搜索

[12578] 2018-04-12_从一次攻防平台搭建浅谈企业网络安全建设

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-04-12_从一次攻防平台搭建浅谈企业网络安全建设 从 一 次 攻 防 平 台 搭 建 浅 谈 企 业 网 络 安 全 建 设 康 康 你 秋 裤 穿 反 啦   F r e e B u f   2 0 1 8 - 0 4 - 1 2 本 篇 文 章 涉 及 到 的 知 识 点 包 括 ： 本 篇 文 章 涉 及 到 的 知 识 点 包 括 ： I D S / I P S / 防 火 墙 的 区 别 与 部 署 位 置 ； 镜 像 端 口 、 堡 垒 机 的 位 置 和 注 意 细 节 ； 防 火 墙 的 区 别 与 部 署 位 置 ； 镜 像 端 口 、 堡 垒 机 的 位 置 和 注 意 细 节 ； A C L 访 问 控 制 列 表 和 端 口 安 全 、 访 问 控 制 列 表 和 端 口 安 全 、 V L A N 安 全 ， 以 及 靶 场 以 及 日 志 采 集 的 实 施 细 节 。 安 全 ， 以 及 靶 场 以 及 日 志 采 集 的 实 施 细 节 。 背 景 介 绍 背 景 介 绍 自 己 所 在 高 校 的 实 验 室 要 有 一 个 类 似 用 机 器 学 习 方 法 来 检 测 网 络 用 户 异 常 的 相 关 项 目 ， 需 要 搭 建 一 个 攻 防 平 台 来 采 集 日 志 数 据 ， 大 名 鼎 鼎 的 数 据 集 U N S W - N B 1 5 就 是 用 类 似 方 法 取 得 的 。 本 篇 文 章 要 把 攻 防 平 台 搭 建 全 过 程 以 及 日 志 搜 集 方 法 分 享 给 大 家 。 值 得 注 意 的 是 ， 攻 防 平 台 的 搭 建 其 实 是 企 业 里 网 络 安 全 建 设 的 缩 影 ， 许 多 企 业 可 能 还 在 网 络 安 全 建 设 方 面 无 从 下 手 ， 不 用 慌 张 ， 本 片 文 章 将 会 对 基 本 的 防 御 设 备 的 诉 求 、 功 能 、 和 部 署 用 法 开 始 讲 起 ， 如 果 广 大 企 业 用 户 和 安 全 运 维 从 业 人 员 能 从 本 篇 文 章 有 所 收 获 ， 那 我 非 常 开 心 啦 ， 嘿 嘿 ( ● ˇ ∀ ˇ ● ) 话 不 多 说 ， 直 接 上 拓 扑 话 不 多 说 ， 直 接 上 拓 扑 哈 哈 ， 这 里 将 攻 击 区 当 作 互 联 网 ， 防 火 墙 右 侧 模 拟 网 络 内 部 网 络 ， 可 能 会 和 实 际 部 署 有 偏 差 ， 不 要 着 急 ， 下 面 会 对 每 个 过 程 以 及 设 备 具 体 讲 解 。 1 .   I D S 入 侵 检 测 系 统 入 侵 检 测 系 统 用 途 ： 用 途 ： 用 来 检 查 网 络 中 有 无 攻 击 存 在 ， 基 于 流 量 型 的 ， 由 于 实 验 室 与 绿 盟 有 合 作 ， 本 次 采 用 绿 盟 的 N I D S 设 备 ， 检 测 范 围 最 大 可 以 从 数 据 链 路 层 到 应 用 层 ， 如 果 发 生 攻 击 ， 会 通 知 管 理 员 ， 并 记 录 日 志 ， 然 后 就 没 有 然 后 了 ， 对 头 ， 就 是 告 诉 你 一 声 “ 你 网 络 被 攻 击 了 哈 ”
