搜索

[21001] 2020-05-02_从攻击者角度解读防护思路

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-05-02_从攻击者角度解读防护思路 从 攻 击 者 角 度 解 读 防 护 思 路 L e m o n S e c   2 0 2 0 - 0 5 - 0 2 最 近 圈 内 关 于 红 蓝 对 抗 ， 安 全 防 护 服 务 的 讨 论 很 热 烈 ， 原 因 相 信 大 家 都 是 很 清 楚 的 。 目 前 来 看 ， 很 多 企 事 业 单 位 对 “ 安 全 之 痛 ” 还 缺 乏 体 会 ， 国 内 安 全 防 护 水 平 的 发 展 很 大 程 度 上 仍 然 需 要 监 管 部 门 来 推 动 。 最 近 很 多 文 章 都 在 强 调 攻 击 能 力 的 重 要 性 ， 由 于 我 本 人 长 年 从 事 安 全 防 护 产 品 研 究 和 安 全 防 护 工 作 ， 所 以 本 文 将 从 攻 击 能 力 服 务 促 进 安 全 体 系 改 进 提 升 的 角 度 进 行 探 讨 。 随 着 各 企 业 对 安 全 防 护 的 重 视 不 断 加 强 ， 流 量 分 析 、 E D R 、 蜜 罐 、 白 名 单 等 专 业 监 测 与 防 护 技 术 被 防 守 队 广 泛 采 用 。 攻 击 难 度 的 加 大 也 迫 使 攻 击 队 全 面 升 级 ， 诸 如 0 d a y 漏 洞 攻 击 、 1 d a y 漏 洞 攻 击 、 身 份 仿 冒 、 钓 鱼 W i F i 、 鱼 叉 邮 件 、 水 坑 攻 击 等 高 级 攻 击 手 法 ， 在 实 战 攻 防 演 练 中 均 已 不 再 罕 见 ， 攻 防 演 习 与 网 络 实 战 的 水 平 更 加 接 近 。 什 么 是 红 蓝 对 抗 在 军 事 领 域 ， 演 习 是 专 指 军 队 进 行 大 规 模 的 实 兵 演 习 ， 演 习 中 通 常 分 为 红 军 、 蓝 军 ， 演 习 多 以 红 军 守 、 蓝 军 进 攻 为 主 。 类 似 于 军 事 领 域 的 红 蓝 军 对 抗 ， 网 络 安 全 中 ， 红 蓝 军 对 抗 则 是 一 方 扮 演 黑 客 （ 蓝 军 ） ， 一 方 扮 演 防 御 者 （ 红 军 ） 。 在 国 外 的 话 ， 进 行 渗 透 攻 击 的 团 队 经 常 称 做 红 队 ， 在 国 内 称 为 蓝 军 实 际 上 应 该 是 比 较 准 确 的 叫 法 。 红 蓝 对 抗 的 目 的 安 全 是 一 个 整 体 ， 正 如 木 桶 定 律 ， 最 短 的 木 板 是 评 估 木 桶 品 质 的 标 准 ， 安 全 最 薄 弱 环 节 也 是 决 定 系 统 好 坏 的 关 键 。 而 网 络 红 蓝 军 对 抗 的 目 的 就 是 用 来 评 估 企 业 安 全 性 ， 有 助 于 找 出 企 业 安 全 中 最 脆 弱 的 环 节 ， 提 升 企 业 安 全 能 力 的 建 设 。 红 蓝 对 抗 和 渗 透 测 试 的 区 别 渗 透 测 试 渗 透 测 试 ， 是 通 过 模 拟 黑 客 攻 击 行 为 ， 评 估 企 业 网 络 资 产 的 状 况 。 通 过 渗 透 测 试 ， 企 业 及 机 构 可 以 了 解 自 身 全 部 的 网 络 资 产 状 态 ， 可 以 从 攻 击 角 度 发 现 系 统 存 在 的 隐 性 安 全 漏 洞 和 网 络 风 险 ， 有 助 于 进 一 步 企 业 构 建 网 络 安 全 防 护 体 系 。 渗 透 测 试 结 束 后 ， 企 业 还 可 以 了 解 自 身 网 络 系 统 有 无 合 法 合 规 、 遵 从 相 关 安 全 条 例 。 渗 透 测 试 作 为 一 种 全 新 的 安 全 防 护 手 段 ， 让 安 全 防 护 从 被 动 转 换 成 主 动 ， 正 被 越 来 越 多 企 业 及 机 构 认 可 。 在 渗 透 测 试 前 ， 安 全 团 队 需 得 到 企 业 及 机 构 的 授 权 ， 才 可 以 开 始 。 同 时 ， 需 要 与 企 业 沟 通 及 确 定 攻 击 目 标 、 范 围 （ 内 网 o r 外 网 ） 、 规 则 （ 时 长 、 能 深 入 到 哪 个 程 度 ） 等 。 以 上 确 定 后 ， 便 开 始 渗 透 ， 主 要 分 为 以 下 几 个 步 骤 ： 信 息 收 集 ： 收 集 攻 击 目 标 相 关 信 息 ， 如 I P 、 网 段 、 端 口 、 域 名 、 操 作 系 统 、 应 用 信 息 、 服 务 器 类 型 、 防 护 信 息 等 。 发 现 漏 洞 ： 收 集 以 上 信 息 后 ， 使 用 相 应 的 漏 洞 进 行 检 测 ， 如 系 统 有 无 及 时 打 补 丁 、 服 务 器 配 置 有 无 错 误 、 有 无 出 现 开 发 漏 洞 等 。 再 对 目 标 漏 洞 进 行 探 测 、 分 析 、 制 定 相 应 的 攻 击 路 径 。 漏 洞 利 用 ： 对 漏 洞 发 动 攻 击 ， 获 得 最 高 权 限 ， 取 得 敏 感 信 息 。 入 侵 结 束 后 ， 需 要 清 除 入 侵 痕 迹 ， 并 将 整 理 渗 透 过 程 中 资 产 信 息 、 漏 洞 信 息 、 运 用 工 具 等 信 息 ， 最 终 形 成 报 告 ， 汇 报 给 甲 方 。   红 蓝 队 对 抗 渗 透 测 试 是 每 个 企 业 防 护 基 础 工 作 之 一 ， 但 这 紧 紧 代 表 企 业 网 络 系 统 正 合 法 合 规 的 运 行 着 。 