搜索

[11226] 2017-04-11_企业安全建设之浅谈办公网安全

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-04-11_企业安全建设之浅谈办公网安全 企 业 安 全 建 设 之 浅 谈 办 公 网 安 全 兜 哥   F r e e B u f   2 0 1 7 - 0 4 - 1 1 *   原 创 作 者 ： 兜 哥 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 1   前 言 前 言 在 大 多 数 互 联 网 公 司 ， 安 全 建 设 的 主 要 精 力 都 投 入 在 业 务 网 安 全 上 ， 办 公 网 往 往 成 为 短 板 。 为 避 免 教 科 书 式 的 理 论 说 教 ， 本 文 以 攻 防 的 角 度 ， 以 中 型 互 联 网 公 司 为 例 ， 讨 论 下 办 公 网 安 全 建 设 。 这 里 的 办 公 网 是 狭 义 的 办 公 网 ， 仅 包 括 员 工 办 公 的 网 络 区 域 ， 支 撑 办 公 的 e r p 、 邮 件 等 系 统 不 包 含 在 内 。 0 2   办 公 网 渗 透 思 路 办 公 网 渗 透 思 路 办 公 网 通 常 是 黑 客 入 侵 的 一 大 突 破 口 ， 究 其 原 因 我 认 为 主 要 为 ：
1 、 办 公 网 安 全 投 入 相 对 业 务 网 不 足 ， 入 侵 成 本 较 低 2 、 办 公 网 的 主 体 是 人 ， 人 有 七 情 六 欲 ， 上 网 行 为 千 奇 百 怪 ， 攻 击 面 大 于 业 务 网 3 、 业 务 网 往 往 信 赖 办 公 网 ， 可 以 成 为 战 略 迂 回 进 攻 业 务 网 的 绝 好 跳 板 4 研 发 、 运 营 等 重 要 资 料 往 往 高 度 集 中 在 办 公 终 端 ， 数 据 价 值 甚 至 超 过 业 务 网 渗 透 办 公 网 的 思 路 很 多 ， 以 下 是 一 个 举 例 ： 从 入 口 的 角 度 讲 ， 恶 意 链 接 、 文 件 是 常 见 手 段 。 从 黑 客 行 为 讲 ， 主 要 分 为 ： 水 平 横 向 渗 透 纵 向 提 权 从 黑 客 目 的 角 度 讲 ， 主 要 分 为 ： 以 办 公 网 为 跳 板 攻 击 业 务 网 窃 取 H R 、 财 务 、 高 管 等 手 中 的 重 要 资 料 0 3   网 络 安 全 网 络 安 全 下 图 为 常 见 的 办 公 网 拓 扑 结 构
        3 . 1   防 火 墙 防 火 墙 防 火 墙 作 为 抵 御 攻 击 的 第 一 道 防 护 ， 责 任 重 大 ， 但 是 他 又 肩 负 着 N A T 上 网 的 重 要 职 责 ， 性 能 和 稳 定 性 又 要 求 很 高 。 我 认 为 从 纯 安 全 角 度 讲 ， 选 择 防 火 墙 时 需 要 考 虑 下 列 几 个 功 能 ： 恶 意 网 站 过 滤 恶 意 文 件 过 滤         3 . 2   I P S / I D S I P S / I D S 在 这 里 有 个 非 常 重 要 的 作 用 就 是 识 别 使 用 N d a y 的 软 件 尤 其 是 浏 览 器 、 办 公 网 套 件 漏 洞 攻 击 员 工 的 行 为 。 有 很 多 厂 商 宣 称 自 己 的 I P S / I D S 可 以 识 别 0 d a y ， 我 个 人 认 为 目 前 比 较 成 熟 的 0 d a y 识 别 技 术 主 要 依 赖 沙 箱 和 机 器 学 习 ， 真 要 识 别 0 d a y 还 是 需 要 专 业 的 A P T 设 备 来 做 。
