搜索

[13143] 2018-09-04_安全防护场景与安全报警的：“点、线、面”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-09-04_安全防护场景与安全报警的：“点、线、面” 安 全 防 护 场 景 与 安 全 报 警 的 ： “ 点 、 线 、 面 ” x s e c u r i t y   F r e e B u f   2 0 1 8 - 0 9 - 0 4 0 x 0 1   防 护 场 景 与 防 御 防 护 场 景 与 防 御 在 最 近 业 内 同 行 的 交 流 过 程 中 ， 发 现 企 业 内 部 除 了 业 务 不 同 ， 都 有 类 似 的 安 全 防 护 场 景 ， 使 用 的 防 护 系 统 也 趋 在 最 近 业 内 同 行 的 交 流 过 程 中 ， 发 现 企 业 内 部 除 了 业 务 不 同 ， 都 有 类 似 的 安 全 防 护 场 景 ， 使 用 的 防 护 系 统 也 趋 于 统 一 化 ， 商 业 产 品 可 能 来 源 于 同 一 厂 商 ， 开 源 产 品 使 用 的 是 相 同 的 技 术 。 一 个 威 胁 事 件 发 生 在 时 间 轴 的 先 后 于 统 一 化 ， 商 业 产 品 可 能 来 源 于 同 一 厂 商 ， 开 源 产 品 使 用 的 是 相 同 的 技 术 。 一 个 威 胁 事 件 发 生 在 时 间 轴 的 先 后 顺 序 来 看 ， 在 威 胁 行 为 的 不 同 场 景 阶 段 ， 一 般 要 使 用 不 同 基 础 防 御 系 统 防 护 。 我 们 把 攻 击 阶 段 简 单 的 分 类 ： 渗 顺 序 来 看 ， 在 威 胁 行 为 的 不 同 场 景 阶 段 ， 一 般 要 使 用 不 同 基 础 防 御 系 统 防 护 。 我 们 把 攻 击 阶 段 简 单 的 分 类 ： 渗 透 、 入 侵 、 破 坏 、 墨 迹 、 逃 逸 。 在 不 同 的 阶 段 使 用 不 同 的 防 护 产 品 与 其 对 位 。 透 、 入 侵 、 破 坏 、 墨 迹 、 逃 逸 。 在 不 同 的 阶 段 使 用 不 同 的 防 护 产 品 与 其 对 位 。 渗 透 阶 段 ： 渗 透 阶 段 ： 在 渗 透 阶 段 最 常 见 的 嗅 探 动 作 就 是 扫 描 ， 而 扫 描 如 果 不 看 p a y l o a d 内 容 ， 也 可 通 过 观 察 访 问 频 次 与 时 间 的 关 系 ， 判 断 异 常 扫 描 行 为 是 否 存 在 。 比 如 ： W A F 系 统 可 以 识 别 拦 截 这 些 扫 描 行 为 。 入 侵 阶 段 ： 入 侵 阶 段 ： 攻 击 者 可 能 通 过 取 得 s h e l l 或 是 其 它 途 径 获 取 系 统 权 限 ， I D S / I P S 可 以 通 过 监 听 读 取 系 统 所 在 环 境 中 的 流 量 分 析 异 常 ， 当 攻 击 的 p a y l o a d 命 中 策 略 ， 当 外 链 通 信 与 威 胁 库 匹 配 时 ， 可 以 发 现 定 位 威 胁 。 破 坏 阶 段 ： 破 坏 阶 段 ： 当 攻 击 者 潜 伏 到 系 统 中 ， 不 做 敏 感 动 作 ， 不 产 生 威 胁 流 量 访 问 ， 就 可 以 很 好 的 隐 藏 自 己 。 一 旦 有 严 重 的 威 胁 指 令 行 为 ， 或 是 机 器 的 状 态 民 动 ， H I D S 就 可 按 预 定 策 略 发 现 破 坏 行 为 ， 并 报 警 。 灭 迹 阶 段 ： 灭 迹 阶 段 ： 很 多 恶 意 脚 本 都 是 自 删 除 的 ， 攻 击 者 是 想 不 流 下 蛛 丝 马 迹 ， 对 安 全 资 产 监 控 的 手 段 越 多 ， 留 下 攻 击 者 痕 迹 的 数 据 越 详 实 ， 日 志 中 心 、 数 据 代 理 、 探 针 的 部 署 ， 可 以 尽 可 能 的 发 现 威 胁 攻 击 的 脉 络 ， 管 理 威 胁 响 应 的 状 态 并 跟 踪 处 理 结 果 。 