然 而 企 业 的 业 务 场 景 是 动 态 变 化 的 ， 黑 客 的 攻 击 手 法 、 0 d a y 漏 洞 更 是 层 出 不 穷 ， 企 业 的 网 络 防 护 系 统 能 否 对 此 进 行 及 时 的 应 急 响 应 呢 ？ 企 业 及 机 构 面 临 的 挑 战 ： 0 d a y 漏 洞 （ 升 级 漏 洞 组 件 、 加 w a f 规 则 等 ） 代 码 、 框 架 层 的 业 务 漏 洞 D D o s 攻 击 、 A P T 攻 击 等 复 杂 多 样 的 攻 击 红 蓝 队 对 抗 便 是 针 对 此 方 面 的 测 试 。 红 蓝 队 对 抗 是 以 蓝 队 模 拟 真 实 攻 击 ， 红 队 负 责 防 御 （ 与 国 外 刚 好 相 反 ） ， 最 终 的 结 果 是 攻 防 双 方 都 会 有 进 步 。 红 蓝 队 对 抗 能 挖 掘 出 渗 透 测 试 中 所 没 注 意 到 风 险 点 ， 并 且 能 持 续 对 抗 ， 不 断 提 升 企 业 系 统 的 安 全 防 御 能 力 。 在 模 拟 攻 击 过 程 中 ， 为 了 尽 可 能 全 面 测 试 整 个 企 业 的 网 络 系 统 ， 蓝 队 攻 击 手 法 会 显 得 更 复 杂 ， 而 攻 击 路 径 的 覆 盖 率 更 高 。 蓝 队 通 过 黑 客 视 角 ， 自 动 化 的 发 起 大 规 模 、 海 量 节 点 的 实 战 攻 击 ， 以 便 测 试 红 队 在 各 个 业 务 场 景 的 应 急 响 应 能 力 。 红 蓝 队 对 抗 与 渗 透 测 试 都 是 模 拟 黑 客 攻 击 ， 但 有 以 下 的 不 同 点 ： 时 间 ： 在 渗 透 测 试 中 会 制 定 明 确 的 时 间 点 完 成 （ 通 常 是 两 星 期 ） ， 而 红 蓝 队 对 抗 并 无 明 确 时 间 ， 两 星 期 或 半 年 都 可 以 。
技 术 ： 红 蓝 队 对 抗 不 单 止 需 要 渗 透 技 术 ， 还 需 要 懂 得 机 器 学 习 、 自 动 化 等 技 术 。 过 程 ： 渗 透 测 试 过 程 是 有 条 不 絮 的 进 行 。 而 红 队 攻 击 过 程 中 不 会 全 面 收 集 企 业 资 产 ， 也 不 会 进 行 大 规 模 漏 洞 扫 描 。 红 队 攻 击 的 策 略 主 要 是 依 据 蓝 队 防 护 策 略 、 工 具 等 ， 拥 有 不 定 性 。 输 出 ： 红 蓝 队 对 抗 后 会 出 现 清 晰 的 脆 弱 点 、 攻 击 路 径 及 解 决 方 案 。 目 的 ： 渗 透 测 试 是 为 了 了 解 自 身 网 络 资 产 是 否 存 在 风 险 点 ； 而 红 蓝 队 对 抗 更 对 是 了 解 自 身 网 络 资 产 能 否 在 遭 受 攻 击 后 能 迅 速 进 行 应 急 响 应 。 关 注 点 ： 红 蓝 队 对 抗 更 专 注 的 是 应 用 层 上 的 漏 洞 ， 而 不 是 信 息 技 术 上 的 漏 洞 。   红 队 眼 中 的 防 守 弱 点 通 过 参 加 多 次 攻 防 演 习 ， 发 现 各 行 业 安 全 防 护 具 备 如 下 特 点 ： 一 、 资 产 混 乱 、 隔 离 策 略 不 严 格 除 了 大 型 银 行 之 外 ， 很 多 行 业 对 自 身 资 产 情 况 比 较 混 乱 ， 没 有 严 格 的 访 问 控 制 （ A C L ） 策 略 ， 且 办 公 网 和 互 联 网 之 间 大 部 分 相 通 ， 可 以 直 接 使 远 程 控 制 程 序 上 线 。 除 了 大 型 银 行 与 互 联 网 行 业 外 ， 其 他 很 多 行 业 在 D M Z 区 和 办 公 网 之 间 不 做 或 很 少 做 隔 离 ， 网 络 区 域 划 分 也 不 严 格 ， 给 了 红 队 很 多 可 乘 之 机 。 此 外 ， 几 乎 所 有 行 业 的 下 级 单 位 和 上 级 单 位 的 业 务 网 都 可 以 互 通 。 而 除 了 大 型 银 行 之 外 ， 其 他 很 多 行 业 的 办 公 网 也 大 部 分 完 全 相 通 ， 缺 少 必 要 的 分 区 隔 离 。 所 以 ， 红 队 往 往 可 以 轻 易 地 实 现 实 施 从 子 公 司 入 侵 母 公 司 ， 从 一 个 部 门 入 侵 其 他 部 门 的 策 略 。   二 、 通 用 中 间 件 未 修 复 漏 洞 较 多 通 过 中 间 件 来 看 ， W e b l o g i c 、 W e b s p h e r e 、 T o m c a t 、 A p a c h e 、 N g i n x 、 I I S 都 有 使 用 。 W e b l o g i c 应 用 比 较 广 泛 ， 因 存 在 反 序 列 化 漏 洞 ， 所 以 常 常 会 被 作 为 打 点 和 内 网 渗 透 的 突 破 点 。 所 有 行 业 基 本 上 都 有 对 外 开 放 的 邮 件 系 统 ， 可 以 针 对 邮 件 系 统 漏 洞 ， 譬 如 跨 站 漏 洞 、 X X E 漏 洞 等 来 针 对 性 开 展 攻 击 ， 也 可 以 通 过 钓 鱼 邮 件 和 鱼 叉 邮 件 攻 击 来 开 展 社 工 工 作 ， 均 是 比 较 好 的 突 破 点 。   