 灭 目 标 链 条 中 的 六 个 阶 段 ： 发 现 （ F i n d ） 、 定 位 （ F i x ） 、 跟 踪 （ T r a c k ） 、 瞄 准 （ T a r g e t ） 、 打 击 （ E n g a g e ） 和 评 估 （ F 2 T 2 E A ） 。 网 络 杀 伤 链 概 念 网 络 杀 伤 链 概 念 2 0 1 1 年 ， 美 国 国 防 承 包 商 洛 克 希 德 · 马 丁 公 司 （ L o c k h e e d   M a r t i n ） 提 出 了 应 用 到 网 络 安 全 威 胁 的 杀 伤 链 模 型 ， 即 所 谓 的 “ 网 络 杀 伤 链 ” ， 指 成 功 发 起 网 络 攻 击 的 七 个 阶 段 ： 一 、 侦 察 ： 收 集 信 息 ， 侦 察 目 标 。 在 该 阶 段 ， 可 通 过 收 集 电 子 邮 箱 或 社 会 工 程 技 术 来 实 现 ， 例 如 在 社 交 网 络 上 查 找 目 标 ， 在 开 放 网 络 上 查 找 目 标 相 关 的 任 何 其 他 可 用 信 息 ； 或 扫 描 开 放 的 服 务 器 或 面 向 互 联 网 的 服 务 器 查 找 可 能 使 用 默 认 凭 证 的 情 况 （ 公 开 可 用 的 信 息 ， 例 如 通 过 S h o d a n 搜 索 ） 。 二 、 武 器 化 ： 按 照 洛 克 希 德 · 马 丁 公 司 的 描 述 ， 这 个 阶 段 可 将 后 门 与 可 传 送 P a y l o a d 结 合 利 用 。 换 句 话 讲 就 是 构 建 攻 击 系 统 入 侵 网 络 ， 利 用 合 适 的 恶 意 软 件 （ 例 如 远 程 访 问 木 马 ） ， 以 及 诱 骗 目 标 执 行 恶 意 软 件 的 技 术 。 三 、 散 布 ： 洛 克 希 德 · 马 丁 公 司 指 出 ， 该 阶 段 可 通 过 电 子 邮 件 、 网 络 、 U S B   等 散 布 网 络 武 器 ， 这 就 相 当 于 将   P a y l o a d   从   A   传 到   B   再 到   C 。 四 、 利 用 ： 利 用 目 标 系 统 上 的 漏 洞 执 行 恶 意 代 码 。
五 、 安 装 ： 安 装 上 述 代 码 。 六 、 命 令 与 控 制 ： 用 于 远 程 操 纵 受 害 者 的 通 信 渠 道 。 由 于 目 标 已 被 遭 受 攻 击 ， 被 感 染 的 系 统 通 常 会 通 过 僵 尸 程 序 、 或 其 它 被 感 染 的 系 统 向 攻 击 者 P i n g 命 令 , 以 进 一 步 掩 盖 攻 击 者 的 路 径 。 七 、 针 对 目 标 的 行 动 ： 攻 击 者 实 现 设 定 的 目 标 ， 例 如 实 施 间 谍 活 动 、 入 侵 网 络 上 更 底 层 的 系 统 、 窃 取 凭 证 、 安 装 勒 索 软 件 或 造 成 破 坏 。 与 军 事 杀 伤 链 一 样 ， 网 络 杀 伤 链 条 中 的 所 有 环 节 环 环 相 扣 ， 一 环 脱 节 ， 全 盘 皆 散 ， 因 此 要 保 证 每 个 阶 段 成 功 才 能 确 保 整 个 攻 击 成 功 实 现 。 目 前 ， 大 多 数 攻 击 可 能 都 在 遵 循 这 些 步 骤 ，   但 更 为 复 杂 的 攻 击 可 能 正 在 发 展 当 中 ， 抑 或 自 动 化 和 人 工 智 能 将 更 多 地 用 于 攻 击 。 针 对 网 络 杀 伤 链 的 防 御 对 策 针 对 网 络 杀 伤 链 的 防 御 对 策 洛 克 希 德 · 马 丁 马 丁 公 司 在 2 0 1 5 年 发 布 的 白 皮 书 中 提 出 预 防 措 施 ， 以 降 低 上 述 每 个 阶 段 的 损 害 力 。 