2 .   I P S 入 侵 防 御 系 统 入 侵 防 御 系 统 用 途 ： 用 途 ： 应 用 级 别 的 防 火 墙 ， 规 则 实 时 更 新 ， 可 以 检 测 网 络 里 面 的 发 生 的 攻 击 ， 从 网 络 层 到 应 用 层 发 生 的 攻 击 都 可 以 识 别 ， 并 实 施 阻 断 丢 弃 攻 击 报 文 。 还 可 以 进 行 一 些 应 用 管 理 、 比 如 限 制 企 业 用 户 没 事 干 打 英 雄 联 盟 之 类 的 功 能 也 可 以 实 现 ( l l l ￢ ω ￢ ) 。 部 署 ： 部 署 ： 注 意 区 分 场 景 ， 有 时 候 会 被 当 作 防 火 墙 来 部 署 ， 可 以 选 择 是 否 自 带 N A P N A P T ， 可 以 选 择 D M Z 区 域 等 资 产 管 理 。 0 . 0 . 0 . 0 代 表 I P 全 部 关 心 。 部 署 在 网 络 级 别 防 火 墙 之 后 ， 一 进 一 出 。 相 当 于 对 比 较 鸡 肋 的 网 络 级 防 火 墙 的 一 个 强 大 的 功 能 扩 充 ， 这 样 就 阻 断 了 互 联 网 和 内 网 之 间 的 攻 击 。 本 次 没 有 采 用 该 设 备 N I P S ， 但 是 还 是 给 大 家 了 解 一 下 3 .   N R S A S 远 程 网 络 评 估 系 统 远 程 网 络 评 估 系 统 用 途 ： 用 途 ： 啥 东 西 ， 名 字 这 么 长 ， 其 实 说 白 了 就 是 漏 洞 扫 描 设 备 ， 可 以 远 程 检 查 并 扫 描 网 络 里 的 服 务 器 、 电 脑 、 手 机 、 笔 记 本 、 甚 至 路 由 器 、 交 换 机 上 面 存 在 的 漏 洞 。 比 较 良 心 的 是 ， 它 还 给 出 了 修 复 方 案 和 设 备 安 全 配 置 规 范 指 南
  4 .   防 火 墙 防 火 墙 用 途 ： 用 途 ： 在 互 联 网 与 网 络 边 界 之 间 ， 实 时 监 测 不 同 网 络 间 的 攻 击 ， 并 经 行 阻 断 ， 比 较 特 别 的 是 ， 实 验 采 用 绿 盟 的 N F ， 可 以 检 测 到 应 用 层 的 攻 击 ， 并 阻 断 ， 听 起 来 和 I P S 很 像 对 不 对 ？ 后 面 我 介 绍 他 们 之 间 的 区 别 后 面 我 介 绍 他 们 之 间 的 区 别 。 部 署 ： 部 署 ： 网 络 与 网 络 边 界 部 署 ， 一 进 一 出 ， 0 . 0 . 0 . 0 代 表 全 关 心 。 值 得 注 意 的 是 ， 流 量 清 洗 设 备 在 防 火 墙 前 面 ， I P S 在 防 火 墙 后 面 ， 也 可 以 选 择 在 D M Z 部 署 （ 前 面 提 到 过 D M Z ， D M Z 可 以 理 解 为 一 个 不 同 于 外 网 或 内 网 的 特 殊 网 络 区 域 。 D M Z 内 通 常 放 置 一 些 不 含 机 密 信 息 的 公 用 服 务 器 ， 比 如 W e b 、   M a i l 、 F T P 等 。 这 样 来 自 外 网 的 访 问 者 可 以 访 问 D M Z 中   的 服 务 ， 但 不 可 能 接 触 到 存 放 在 内 网 中 的 公 司 机 密 或 私 人 信 息 等 。 即 使 D M Z 中 服 务 器 受 到 破 坏 ， 也 不 会 对 内 网 中 的 机 密 信 息 造 成 影 响 。 ） D M Z 部 署 哲 学 ： 　 　 部 署 哲 学 ： 　 　 1 . 内 网 可 以 访 问 外 网 ， 内 网 的 用 户 显 然 需 要 自 由 地 访 问 外 网 。 在 这 一 策 略 中 ， 防 火 墙 需 要 进 行 源 地 址 转 换 。 2 . 内 网 可 以 访 问 D M Z ， 此 策 略 是 为 了 方 便 内 网 用 户 使 用 和 管 理 D M Z 中 的 服 务 器 。 　 3 . 