三 、 边 界 设 备 成 为 进 入 内 网 的 缺 口 从 边 界 设 备 来 看 ， 大 部 分 行 业 都 会 搭 建 V P N 设 备 ， 可 以 利 用 V P N 设 备 的 一 些 S Q L 注 入 、 加 账 号 、 远 程 命 令 执 行 等 漏 洞 开 展 攻 击 ， 亦 可 以 采 取 钓 鱼 、 爆 破 、 弱 口 令 等 方 式 来 取 得 账 号 权 限 ， 最 终 绕 过 外 网 打 点 环 节 ， 直 接 接 入 内 网 实 施 横 向 渗 透 。   四 、 内 网 管 理 设 备 成 扩 大 战 果 突 破 点 从 内 网 系 统 和 防 护 设 备 来 看 ， 大 部 分 行 业 都 有 堡 垒 机 、 自 动 化 运 维 、 虚 拟 化 、 邮 件 系 统 和 域 环 境 ， 虽 然 这 些 是 安 全 防 护 的 集 中 管 理 设 备 ， 但 往 往 由 于 缺 乏 定 期 的 维 护 升 级 ， 反 而 都 可 以 作 为 开 展 权 限 扩 大 的 突 破 点 。   容 易 出 问 题 的 点 ： 互 联 网 应 用 框 架 R C E 应 用 和 中 间 件 管 理 后 台 暴 露 V P N ： 未 启 用 双 因 素 ， 或 存 在 未 启 用 双 因 素 的 部 分 用 户 测 试 环 境 的 测 试 系 统 未 及 时 打 补 丁 、 弱 密 码 通 过 邮 件 入 口 控 制 办 公 终 端 跨 两 网 的 设 备 服 务 器 密 码 同 质 问 题 社 工   防 护 思 路
“ 以 攻 促 防 ” 作 为 当 户 人 员 ， 了 解 外 部 攻 击 者 非 常 重 要 。 知 彼 才 能 知 己 。 从 攻 击 者 角 度 出 发 ， 了 解 攻 击 者 的 思 路 与 打 法 ， 了 解 攻 击 者 思 维 ， 并 结 合 本 单 位 实 际 网 络 环 境 、 运 营 管 理 情 况 ， 制 定 相 应 的 技 术 防 御 和 响 应 机 制 ， 才 能 在 防 守 过 程 中 争 取 主 动 权 。 红 队 攻 击 常 规 链 条 ， 总 结 为 ： “ 从 内 到 外 、 从 内 到 内 、 从 内 到 外 “ “ 从 外 到 内 ” 主 要 检 验 企 业 的 边 界 防 护 能 力 、 员 工 的 安 全 意 识 以 及 供 应 链 上 的 安 全 风 险 等 ； 这 部 分 的 攻 击 方 法 会 涉 及 到 w e b 攻 击 、 邮 件 钓 鱼 、 社 工 测 试 、 第 三 方 供 应 链 攻 击 等 。 “ 从 内 到 内 ” 主 要 检 验 企 业 内 部 安 全 的 防 护 能 力 和 内 部 安 全 威 胁 感 知 能 力 等 ； 这 部 分 的 攻 击 方 法 会 涉 及 到 内 部 的 横 向 渗 透 、 系 统 提 权 攻 击 、 后 门 隐 藏 甚 至 会 用 到 一 些 0 D a y 漏 洞 ， 有 点 A P T 的 味 道 。 “ 从 内 到 外 ” 主 要 检 验 企 业 对 于 安 全 威 胁 感 知 能 力 和 信 息 数 据 外 传 泄 露 的 检 测 能 力 等 ； 这 部 分 的 攻 击 方 法 会 涉 及 隐 藏 的 反 弹 S h e l l （ 绕 过 防 火 墙 ） 、 隐 蔽 隧 道 数 据 传 输 等 。 从 这 个 三 个 方 面 的 攻 击 链 条 来 看 ， 安 全 防 护 体 系 的 纵 深 性 、 联 动 性 和 全 面 感 知 是 非 常 重 要 的 。 从 外 到 内 ： 企 业 资 产 管 理 、 员 工 意 识 提 升 、 供 应 链 安 全 主 要 检 验 企 业 的 边 界 防 护 能 力 、 员 工 的 安 全 意 识 以 及 供 应 链 上 的 安 全 风 险 等 ； 通 过 多 次 演 习 经 验 总 结 ， 门 户 网 站 防 护 很 强 ， 很 难 正 面 硬 打 ， 大 部 分 突 破 口 都 在 信 息 泄 露 、 社 工 、 0 d a y 。 之 前 君 哥 曾 针 对 企 业 弱 点 做 过 总 结 ： 1 . N d a y 的 杀 伤 力 ， 从 多 次 护 网 行 动 来 看 ， 很 多 目 标 系 统 存 在 很 多 已 公 开 的 漏 洞 并 未 修 补 导 致 攻 击 队 伍 可 以 轻 松 利 用 。 2 . 口 令 安 全 ， 公 网 和 内 网 的 弱 口 令 非 常 多 ， 1 2 3 4 5 6 / a d m i n / a d m i n 8 8 8 等 等 3 . 内 网 主 机 安 全 做 得 不 全 ， 无 论 是 从 永 恒 之 蓝 漏 洞 ， 还 是 提 权 漏 洞 都 能 够 轻 松 利 用 4 . 安 全 意 识 的 欠 缺 ， 代 码 托 管 / 敏 感 信 息 随 意 存 放 / 邮 件 传 输 敏 感 信 息 / 个 人 安 全 意 识 欠 缺 等 5 . 对 于 内 网 攻 击 没 有 很 好 的 防 范 措 施 ， 监 控 / 响 应 / 溯 源 及 时 性 不 够 从 外 到 内 的 攻 击 ， 第 一 步 都 是 信 息 收 集 ， 对 目 标 企 业 进 行 踩 点 ： 尽 可 能 多 的 去 搜 集 目 标 环 境 各 类 信 息 。 目 的 是 获 取 渗 透 目 标 的 准 确 信 息 ， 以 了 解 目 标 组 织 的 运 作 方 式 ， 确 定 最 佳 的 进 攻 路 线 。 如 果 信 息 搜 集 工 作 不 够 细 致 ， 那 么 你 可 能 会 与 可 利 用 的 系 统 漏 洞 或 可 实 施 攻 击 的 目 标 失 之 交 臂 。 