搜索

[15757] 2020-08-21_哨兵：如何0成本搭建企业蜜网

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-21_哨兵：如何0成本搭建企业蜜网 哨 兵 ： 如 何 0 成 本 搭 建 企 业 蜜 网 原 创   l a n g y a j i e k o u   F r e e B u f   2 0 2 0 - 0 8 - 2 1 三 步 一 岗 ， 五 步 一 哨 ， 让 你 在 内 网 中 无 计 可 施 ， 麻 麻 再 也 不 用 担 心 我 的 内 网 了 ！ 现 状 现 状 这 几 年 来 ， 蜜 罐 技 术 一 直 被 人 津 津 乐 道 ， 各 种 各 样 的 蜜 罐 是 层 出 不 穷 ， 开 源 的 ， 商 业 的 ， 低 交 互 式 ， 高 交 互 式 等 等 不 一 而 足 ， 具 体 如 何 评 估 各 种 蜜 罐 可 以 参 考 《 开 源 蜜 罐 测 评 报 告 》 一 文 。 蜜 网 是 在 蜜 罐 技 术 上 逐 渐 发 展 起 来 的 一 个 新 的 概 念 ， 又 可 称 为 诱 捕 网 络 。 蜜 网 技 术 实 质 上 仍 是 一 种 蜜 罐 技 术 ， 是 一 种 对 攻 击 者 进 行 欺 骗 的 技 术 ， 通 过 布 置 一 些 作 为 诱 饵 的 主 机 、 网 络 服 务 以 及 信 息 ， 诱 使 攻 击 者 对 他 们 进 行 攻 击 ， 减 少 对 实 际 系 统 所 造 成 的 安 全 威 胁 。 但 与 传 统 的 蜜 罐 技 术 的 差 异 在 于 ， 蜜 网 构 成 了 一 个 黑 客 诱 捕 网 络 体 系 架 构 ， 在 这 个 架 构 中 ， 可 以 包 含 一 个 或 多 个 蜜 罐 ， 同 时 保 证 网 络 的 高 度 可 控 性 ， 以 及 提 供 多 种 工 具 以 方 便 对 攻 击 信 息 的 采 集 和 分 析 。 比 如 ， 默 安 科 技 的 幻 阵 ， 长 亭 的 谛 听 等 等 ， 均 已 经 扩 展 到 了 下 一 代 蜜 罐 或 者 密 网 的 概 念 ， 即 除 了 捕 获 分 析 攻 击 行 为 外 ， 蜜 罐 还 拥 有 对 攻 击 者 画 像 的 功 能 ， 而 实 质 上 除 了 演 习 行 动 过 程 中 如 能 正 确 溯 源 到 攻 击 者 而 有 加 分 的 表 现 外 ， 正 常 情 况 下 ， 一 般 的 企 业 对 于 此 类 蜜 罐 的 要 求 其 实 不 高 ， 且 其 本 质 上 需 要 昂 贵 的 部 署 费 用 和 绝 不 轻 松 的 部 署 推 广 ， 在 拥 有 大 型 网 络 的 企 业 里 面 ， 部 署 的 蜜 罐 探 针 的 数 量 决 定 了 以 后 运 维 的 难 度 ， 绝 不 仅 仅 是 一 个 上 了 系 统 就 不 用 管 的 大 型 工 具 ； 除 此 之 外 ， 内 网 蜜 罐 探 针 的 数 量 也 决 定 了 侦 测 节 点 分 布 度 ， 而 分 布 度 也 决 定 了 内 网 横 向 移 动 侦 测 点 的 敏 感 度 。 部 署 少 了 基 本 是 很 难 触 发 而 根 本 毫 无 建 树 的 。 那 么 有 没 有 一 种 便 捷 的 可 被 快 速 部 署 的 内 网 全 蜜 罐 方 案 呢 ？ 当 然 有 ， 有 钱 都 不 是 事 ， 恰 恰 ， 笔 者 属 于 没 钱 的 那 种 。 没 钱 还 要 有 安 全 ， 怎 么 办 ？ 自 己 整 ！ 