搜索

[14902] 2019-12-05_将MITREATT＆CK模型应用于网络设备

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-12-05_将MITREATT＆CK模型应用于网络设备 将 M I T R E   A T T ＆ C K 模 型 应 用 于 网 络 设 备 m a k a i s g h r   F r e e B u f   2 0 1 9 - 1 2 - 0 5 信 息 安 全 社 区 经 常 忽 视 作 为 端 点 的 网 络 设 备 。 大 多 数 人 专 注 于 保 护 系 统 和 检 测 信 息 安 全 社 区 经 常 忽 视 作 为 端 点 的 网 络 设 备 。 大 多 数 人 专 注 于 保 护 系 统 和 检 测 W i n d o w s 域 环 境 中 的 威 胁 ， 也 包 域 环 境 中 的 威 胁 ， 也 包 括 检 测 运 行 括 检 测 运 行 M a c O S 和 和 L i n u x 系 统 的 端 点 上 的 威 胁 。 系 统 的 端 点 上 的 威 胁 。 用 于 这 些 工 作 的 常 见 日 志 记 录 工 具 是 W i n d o w s 上 的 S y s m o n ， L i n u x 及 M a c O S 上 的 的 A u d i t d 和 A u d i t b e a t 。 对 于 网 络 方 面 ， 通 常 使 用 S n o r t 或 S u r i c a t a 之 类 的 N I D S 系 统 分 析 网 络 流 量 ， 并 使 用 诸 如 Z e e k 和 P C A P 之 类 的 工 具 解 析 相 关 协 议 ， 以 供 日 后 分 析 。 所 有 这 些 数 据 通 常 会 被 集 中 到 一 个 日 志 分 析 工 具 中 ， 例 如 E L K 或 S p l u n k ， 分 析 师 在 这 些 工 具 中 运 行 搜 索 查 询 或 分 析 以 检 测 其 环 境 中 的 攻 击 行 为 。 M I T R E   A T T ＆ C K 框 架 提 供 了 一 个 很 好 的 起 点 ， 可 以 基 于 杀 伤 链 的 每 个 步 骤 中 攻 击 者 可 能 采 取 的 策 略 ， 来 衡 量 和 塑 造 分 析 人 员 在 数 据 检 测 中 使 用 的 技 术 。 在 此 处 阅 读 有 关 M I T R E   A T T ＆ C K 框 架 的 更 多 信 息 。 ) 然 而 ， E n t e r p r i s e   A T T ＆ C K 矩 阵 未 涵 盖 的 是 网 络 设 备 本 身 以 及 攻 击 者 可 能 在 此 类 设 备 上 执 行 的 策 略 和 技 术 。 可 能 有 人 会 说 ， 这 种 攻 击 面 很 小 ， 不 是 一 个 合 理 的 目 标 ， 但 我 不 同 意 。 在 网 络 中 ， W i n d o w s 约 占 设 备 总 数 的 7 5 - 9 0 ％ ， L i n u x 约 设 备 总 数 的 1 - 3 ％ ， 而 网 络 设 备 通 常 占 设 备 总 数 的 1 0 - 2 0 ％ 。 其 中 包 括 路 由 器 ， 交 换 机 ， 防 火 墙 ， V P N 集 中 器 ， 无 线 访 问 点 ， 无 线 局 域 网 控 制 器 等 。 这 些 网 络 设 备 具 有 W i n d o w s ， L i n u x 和 M a c O S 一 样 的 C V E ， 这 些 高 漏 洞 使 得 获 取 “ s y s t e m ” 或 “ r o o t ” 访 问 权 限 （ 级 别 1 5 ） 成 为 可 能 。 管 理 员 通 常 较 少 对 这 些 的 漏 洞 进 行 修 补 ， 这 些 修 补 不 像 L i n u x   y u m / a p t 命 令 那 样 自 动 化 ， 也 不 像 S C C M / W S U S 服 务 器 那 样 简 单 。 网 络 基 础 结 构 设 备 也 几 乎 总 是 较 旧 的 ， 因 为 它 们 的 更 换 频 率 很 低 ， 并 且 不 属 于 供 应 商 的 支 持 范 围 。 网 路 设 备 通 常 具 有 不 会 更 改 的 默 认 凭 据 以 及 不 安 全 的 配 置 （ 例 如 启 用 了 W e b   G U I ） 。 潜 在 的 攻 击 者 可 以 利 用 这 些 错 误 的 配 置 和 漏 洞 。 这 些 网 络 设 备 提 供 的 不 只 是 要 分 析 的 网 络 流 量 。 就 像 L i n u x   s y s l o g 一 样 ， 它 们 也 具 有 可 以 转 发 到 S I E M 的 日 志 。 