这 就 需 要 企 业 对 外 网 资 产 的 梳 理 及 内 部 人 员 意 识 的 培 训 资 产 的 梳 理 其 中 包 括 ： 互 联 网 资 产 、 分 支 机 构 资 产 、 子 公 司 资 产 、 外 联 公 司 资 产 、 公 有 云 资 产 、 开 发 商 、 外 包 商 。 根 据 多 次 演 习 讲 演 ， 开 发 商 外 包 商 往 往 成 了 最 大 的 突 破 口 。 开 发 商 / 外 包 商 一 般 给 甲 方 外 包 开 发 信 息 系 统 ， 开 发 商 / 外 包 商 公 司 内 部 也 会 自 建 G i t / S V N 等 源 代 码 管 理 服 务 器 ， 存 有 已 经 交 付 给 甲 方 的 信 息 系 统 源 码 ， 而 开 发 商 / 外 包 商 的 源 码 系 统 管 理 安 全 能 力 和 甲 方 相 比 可 能 就 差 几 个 量 级 了 。 后 果 就 是 ： 通 过 获 得 的 源 码 ， 发 现 系 统 应 用 0 d a y ， 从 而 控 制 甲 方 已 上 线 信 息 系 统 。 开 发 商 / 外 包 商 有 的 不 止 承 接 一 个 企 业 的 外 包 业 务 - - 公 司 业 务 较 多 ， 人 员 抱 有 侥 幸 心 理 ， 好 多 系 统 着 急 上 线 ， 都 是 安 全
给 业 务 让 步 。 导 致 系 统 是 带 问 题 上 线 的 ， 然 后 业 务 人 员 又 忘 了 后 期 以 及 修 补 ， 以 及 运 维 人 员 部 署 的 测 试 环 境 忘 记 下 线 。 分 支 机 构 资 产 、 子 公 司 资 产 、 外 联 公 司 资 产 也 是 常 见 突 破 口 ， 内 部 人 员 安 全 意 识 比 较 低 ， 员 工 技 术 水 平 、 工 作 经 验 差 距 较 大 ， 内 部 研 发 人 员 g i t h u b 共 享 项 目 代 码 而 不 进 行 脱 敏 ， g i t h u b 也 是 近 几 年 出 现 安 全 事 件 频 率 较 高 的 。 分 支 机 构 资 产 、 子 公 司 资 产 、 外 联 公 司 资 产 管 理 不 明 确 ， 灰 色 资 产 较 多 ， 出 现 问 题 后 无 法 定 位 到 资 产 所 属 负 责 人 。   按 企 业 资 产 属 性 划 分 的 话 ， 对 资 产 梳 理 主 要 有 ： 域 名 、 i p 、 端 口 、 中 间 件 或 框 架 、 开 放 在 公 网 的 A P I 接 口 、 测 试 资 产 、 管 理 后 台 、 认 证 点 、 远 程 接 入 点 、 特 权 账 号 、 特 殊 账 号 、 高 危 功 能 点 。 首 先 是 对 内 部 资 产 的 梳 理 、 域 名 以 及 对 应 I P 、 服 务 器 等 ， 并 对 应 到 相 关 负 责 人 。 定 期 对 内 部 资 产 进 行 梳 理 、 定 期 对 外 网 资 产 进 行 排 查 ， 查 看 是 否 存 在 无 人 维 护 的 僵 尸 资 产 等 。 域 名 ， 清 理 域 名 资 产 ， 内 部 系 统 限 制 对 外 访 问 权 限 ， 以 及 后 台 登 陆 界 面 的 账 号 密 码 登 录 规 则 的 限 制 ， 后 台 登 录 界 面 最 好 不 要 直 接 开 放 在 公 网 或 通 过 V P N 接 入 等 方 式 访 问 。 V p n 接 入 点 账 号 的 管 理 尤 为 重 要 ， 是 企 业 一 个 重 要 的 突 破 口 。 i p ： 清 理 外 网 i p 泄 露 ， 如 果 真 实 I P 仅 仅 通 过 信 息 泄 露 就 被 攻 击 者 收 集 到 ， 完 全 减 少 了 攻 击 者 绕 过 C D N 的 时 间 ， 缩 短 了 攻 击 队 伍 的 时 间 成 本 ， 所 以 外 网 真 实 I P 要 做 清 理   。 真 实 I P 泄 露 的 可 能 地 方 ： j s ， g i t h u t , w e b 站 点 报 错 、 以 及 A P P 和 微 信 接 口 。 测 试 资 产 ： 测 试 环 境 不 应 开 发 在 外 网 ， 如 必 须 要 开 放 ， 应 配 置 访 问 权 限 ， 非 参 与 测 试 人 员 如 外 网 访 问 权 限 。 端 口 ： 以 及 4 4 3   ， 高 危 端 口 2 1 . 2 2 . 3 3 8 9 等 限 制 对 外 开 放 。 开 放 在 公 网 的 A P I 接 口 ： 限 制 访 问 权 限 ， 未 授 权 用 户 用 户 不 可 访 问 。 管 理 后 台 ： 内 网 后 台 限 制 对 外 访 问 ， 外 网 后 台 登 录 账 号 密 码 处 做 好 访 问 策 略 ： 验 证 码 、 双 因 子 认 证 方 式 、 以 及 登 录 错 误 次 数 的 限 制 、 密 码 复 杂 度 等 ； 高 危 功 能 ： 涉 及 常 见 w e b 漏 洞 ， 常 见 有 S Q L 注 入 ， X S S ， C S R F 、 文 件 上 传 、 文 件 下 载 等 漏 洞 。 要 求 其 研 发 人 员 要 有 安 全 编 码 的 能 力 。 并 要 求 企 业 定 期 对 内 部 资 产 进 行 渗 透 测 试 ， 自 测 网 站 安 全 性 及 快 速 修 复 。 中 间 件 或 框 架 ： w e b 端 报 错 不 要 泄 露 中 间 件 版 本 信 息 ， 中 间 件 升 级 到 最 高 版 本 ， 低 版 本 中 间 件 以 往 都 爆 过 无 数 次 c v e 漏 洞 。 对 于 攻 击 者 来 说 ， 手 里 攒 有 大 量 P O C 是 日 常 。 