由 此 ， 基 于 P o w e r s h e l l 脚 本 和 W i n d o w s 环 境 ， 我 搭 建 了 纯 0 成 本 方 案 的 哨 兵 蜜 网 ， 实 现 在 域 内 所 有 W i n d o w s 主 机 上 启 用 哨 兵 端 口 ， 从 而 实 现 全 域 W i n d o w s 主 机 蜜 网 监 控 ， 最 极 端 可 以 实 现 一 键 全 域 蜜 罐 方 案 。 虽 然 是 纯 预 警 级 别 的 密 网 监 控 ， 但 是 0 成 本 还 要 什 么 自 行 车 ？ 有 什 么 用 ？ 你 想 想 当 公 鸡 队 进 到 一 个 母 鸡 笼 子 的 时 候 ， 尝 试 用 它 锐 利 的 眼 光 “ 鸡 视 鸡 顾 “ 的 时 候 （ 扫 描 ） 突 然 发 现 周 边 怎 么 这 么 多 的 主 机 全 T M 的 开 了 服 务 端 口 啊 。 是 不 是 懵 了 ？ 是 不 是 吓 傻 了 ？ 这 是 进 了 鸡 窝 还 是 蜂 窝 啊 ？ 到 底 哪 个 是 母 真 鸡 ， 哪 个 是 仿 真 鸡 ？ 那 我 来 嗅 探 下 信 息 看 看 ？ B i n g o ， 一 旦 进 行 服 务 嗅 探 和 连 接 动 作 ， 即 刻 报 警 。
背 景 背 景 正 常 情 况 下 ， 企 业 部 署 的 蜜 罐 方 案 为 如 上 图 所 示 情 况 ， 分 别 在 公 网 ， D M Z 和 内 网 办 公 区 域 部 署 三 层 蜜 罐 系 统 。 而 我 们 今 天 仅 讨 论 如 何 在 内 网 区 域 变 “ 废 ” 为 宝 ， 搭 建 内 网 蜜 网 ， 而 非 仅 仅 几 个 可 怜 兮 兮 的 蜜 罐 。 当 然 ， 这 种 方 案 是 属 于 低 交 互 式 蜜 罐 ， 是 由 低 交 互 式 蜜 罐 构 成 的 全 蜜 罐 网 ， 将 我 们 的 现 行 服 务 器 组 装 成 为 一 个 一 个 的 哨 兵 ， 从 而 实 现 三 步 一 岗 ， 五 步 一 哨 ， 我 称 之 为 《 哨 兵 蜜 网 》 。 低 交 互 式 蜜 罐 的 工 作 原 理 其 实 并 不 复 杂 ， 一 旦 攻 击 者 突 破 外 网 ， 在 某 台 服 务 器 上 进 行 端 口 扫 描 探 测 ， 触 碰 蜜 罐 诱 捕 节 点 ， 从 而 将 蜜 罐 流 量 运 入 蜜 罐 服 务 器 ， 产 生 报 警 。 恰 如 下 图 所 示 ： 请 原 谅 我 唏 嘘 的 胡 茬 子 。 。 。 （ 纯 手 工 出 品 ） 目 前 大 多 数 蜜 罐 系 统 都 是 上 述 情 况 ， 在 各 个 网 段 中 捆 绑 某 些 I P 作 为 蜜 罐 节 点 ， “ 守 株 待 兔 “ 般 地 等 待 被 被 触 发 ， 而 启 用 哨 兵 蜜 网 之 后 ， 所 有 主 机 均 为 蜜 罐 ， 所 有 端 口 均 被 混 淆 ， 真 真 假 假 ， 虚 虚 实 实 。
在 这 里 ， 我 们 为 了 能 快 速 0 成 本 搭 建 报 警 系 统 ， 我 们 采 用 了 开 源 的 V i s u a l   S y s l o g   S e r v e r ， 传 送 门 ： h t t p s : / / m a x b e l k o v . g i t h u b . i o / v i s u a l s y s l o g / ，   简 单 介 绍 下 ， V i s u a l   S y s l o g   S e r v e r   f o r   W i n d o w s 是 一 个 免 费 的 开 源 程 序 ， 用 于 接 收 和 查 看 S y s l o g 消 息 。 当 然 ， 如 果 大 家 有 自 己 的 S Y S L O G 平 台 也 没 有 问 题 ， 如 果 能 对 收 集 到 的 S Y S L O G 日 志 进 行 进 一 步 处 理 的 S p l u n k 平 台 等 ， 那 当 然 更 加 好 ， 我 这 里 是 提 出 其 中 一 种 纯 开 源 免 费 方 案 。 