逃 逸 阶 段 ： 逃 逸 阶 段 ： 攻 击 行 为 结 束 ， 攻 击 者 想 撤 离 后 。 就 算 没 有 第 一 时 间 实 现 发 现 攻 击 ， 我 们 也 可 以 通 过 分 析 攻 击 者 在 各 个 阶 段 留 下 的 痕 迹 ， 溯 源 攻 击 路 径 ， 评 估 损 失 ， S I M 系 统 可 尽 早 的 发 现 威 胁 ， 将 危 害 防 患 于 未 然 。 针 对 流 量 读 取 、 行 为 记 录 、 数 据 聚 合 、 智 能 统 计 ， 都 是 在 记 录 正 常 行 为 数 据 同 时 ， 过 滤 出 异 常 行 为 的 存 在 。 防 护 策 略 定 义 ， 也 是 对 异 常 行 为 的 一 种 定 义 。 抛 开 事 件 发 生 的 阶 段 与 对 应 防 护 系 统 设 定 具 体 不 谈 。 安 全 运 维 人 员 ， 最 需 要 关 注 和 分 析 的 就 是 安 全 威 胁 预 警 情 报 ， 而 对 大 量 的 安 全 资 产 ， 这 个 预 警 情 报 相 对 个 人 的 处 理 能 力 来 说 几 乎 是 海 量 的 ， 如 果 组 织 和 抽 象 这 些 威 胁 信 息 ， 是 安 全 运 维 人 员 不 得 不 面 对 的 问 题 ， 下 面 给 出 了 一 定 的 信 息 组 织 原 则 ： 安 全 威 胁 情 报 汇 聚
的 “ 点 、 线 、 面 ” 。 0 x 0 2   威 胁 点 线 面 威 胁 点 线 面 之 前 说 了 ， 虽 然 各 家 公 司 的 业 务 不 同 ， 但 安 全 防 护 场 景 接 近 。 我 们 把 防 护 系 统 收 集 的 情 报 ， 聚 合 出 一 副 安 全 总 括 情 报 图 ， 通 过 这 个 图 来 映 射 出 公 司 资 产 环 境 的 总 体 安 全 状 态 。 各 个 系 统 的 情 报 输 出 是 多 样 化 的 ， 都 是 自 成 一 体 ， 非 有 机 的 数 据 孤 岛 ， 我 们 通 过 数 据 结 构 化 ， 数 据 聚 合 ， 总 体 上 ， 将 威 胁 情 报 ，   从 抽 象 形 式 上 分 成 三 种 形 态 ： 点 、 线 、 面 。 点 ： 点 ： 高 危 威 胁 预 警 报 警 。 线 ： 线 ： 关 联 资 产 威 胁 情 报 。 面 ： 面 ： 头 部 威 胁 信 息 聚 合 图 表 。 上 图 ， 我 们 将 威 胁 信 息 的 点 线 面 形 式 ， 汇 聚 到 了 一 起 ， 既 可 看 到 ， “ 1 0 0 、 3 0 、 2 0 ” 这 种 聚 合 的 统 计 图 表 ，   又 可 看 到 “ 源 I P ” 到 ” 目 地 I P ” 之 间 的 威 胁 关 联 路 径 ， 同 时 突 出 的 被 威 胁 单 元 资 产 。 情 报 预 警 越 及 时 准 确 ， 响 应 的 才 能 更 更 快 ， 可 以 通 过 点 线 面 的 情 报 组 织 ， 感 知 威 胁 所 处 阶 段 。 0 x 0 3   面 ： 图 表 与 数 据 聚 合 面 ： 图 表 与 数 据 聚 合 面 ： 头 部 威 胁 信 息 聚 合 图 表 。 在 生 产 环 境 中 ， 我 们 聚 合 了 各 种 系 统 的 数 据 ， 概 况 数 据 的 含 义 ， 定 义 异 常 边 界 ， “ 面 ” 的 威 胁 情 报 ， 展 现 了 一 个 大 颗 粒 的 系 统 安 全 状 态 信 息 ， 把 整 千 上 万 资 产 设 备 的 数 据 ， 经 过 数 据 汇 聚 ， 形 成 一 副 安 全 鸟 瞰 图 。   把 威 胁 情 报 量 化 ， 图 表 化 。 用 图 表 去 概 括 一 种 常 态 的 趋 势 变 化 ， 一 旦 出 现 异 常 数 据 裂 变 ， 可 以 清 晰 的 看 到 异 常 数 据 与 正 常 趋 势 的 差 异 ， 对 于 大 趋 势 的 明 显 异 常 ， 这 种 可 视 化 的 方 式 可 以 直 观 的 感 受 到 。 每 天 的 威 胁 日 报 ， 各 种 统 计 图 表 就 是 这 种 面 的 威 胁 情 报 的 展 现 。
