搜索

[21847] 2021-04-06_企业纵深防御体系下的安全策略探索

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-04-06_企业纵深防御体系下的安全策略探索 企 业 纵 深 防 御 体 系 下 的 安 全 策 略 探 索 启 明 星 辰 专 家 视 野   L e m o n S e c   2 0 2 1 - 0 4 - 0 6 一 、 安 全 团 队 面 临 的 问 题 1 .   海 量 日 志 告 警 无 法 做 到 信 息 有 效 识 别 有 能 力 购 买 多 家 安 全 厂 商 设 备 的 企 业 ， 其 业 务 量 体 量 较 大 ， 一 些 互 联 网 发 布 站 点 的 设 备 告 警 甚 至 可 以 达 到 百 万 级 别 。 如 果 需 要 在 其 中 区 分 真 实 攻 击 ， 难 度 无 异 于 大 海 捞 针 ， 不 过 几 天 防 守 人 员 便 会 淹 没 在 相 似 规 则 告 警 、 重 复 流 量 告 警 、 多 类 设 备 告 警 的 海 洋 中 ， 从 而 漏 报 切 实 需 要 关 注 的 真 实 攻 击 事 件 。 这 样 “ 探 宝 式 ” 的 日 志 分 析 工 作 不 仅 无 法 对 真 实 攻 击 做 出 相 对 应 的 正 确 处 理 动 作 ， 同 时 也 失 去 了 网 络 攻 防 的 主 动 权 ， 这 种 情 况 下 上 架 安 全 设 备 与 不 上 架 安 全 设 备 没 有 本 质 区 别 。 图 一 ： 2 0 2 0 年 漏 洞 统 计 图 （ 来 源 国 家 信 息 安 全 漏 洞 共 享 平 台 ） 2 . 告 警 处 置 时 效 性 较 低 大 量 的 日 志 除 了 会 造 成 有 效 攻 击 筛 选 困 难 ， 同 时 对 快 速 定 位 攻 击 I P 、 还 原 攻 击 链 也 同 样 造 成 了 不 小 的 影 响 。 零 散 的 、 重 复 的 无 意 义 告 警 信 息 大 大 降 低 了 安 全 运 维 人 员 对 攻 击 事 件 的 快 速 反 应 及 快 速 处 置 能 力 ， 安 全 设 备 自 身 的 能 力 也 受 制 于 无 用 信 息 的 堆 叠 所 造 成 的 资 源 浪 费 。 网 络 安 全 中 的 的 攻 击 与 防 御 如 同 没 有 硝 烟 的 战 场 ， 战 场 之 势 的 千 变 万 化 在 这 里 也 会 体 现 的 淋 漓 尽 致 ， 所 以 把 握 时 间 就 是 把 握 战 场 主 动 权 。 如 果 能 有 效 的 降 低 无 用 的 告 警 信 息 ， 将 防 守 人 员 的 精 力 用 在 真 实 攻 击 上 ， 那 么 “ 攻 守 之 势 异 也 ” 。
图 二 ： 2 0 2 0 年 漏 洞 成 因 统 计 图 （ 来 源 国 家 信 息 安 全 漏 洞 共 享 平 台 ） 3 .   事 件 误 处 置 情 况 层 出 不 穷 误 封 多 由 两 种 原 因 导 致 ， 其 一 是 由 于 安 全 设 备 自 身 的 规 则 误 判 引 发 告 警 ， 因 为 业 务 开 发 不 规 范 导 致 业 务 请 求 中 带 有 敏 感 参 数 触 发 告 警 ， 误 报 事 件 也 是 导 致 大 量 告 警 事 件 的 主 要 原 因 ， 往 往 费 心 费 力 分 析 到 最 后 发 现 是 误 报 事 件 而 且 已 经 多 次 触 发 。 其 二 ， 误 封 事 件 一 般 由 误 报 事 件 联 动 设 备 自 身 的 封 禁 导 致 ， 如 I P S 、 W A F 或 与 防 火 墙 联 动 的 设 备 ， 因 误 报 事 件 导 致 业 务 出 口 被 封 或 业 务 中 断 的 情 况 也 不 在 少 数 。 4 .   攻 击 链 追 溯 难 度 大 各 设 备 的 规 则 与 日 志 的 格 式 差 异 ， 流 量 地 址 的 层 层 转 换 ， 使 各 个 事 件 形 成 了 零 散 的 碎 片 。 即 使 日 志 审 计 设 备 的 接 入 也 只 是 将 零 散 的 碎 片 汇 总 到 了 一 起 ， 无 法 形 成 有 效 的 关 联 性 。 二 、 安 全 策 略 探 索 应 用 1 .   数 据 取 样