一 、 侦 察 一 、 侦 察 侦 察 很 难 防 御 ， 因 为 它 通 常 可 以 利 用 开 放 网 络 上 的 可 用 信 息 构 造 出 关 于 目 标 的 详 细 资 料 。 当 数 据 泄 露 发 生 时 ， 这 些 详 细 信 息 通 常 会 被 挂 在 暗 网 出 售 ， 或 免 费 暴 露 在 开 网 络 上 （ 例 如 P a s t e b i n ） 。 针 对 该 阶 段 可 采 取 的 对 策 包 括 ：
收 集 访 客 日 志 ， 以 便 日 后 在 攻 击 发 生 时 搜 索 这 些 日 志 ； 着 眼 于 浏 览 器 分 析 ， 并 探 测 到 攻 击 者 侦 察 常 见 的 浏 览 行 为 。 若 怀 疑 发 生 侦 察 企 图 ， 该 对 策 可 围 绕 这 些 人 和 技 术 提 供 优 势 来 分 配 防 御 资 源 。 二 、 武 器 化 二 、 武 器 化 武 器 化 在 很 大 程 度 上 发 生 在 攻 击 者 身 上 ， 因 此 攻 击 之 前 不 太 可 能 对   P a y l o a d   本 身 有 所 了 解 。 企 业 可 在 整 个 组 织 机 构 内 部 实 施 严 格 的 修 复 规 则 ， 并 鼓 励 员 工 培 训 。 攻 击 者 最 乐 于 见 到 的 两 种 情 况 是 ： 差 劲 的 修 复 / 更 新 合 规 以 及 简 单 的 人 为 错 误 。 一 旦 注 意 到 攻 击 方 式 ， 那 便 掌 握 了 资 源 ， 从 而 可 在 安 全 的 虚 拟 机 中 对 恶 意 软 件 进 行 取 证 分 析 。 若 了 解 恶 意 软 件 构 建 的 原 因 及 方 式 ， 便 对 漏 洞 有 所 了 解 。 因 此 ， 不 要 放 过 对 任 何 一 个 细 节 的 检 查 ！ 三 、 散 布 三 、 散 布 任 何 对 安 全 最 佳 实 践 有 基 本 了 解 的 组 织 机 构 应 该 部 署 了 适 当 的 边 界 保 护 解 决 方 案 （ 防 火 墙 、 对 网 络 主 动 扫 描 ） 。 部 署 强 大 的 防 火 墙 固 然 重 要 ， 但 若 配 置 不 当 可 能 无 法 达 到 效 果 。 企 业 应 对 员 工 开 展 适 量 的 意 识 培 训 和 电 子 邮 件 测 试 ， 例 如 可 针 对 员 工 发 起 虚 拟 的 电 子 邮 件 攻 击 ， 以 尝 试 了 解 组 织 机 构 的 网 络 安 全 情 况 。 在 技 术 方 面 ， 企 业 有 必 要 定 期 执 行 漏 洞 扫 描 并 让 “ 红 队 ” 定 期 进 行 渗 透 测 试 。 洛 克 希 德 · 马 丁 公 司 建 议 使 用 端 点 强 化 措 施 （ 例 如 限 制 管 理 员 权 限 ） ， 使 用   M i c r o s o f t   增 强 型 缓 解 体 验 工 具 包 （ E M E T ） ， 引 入 自 定 义 端 点 规 则 阻 止 执 行 s h e l l c o d e ， 检 查 所 有 内 容 （ 尤 其 端 点 ） 以 试 图 找 出 漏 洞 利 用 的 根 源 。 四 、 安 装 四 、 安 装 如 果 检 测 到 恶 意 软 件 在 网 络 上 执 行 ， 可 尽 最 大 努 力 隔 离 攻 击 ， 这 意 味 着 可 能 要 减 少 当 天 的 操 作 。 检 查 端 点 进 程 以 查 找 异 常 的 新 文 件 ， 并 使 用   H o s t   I n t r u s i o n   P r e v e n t i o n   S y s t e m   来 警 告 或 阻 止 常 见 的 安 装 路 径 。 