外 网 不 能 访 问 内 网 ， 很 显 然 ， 内 网 中 存 放 的 是 公 司 内 部 数 据 ， 这 些 数 据 不 允 许 外 网 的 用 户 进 行 访 问 。 4 . 外 网 可 以 访 问 D M Z ， D M Z 中 的 服 务 器 本 身 就 是 要 给 外 界 提 供 服 务 的 ， 所 以 外 网 必 须 可 以 访 问 D M Z 。 同 时 ， 外 网 访 问 D M Z 需 要 由 防 火 墙 完 成 对 外 地 址 到 服 务 器 实 际 地 址 的 转 换 。 5 . D M Z 不 能 访 问 内 网   很 明 显 ， 如 果 违 背 此 策 略 ， 则 当 入 侵 者 攻 陷 D M Z 时 ， 就 可 以 进 一 步 进 攻 到 内 网 的 重 要 数 据 。 有 经 验 的 一 下 就 想 起 来 S S R F 泄 露 内 部 信 息 ， 对 不 对 ？
5 .   堡 垒 机 堡 垒 机 用 途 用 途 ： 包 含 访 问 控 制 ， 通 常 是 运 维 人 员 用 t o k e n 以 及 动 态 密 码 来 访 问 ， 用 于 检 查 公 司 内 部 管 理 员 、 操 作 员 的 恶 意 操 作 或 者 误 操 作 ， 操 作 记 录 全 程 备 份 ， 进 行 严 格 的 权 限 分 配 ， 避 免 不 正 当 的 操 作 ， 通 常 日 志 会 被 发 送 到 异 地 服 务 器 ， 作 为 取 证 和 追 责 。 其 实 这 种 设 备 挺 有 用 的 ， 大 多 数 公 司 应 该 备 一 个 ， 对 于 公 司 敏 感 信 息 管 理 、 代 码 管 理 都 有 好 处 ， 防 止 什 防 止 什 么 么 “ 删 库 跑 路 删 库 跑 路 ” 之 类 的 事 情 发 生 。 之 类 的 事 情 发 生 。 能 力 强 的 可 以 把 它 改 造 成 g i t 代 码 托 管 平 台 两 用 ， 部 署 ： 部 署 ： 典 型 部 署 为 在 开 发 服 务 器 、 服 务 器 集 群 与 运 维 人 员 之 间 。 分 配 正 常 I P ， 运 维 人 员 只 能 通 过 堡 垒 机 来 操 作 网 络 设 备 。 值 得 注 意 的 事 情 和 区 别 ： 值 得 注 意 的 事 情 和 区 别 ： 1 . 其 实 堡 垒 机 可 以 不 用 买 的 ， 除 非 你 财 大 气 粗 非 要 买 ， 其 实 ， 只 要 一 般 电 脑 配 置 可 以 ， 可 以 装 一 个 开 源 的 堡 垒 机 系 统 j u m p s e r v e r ， 这 种 开 源 软 件 一 大 把 舒 服 的 很 ， 很 多 甲 方 了 解 的 信 息 不 对 称 ， 花 这 些 冤 枉 钱 。 2 . 我 不 是 要 说 防 火 墙 和 I D S 、 I P S 之 间 的 区 别 么 ？ 我 这 里 说 一 下 ， 其 实 现 在 很 多 乙 方 的 安 全 硬 件 设 备 本 质 都 ！ 是 ！ 一 ！ 样 ！ 的 ！ 。 一 个 遵 循 冯 诺 依 曼 的 设 备 ， 刷 一 个 自 家 的 u n i x   b a s e d   、 l i n u x   b a s e d 这 种 操 作 系 统 。 里 面 有 从 网 络 层 到 应 用 层 攻 击 的 检 测 、 攻 击 阻 断 功 能 ， 实 时 更 新 的 规 则 是 它 们 的 灵 魂 实 时 更 新 的 规 则 是 它 们 的 灵 魂 ， 只 不 过 是 I D S 故 意 阉 割 阻 断 功 能 、 I P S 和 防 火 墙 网 络 功 能 、 部 署 位 置 之 间 有 一 丝 差 异 ， 其 余 都 差 不 多 ， 但 为 什 么 还 要 分 这 么 多 产 品 呢 ？ 