数 据 作 为 整 个 系 统 的 底 层 ， 是 当 前 安 全 策 略 优 化 模 型 的 支 撑 和 运 行 基 础 。 数 据 取 样 就 是 根 据 自 身 情 况 取 一 定 时 间 范 围 内 全 量 告 警 日 志 ， 时 间 周 期 越 长 ， 日 志 源 越 多 ， 则 分 析 结 果 越 准 确 。 同 时 还 需 考 虑 分 析 能 力 与 日 志 的 有 效 性 。 通 过 对 选 取 数 据 模 型 的 筛 选 及 分 析 ， 实 现 数 据 的 基 础 清 洗 ， 以 达 到 降 低 分 析 难 度 、 降 低 数 据 规 模 的 目 的 ， 从 而 实 现 了 攻 击 分 析 的 效 率 提 升 。 数 据 统 计 内 容 可 包 含 但 不 限 于 ， 日 志 数 量 、 触 发 规 则 类 型 、 受 害 I P 资 产 以 及 攻 击 I P 定 位 等 信 息 。 通 过 从 宏 观 角 度 观 察 数 据 ， 来 判 断 当 前 整 体 现 状 ， 日 志 梳 理 的 范 围 及 内 容 。 2 .   攻 击 分 析 分 析 的 角 度 有 很 多 种 ， 如 通 过 确 认 的 恶 意 I P 关 联 所 触 发 的 规 则 行 为 ， 或 通 过 对 目 的 I P 的 大 量 请 求 筛 选 恶 意 用 户 。 目 前 ， 更 建 议 使 用 恶 意 参 数 进 行 区 分 ， 忘 记 其 他 因 素 的 干 扰 ， 只 要 确 认 请 求 中 包 含 攻 击 行 为 即 证 明 了 I P 的 恶 意 行 为 也 证 明 了 规 则 的 有 效 性 。 分 析 的 最 终 目 的 就 是 区 分 出 误 报 事 件 与 真 实 攻 击 事 件 。 误 报 事 件 需 要 定 位 具 体 的 触 发 特 征 以 及 误 报 的 具 体 原 因 ， 如 因 为 规 则 造 成 可 选 择 进 行 通 过 U R L 或 具 体 特 征 等 精 准 加 白 （ 不 建 议 使 用 I P 直 接 加 白 以 免 造 成 漏 报 ） 或 联 系 设 备 厂 商 修 改 规 则 条 件 。 如 因 为 业 务 造 成 也 可 选 择 进 行 精 准 加 白 或 联 系 业 务 人 员 进 行 整 改 。 特 殊 情 况 ： 1 . 规 则 自 身 问 题 导 致 误 报 量 巨 大 。 2 . 规 则 阈 值 过 于 灵 敏 导 致 触 发 量 巨 大 。 3 . 自 身 对 某 些 规 则 并 不 关 注 ， 这 些 情 况 可 直 接 关 闭 规 则 或 对 规 则 逻 辑 重 新 调 整 。 真 实 攻 击 的 标 记 是 为 了 区 分 规 则 的 有 效 性 ， 先 确 认 告 警 信 息 是 否 与 规 则 逻 辑 一 致 ， 一 致 时 再 次 确 认 整 条 规 则 是 否 存 在 误 报 ， 如 确 认 为 真 实 攻 击 或 者 误 报 已 经 过 加 白 处 置 ， 可 考 虑 添 加 设 备 阻 断 规 则 。 设 备 阻 断 形 式 大 致 分 为 两 种 ， 一 是 联 动 防 火 墙 一 段 时 间 内 封 禁 I P 访 问 ， 一 种 是 设 备 丢 弃 重 置 当 前 会 话 请 求 。 两 种 方 式 无 优 劣 性 需 要 根 据 实 际 情 况 进 行 使 用 ， 区 别 在 于 防 火 墙 主 要 是 从 A C L 访 问 控 制 （ I P 、 端 口 、 网 络 协 议 等 层 面 进 行 封 堵 ） ， 安 全 设 备 更 偏 向 从 网 络 流 量 的 静 态 特 征 加 以 识 别 和 阻 断 。 如 大 量 扫 描 行 为 可 直 接 封 禁 I P ， 单 次 或 少 量 攻 击 可 先 进 行 重 置 动 作 。 3 .   周 期 性 变 更 流 程
将 分 析 结 果 形 成 策 略 优 化 报 告 ， 进 行 变 更 申 请 ， 其 中 需 写 明 变 更 方 式 。 变 更 后 重 点 观 察 一 段 时 间 ， 需 确 认 变 更 效 果 与 预 期 一 致 ， 变 更 是 否 正 常 生 效 或 未 出 现 误 拦 截 和 加 白 导 致 的 漏 报 等 。 单 次 的 优 化 只 是 针 对 取 样 范 围 内 的 告 警 日 志 ， 随 着 攻 击 手 段 的 更 新 、 特 征 库 的 更 新 、 新 业 务 系 统 的 上 线 或 者 上 次 分 析 时 的 遗 留 问 题 ， 现 有 的 防 守 规 则 策 略 有 效 性 会 逐 渐 降 低 ， 所 以 建 议 每 隔 一 段 时 间 或 者 有 重 点 事 件 发 生 时 再 次 进 行 整 体 的 策 略 优 化 。 图 三 ： 周 期 性 变 更 流 程 图 4 .   区 域 流 量 特 征 甄 别
