搜索

[13975] 2019-04-11_小白帽从病毒视角聊企业安全建设

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-11_小白帽从病毒视角聊企业安全建设 小 白 帽 从 病 毒 视 角 聊 企 业 安 全 建 设 s i 1 e n c e   F r e e B u f   2 0 1 9 - 0 4 - 1 1 0 x 0   背 景 背 景 最 近 各 类 安 全 事 件 还 是 很 流 行 的 ， 以 前 只 是 批 量 抓 鸡 做 最 近 各 类 安 全 事 件 还 是 很 流 行 的 ， 以 前 只 是 批 量 抓 鸡 做 D D O S 现 在 伴 随 着 虚 拟 货 币 的 流 行 挖 矿 勒 索 逐 步 进 入 了 现 在 伴 随 着 虚 拟 货 币 的 流 行 挖 矿 勒 索 逐 步 进 入 了 大 众 的 视 野 ， 仅 以 此 文 按 照 精 力 财 力 人 力 最 小 化 的 原 则 分 析 一 些 恶 意 行 为 与 相 对 应 的 此 类 安 全 事 件 一 些 防 范 措 大 众 的 视 野 ， 仅 以 此 文 按 照 精 力 财 力 人 力 最 小 化 的 原 则 分 析 一 些 恶 意 行 为 与 相 对 应 的 此 类 安 全 事 件 一 些 防 范 措 施 。 施 。 安 全 标 准 是 个 好 东 西 奈 何 现 在 客 户 安 全 意 识 并 没 有 特 别 高 ， 所 以 在 具 体 落 实 实 践 的 过 程 中 难 度 太 大 ， 况 且 按 照 I S O 2 7 X X X X 标 准 、 等 级 X 保 、 G D R 、 或 者 G B X 的 条 例 来 说 人 力 物 力 财 力 都 是 一 个 不 小 的 挑 战 ， 毕 竟 那 都 是 要 花 钱 的 。 在 业 务 部 门 看 来 安 全 就 是 来 找 麻 烦 的 ， 最 后 标 准 落 实 了 测 评 通 过 了 最 后 又 出 了 安 全 事 件 又 会 被 抓 住 一 阵 狂 怼 。 0 x 1   弱 口 令 问 题 弱 口 令 问 题 首 当 其 冲 的 还 是 先 解 决 最 严 重 的 问 题 ： 弱 口 令 。 强 弱 密 码 的 区 分 没 有 一 个 严 格 明 确 的 定 义 ， 通 常 认 为 容 易 被 别 人 （ 他 们 有 可 能 对 你 很 了 解 ） 猜 测 到 或 容 易 被 破 解 工 具 破 解 的 口 令 均 可 以 定 义 为 弱 密 码 。 目 前 大 多 数 w o r m 类 病 毒 都 具 备 暴 力 破 解 模 块 针 对 的 常 见 服 务 如 下 ： S S H   R D P   M S S Q L   M y s q l   R e d i s   S M B   S M T P   H T T P 此 处 定 义 弱 口 令 非 一 些 传 统 的 类 似 与 1 2 3 4 5 6 这 类 的 弱 口 令 主 要 举 例 如 下 ： A 类 常 见 的 弱 口 令 如 ： 1 2 3 4 5 6 7 8     1 1 1 1 1 1 1     a d m i n     1 2 3 4 a b c d       8 8 8 8 8 8 8 B 类 符 合 密 码 复 杂 度 的 弱 口 令 如 ：
1 q a z @ W S X     A a 1 2 3 4 5 6 7 8     P @ s s w o r d C 类 用 户 名 关 系 配 合 常 见 字 符 串 类 的 如 ： z h a n g s a n 1 2 3   z h a n g s a n 8 8 8   z h a n g s a n @ q q   z h a n g s a n 5 2 0 顺 手 写 一 个 脚 本 短 短 几 十 行 的 代 码 量 而 已 或 者 上 g i t h u b 找 一 个 弱 口 令 生 成 器 都 可 以 生 成 大 量 C 类 弱 口 令 ： 解 决 建 议 ： 解 决 建 议 ： 统 一 整 改 一 批 弱 口 令 同 时 设 置 一 个 强 的 面 密 码 策 略 ， 设 置 一 个 若 密 码 字 段 的 检 测 针 对 不 同 的 用 户 不 运 行 类 似 C 类 密 码 的 设 置 。   