我 层 在 演 习 中 见 过 多 家 企 业 都 使 用 s t r u t s 2 ， 而 且 漏 洞 也 是 相 对 古 老 。 特 殊 账 号 的 管 理 ： 1 、 服 务 账 户 （ 比 如 ， 备 份 账 户 ） ； 2 、 很 少 使 用 的 账 户 ； 3 、 应 急 使 用 的 账 户 ； 4 、 关 键 业 务 账 户 。 人 员 安 全 意 识 ： 对 内 部 员 工 定 期 进 行 安 全 培 训 ； 来 历 不 明 的 邮 件 附 件 不 要 随 意 点 开 、 聊 天 软 件 未 经 身 份 认 证 的 人 不 要 随 便 添 加 、 安 全 部 门 定 期 排 查 外 网 是 否 有 关 于 本 单 位 泄 露 的 敏 感 文 件 、 账 号 等 。 信 息 泄 露 的 清 理 ： 所 有 内 部 文 档 服 务 器 上 （ 含 O A 、 邮 件 系 统 、 j i r a 、 w i k i 、 知 识 库 等 ） 敏 感 信 息 清 理 或 限 制 访 问 权 限 ， 不 要 有 ： 网 络 拓 扑 、 安 全 防 护 方 案 和 部 署 位 置 、 各 类 密 码 ； 安 全 运 营 部 门 应 定 期 对 企 业 关 键 字 进 行 监 控 搜 索 ， 排 查 是 否 有 敏 感 信 息 泄 露 在 外 网 。 资 产 管 理 平 台 上 ： 蜜 罐 不 要 叫 蜜 罐 、 安 全 设 备 I P 要 隐 藏 ；   从 外 到 内 、 从 内 到 内 ， 从 内 到 外 ： 纵 深 防 御 纵 深 防 御 理 论 就 很 适 用 于 网 络 防 守 。 互 联 网 端 防 护 、 内 外 部 访 问 控 制 （ 安 全 域 间 甚 至 每 台 机 器 之 间 ） 、 主 机 层 防 护 、 重 点 集 权 系 统 防 护 、 无 线 网 络 防 护 、 外 部 网 络 接 入 防 护 甚 至 物 理 层 面 的 防 护 ， 都 需 要 考 虑 进 去 。 通 过 层 层 防 护 ， 尽 量 拖 慢 攻 击 者 扩 大 战 果 的 时 间 ， 将 损 失 降 至 最 小 。 安 全 监 测 须 尽 量 做 到 全 面 覆 盖 ， 在 网 络 边 界 、 内 网 区 域 、 应 用 系 统 、 主 机 系 统 等 方 面 全 面 布 局 安 全 监 测 手 段 ， 同 时 ， 除 了 I D S 、 W A F 等 传 统 安 全 监 测 手 段 外 ， 尽 量 多 使 用 全 流 量 威 胁 检 测 、 网 络 分 析 系 统 、 蜜 罐 、 主 机 加 固 等 手 段 。   安 全 隔 离 ： 网 络 层 访 问 控 制 属 于 基 础 架 构 安 全 ， 这 是 最 有 效 最 重 要 的 ， 整 个 安 全 防 护 的 基 础 。 别 小 看 基 础 设 施 A C L 访 问 控 制 ， 这 是 对 抗 应 用 和 系 统 漏 洞 的 最 低 成 本 和 最 有 效 措 施 。 互 联 网 作 为 防 护 单 位 最 外 部 的 接 口 ， 是 重 点 防 护 区 域 。 互 联 网 端 的 防 护 工 作 可 通 过 部 署 网 络 防 护 设 备 和 开 展 攻 击 检 测 两 方 面 开 展 。 需 部 署 的 网 络 防 护 设 备 包 括 ： 下 一 代 防 火 墙 、 防 病 毒 网 关 、 全 流 量 分 析 设 备 、 防 垃 圾 邮 件 网 关 、 W A F （ 云 W A F ） 、 I P S 等 。 攻 击 检 测 方 面 。 如 果 有 条 件 ， 可 以 事 先 对 互 联 网 系 统 进 行 一 次 完 整 的 渗 透 测 试 ， 检 测 互 联 网 系 统 安 全 状 况 ， 查 找 存 在 的 漏 洞 。 从 内 网 去 互 联 网 的 访 问 ： 办 公 终 端 、 办 公 服 务 器 、 生 产 网 。 办 公 终 端 除 个 别 协 议 无 法 限 制 目 的 I P 外 ， 其 他 协 议 全 部 限 制 。 有 特 殊 需 求 需 要 开 通 的 时 候 ， 快 速 开 通 ， 专 人 跟 踪 ， 快 速 关 闭 。 终 端 不 要 直 接 访 问 互 联 网 ， 需 要 访 问 互 联 网 的 两 种 解 决 方 案 ： 另 外 分 配 一 台 上 网 终 端 、 虚 拟 浏 览 器 ： 将 有 风 险 的 互 联 网 浏 览 活 动 重 定 向 到 隔 离 的 云 托 管 浏 览 器 。 互 联 网 及 内 部 系 统 、 网 段 和 主 机 的 访 问 控 制 措 施 ， 是 阻 止 攻 击 者 打 点 、 内 部 横 向 渗 透 的 最 简 单 有 效 的 防 护 手 段 。 防 守 者 应 依 照 “ 必 须 原 则 ” ， 只 给 必 须 使 用 的 用 户 开 放 访 问 权 限 ， 按 此 原 则 梳 理 访 问 控 制 策 略 ， 禁 止 私 自 开 放 服 务 或 者 内 部 全 通 的 情 况 出 现 ， 通 过 合 理 的 访 问 控 制 措 施 尽 可 能 地 为 攻 击 者 制 造 障 碍 。 企 业 在 互 联 网 上 的 冠 名 网 站 、 接 口 、 V P N 等 对 外 服 务 必 然 会 成 为 攻 击 者 的 首 要 目 标 。 一 旦 一 个 点 突 破 后 ， 攻 击 者 会 迅 速 进 行 横 向 突 破 ， 争 取 控 制 更 多 的 主 机 ， 同 时 试 图 建 立 多 条 隐 蔽 隧 道 ， 巩 固 成 果 ， 使 防 守 者 顾 此 失 彼 。