（ 1 ） 互 联 网 边 界 作 为 企 业 的 互 联 网 边 界 ， 更 多 的 情 况 下 需 要 面 向 公 众 服 务 ； 然 而 互 联 网 是 一 把 双 刃 剑 ， 信 息 化 带 来 便 捷 的 同 时 也 带 来 了 一 定 的 安 全 风 险 ， 网 络 便 捷 实 际 上 就 是 网 络 安 全 的 第 一 道 防 线 ， 网 络 中 的 信 息 泄 露 、 网 络 病 毒 和 木 马 入 侵 等 侵 害 行 为 是 互 联 网 边 界 遭 受 的 主 要 安 全 风 险 ， 从 安 全 防 护 角 度 来 讲 ， 边 界 安 全 的 以 攻 击 特 征 识 别 和 阻 断 是 很 重 要 的 防 护 能 力 。 （ 2 ） 内 网 区 域 企 业 的 生 产 内 网 大 多 以 L A N 的 方 式 进 行 接 入 ， 生 产 服 务 器 和 终 端 之 间 以 物 理 直 连 和 逻 辑 隔 离 的 方 式 部 署 ， 但 为 实 现 内 网 的 数 据 共 享 、 统 一 运 维 监 控 和 开 发 测 试 等 业 务 需 求 ， 内 网 主 机 往 往 存 在 着 身 份 认 证 机 制 、 访 问 权 限 控 制 机 制 和 内 网 主 机 的 系 统 漏 洞 等 安 全 风 险 ， 因 此 ， 在 对 生 产 内 部 网 络 进 行 检 测 和 预 防 过 程 中 ， 已 检 测 发 现 能 力 为 优 先 ， 安 全 防 护 策 略 建 设 也 要 已 规 避 正 常 业 务 通 信 为 前 提 。 （ 3 ） v p n 区 域 V P N 区 域 是 较 为 特 殊 的 区 域 ， 因 为 账 号 被 攻 击 者 利 用 从 而 绕 过 全 部 安 全 设 备 直 接 进 入 一 级 网 、 二 级 网 的 现 象 。 此 区 域 多 为 远 程 桌 面 登 录 ， 异 常 请 求 ， 口 令 爆 破 ， 弱 口 令 等 行 为 类 告 警 ， 许 多 V P N 分 配 I P 为 统 一 出 口 或 无 分 配 记 录 所 以 导 致 基 本 不 能 追 溯 真 实 I P 。 （ 4 ） 办 公 区 域 办 公 区 人 员 构 成 复 杂 ， 位 置 覆 盖 范 围 巨 大 ， 人 的 不 稳 定 也 造 成 了 管 理 与 整 改 极 为 困 难 。 此 区 域 告 警 多 为 蠕 虫 病 毒 、 挖 矿 、 异 常 请 求 、 恶 意 外 联 等 ， 同 时 容 易 出 现 攻 击 者 通 过 某 种 方 式 同 时 拿 下 众 多 机 器 ， 策 略 优 化 时 注 意 内 网 I P 大 量 告 警 情 况 。 同 时 办 公 区 域 经 常 出 现 内 对 外 的 攻 击 情 况 但 实 际 是 由 办 公 人 员 上 网 网 页 请 求 信 息 造 成 的 误 报 也 需 要 注 意 甄 别 。 （ 5 ） 第 三 方 外 联 企 业 需 要 通 过 广 域 网 和 第 三 方 单 位 比 如 合 作 伙 伴 进 行 通 信 ， 第 三 方 也 会 通 过 数 据 中 心 外 联 区 域 访 问 企 业 中 心 网 络 ， 但 第 三 方 的 业 务 并 不 在 管 控 范 围 ， 其 下 业 务 与 安 全 也 具 有 不 确 定 性 ， 造 成 了 此 区 域 复 杂 的 流 量 构 成 ， 有 流 量 很 少 且 业 务 稳 定 造 成 的 零 告 警 ， 也 有 连 接 第 三 方 测 试 区 业 务 导 致 的 大 量 业 务 请 求 的 误 报 ， 也 有 由 测 试 人 员 引 起 的 设 备 告 警 。 其 流 量 特 征 与 内 网 生 产 区 域 类 似 但 性 质 却 与 内 网 不 同 ， 建 议 策 略 优 化 时 对 此 区 域 与 业 务 行 为 结 合 单 独 进 行 分 析 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ”
扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理