之 所 以 使 用 V i s u a l   S y s l o g   S e r v e r   f o r   W i n d o w s ， 确 实 是 因 为 其 有 着 良 好 的 品 质 ， 可 盐 可 甜 ， 尤 其 是 自 带 的 消 息 流 程 处 理 模 块 ， 异 常 有 用 ， 可 对 我 们 的 S Y S L O G 日 志 进 行 消 息 处 理 ， 比 如 ， 触 发 某 条 件 后 ， 通 过 消 息 处 理 播 放 异 常 报 警 声 效 或 者 发 送 邮 件 执 行 程 序 等 等 。
具 体 怎 么 设 置 和 使 用 我 这 里 就 略 过 了 ， 基 本 上 属 于 一 装 即 用 的 那 种 ， 无 需 赘 言 。 我 们 先 自 行 安 装 搭 建 好 S y s l o g   S e r v e r 平 台 ， 供 哨 兵 蜜 网 收 集 日 志 所 用 。
设 计 设 计 我 们 先 假 设 使 用 N m a p 对 内 网 进 行 存 活 主 机 扫 描 ， 我 们 可 以 看 到 其 中 一 台 目 标 主 机 为 开 了 8 0 ,   3 3 8 9 的 一 台 服 务 器 那 么 ， 现 在 尝 试 在 该 主 机 上 运 行 哨 兵 程 序 ， 启 用 哨 兵 端 口 ， 比 如 ：
我 这 里 开 启 了 2 1 ， 2 3 ， 8 0 ， 1 4 3 3 ， 3 3 8 9 端 口 ， 我 们 可 以 看 到 ， 其 中 8 0 和 3 3 8 9 已 经 被 系 统 占 用 ， 所 以 在 运 行 脚 本 后 ， 8 0 ， 3 3 8 9 端 口 因 被 占 用 而 后 台 任 务 自 动 显 示 完 成 状 态 ， 不 影 响 目 前 系 统 运 行 业 务 。 经 再 次 扫 描 ， 如 下 图 所 示 ， 可 以 发 现 已 开 启 新 端 口 ， 2 1 ， 2 3 ， 1 4 3 3 等 尝 试 用 t e l n e t 连 接 2 1 端 口 ， 可 以 看 到 S Y S L O G 服 务 器 收 到 告 警 日 志 在 另 外 一 个 测 试 案 例 里 面 ， 连 接 3 3 0 6 端 口 服 务 ， 触 发 报 警
那 么 我 们 来 测 试 下 N m a p 对 蜜 网 的 扫 描 情 况 吧 ， 在 主 机 上 启 用 如 下 端 口 N m a p   - s S   ( T C P   S Y N   扫 描 ， 无 报 警 ) N m a p   - s A   ( T C P   A C K   扫 描 ， 无 报 警 ) N m a p   - O   ( O S 检 测 扫 描 ， 无 报 警 )
N m a p   - s T   ( T C P   连 接 扫 描 ， 报 警 ) N m a p   - s V   ( 端 口 服 务 扫 描 ， 报 警 ) N m a p   - A   ( 全 扫 描 ， 报 警 ) 如 此 ， 对 S Y N 扫 描 不 敏 感 可 以 减 少 大 多 数 的 扫 描 情 况 ， 完 美 地 实 现 了 减 少 误 报 的 目 的 。 有 条 件 的 兄 弟 结 合 S P L U N K 等 数 据 平 台 即 可 实 现 漂 亮 的 数 据 可 视 化 和 报 警 警 告 ， 也 可 以 过 滤 进 一 步 的 误 报 和 组 合 报 警 情 况 ！ 完 美 ！ 