  从 内 到 内 ： 横 向 渗 透 攻 击 者 的 横 向 渗 透   横 向 渗 透 攻 击 技 术 是 复 杂 网 络 攻 击 中 广 泛 使 用 的 一 种 技 术 ， 特 别 是 在 高 级 持 续 威 胁 （ A d v a n c e d   P e r s i s t e n t   T h r e a t s ， A P T ） 中 更 加 热 衷 于 使 用 这 种 攻 击 方 法 。 攻 击 者 可 以 利 用 这 些 技 术 ， 以 被 攻 陷 的 系 统 为 跳 板 ， 访 问 其 他 主 机 ， 获 取 包 括 邮 箱 、 共 享 文 件 夹 或 者 凭 证 信 息 在 内 的 敏 感 资 源 。 攻 击 者 可 以 利 用 这 些 敏 感 信 息 ， 进 一 步 控 制 其 他 系 统 、 提 升 权 限 或 窃 取 更 多 有 价 值 的 凭 证 。 借 助 此 类 攻 击 ， 攻 击 者 最 终 可 能 获 取 域 控 的 访 问 权 限 ， 完 全 控 制 基 于 W i n d o w s 系 统 的 基 础 设 施 或 与 业 务 相 关 的 关 键 账 户 。 进 入 内 网 后 ， 红 队 专 家 一 般 会 在 本 机 以 及 内 部 网 络 开 展 进 一 步 信 息 收 集 和 情 报 刺 探 工 作 。 包 括 收 集 当 前 计 算 机 的 网 络 连 接 、 进 程 列 表 、 命 令 执 行 历 史 记 录 、 数 据 库 信 息 、 当 前 用 户 信 息 、 管 理 员 登 录 信 息 、 总 结 密 码 规 律 、 补 丁 更 新 频 率 等 信 息 ； 同 时 对 内 网 的 其 他 计 算 机 或 服 务 器 的 I P 、 主 机 名 、 开 放 端 口 、 开 放 服 务 、 开 放 应 用 等 情 况 进 行 情 报 刺 探 。 再 利 用 内 网 计 算 机 、 服 务 器 不 及 时 修 复 漏 洞 、 不 做 安 全 防 护 、 同 口 令 等 弱 点 来 进 行 横 向 渗 透 扩 大 战 果 。 对 于 含 有 域 的 内 网 ， 红 队 专 家 会 在 扩 大 战 果 的 同 时 去 寻 找 域 管 理 员 登 录 的 蛛 丝 马 迹 。 一 旦 发 现 某 台 服 务 器 有 域 管 理 员 登 录 ， 就 可 以 利 用 M i m i k a t z 等 工 具 去 尝 试 获 得 登 录 账 号 密 码 明 文 ， 或 者 H a s h d u m p 工 具 去 导 出 N T L M 哈 希 ， 继 而 实 现 对 域 控 服 务 器 的 渗 透 控 制 。 外 网 防 护 因 某 个 脆 弱 点 被 攻 击 者 成 功 利 用 并 在 监 控 毫 无 发 现 的 情 况 下 进 入 内 容 ， 这 就 需 要 同 时 加 强 对 内 网 的 监 控 防 护 能 力 ， 以 尽 可 能 发 现 攻 击 者 。 这 就 是 为 什 么 我 之 前 多 篇 文 章 都 有 写 日 志 监 控 ， 企 业 的 日 志 监 控 防 护 尤 为 重 要 。 例 ： 攻 击 者 的 攻 击 行 为 会 存 在 某 些 异 常 特 征 。 例 如 ， 如 果 某 个 域 管 账 户 （ 如 m y - a d m i n ） 只 能 在 某 台 特 定 的 工 作 站 中 使 用 ， 那 么 在 其 他 工 作 站 中 使 用 这 个 域 管 账 户 就 显 得 非 常 可 疑 ， 意 味 着 域 环 境 中 可 能 存 在 横 向 渗 透 攻 击 。 因 此 ， 我 们 有 可 能 能 通 过 监 控 W i n d o w s 事 件 检 测 横 向 渗 透 攻 击 。 我 们 用 来 检 测 攻 击 的 主 要 法 则 为 ： “ 如 果 检 测 到 用 户 账 户 来 自 于 不 正 常 或 非 授 权 系 统 ， 或 者 在 不 正 常 或 非 授 权 系 统 中 使 用 ， 我 们 判 断 这 种 情 况 下 存 在 横 向 渗 透 攻 击 ” 。 我 们 需 要 注 意 以 下 几 点 ： 1 、 这 条 法 则 并 不 能 覆 盖 所 有 的 横 向 渗 透 攻 击 （ 某 些 特 权 账 户 的 使 用 检 测 起 来 比 较 困 难 ） 。 因 此 ， 我 们 需 要 维 护 一 张 包 含 合 法 的 “ 用 户 / 工 作 站 / I P 地 址 ” 三 元 组 的 列 表 ， 检 测 不 在 此 表 中 的 账 户 使 用 情 况 。 此 外 ， 单 独 使 用 三 元 组 列 表 并 不 能 检 测 所 有 的 攻 击 场 景 （ 比 如 ， 攻 击 者 发 起 的 来 自 合 法 的 用 户 / 工 作 站 的 资 源 访 问 请 求 ） 。 2 、 这 些 法 则 能 否 有 效 应 用 ， 主 要 由 已 有 的 策 略 、 活 动 目 录 结 构 以 及 网 络 隔 离 机 制 共 同 决 定 。 我 们 需 要 制 定 策 略 ， 监 控 专 用 主 机 （ 如 专 用 O U 、 管 理 员 工 作 站 ） 上 账 户 的 使 用 情 况 。 我 们 手 头 上 必 须 维 护 一 份 包 含 这 类 工 作 站 的 清 单 。 如 果 这 些 账 户 和 工 作 站 所 使 用 的 策 略 非 常 明 确 ， 那 么 我 们 在 检 测 横 向 渗 透 攻 击 时 的 效 率 也 会 越 高 ， 也 能 避 免 误 报 。 网 络 隔 离 机 制 将 有 助 于 识 别 横 向 渗 透 攻 击 ， 特 别 是 对 于 K e r b e r o s 而 言 ， 这 种 隔 离 机 制 更 加 有 效 ， 因 为 K e r b e r o s 并 没 有 在 相 关 日 志 事 件 中 提 供 具 体 的 主 机 名 信 息 。 