另 外 ， 还 需 试 图 尽 力 了 解 恶 意 软 件 ， 确 定 是 否 属 于   0 D a y   漏 洞 、 是 新 漏 洞 还 是 旧 漏 洞 、 其 执 行 需 要 哪 些 权 限 、 所 处 位 置 以 及 运 作 方 式 。 五 、 命 令 与 控 制 五 、 命 令 与 控 制 洛 克 希 德 · 马 丁 公 司 将 命 令 与 控 制 描 述 为 “ 防 御 者 阻 止 攻 击 的 最 后 机 会 . . . . . . 如 果 对 手 无 法 发 出 命 令 ， 防 御 者 便 可 控 制 影 响 ” 。 但 是 ， 对 于 某 些 恶 意 软 件 而 言 ， 尤 其 对 那 些 旨 在 自 动 破 坏 或 引 起 混 乱 的 恶 意 软 件 而 言 ， 情 况 并 非 如 此 。 该 公 司 指 出 ， 可 通 过 恶 意 软 件 分 析 发 现 基 础 设 施 ， 整 合 互 联 网 存 在 点 的 数 量 来 强 化 网 络 ， 并 要 求 将 代 理 用 于 所 有 类 型 的 流 量 ， 包 括   H T T P   和 D N S 。 此 外 ， 防 御 者 还 可 引 入 代 理 类 别 块 、 D N S   s i n k h o l i n g   和 简 单 的 研 究 。 六 、 针 对 目 标 的 行 动 六 、 针 对 目 标 的 行 动 许 多 攻 击 的 潜 伏 时 间 为 几 天 、 几 周 、 几 个 月 甚 至 几 年 。 因 此 ， 检 测 到 入 侵 就 意 味 着 成 功 了 一 半 。 但 是 ， 应 尽 快 采 取 后 续 的 缓 解 措 施 ， 包 括 确 定 被 泄 的 数 据 、 恶 意 软 件 的 传 播 范 围 （ 尤 其 是 横 向 移 动 ） 、 寻 找 未 经 授 权 的 凭 据 。 应 急 事 件 响 应 手 册 相 关 内 容 将 涉 及 到 向 公 司 高 管 、 当 地 数 据 当 局 和 警 方 交 谈 ， 可 能 还 需 向 大 众 披 露 攻 击 事 件 。 从 公 共 关 系 的 角 度 来 看 ， 一 开 始 就 向 公 众 披 露 的 做 法 比 缄 口 不 提 更 恰 当 。 此 外 ， 还 可 以 根 据 攻 击 的 严 重 程 度 寻 求 专 家 的 帮 助 。
遭 遇 攻 击 的 企 业 应 从 攻 击 中 吸 取 教 训 ， 并 改 进 安 全 流 程 ， 以 缓 解 未 来 可 能 会 发 生 的 类 似 攻 击 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 6 4 4 0 4 9 0 8 . s h t m l 推 荐 阅 读 ： 有 了 网 军 就 可 以 打 网 络 战 ？ 没 那 么 简 单 价 值 6 5 0 万 美 元 ！ 美 陆 军 网 络 司 令 部 推 U A M 监 控 计 划 人 才 选 拔   V S   大 学 生 网 络 防 御 挑 战 赛 如 何 保 护 关 键 基 础 设 施 ？ 美 政 府 靠 “ 深 度 分 层 防 御 体 系 ” 日 本 强 化 太 空 和 网 络 防 御   新 《 防 卫 计 划 大 纲 》 针 对 中 国 美 网 络 司 令 部 的 网 络 防 御 作 战 部 门   J F H Q - D o D I N   具 备 全 面 作 战 能 力 老 板 ！ 全 球 B E C 诈 骗 损 失 逾 1 2 0 亿 美 元 ， 你 中 招 了 吗 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理