因 为 赚 钱 啊 — — 康 康 你 秋 裤 穿 反 啦 好 了 ， 希 望 硬 件 安 全 产 品 厂 商 不 要 对 号 入 座 ， 赶 紧 跑 。 好 了 ， 希 望 硬 件 安 全 产 品 厂 商 不 要 对 号 入 座 ， 赶 紧 跑 。 6 .   有 关 网 络 拓 扑 实 现 相 关 的 部 署 有 关 网 络 拓 扑 实 现 相 关 的 部 署 这 一 片 内 容 其 实 是 网 络 设 备 集 成 、 路 由 交 换 里 面 的 东 西 ， 一 般 是 网 络 工 程 师 做 组 网 设 计 时 用 的 。 巧 了 ， 鄙 人 就 是 网 络 工 程 的 同 学 。 网 络 V L A N 划 分 示 例 ： 这 里 说 重 点 ， 其 他 的 一 笔 带 过 。 拓 扑 设 计 要 求 是 1 9 2 . 1 6 8 . 6 . 0 是 用 户 区 域 有 g / 0 - g / 3 ， 分 别 是 靶 机 服 务 器 、 一 个 镜 像 接 口 和 另 一 台 安 全 设 备 ， 其 他 用 户 都 在 剩 下 的 接 口 中 ， 划 分 为 v l a n 6 1 9 2 . 1 6 8 . 7 . 0 是 黑 客 攻 击 区 域 ， 划 分 为 v l a n 7 ， 黑 客 可 以 访 问 用 户 和 服 务 器 ， 用 户 不 能 访 问 黑 客 ， 问 在 交 换 机 中 如 何 黑 客 可 以 访 问 用 户 和 服 务 器 ， 用 户 不 能 访 问 黑 客 ， 问 在 交 换 机 中 如 何 配 置 配 置 A C L 访 问 控 制 列 表 实 现 这 一 功 能 ？ 访 问 控 制 列 表 实 现 这 一 功 能 ？ 我 摸 索 了 两 天 ， 才 终 于 准 确 满 足 了 这 一 需 求 ：
好 了 ， 如 果 你 是 行 业 内 的 ， 看 一 看 ， 如 果 这 超 出 了 你 研 究 的 领 域 ， 可 以 跳 过 。 7 .   端 口 安 全 和 端 口 安 全 和 V L A N 安 全 安 全 这 是 默 认 的 锐 捷 的 端 口 保 护 ， 有 效 缓 解 A R P 欺 骗 和 网 络 过 载 ， A R P 欺 骗 还 可 以 在 D H C P 里 面 设 置 ， 有 兴 趣 的 朋 友 自 行 搜 索 。 有 关 V L A N 安 全 ： v l a n 内 部 间 的 安 全 措 施 有 很 多 种 ， 这 里 介 绍 一 种 临 时 防 止 蠕 虫 散 布 的 方 法 建 立 V A C L ， 使 同 一 个 v l a n 内 部 的 机 器 不 能 互 访 8 .   镜 像 端 口 镜 像 端 口 我 们 的 I D S 要 通 过 镜 像 端 口 才 能 部 署 ， ， 这 样 ， I D S 就 可 以 观 察 到 所 有 数 据 了 ， 所 有 流 量 数 据 都 会 被 交 换 机 给 所 有 流 量 数 据 都 会 被 交 换 机 给 I D S 另 另 外 发 一 份 外 发 一 份 1 、 镜 像 端 口 是 什 么 、 镜 像 端 口 是 什 么 镜 像 的 意 思 就 是 监 视 的 意 思 ， 把 一 个 端 口 的 通 讯 数 据 用 另 一 个 端 口 给 复 制 出 来 ， 常 常 用 于 需 要 对 那 个 端 口 的 通 讯 进 行 监 视 才 使 用 。 镜 像 端 口 既 可 以 实 现 一 个 V L A N 中 若 干 个 源 端 口 向 一 个 监 控 端 口 镜 像 数 据 ， 也 可 以 从 若 干 个 V L A N 向 一 个 监 控 端 口 镜 像 数 据 。 