S y s l o g 是 一 个 好 的 开 始 ； 这 不 是 关 于 “ 网 络 运 营 中 心 ” ， 而 是 关 于 “ 安 全 运 营 中 心 ” 。 S y s l o g 很 有 用 ， 而 且 会 在 警 告 ， 错 误 和 调 试 级 别 中 找 到 有 价 值 的 事 件 ， 但 是 这 些 日 志 主 要 是 关 于 设 备 正 在 执 行 的 操 作 。 在 企 业 中 部 署 的 大 多 数 现 代 网 络 设 备 都 支 持 远 程 日 志 记 录 。 思 科 ， 博 科 ， 瞻 博 网 络 ， 戴 尔 等 — 全 部 支 持 A A A 的 T A C A C S 或 R A D I U S 。 A A A 指 的 是 身 份 验 证 ， 授 权 和 计 费 。 当 打 开 这 些 网 络 端 点 的 访 问 许 可 ， 管 理 员 即 可 查 看 这 些 设 备 上 发 生 的 情 况 。 是 否 是 管 理 员 在 添 加 本 地 用 户 ？ 使 用 M I T R E   A T T ＆ C K 的 模 型 分 析 这 些 日 志 将 帮 助 检 测 对 网 络 基 础 结 构 执 行 的 操 作 是 否 合 法 。 当 前 ， M I T R E   A T T ＆ C K 模 型 尚 未 将 网 络 设 备 及 其 操 作 系 统 分 类 为 “ P l a t f o r m ” （ 平 台 ） 。 并 且 只 有 一 项 “ T e c h n i q u e ” （ 技 术 ） 引 用 “ N e t w o r k   D e v i c e   L o g g i n g ” （ 网 络 设 备 日 志 ） 作 为 数 据 源 。 检 测 所 需 的 分 析 方 法 取 决 于 网 络 设 备 日 志 ， 尤 其 是 A A A 的 身 份 验 证 和 计 费 日 志 。 授 权 将 主 要 用 于 缓 解 风 险 ， 并 确 保 网 络 管 理 员 帐 户 具 有 执 行 其 功 能 所 需 的 最 少 特 权 。 在 目 前 的 2 4 4 种 E n t e r p r i s e   A T T ＆ C K 技 术 中 ， 其 中 6 4 种 可 以 应 用 于 网 络 设 备 。 使 用 A A A ， N e t f l o w ， I D S 和 S y s l o g ， 管 理 员 将 能 够 检 测 到 网 络 设 备 上 发 生 的 大 部 分 事 件 ， 无 论 其 是 合 法 管 理 还 是 恶 意 活 动 。 美 国 美 国 C E R T 的 说 法 的 说 法 俄 罗 斯 网 络 攻 击 者 利 用 了 许 多 与 网 络 管 理 活 动 相 关 的 老 旧 或 薄 弱 的 协 议 和 服 务 端 口 。 网 络 攻 击 者 利 用 的 这 些 弱 点 有 ： 识 别 易 受 攻 击 的 设 备 ； 提 取 设 备 配 置 ；
映 射 内 部 网 络 架 构 ； 收 集 登 录 凭 证 ； 伪 装 成 特 权 用 户 ； 修 改 设 备 固 件 ， 操 作 系 统 ， 配 置 ; 并 且 通 过 俄 罗 斯 网 络 攻 击 者 控 制 的 基 础 架 构 复 制 或 重 定 向 受 害 者 流 量 。 此 外 ， 俄 罗 斯 网 络 攻 击 者 可 能 会 修 改 或 拒 绝 通 过 路 由 器 的 流 量 。 美 国 C E R T 认 为 路 由 器 和 交 换 机 正 在 被 作 为 攻 击 目 标 ： h t t p s : / / w w w . u s - c e r t . g o v / n c a s / a l e r t s / T A 1 6 - 2 5 0 A ) h t t p s : / / w w w . u s - c e r t . g o v / n c a s / a l e r t s / T A 1 8 - 1 0 6 A ) 针 对 网 络 设 备 的 针 对 网 络 设 备 的 A P T 和 恶 意 软 件 ： 和 恶 意 软 件 ： S Y N f u l   K n o c k   —   思 科 路 由 器 注 入 h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 5 / 0 9 / s y n f u l k n o c k - _ a c i s . h t m l D r a g o n   f l y   2 . 