0 x 2   统 一 或 规 律 密 码 问 题 统 一 或 规 律 密 码 问 题 去 年 下 半 年 的 时 候 出 现 了 一 个 比 较 流 行 的 勒 索 病 毒 叫 G l o b e I m p o s t e r 3 . 0 ， 该 勒 索 往 往 可 以 导 致 内 网 很 多 主 机 同 时 被 勒 索 。 加 密 文 件 的 后 缀 改 成 . 动 物 名 称 + 4 4 4 4 的 样 子 ， 如 ： . H o r s e 4 4 4 4   1 2 生 肖 凑 齐 的 感 觉 有 没 有 。 这 货 利 用 m i m i k a t z . e x e 扫 描 本 机 的 所 有 账 户 机 器 密 码 ， 将 结 果 保 存 到 r e s u l t . t x t 里 面 加 入 到 暴 力 破 解 的 字 典 里 面 。 之 后 利 用 n a s p . e x e 扫 描 哪 些 机 器 开 放 3 3 8 9 端 口 。 然 后 远 程 登 录 桌 面 爆 破 工 具 N L B r u t e . e x e 会 根 据 扫 描 结 果 ， 依 次 爆 破 局 域 网 的 机 器 。 拿 到 机 器 账 号 后 ， 成 功 登 陆 进 而 重 复 该 步 骤 ， 再 次 进 行 传 播 。
针 对 很 多 内 网 主 机 密 码 都 是 一 致 的 情 况 ， 估 计 分 分 钟 就 内 网 就 歇 菜 了 。 比 如 还 有 一 些 运 维 管 理 员 喜 欢 把 密 码 和 I P 关 联 在 一 起 。 比 如 1 9 2 . 1 6 8 . 1 . 1 0 1   密 码 就 设 置 为 R o o t @ 1 0 1 随 便 一 下 8 个 字 符 、 大 小 写 数 字 字 母 、 特 殊 字 符 都 具 备 了 却 往 往 很 危 险 。 攻 破 一 台 主 机 ， 可 能 内 网 所 有 主 机 都 玩 完 了 。 解 决 建 议 ： 解 决 建 议 ： 强 烈 推 荐 开 源 的 跳 板 机 J u m p S e r v e r 可 以 自 己 做 二 次 开 发 ， 梳 理 内 网 主 机 的 访 问 关 系 图 设 置 内 网 主 机 的 访 问 控 制 策 略 0 x 3   系 统 补 丁 系 统 补 丁 每 次 谈 到 w i n d o w s 系 统 补 丁 就 觉 得 有 必 要 说 一 下 W i n d o w s 二 个 比 较 有 代 表 性 病 毒 C o n f i c k e r 与 W a n n a c r y 系 列 二 者 都 属 于 比 较 活 跃 且 感 染 面 相 对 较 大 的 。
前 者 主 要 利 用 了 M S 0 8 - 0 6 7 后 者 主 要 利 用 M S 1 7 - 0 1 0 进 行 内 外 网 的 扩 散 ， M S 1 7 - 0 1 0 涉 及 面 相 对 较 广 广 泛 被 挖 矿 勒 索 病 毒 用 于 横 向 传 播 ， 收 获 颇 丰 这 个 是 真 的 猛 。 解 决 建 议 ： 解 决 建 议 ： 这 个 解 决 办 法 是 真 的 简 单 就 是 打 补 丁 ， 有 条 件 的 可 以 自 己 搭 建 一 个 W S U S 用 于 补 丁 的 分 发 、 或 者 自 己 写 一 个 小 脚 本 用 于 检 测 主 机 端 的 补 丁 安 装 情 况 。 针 对 与 一 些 服 务 器 不 方 便 重 启 的 情 况 建 议 可 以 做 好 A C L 策 略 或 者 端 口 封 禁 。 0 x 4   热 点 安 全 漏 洞 利 用 热 点 安 全 漏 洞 利 用 客 户 普 遍 都 认 为 内 网 是 相 对 安 全 的 ， 连 接 外 网 的 服 务 一 般 也 会 重 点 关 注 。 目 前 较 多 的 w o r m 类 挖 矿 病 毒 与 时 俱 进 常 常 有