端 口 镜 像 ( p o r t   M i r r o r i n g ) 功 能 通 过 在 交 换 机 或 路 由 器 上 ， 将 一 个 或 多 个 源 端 口 的 数 据 流 量 转 发 到 某 一 个 指 定 端 口 来 实 现 对 网 络 的 监 听 ， 指 定 端 口 称 之 为 ” 镜 像 端 口 ” 或 ” 目 的 端 口 ” ， 在 不 严 重 影 响 源 端 口 正 常 吞 吐 流 量 的 情 况 下 ， 可 以 通 过 镜 像 端 口 对 网 络 的 流 量 进 行 监 控 分 析 。 在 企 业 中 用 镜 像 功 能 ， 可 以 很 好 地 对 企 业 内 部 的 网 络 数 据 进 行 监 控 管 理 ， 在 网 络 出 故 障 的 时 候 ， 可 以 快 速 地 定 位 故 障
2 .   部 署 ： 部 署 ： 9 .   谈 一 谈 白 帽 子 常 涉 及 的 层 面 相 关 部 署 谈 一 谈 白 帽 子 常 涉 及 的 层 面 相 关 部 署 服 务 器 一 台 服 务 器 一 台 ： u b u n t u 1 2 . 0 4   n g i n x 1 . 4 + p h p 5 . 3 . 4 + m y s q l 5 里 面 放 上 我 们 近 年 来 常 见 的 包 含 漏 洞 的 旧 版 本 C M S   ， 比 如 d e d e C M S 、 F i n e C M S 之 类 ， 系 统 版 本 低 一 点 我 们 可 以 玩 ， M e t a s p l o i t   数 据 库 用 r o o t 账 户 连 接 ， 平 时 可 以 玩 U D F 、 M O F 提 权 ， 剩 下 还 有 什 么 注 入 啊 、 文 件 包 含 啊 。 。 不 多 说 了 用 户 主 机 两 台 用 户 主 机 两 台 ： 分 别 是 u b u n t u 1 2 . 0 4 和 w i n d o w s 7 未 打 补 丁 版 两 台 设 备 均 开 放 S M B 协 议 ， 什 么 永 恒 之 蓝 啊 你 懂 的 。 。 不 多 说 了 。 测 试 ： 测 试 ： 我 们 可 以 测 试 分 别 把 I D S   打 开 ， 防 火 墙 打 开 或 关 掉 的 攻 击 效 果 ， 攻 击 手 段   不 限 于 w e b 安 全 以 及 系 统 组 建 提 权 ， 从 而 判 断 安 全 设 备 的 作 用 。 答 案 当 然 是 防 火 墙 对 于 内 网 之 间 的 攻 击 当 然 没 用 啊 ， 但 是 I D S 会 记 录 日 志 。 1 0 . 日 志 搜 集 日 志 搜 集 流 量 搜 集 ： 流 量 搜 集 ： 别 忘 了 我 们 搭 建 攻 防 平 台 的 初 衷 是 为 了 搜 集 日 志 的 在 服 务 器 靶 机 和 用 户 的 电 脑 上 安 装 f i d d l e r 和 w i r e s h a r k ， 事 后 将 日 志 丢 给 数 据 清 洗 、 打 标 那 帮 人 处 理 ， 其 实 数 据 的 清 洗 和 打 标 也 是 十 分 劳 神 的 ~ ~ ~ 用 户 行 为 搜 集 ： 用 户 行 为 搜 集 ： 这 里 要 祭 出 大 名 鼎 鼎 的 神 器 s y s m o n 啦 ！ S y s m o n 是 微 软 推 出 的 一 款 工 具 ， 它 以 系 统 服 务 和 设 备 驱 动 程 序 的 方 法 安 装 在 系 统 上 ， 并 保 持 常 驻 ， 可 用 来 监 视 和 记 录 系 统 活 动 ， 并 写 入 w i n d o w s 事 件 日 志 ， 监 控 的 对 象 包 括 进 程 的 创 建 、 网 络 连 接 和 文 件 创 建 和 更 改 。 