      这 个 话 题 内 容 太 多 ， 可 以 单 独 写 一 篇 ， 本 文 先 省 略 。 3 . 3   A P T 设 备 设 备 A P T 设 备 通 过 分 析 邮 件 、 流 量 中 的 文 件 和 流 量 行 为 识 别 A P T 行 为 ， 我 知 道 国 外 f i r e e y e 、 趋 势 、 p a 、 m c a f e e 等 都 做 这 块 在 。 3 . 4   安 全 隔 离 安 全 隔 离 安 全 隔 离 的 主 要 目 的 有 两 个 ： 1 按 需 提 供 网 络 访 问 权 限 ， 避 免 权 限 滥 用 减 小 黑 客 在 办 公 网 横 向 渗 透 以 及 纵 向 提 权 的 攻 击 面 ， 提 高 攻 击 成 本 出 于 这 两 个 目 的 ， 所 以 安 全 隔 离 通 常 和 准 入 或 者 v l a n 划 分 结 合 在 一 起 ， 不 同 的 地 方 主 要 在 于 准 入 可 以 根 据 用 户 身 份 动 态 调 整 网 络 权 限 ， v l a n 划 分 相 对 不 够 灵 活 。        
上 图 是 一 个 简 单 的 分 类 ， 其 中 有 几 类 同 学 需 要 重 点 关 注 ： 1 .   运 维 & D B A ， 系 统 权 限 特 别 大 ， 纵 向 提 权 的 最 佳 目 标 ， 有 种 开 玩 笑 的 说 法 ， 黑 掉 一 个 运 维 的 电 脑 ， 把 所 有 文 本 文 件 翻 个 遍 ， 找 不 到 一 个 密 码 才 是 见 鬼 了 。 应 当 尽 量 限 制 其 他 人 群 对 他 们 的 访 问 。 2 .   重 要 业 务 系 统 的 管 理 员 ， 这 些 同 学 负 责 对 公 司 核 心 业 务 进 行 运 营 管 理 ， 对 重 要 后 台 系 统 具 有 很 高 的 权 限 ， 一 旦 他 们 电 脑 被 入 侵 ， 后 果 会 很 严 重 。 比 如 游 戏 公 司 充 值 系 统 的 后 台 、 广 告 公 司 的 客 户 广 告 投 放 管 理 系 统 、 招 聘 公 司 的 后 台 简 历 管 理 系 统 、 电 商 的 订 单 物 流 管 理 系 统 ， 出 点 事 都 是 大 事 。 应 当 尽 量 限 制 其 他 人 群 对 他 们 的 访 问 ， 同 时 严 格 限 制 他 们 的 外 网 访 问 权 限 。 3 .   高 管 、 H R 、 财 务 ， 这 些 同 学 对 办 公 系 统 的 访 问 需 求 比 较 单 一 ， 主 要 网 络 访 问 需 求 在 外 网 ， 通 常 不 懂 技 术 ， 安 全 防 护 意 识 也 最 弱 ， 也 最 得 罪 不 起 。 他 们 的 办 公 电 脑 集 中 大 量 公 司 重 要 数 据 ， 一 旦 被 入 侵 就 直 接 产 生 损 失 了 。 这 部 分 同 学 可 以 严 格 限 制 跟 办 公 网 其 他 区 域 以 及 对 内 部 系 统 的 访 问 。 0 4   无 线 安 全 无 线 安 全         无 线 情 况 就 特 别 复 杂 了 ， 这 里 讨 论 比 较 常 见 的 情 况 。 不 少 公 司 的 无 线 依 靠 静 态 密 码 保 护 ， 认 证 通 过 后 即 可 以 访 问 办 公 网 络 。 这 里 有 两 个 甲 方 常 见 误 区 ： 1 、 我 无 线 只 覆 盖 公 司 内 部 ， 黑 客 咋 搜 到 ？ 、 我 无 线 只 覆 盖 公 司 内 部 ， 黑 客 咋 搜 到 ？ 黑 客 如 果 真 打 算 黑 你 ， 真 可 以 到 你 公 司 附 近 ， 现 在 的 A P 发 射 能 力 都 很 强 ， 黑 客 如 果 使 用 专 用 设 备 ， 接 受 信 号 能 力 也 很 强 。 2 、 我 无 线 密 码 好 复 杂 ， 黑 客 不 可 能 暴 力 破 解 、 我 无 线 密 码 好 复 杂 ， 黑 客 不 可 能 暴 力 破 解 本 本 上 装 个 k a l i ， 买 个 好 点 的 u s b 网 卡 ， w p a / w p a 2 密 码 破 解 只 是 时 间 问 题 。 另 外 现 在 不 少 w i f i 助 手 有 记 住 密 码 功 能 ， 内 部 员 工 一 旦 误 点 了 记 住 免 费 w i f i ， 其 他 人 使 用 w i f i 助 手 连 接 这 个 w i f i 就 会 自 动 认 证 ， 破 解 都 不 用 了 。 所 以 无 线 网 络 最 好 可 以 限 制 仅 能 访 问 外 网 ， 并 且 加 上 类 似 准 入 的 二 次 认 证 机 制 ， 也 可 以 使 用 域 密 码 或 者 证 书 认 证 ， 降 低 静 态 密 码 被 泄 露 和 破 解 的 风 险 。 0 5   终 端 安 全 终 端 安 全