很 多 W e b 漏 洞 的 利 用 模 块 。 如 最 近 3 6 0 捕 获 的 P s m i n e r   基 本 上 覆 盖 了 W e b l o g i c 类 、 R e d i s 未 授 权 访 问 、 E S 类 、 T h i n k P H P 命 令 执 行 类 、 S p r i n g 命 令 执 行 类 。 除 非 之 外 还 有 一 些 常 见 的 T o m c a t   M a n a g e r 弱 密 码 、 S 2 命 令 执 行 系 列 、 W o r d p r e s s 命 令 执 行 漏 洞 都 是 一 些 可 以 用 于 传 播 的 漏 洞 。 这 一 些 漏 洞 的 特 别 就 在 于 简 单 高 效 ， 不 需 要 提 权 什 么 的 直 接 就 是 一 个 c u r l 或 者 w g e t 从 互 联 网 下 载 一 个 恶 意 脚 本 回 来 开 始 搞 事 情 ， w i n d o w s 调 用 P o w e r s h e l l 一 个 d o w n l o a d s r t i n g 开 始 搞 事 情 。 无 论 是 作 为 内 网 的 突 破 口 还 是 内 网 横 向 扩 散 使 用 ， 这 一 类 高 位 漏 洞 都 能 发 挥 较 好 的 效 果 。 指 不 定 很 多 刚 刚 入 门 的 脚 本 小 子 练 练 手 搞 点 E X P 批 量 扫 描 ， 拿 到 了 一 个 s h e l l 之 后 一 个 r m     - r f   / *   , 咱 们 后 面 又 该 怎 么 和 领 导 去 交 代 呢 ， 估 计 第 二 天 是 不 是 都 不 用 来 上 班 了 。 解 决 建 议 ： 解 决 建 议 ： 这 一 类 安 全 漏 洞 是 危 险 性 比 较 强 的 ， 说 不 定 就 是 导 致 内 网 瘫 痪 的 一 个 入 口 。 定 期 的 跟 踪 热 点 的 安 全 事 件 、 安 全 测 试 上 g i t h u b 收 集 各 类 P O C 回 来 验 证 ， 参 考 自 动 化 测 试 那 一 套 玩 意 做 到 内 部 安 全 风 险 自 己 评 估 。 U m m m m … . 还 涉 及 到 一 个 问 题 谁 去 修 复 的 问 题 ？ 当 然 是 谁 开 发 谁 负 责 ， 开 发 不 修 复 怎 么 办 ， 谁 去 做 回 归 测 试 等 问 题 参 考 如 下 ：
0 x 5   安 全 意 识 与 安 全 管 理 安 全 意 识 与 安 全 管 理 安 全 意 识 这 个 属 于 老 生 长 谈 了 无 论 说 的 怎 么 牛 X 感 觉 都 是 在 自 嗨 ， 该 点 击 的 钓 鱼 邮 件 还 是 要 点 ， 说 了 很 多 遍 不 要 安 装 来 路 不 明 的 软 件 还 是 一 样 安 装 ， 不 要 打 开 来 路 不 明 的 附 件 出 于 好 奇 看 了 看 ， 弱 密 码 一 定 会 改 的 就 从 1 2 3 4 5 6 改 成 了 1 2 3 4 5 6 7 8 ， 最 后 发 现 电 脑 卡 到 不 行 C P U 占 用 率 9 0 % ， 内 存 占 用 9 0 % 以 上 中 了 勒 索 挖 矿 就 是 安 全 工 作 没 有 做 好 。 每 次 遇 见 到 这 种 情 况 ， 我 也 不 知 道 怎 么 玩 ， 除 了 本 地 装 上 E D R 就 不 知 道 还 能 怎 么 玩 了 遇 见 免 杀 的 V i r u s 就 呵 呵 了 。 所 以 这 个 时 候 有 个 人 背 锅 就 很 重 要 了 ， 按 照 X X X X 标 准 结 合 自 己 的 实 际 场 景 搞 一 些 简 单 的 安 全 管 理 制 度 ， 大 家 看 不 看 没 有 关 系 一 定 把 责 任 要 划 分 到 人 头 ， 最 好 还 能 走 正 式 的 那 种 制 度 文 档 ， 批 准 人 为 ： X X X 领 导 。 大 概 就 差 不 多 了 。 解 决 建 议 ： 解 决 建 议 ： 定 期 抽 查 部 分 P C 的 终 端 防 护 软 件 、 多 培 训 多 洗 脑 ， 多 出 一 些 制 度 。 0 x 6   安 全 运 营 安 全 运 营 根 据 一 些 l a w 的 要 求 需 要 将 日 志 保 存 到 至 少 半 年 ， 搞 一 个 简 单 的 日 志 中 心 就 十 分 的 有 必 要 了 ， 购 买 第 三 方 厂 商 或 者 自 己 搞 个 开 源 的 都 可 以 主 要 看 领 导 给 不 给 预 算 。 开 源 的 日 志 中 心 还 是 比 较 推 荐 ， 毕 竟 可 以 根 据 自 己 的 业 务 场 景 自 定 义 ， 比 较 推 荐 比 较 完 善 的 E L K 套 装 。 现 在 新 增 了 一 个 F i l e B e a t ， 它 是 一 个 轻 量 级 的 日 志 收 集 处 理 工 具 ( A g e n t ) ， F i l e b e a t 占 用 资 源 少 ， 适 合 于 在 各 个 服 务 器 上 搜 集 日 志 后 传 输 给 L o g s t a s h ， 官 方 也 推 荐 此 工 具