域 域 特 征 特 征 备 注 备 注 U S B 设 备 操 作 设 备 类 型   设 备 插 、 拔 行 为   设 备 读 、 写 行 为 设 备 读 、 写 行 为 s y s m o n 文 件 访 问 文 件 类 型   新 建 、 拷 贝 、 删 除 、 打 开 、 关 闭 、 读 与 写 权 限 拷 贝 、 删 除 、 打 开 、 关 闭 、 读 与 写 权 限 等 操 作 S y s m o n C D / D V D 介 质 访 问 介 质 类 型 ， 介 质 读 、 写 操 作 介 质 类 型 ， 介 质 读 、 写 操 作 S y s m o n 网 络 流 量 协 议 类 型   源 I P   目 的 I P   源 端 口   目 的 端 口   路 径   持 续 时 间 w i r e s h a r k 邮 件 操 作 （ 留 下 ） 账 户 名 账 户 名   登 入 、 登 出 登 入 、 登 出   新 建 、 删 除 、 读 操 作 新 建 、 删 除 、 读 操 作   收 件 人 地 址 收 件 人 地 址 （ 太 敏 感 ） 邮 件 服 务 器 计 算 机 登 录 账 户 名   登 录 、 登 出 操 作 o s C P U C P U * * 的 占 用 率 * * P o w e r s h e l l 进 程 进 程 类 型   进 程 创 建   进 程 生 命 周 期 S y s m o n 打 印 机 操 作 文 件 类 型 文 件 类 型   文 件 名 文 件 名 打 印 机 日 志
用 户 命 令 时 间 序 列 上 的 用 户 命 令 时 间 序 列 上 的 用 户 命 令 L i n u x   b a s h 日 志   W i n d o w s       s y s m o n 注 册 表 读 、 写 、 添 加 、 删 除 操 作 S y s m o n 域 域 特 征 特 征 备 注 备 注 随 后 贴 心 的   s y s m o n   可 以 把 日 志 导 出 为 x m l 格 式 。 1 1 .   感 想 和 企 业 安 全 建 设 感 想 和 企 业 安 全 建 设 一 次 攻 防 平 台 搭 建 介 绍 完 了 ， 这 里 折 射 出 来 很 多 企 业 里 面 需 要 做 的 事 情 ， 你 看 到 了 麽 ？ 企 业 内 部 网 络 安 全 建 设 是 从 路 由 交 换 开 始 的 ， 权 限 核 查 、 漏 洞 扫 描 、 攻 击 阻 断 甚 至 对 外 资 产 防 企 业 内 部 网 络 安 全 建 设 是 从 路 由 交 换 开 始 的 ， 权 限 核 查 、 漏 洞 扫 描 、 攻 击 阻 断 甚 至 对 外 资 产 防 D D o S ， 不 管 是 ， 不 管 是 买 设 备 还 是 自 己 动 手 搭 建 ， 总 之 一 样 都 不 能 少 。 买 设 备 还 是 自 己 动 手 搭 建 ， 总 之 一 样 都 不 能 少 。 企 业 如 果 资 金 充 裕 的 话 ， 且 对 外 有 互 联 网 产 品 ， 办 一 个 安 全 应 急 响 应 中 心 （ S R C ） 也 是 一 个 不 错 的 选 择 ， 招 点 人 就 把 内 部 网 络 安 全 也 捎 带 办 了 。 如 果 企 业 比 较 小 ， 可 以 选 择 靠 谱 的 乙 方 公 司 或 者 是 云 服 务 提 供 商 做 一 个 资 产 的 安 全 托 管 ， 都 是 一 个 不 错 的 选 择 。 （ 注 ： 若 对 本 文 有 任 何 想 法 ， 都 可 以 私 信 与 作 者 联 系 。 ） * 本 文 原 创 作 者 ： 康 康 你 秋 裤 穿 反 啦 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理