3 、 为 了 检 测 使 用 本 地 账 户 （ 如 本 地 管 理 员 ） 的 横 向 渗 透 攻 击 ， 我 们 需 要 收 集 所 有 可 能 成 为 目 标 的 工 作 站 中 的 日 志 （ 4 6 2 4 / 4 6 2 5 事 件 ） ， 在 某 些 情 况 下 这 个 任 务 很 难 完 成 。 但 这 对 域 账 户 来 说 不 成 问 题 ， 因 为 主 要 的 W i n d o w s 事 件 都 存 储 在 域 控 上 。 微 软 引 入 了 两 个 S I D ， 通 过 设 置 G P O （ G r o u p   P o l i c y   O b j e c t ， 组 策 略 对 象 ） 规 则 ， 可 以 限 制 本 地 管 理 员 账 户 在 横 向 渗 透 攻 击 中 的 使 用 。   例 : 检 测 N T L M 横 向 渗 透 攻 击 我 们 在 检 测 N T L M 型 横 向 渗 透 攻 击 时 ， 需 要 在 各 个 主 机 中 收 集 的 事 件 ， 以 及 所 需 要 关 心 的 具 体 值 。 我 们 需 要 重 点 关 注 域 控 （ D C ） 上 的 4 7 7 6 事 件 ， 其 他 关 键 系 统 中 的 4 6 2 4 （ 登 录 成 功 ） 以 及 4 6 2 5 （ 登 录 失 败 ） 事 件 也 值 得 关 注 。
注 意 ： 不 要 忽 视 工 作 站 事 件 日 志 的 重 要 性 ， 特 别 是 与 敏 感 账 户 或 者 特 权 账 户 有 关 的 那 些 事 件 日 志 。   例 :   检 测 K e r b e r o s 横 向 渗 透 攻 击 （ P t T ） 我 们 在 检 测 P t T 型 横 向 渗 透 攻 击 时 ， 需 要 在 各 个 主 机 中 收 集 的 事 件 ， 以 及 需 要 关 心 的 具 体 值 。 我 们 需 要 重 点 关 注 域 控 （ D C ） 上 的 4 7 6 9 以 及 4 7 6 8 事 件 。 需 要 注 意 的 是 ， 这 一 次 我 们 只 能 检 查 其 中 的 I P 地 址 信 息 ， 因 为 K e r b e r o s 事 件 中 并 没 有 提 供 具 体 的 主 机 名 。 在 启 用 D H C P 的 环 境 中 ， 这 个 限 制 条 件 给 我 们 带 来 了 不 小 的 挑 战 ， 如 果 D H C P 租 用 时 间 较 短 ， 我 们 面 临 的 将 会 是 一 个 动 态 变 化 的 网 络 环 境 。   关 键 系 统 中 的 4 6 2 4 事 件 以 及 4 6 2 5 （ 登 录 失 败 ） 事 件 也 值 得 我 们 关 注 。 我 们 使 用 这 种 方 法 可 能 会 检 测 出 假 阳 性 结 果 ： 比 如 某 个 管 理 员 （ 例 如 h e l p   d e s k ） 正 在 打 开 远 程 主 机 上 的 应 用 （ 例 如 ， 在 远 程 访 问 中 ， 通 过 c m d . e x e 运 行 ” r u n a s a d m i n i s t r a t o r ” 命 令 ） ， 这 种 情 况 下 有 可 能 会 生 成 4 7 6 8 事 件 。  
当 前 很 难 在 网 络 中 探 测 攻 击 者 横 向 渗 透 ， 其 中 原 因 有 很 难 获 取 必 要 的 日 志 和 区 别 正 常 与 恶 意 行 为 。 这 就 需 要 企 业 安 全 防 护 人 员 需 要 具 备 一 定 的 日 志 分 析 能 力 并 熟 悉 攻 击 者 的 攻 击 思 路 以 及 常 用 工 具 。 对 系 统 和 软 件 的 日 志 监 控 同 样 必 不 可 少 。 日 志 信 息 是 帮 助 防 守 者 分 析 攻 击 路 径 的 一 种 有 效 手 段 。 攻 击 者 攻 击 成 功 后 ， 打 扫 战 场 的 首 要 任 务 就 是 删 除 日 志 ， 或 者 切 断 主 机 日 志 的 外 发 ， 以 防 止 防 守 者 追 踪 。 防 守 者 应 建 立 一 套 独 立 的 日 志 分 析 和 存 储 机 制 ， 重 要 目 标 系 统 可 派 专 人 对 目 标 系 统 日 志 和 中 间 件 日 志 进 行 恶 意 行 为 监 控 分 析 。   从 内 到 外 ： 安 全 感 知 和 数 据 外 传 检 测 当 红 队 专 家 找 到 合 适 的 口 子 后 ， 便 可 以 把 这 个 点 作 为 从 外 网 进 入 内 网 的 根 据 地 。 通 过 f r p 、 e w s o c k s 、 r e G e o r g 等 工 具 在 这 个 点 上 建 立 隧 道 ， 形 成 从 外 网 到 内 网 的 跳 板 ， 将 它 作 为 实 施 内 网 渗 透 的 坚 实 据 点 。 若 权 限 不 足 以 建 立 跳 板 ， 红 队 专 家 通 常 会 利 用 系 统 、 程 序 或 服 务 漏 洞 进 行 提 权 操 作 ， 以 获 得 更 高 权 限 ； 若 据 点 是 非 稳 定 的 P C 机 ， 则 会 进 行 持 久 化 操 作 ， 保 证 P C 机 重 启 后 ， 据 点 依 然 可 以 在 线 。 “ 从 内 到 外 ” 主 要 检 验 企 业 对 于 安 全 威 胁 感 知 能 力 和 信 息 数 据 外 传 泄 露 的 检 测 能 力 等 ； 这 部 分 的 攻 击 方 法 会 涉 及 隐 藏 的 反 弹 S h e l l （ 绕 过 防 火 墙 ） 、 隐 蔽 隧 道 数 据 传 输 等 。 