0   /   B e r s e r k   B e a r   h t t p s : / / w w w . d a r k r e a d i n g . c o m / e n d p o i n t / p r i v a c y / r u s s i a n - a p t - c o m p r o m i s e d - c i s c o - r o u t e r - i n - e n e r g y - s e c t o r - a t t a c k s / d / d - i d / 1 3 3 1 3 0 6 G e k k o   J a c k a l   —   A c t i v i s t   G r o u p   h t t p s : / / g o . c r o w d s t r i k e . c o m / r s / 2 8 1 - O B Q - 2 6 6 / i m a g e s / 1 5 G l o b a l T h r e a t R e p o r t . p d f S y m a n t e c   —   H a c k i n g   r o u t e r s   1 0 1   h t t p s : / / w w w . s y m a n t e c . c o m / c o n n e c t / a r t i c l e s / e x p l o i t i n g - c i s c o - r o u t e r s - p a r t - 1 数 据 源 ： 数 据 源 ： 当 前 ， M I T R E 有 一 个 称 为 “ 网 络 设 备 日 志 ” 的 数 据 源 ， 但 没 有 太 多 有 关 它 的 信 息 ， 只 是 保 存 了 一 种 当 前 可 以 使 用 的 技 术 。 本 文 提 出 了 以 下 网 络 设 备 日 志 记 录 类 别 ： 1 .   网 络 设 备 （ 系 统 ） 日 志 - 通 过 S y s l o g 协 议 2 .   A A A 日 志 - 通 过 T A C A C S 或 R A D I U S 协 议 下 图 是 A T T ＆ C K 导 航 器 中 的 一 层 ， 代 表 适 用 于 网 络 设 备 的 所 有 技 术 ， 并 按 可 用 于 检 测 数 据 的 数 据 源 进 行 颜 色 编 码 。 “ A c c o u n t i n g ” 数 据 源 （ 蓝 色 ） 进 一 步 细 分 为 置 信 度 高 ， 中 和 低 ， 以 表 示 确 定 操 作 是 合 法 的 管 理 员 操 作 还 是 对 手 的 容 易 度 。
按 数 据 源 ， 请 参 阅 A T T ＆ C K   N a v i g a t o r 的 J S O N ) 分 析 分 析 使 用 来 自 网 络 设 备 的 A A A 中 的 “ 计 费 ” 数 据 编 写 了 1 2 个 “   S i g m a ” 规 则 。 通 常 在 网 络 设 备 上 执 行 的 许 多 操 作 都 是 由 管 理 员 执 行 的 ， 所 以 有 一 些 方 法 可 以 减 少 误 报 率 。 基 线 网 络 管 理 员 定 期 在 系 统 上 执 行 的 操 作 ， 通 常 表 现 为 由 谁 执 行 功 能 以 及 何 时 执 行 。 通 过 启 用 规 则 ， 观 察 和 记 录 常 见 行 为 ， 您 可 以 调 整 规 则 以 减 少 警 报 次 数 。 在 此 处 阅 读 有 关 S i g m a 项 目 （ S I E M 系 统 的 通 用 签 名 格 式 ） 的 信 息 ！ ) 有 关 规 则 的 一 些 注 意 事 项 。 通 常 在 网 络 操 作 系 统 中 ， 可 以 缩 短 命 令 ， 并 且 该 命 令 仍 将 运 行 ， 例 如 ， 可 以 将 “ s h o w h i s t o r y   a l l ” 缩 短 为 “ s   h i   a ” ， 并 且 仍 然 给 出 相 同 的 结 果 。 但 是 ， 使 用 A A A 登 录 时 ， T A C A C S 将 记 录 完 整 的 预 期 命 令 。 因 此 ， 在 为 正 在 运 行 的 某 些 命 令 编 写 检 测 分 析 时 ， 仅 必 须 考 虑 完 整 命 令 。 当 | （ 管 道 ） 命 令 与 “ i n c l u d e ” 一 起 使 用 以 过 滤 结 果 ， 该 结 果 未 在 A A A 记 帐 日 志 中 显 示 。 仅 过 滤 显 示 在 终 端 输 出 中 的 内 容 。 缓 解 措 施 缓 解 措 施 在 M I T R E   A T T ＆ C K   W i k i 上 已 经 列 出 的 大 多 数 缓 解 措 施 在 一 般 意 义 上 也 适 用 于 联 网 设 备 。 但 是 总 体 上 未 列 出 仅 适 用 于 网 络 操 作 系 统 的 主 要 缓 解 措 施 是 当 应 用 A A A 时 ， 仅 授 予 有 限 的 用 户 特 权 级 别 访 问 权 限 的 授 权 方 面 势 在 必 行 。 