E l a s t i c s e a r c h 是 个 开 源 分 布 式 搜 索 引 擎 ， 提 供 搜 集 、 分 析 、 存 储 数 据 三 大 功 能 。 它 的 特 点 有 ： 分 布 式 ， 零 配 置 ， 自 动 发 现 ， 索 引 自 动 分 片 ， 索 引 副 本 机 制 ， r e s t f u l 风 格 接 口 ， 多 数 据 源 ， 自 动 搜 索 负 载 等 。 L o g s t a s h   主 要 是 用 来 日 志 的 搜 集 、 分 析 、 过 滤 日 志 的 工 具 ， 支 持 大 量 的 数 据 获 取 方 式 。 一 般 工 作 方 式 为 c / s 架 构 ， c l i e n t 端 安 装 在 需 要 收 集 日 志 的 主 机 上 ， s e r v e r 端 负 责 将 收 到 的 各 节 点 日 志 进 行 过 滤 、 修 改 等 操 作 在 一 并 发 往 e l a s t i c s e a r c h 上 去 。 K i b a n a   也 是 一 个 开 源 和 免 费 的 工 具 ， K i b a n a 可 以 为   L o g s t a s h   和   E l a s t i c S e a r c h   提 供 的 日 志 分 析 友 好 的   W e b   界 面 ， 可 以 帮 助 汇 总 、 分 析 和 搜 索 重 要 数 据 日 志 。 F i l e b e a t 隶 属 于 B e a t s 。 目 前 B e a t s 包 含 四 种 工 具 ： P a c k e t b e a t （ 搜 集 网 络 流 量 数 据 ， 溯 源 可 能 用 得 着 ） T o p b e a t （ 搜 集 系 统 、 进 程 和 文 件 系 统 级 别 的   C P U   和 内 存 使 用 情 况 等 数 据 ， 检 测 挖 矿 神 器 ） F i l e b e a t （ 搜 集 文 件 数 据 ） W i n l o g b e a t （ 搜 集   W i n d o w s   事 件 日 志 数 据 ， 检 测 暴 力 破 解 必 备 ！ ！ ！ ）   主 要 目 的 还 是 能 够 通 过 日 志 发 现 一 些 异 常 点 ， 出 了 安 全 事 件 后 方 便 溯 源 分 析 ， 根 据 对 业 务 情 况 的 熟 悉 可 以 自 己 写 一 些 报 警 规 则 对 于 很 多 常 规 的 暴 力 破 解 、 异 常 登 录 都 能 做 到 准 确 的 报 警 提 醒 。 0 x 7   总 结 总 结 企 业 安 全 还 是 看 资 金 投 入 只 有 领 导 愿 意 投 入 ， 预 算 管 够 直 接 就 购 买 一 些 安 全 厂 商 的 全 家 桶 F W + I P S + I D S + W A F + S I E M + E D R + D L P + S c a n e r + C o d e r e v i e w e r + A P T d e t e c t e r ， 剩 下 的 就 是 一 些 运 营 工 作 了 美 滋 滋 毕 竟 是 真 金 白 银 搞 出 来 的 。 最 后 吐 槽 一 下 热 门 的 利 用 ” 驱 动 人 生 ” 升 级 通 道 的 那 个 木 马 ， 各 种 不 好 查 杀 还 经 常 变 来 变 去 已 经 被 折 磨 的 快 吐 血 了 ， 求 大 佬 放 过 。 * 本 文 原 创 作 者 ： s i 1 e n c e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转
推 荐 阅 读 推 荐 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理