终 端 安 全 是 办 公 网 安 全 的 重 点 ， 涉 及 面 非 常 广 ， 核 心 诉 求 至 少 包 括 一 下 方 面 ： 提 高 终 端 安 全 基 线 ， 减 小 攻 击 面 基 础 防 病 毒 能 力 ， 具 备 抵 御 常 见 N d a y 病 毒 木 马 的 能 力 ， 提 高 攻 击 成 本 基 础 的 终 端 系 统 、 应 用 软 件 资 产 搜 集 以 及 管 理 能 力 ， 针 对 常 见 的 N d a y 系 统 、 应 用 软 件 漏 洞 具 有 发 现 、 修 复 的 能 力 ， 提 高 攻 击 成 本 为 了 达 到 以 上 要 求 ， 需 要 借 助 一 定 的 商 业 解 决 方 案 。 5 . 1   终 端 安 全 加 固 终 端 安 全 加 固 终 端 安 全 加 固 的 目 的 是 提 高 安 全 基 线 ， 减 小 攻 击 面 ， 事 半 功 倍 的 方 法 是 让 P C 终 端 统 一 加 入 w i n d o w 域 ， 通 过 域 控 策 略 统 一 管 理 终 端 的 安 全 策 略 ， 介 绍 域 策 略 的 文 章 很 多 ， 这 里 只 提 下 几 个 比 较 重 要 的 点 ： 开 启 屏 保 以 及 锁 屏 时 间 域 账 户 密 码 复 杂 度 ， 密 码 更 换 时 间 禁 用 g u e s t 账 户 开 启 主 机 防 火 墙 禁 止 a d m i n i s t r o r 账 户 远 程 登 录 （ 员 工 自 己 域 账 户 是 本 地 管 理 员 ， 可 以 正 常 登 录 ， 很 多 公 司 喜 欢 用 g h o s t 预 装 电 脑 ， a d m i n i s t r o r 账 户 的 密 码 绝 对 是 个 大 坑 ） 禁 止 域 管 理 员 远 程 登 录 （ 一 定 要 把 域 控 和 一 般 P C 放 在 不 同 组 策 略 下 ， 不 然 这 个 策 略 害 死 人 ） 删 除 I P C $   C $   D $   a d m i n $ （ 木 马 经 常 利 用 ） 开 启 审 计 策 略 ， 记 录 登 录 、 账 户 相 关 事 件 调 整 事 件 日 志 的 大 小 及 覆 盖 策 略 关 机 清 理 虚 拟 内 存 页 面 文 件 5 . 2   终 端 防 病 毒 终 端 防 病 毒 终 端 防 病 毒 肩 负 着 具 备 抵 御 常 见 N d a y 病 毒 木 马 的 能 力 ， 提 高 攻 击 成 本 的 重 任 ， 不 过 传 统 解 决 方 案 基 本 就 是 纯 粹 的 黑 名 单 和 基 于 病 毒 特 征 ， 似 乎 这 一 领 域 也 是 红 海 中 的 红 海 。 可 喜 的 是 最 近 两 年 终 端 安 全 又 被 各 大 安 全 厂 商 重 视 起 来 ， 因 为 越 来 越 多 的 有 针 对 性 的 攻 击 行 为 被 揭 露 ， 跳 板 都 是 办 公 终 端 ， 大 家 对 这 块 越 来 越 重 视 ； 另 外 新 的 检 测 技 术 以 及 解 决 思 路 落 地 实 现 ， 安 全 厂 商 提 出 了 E D R 的 概 念 ， 即 终 端 检 测 与 响 应 。 基 本 思 路 是 默 认 攻 击 者 始 终 会 渗 漏 公 司 网 络 ， 让 安 全 人 员 利 用 I o C 和 终 端 行 为 来 快 速 检 测 任 何 入 侵 ， 减 小 攻 击 者 造 成 的 损 害 。