部 署 部 署 开 头 就 提 过 ， 有 很 多 开 源 的 商 业 的 蜜 罐 方 案 也 都 非 常 高 级 ， 可 以 实 现 很 多 的 功 能 ， 但 是 在 部 署 方 面 却 都 往 往 不 是 那 么 容 易 ， 需 要 各 项 资 源 的 调 配 ， 而 本 文 的 哨 兵 蜜 网 在 部 署 方 面 却 有 着 天 然 的 优 势 ， 哨 兵 程 序 本 体 是 由 P o w e r S h e l l 脚 本 组 成 ， 依 赖 于 W i n d o w s 服 务 ， 优 势 也 很 明 显 ， 可 通 过 域 控 进 行 部 署 ， 哨 兵 程 序 可 以 运 行 在 低 权 限 用 户 下 面 ， P S 脚 本 本 身 可 以 进 行 简 单 的 修 改 ， 将 端 口 号 ， 白 名 单 全 部 硬 写 入 脚 本 文 件 本 身 ， 再 进 行 一 定 程 度 的 混 淆 ， 比 如 通 过 I n v o k e - O b f u s c a t i o n 脚 本 进 行 加 密 等 等 。 代 码 中 ， 本 身 也 可 以 实 现 邮 件 告 警 ， 但 是 一 般 不 建 议 直 接 邮 件 告 警 ， 因 为 邮 件 系 统 对 于 去 重 和 归 类 的 处 理 实 在 不 咋 地 ， 最 佳 实 现 方 法 应 该 还 是 属 于 S P L U N K / E L K / G R A Y L O G 等 方 案 。 下 面 我 就 简 单 地 提 供 几 个 部 署 方 案 ， 既 然 是 批 处 理 ， P o w e r s h e l l 脚 本 ， 当 然 大 家 可 以 自 行 发 挥 咯 。 方 案 一 ， 最 简 单 的 方 案 ， 在 需 要 运 行 的 主 机 上 执 行 哨 兵 程 序 部 署 迷 惑 端 口 即 可 ， 随 关 闭 而 消 失 ， 所 以 可 以 使 用 P S E X E C 或 者 其 他 系 统 大 批 量 部 署 到 主 机 上 面 ， 甚 至 可 以 要 求 用 户 手 动 执 行 。 方 案 二 ， 通 过 计 划 任 务 部 署 定 时 计 划 ， 随 开 机 而 启 动 ， 不 过 注 意 ， 如 果 想 要 后 台 运 行 计 划 任 务 ， 需 要 进 行 适 当 调 整 。 如 果 你 是 运 行 在 A D M I N 权 限 ， 那 就 无 所 谓 ， 只 需 要 加 上 延 迟 执 行 时 间 即 可 。 （ 目 的 是 防 止 哨 兵 程 序 在 随 系 统 启 动 后 优 先 于 系 统 正 常 服 务 占 用 端 口 ） 因 为 我 们 考 虑 设 置 低 权 限 用 户 ， 在 本 地 安 全 策 略 里 面 ， 添 加
设 置 计 划 任 务 的 时 候 ， 尽 量 延 迟 任 务 时 间 ， 最 少 5 分 钟 以 上 。
方 案 三 ， 最 简 单 的 方 法 ， 也 是 最 傻 瓜 的 方 法 ， 一 键 全 域 蜜 网 ， 聪 明 的 人 都 猜 得 到 ， 通 过 G P O 下 派 执 行 命 令 即 可 ， 当 然 为 了 不 让 人 轻 易 看 到 脚 本 内 容 ， 可 对 脚 本 进 行 混 淆 加 密 。 注 意 ， 因 为 需 要 保 持 代 码 不 退 出 ， P o w e r s h e l l 执 行 的 时 候 需 要 加 上 参 数   - n o e x i t ， 所 以 在 进 行 G P O 下 派 执 行 的 时 候 必 须 注 意 运 行 权 限 为 S Y S T E M ， 所 以 ， 担 心 的 朋 友 需 要 慎 重 考 虑 执 行 权 限 和 其 他 方 法 。 当 然 ， 也 可 以 通 过 启 动 脚 本 执 行 ， 自 启 动 菜 单 等 等 ， 方 法 太 多 了 ， 就 不 讲 了 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理