搜索

[15914] 2020-10-01_浅谈虚假日志干扰SIEM平台安全监测机制

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-01_浅谈虚假日志干扰SIEM平台安全监测机制 浅 谈 虚 假 日 志 干 扰 S I E M 平 台 安 全 监 测 机 制 c l o u d s   F r e e B u f   2 0 2 0 - 1 0 - 0 1 为 确 保 网 络 安 全 ， 减 少 攻 击 者 入 侵 的 可 能 性 ， 组 织 机 构 中 部 署 的 安 全 信 息 和 事 件 管 理 系 统 （ S I E M ） 需 要 对 进 出 网 络 的 行 为 执 行 实 时 的 日 志 收 集 、 分 析 和 预 警 处 理 ， S I E M 系 统 中 会 涉 及 到 大 量 的 日 志 收 集 设 备 。 但 也 存 在 另 外 一 种 可 能 ， 攻 击 者 可 以 对 S I E M 系 统 中 的 日 志 收 集 设 备 形 成 虚 假 日 志 ， 实 现 干 扰 S I E M 的 安 全 行 为 监 测 目 的 。 本 文 就 来 探 讨 身 处 内 网 的 攻 击 者 如 何 对 日 志 收 集 设 备 发 起 虚 假 日 志 攻 击 ， 文 章 仅 为 思 路 分 享 ， 不 代 表 实 战 观 点 。 理 论 思 路 理 论 思 路 要 对 S I E M 系 统 日 志 收 集 设 备 形 成 虚 假 日 志 ， 主 要 有 两 步 ： 1 、 发 现 目 标 日 志 收 集 设 备 的 日 志 格 式 2 、 按 格 式 生 成 相 应 的 虚 假 日 志 前 提 条 件 ： 身 处 目 标 网 络 中 的 一 台 设 备 。 可 以 点 击 L e t s d e f e n d . i o 的 S I E M 仿 真 实 验 室 进 行 练 手 。 发 现 目 标 日 志 收 集 设 备 的 日 志 格 式 发 现 目 标 日 志 收 集 设 备 的 日 志 格 式 如 果 目 标 日 志 收 集 设 备 使 用 的 是 扩 展 的 日 志 格 式 （ L E E F ） ， 而 我 们 向 其 发 送 了 通 用 的 事 件 格 式 （ C E F ） ， 那 就 会 出 现 解 析 问 题 。 这 里 我 们 可 以 用 以 下 两 种 方 法 判 断 目 标 监 控 设 备 的 日 志 格 式 ： 应 用 程 序 识 别 应 用 程 序 识 别 识 别 目 标 日 志 收 集 设 备 在 网 络 中 监 测 的 前 端 应 用 程 序 ， 然 后 对 该 应 用 程 序 的 属 性 和 日 志 流 进 行 分 析 ； 网 络 流 量 监 测 分 析 , 如 果 网 络 系 统 中 的 日 志 信 息 未 经 加 密 进 行 传 输 ， 一 般 都 能 发 现 其 具 体 的 日 志 格 式 。 生 成 虚 假 日 志 生 成 虚 假 日 志 根 据 上 一 阶 段 的 分 析 ， 构 造 虚 假 日 志 发 送 给 目 标 日 志 收 集 设 备 。
实 例 测 试 实 例 测 试 用 以 下 简 单 的 网 络 系 统 为 例 ， 网 络 架 构 中 部 署 了 一 台 针 对 客 户 端 的 日 志 收 集 设 备 ， 它 是 基 于 S p l u n k 的 日 志 系 统 ， 其 收 集 的 日 志 信 息 会 传 递 给 监 测 分 析 设 备 进 行 关 联 分 析 ， 并 给 出 威 胁 报 警 。 攻 击 者 潜 入 网 络 ， 开 始 信 息 探 测 ， 按 照 上 述 步 骤 首 先 来 识 别 日 志 收 集 设 备 的 日 志 收 集 格 式 。 这 一 步 他 应 该 会 对 日 志 收 集 设 备 执 行 端 口 扫 描 ： 从 扫 描 结 果 可 以 看 出 ， 日 志 收 集 设 备 系 统 中 运 行 有 S p l u n k 服 务 ， 假 设 端 口 5 1 4 和 1 2 3 4 用 于 日 志 信 息 收 集 ， 之 后 ， 攻 击 者 通 过 网 络 流 量 监 听 ， 会 发 现 端 口 1 2 3 4 用 于 T C P 包 的 传 输 ： 从 实 际 的 传 输 包 中 可 以 看 到 ， 整 个 网 络 数 据 并 未 采 取 加 密 措 施 ， 因 此 可 以 从 中 发 现 具 体 的 日 志 格 式 ：
有 了 这 种 明 文 的 日 志 格 式 ， 接 下 来 就 是 构 造 日 志 的 问 题 了 。 这 里 虚 假 日 志 的 目 的 各 有 不 同 ， 例 如 可 以 发 送 大 体 积 日 志 以 堵 塞 日 志 收 集 功 能 ， 或 是 用 虚 假 攻 击 日 志 欺 骗 系 统 管 理 员 （ A n a l y s t ） ， 也 可 即 时 发 送 大 量 日 志 消 息 延 迟 日 志 处 理 机 制 ， 等 等 。 为 了 分 散 系 统 管 理 员 的 注 意 力 ， 基 于 上 述 格 式 ， 攻 击 者 可 以 伪 造 出 以 下 尝 试 S Q L 注 入 的 日 志 格 式 ： 之 后 ， 把 类 似 大 量 的 日 志 发 往 日 志 收 集 设 备 的 1 2 3 4 端 口 ： 管 理 员 在 日 志 收 集 设 备 中 看 到 以 下 的 记 录 信 息 ， 攻 击 者 也 成 功 实 现 了 干 扰 目 的 。 预 防 措 施 预 防 措 施 针 对 日 志 收 集 设 备 实 施 白 名 单 通 信 机 制 ； 监 控 即 时 日 志 流 量 ， 对 异 常 的 增 加 / 减 少 日 志 发 出 警 报 ； 对 日 志 传 输 信 息 进 行 加 密 处 理 。 精 彩 推 荐 精 彩 推 荐 1 9 2 . 1 6 8 . 1 3 1 . 2 3   –   –   [ 1 9 / A p r / 2 0 2 0 : 1 1 : 3 3 : 2 3   - 0 7 0 0 ]   “ G E T   / r e a d . p h p ? i d = 1 % 2 7 % 2 0 U N I O N % 2 0 A L L % 2 0 S E L E C T % 2 0 L O A D _ F I L E ( % 2 7 / e t c / p a s s w d % 2 7 )   H T T P / 1 . 1 ”   4 0 4   2 0 8   “ - ”   “ M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 0 . 0 . 3 9 8 7 . 1 6 3   S a f a r i / 5 3 7 . 3 6 ”
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理