企 业 策 略 甚 至 可 以 限 制 允 许 管 理 员 运 行 的 命 令 。 将 网 络 设 备 分 段 在 不 同 的 V L A N 上 ， 按 照 最 佳 业 务 实 践 安 全 地 配 置 设 备 ， 更 改 默 认 凭 据 ， 适 当 地 打 补 丁 ， 应 用 最 小 特 权 概 念 ， 启 用 远 程 日 志 记 录 ， 并 遵 循 N I S T 治 理 框 架 。 适 用 于 网 络 设 备 的 企 业 矩 阵 中 的 适 用 于 网 络 设 备 的 企 业 矩 阵 中 的 1 2 种 策 略 概 述 种 策 略 概 述 初 始 访 问 初 始 访 问 与 网 络 设 备 相 关 的 四 种 技 术 主 要 是 利 用 漏 洞 或 使 用 被 盗 的 凭 据 远 程 登 录 。 网 络 基 础 结 构 很 可 能 不 是 进 入 网 络 的 初 始 访 问 向 量 ， 但 确 实 为 攻 击 者 提 供 了 可 作 为 立 足 之 地 的 攻 击 面 。 执 行 执 行
攻 击 者 有 两 个 主 要 向 量 ， 要 么 是 使 用 命 令 行 ， 要 么 是 使 用 G U I （ 如 果 已 启 用 ） 。 使 用 计 费 日 志 查 看 正 在 执 行 的 操 作 。 维 持 访 问 维 持 访 问 就 像 W i n d o w s 或 L i n u x 计 算 机 一 样 ， 攻 击 者 可 以 创 建 一 个 新 帐 户 ， 安 排 工 作 ， 使 用 有 效 帐 户 ， 甚 至 替 换 固 件 （ 与 S Y N f u l   K n o c k 恶 意 软 件 一 样 ） 。 防 御 规 避 防 御 规 避 攻 击 者 清 除 命 令 历 史 记 录 ， 甚 至 关 闭 具 有 适 当 访 问 权 限 的 远 程 日 志 记 录 ， 都 是 可 以 实 现 的 。 这 就 是 为 什 么 对 这 些 分 析 发 出 警 报 应 具 有 高 度 的 信 心 和 优 先 级 。 培 训 网 络 管 理 员 不 要 执 行 这 些 功 能 来 降 低 误 报 率 。 凭 证 访 问 凭 证 访 问 与 维 持 访 问 类 似 ， 可 以 通 过 查 看 历 史 记 录 （ 包 含 明 文 密 码 ） ， 查 看 设 备 上 保 存 的 文 件 （ 旧 配 置 ） ， 甚 至 查 看 设 备 本 身 的 数 据 包 嗅 探 来 恢 复 凭 据 。 发 现 发 现 这 些 是 普 通 管 理 员 可 以 运 行 的 命 令 ， 从 创 建 点 以 及 查 看 使 用 这 些 命 令 的 频 率 ， 可 以 创 建 自 定 义 基 准 。 也 许 某 些 命 令 从 未 使 用 过 ， 这 些 可 能 会 成 为 更 有 用 的 警 报 。 找 一 个 管 理 员 可 以 执 行 这 些 功 能 的 常 见 时 间 ， 或 者 总 是 由 同 一 个 人 来 执 行 。 然 后 针 对 网 络 环 境 定 制 警 报 。 横 向 运 动 横 向 运 动 通 常 使 用 s c p ， t f t p 或 f t p 在 设 备 之 间 复 制 文 件 。 采 集 采 集 网 络 设 备 的 配 置 提 供 了 大 量 有 关 网 络 的 信 息 ， 其 中 包 括 攻 击 者 想 要 收 集 的 密 钥 和 密 码 。 命 令 与 控 制 命 令 与 控 制 W e b 服 务 和 常 用 端 口 可 用 于 与 攻 击 者 在 其 云 基 础 架 构 中 拥 有 的 C 2 服 务 器 进 行 通 信 。 泄 露 泄 露 数 据 可 以 通 过 文 件 传 输 或 通 过 通 用 端 口 轻 松 导 出 ， 甚 至 可 以 粘 贴 复 制 ！ 影 响 影 响 影 响 最 适 用 于 网 络 设 备 ， 因 为 这 会 影 响 很 大 一 部 分 网 络 。 可 以 在 设 备 上 放 置 A C L 以 丢 弃 或 降 低 流 量 。 可 以 擦 除 配 置 ， 并 重 新 启 动 将 使 D O S 进 入 网 络 的 设 备 。 可 以 修 改 配 置 ， 擦 除 文 件 系 统 ， 删 除 文 件 ， 通 过 写 入 固 件 等 。 所 有 这 些 都 可 能 对 设 备 和 网 络 造 成 损 害 。 技 术 技 术 在 这 里 查 看 适 用 于 网 络 设 备 上 的 6 4 种 A T T ＆ C K 技 术 的 细 目 分 类 ！ )   它 详 细 介 绍 了 该 技 术 ， 数 据 源 ， 示 例 网 络 设 备 命 令 （ 如 果 适 用 ） 以 及 为 何 适 用 的 评 论 。 * 本 文 作 者 ： 本 文 作 者 ： m a k a i s g h r ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理