        5 . 3   终 端 管 理 终 端 管 理 终 端 管 理 主 要 解 决 两 个 安 全 问 题 ： 系 统 、 应 用 软 件 版 本 的 管 理 系 统 、 应 用 软 件 漏 洞 的 自 动 化 修 复 微 软 的 W S U S 以 及 S C C M 虽 然 只 能 搞 定 微 软 系 软 件 以 及 f l a s h 的 问 题 ， 但 是 已 经 可 以 解 决 大 部 分 问 题 了 ， 针 对 类 似 j a v a 、 c h r o m e 这 类 常 用 第 三 方 软 件 的 升 级 ， 就 需 要 专 业 的 终 端 管 理 解 决 方 案 了 。
5 . 4   准 入 系 统 准 入 系 统 准 入 系 统 可 以 基 于 员 工 身 份 做 到 灵 活 的 网 络 权 限 限 制 ， 保 障 主 机 安 全 基 线 的 强 制 执 行 。 这 部 分 可 以 参 考 我 以 前 的 文 章 《 企 业 安 全 建 设 之 自 建 准 入 系 统 》 。 0 6   数 据 安 全 数 据 安 全 数 据 安 全 是 个 非 常 复 杂 的 话 题 ， 有 兴 趣 可 以 参 考 下 我 之 前 的 文 章 《 企 业 安 全 建 设 之 浅 谈 数 据 防 泄 露 》 。 0 7   系 统 安 全 系 统 安 全 办 公 网 的 系 统 安 全 ， 出 了 加 固 手 段 ， 还 需 要 通 过 漏 洞 扫 描 器 定 期 自 动 化 发 现 。 我 理 解 这 里 的 扫 描 器 至 少 需 要 解 决 几 方 面 问 题 ： 各 种 弱 密 码 系 统 级 漏 洞 ， 比 如 m s 0 8 - 0 6 7 、 M S 1 2 - 0 2 0 第 三 方 软 件 漏 洞 ， 比 如 C i s c o   W A G 1 2 0 N 多 个 远 程 命 令 执 行 漏 洞 0 8   其 他 其 他 蜜 罐 蜜 罐
部 署 一 定 数 量 的 蜜 罐 ， 可 以 起 到 事 半 功 倍 的 效 果 ， 最 简 单 的 就 是 用 类 似 h o n e y d 之 类 开 源 的 伪 装 成 w i n d o w 终 端 即 可 。 s i e m 办 公 网 数 据 量 基 本 不 大 而 且 商 业 产 品 居 多 ， 使 用 o s s i m 就 可 以 很 好 解 决 数 据 搜 集 、 展 现 、 自 定 义 报 警 、 关 联 分 析 的 功 能 了 。 0 9   建 设 步 骤 建 设 步 骤 通 过 以 上 努 力 ， 我 们 基 本 建 设 起 了 办 公 网 的 纵 深 防 御 系 统 ， 整 个 办 公 网 具 有 了 一 定 的 安 全 防 护 以 及 感 知 能 力 。 公 司 的 预 算 总 是 有 限 ， 人 力 也 是 捉 襟 见 肘 ， 从 无 到 有 建 设 这 么 个 安 全 防 护 体 系 不 是 一 年 半 载 的 事 ， 需 要 拍 优 先 级 ， 下 面 是 一 个 建 议 ： 第 一 步 ， 安 全 边 界 建 设 ， 风 险 初 步 可 控 ， 比 如 I P S 、 N G F W 、 杀 毒 、 准 入 、 无 线 加 固 第 二 步 ， 细 化 终 端 安 全 建 设 ， 进 一 步 提 高 防 护 能 力 ， 比 如 终 端 管 理 、 安 全 加 固 第 三 步 ， 提 高 安 全 感 知 能 力 ， 锦 上 添 花 ， 比 如 蜜 罐 、 漏 洞 扫 描 、 A P T 、 s i e m 每 个 公 司 安 全 现 状 不 一 样 ， 业 务 情 况 也 不 一 样 ， 具 体 实 施 步 骤 和 策 略 需 要 因 地 制 宜 。 安 全 意 识 教 育 也 是 非 常 重 要 的 一 个 环 节 ， 尤 其 针 对 社 工 ， 技 术 防 护 手 段 效 果 一 般 。 *   原 创 作 者 ： 兜 哥 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理