任 何 攻 击 都 会 留 下 痕 迹 。 攻 击 者 会 尽 量 隐 藏 痕 迹 、 防 止 被 发 现 ； 而 防 守 者 恰 好 相 反 ， 需 要 尽 早 发 现 攻 击 痕 迹 ， 并 通 过 分 析 攻 击 痕 迹 ， 调 整 防 守 策 略 、 溯 源 攻 击 路 径 、 甚 至 对 可 疑 攻 击 源 进 行 反 制 。 建 立 全 方 位 的 安 全 监 控 体 系 是 防 守 者 最 有 力 的 武 器 。 1 ） 全 流 量 网 络 监 控 任 何 攻 击 都 要 通 过 网 络 ， 并 产 生 网 络 流 量 。 攻 击 数 据 和 正 常 数 据 肯 定 是 不 同 的 ， 通 过 全 网 络 流 量 去 捕 获 攻 击 行 为 是 目 前 最 有 效 的 安 全 监 控 方 式 。 蓝 队 或 防 守 者 通 过 全 流 量 安 全 监 控 设 备 ， 结 合 安 全 人 员 的 分 析 ， 可 快 速 发 现 攻 击 行 为 ， 并 提 前 做 出 针 对 性 防 守 动 作 。 2 ） 主 机 监 控 任 何 攻 击 最 终 都 会 落 到 主 机 （ 服 务 器 或 终 端 ） 上 。 通 过 部 署 合 理 的 主 机 安 全 软 件 ， 结 合 网 络 全 流 量 监 控 措 施 ， 可 以 更 清 晰 、 准 确 、 快 速 地 找 到 攻 击 者 的 真 实 目 标 主 机 。 3 ） 日 志 监 控 对 系 统 和 软 件 的 日 志 监 控 同 样 必 不 可 少 。 日 志 信 息 是 帮 助 防 守 者 分 析 攻 击 路 径 的 一 种 有 效 手 段 。 攻 击 者 攻 击 成 功 后 ， 打 扫 战 场 的 首 要 任 务 就 是 删 除 日 志 ， 或 者 切 断 主 机 日 志 的 外 发 ， 以 防 止 防 守 者 追 踪 。 防 守 者 应 建 立 一 套 独 立 的 日 志 分 析 和 存 储 机 制 ， 重 要 目 标 系 统 可 派 专 人 对 目 标 系 统 日 志 和 中 间 件 日 志 进 行 恶 意 行 为 监 控 分 析 。 4 ） 内 部 人 员 专 业 性 内 部 有 专 门 的 安 全 技 术 人 员 、 运 维 安 全 技 术 人 员 ， 专 业 的 日 志 分 析 能 力 ， 能 快 速 发 现 、 分 析 并 确 认 攻 击 行 为 。   闭 环 的 安 全 运 营 日 常 安 全 工 作 较 差 的 单 位 ， 大 多 都 会 暴 露 出 如 下 问 题 ： 很 多 基 础 性 工 作 没 有 开 展 ， 缺 少 相 应 的 技 术 保 障 措 施 ， 自 身 防 护 能 力 欠 缺 ； 日 常 安 全 运 维 不 到 位 ， 流 程 紊 乱 ， 各 部 门 人 员 配 合 难 度 大 。 这 些 问 题 导 致 攻 击 行 为 不 能 被 及 时 监 测 ， 攻 击 者 来 去 自 由 ； 即 便 是 好 不 容 易 发 现 了 入 侵 行 为 ， 也 往 往 会 因 资 产 归 属 不 清 、 人 员 配 合 不 顺 畅 等 因 素 ， 造 成 处 置 工 作 进 度 缓 慢 。 这 就 给 了 攻 击 者 大 量 的 可 乘 之 机 ， 最 后 的 结 果 往 往 是 目 标 系 统 轻 而 易 举 地 被 攻 陷 。 通 过 内 部 威 胁 预 测 、 外 部 威 胁 情 报 共 享 、 定 期 开 展 暴 露 资 产 发 现 、 安 全 检 查 等 工 作 ， 实 现 攻 击 预 测 ， 提 前 预 防 的 目 的 ； 通 过 开 展 安 全 策 略 优 化 、 安 全 基 线 评 估 加 固 、 系 统 上 线 安 全 检 查 、 安 全 产 品 运 行 维 护 等 工 作 ， 建 立 威 胁 防 护 能 力 ； 通 过 全 流 量 风 险 分 析 、 应 用 失 陷 检 测 、 渗 透 测 试 、 蜜 罐 诱 导 等 手 段 ， 对 安 全 事 件 能 进 行 持 续 检 测 ， 减 少 威 胁 停 留 时 间 ； 通 过 开 展 实 战 攻 防 演 习 、 安 全 事 件 研 判 分 析 、 规 范 安 全 事 件 处 置 流 程 ， 对 安 全 事 件 及 时 进 行 控 制 ， 降 低 危 害 影 响 ， 形 成 快 速 处 置 和 响 应 机 制 。 闭 环 安 全 运 营 体 系 非 常 重 视 人 的 作 用 。 配 备 专 门 的 人 员 来 完 成 监 控 、 分 析 、 响 应 、 处 置 等 重 要 环 节 的 工 作 ， 在 日 常 工 作 中 让 所 有 参 与 人 员 能 够 熟 悉 工 作 流 程 、 协 同 作 战 ， 使 得 团 队 能 不 断 得 到 强 化 锻 炼 ， 这 样 在 实 战 时 中 才 能 从 容 面 对 各 类 挑 战 。 “ 九 层 之 台 起 于 垒 土 ” ， 安 全 防 护 体 系 的 建 设 也 需 要 一 个 过 程 ， 既 考 验 甲 方 的 安 全 规 划 和 安 全 运 营 能 力 ， 也 挑 战 乙 方 的 产 品 能 力 和 服 务 能 力 。 相 信 随 着 国 内 网 络 安 全 产 业 不 断 地 向 前 发 展 ， 我 们 整 体 的 安 全 防 护 水 平 也 会 不 断 提 升 到 新 的 高 度 。    
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理