0 x 0 4   线 索 与 回 溯 与 问 题 线 索 与 回 溯 与 问 题 线 ： 关 联 资 产 威 胁 情 报 。 攻 击 者 对 与 资 产 互 动 留 下 的 痕 迹 ， 形 成 了 一 条 数 据 证 据 链 路 ， 按 这 条 路 径 ， 可 以 观 察 出 攻 击 者 的 具 体 行 为 步 骤 ， 发 现 那 些 资 产 沦 陷 。 如 果 从 服 务 之 间 的 访 问 路 径 来 定 义 分 析 异 常 ， 可 预 知 某 些 资 产 之 间 ， 是 不 会 发 生 交 互 关 联 的 ， 一 旦 交 互 发 生 ， 就 是 异 常 行 为 的 出 现 ， 典 型 的 是 正 常 的 生 产 服 务 单 元 ， 不 会 无 缘 无 故 的 去 扫 描 同 网 段 里 的 基 它 机 器 。 我 们 可 以 在 黑 名 单 中 ， 定 义 威 胁 路 径 ， 作 为 策 略 发 现 异 常 。 可 以 回 溯 访 问 链 路 评 估 资 产 损 失 。 图 数 据 库 就 是 一 种 对 应 的 技 术 落 地 手 段 。 0 x 0 5   焦 点 聚 焦 与 高 危 情 报 焦 点 聚 焦 与 高 危 情 报 点 ： 高 危 威 胁 预 警 报 警 。 “ 面 ” 和 “ 线 ” 都 是 复 数 形 式 的 报 警 情 报 ， 在 实 际 的 应 急 处 理 中 ， 要 直 接 定 位 到 被 攻 击 资 产 的 所 有 者 。 在 可 见 的 视 野 范 围 内 ， 谁 是 小 偷 掏 包 者 ， 谁 是 包 的 主 人 ，   在 偷 窃 行 为 还 没 有 造 成 损 失 之 前 ， 告 警 受 害 者 。 是 精 确 定 位 威 胁 的 关 键 点 。 找 到 攻 击 源 和 被 攻 击 者 ， 并 且 预 先 就 定 义 出 非 常 态 的 异 常 关 联 ， 定 义 的 越 苛 刻 细 致 ， 报 警 的 误 报 率 越 低 。 给 出 应 急 关 键 数 据 ： 那 个 机 器 被 谁 攻 击 ， 攻 击 是 什 么 ， 被 攻 击 的 机 器 所 有 者 ， 这 种 最 明 确 的 预 警 断 言 。 短
息 邮 件 ， 第 一 时 间 发 给 关 键 人 员 。 0 x 0 6   集 中 报 警 与 响 应 集 中 报 警 与 响 应 0 x 0 7   威 胁 的 集 中 与 跟 踪 威 胁 的 集 中 与 跟 踪 安 全 资 产 越 多 ， 受 到 攻 击 的 概 率 就 越 大 ， 当 有 明 确 的 报 警 ， 被 以 “ 点 ” 的 形 式 体 现 出 来 时 ， 接 下 来 面 临 的 的 问 题 是 报 警 如 何 汇 聚 ， 并 且 跟 踪 状 态 。 聚 合 的 过 程 是 威 胁 信 息 筛 选 的 逆 过 程 ， 我 们 将 威 胁 的 点 信 息 ， 变 成 线 性 记 录 ， 再 把 记 录 汇 聚 成 一 张 表 ， 再 给 表 中 的 记 录 加 上 新 的 状 态 标 签 ，   这 就 像 在 沙 子 中 淘 金 ， 在 把 金 子 熔 成 金 块 。 通 过 点 线 面 情 报 集 中 ， 有 的 有 的 放 矢 ， 才 不 会 被 淹 没 在 海 量 的 威 胁 告 警 中 不 着 重 点 。
0 x 0 8   总 结 总 结 在 实 际 的 安 全 运 维 工 程 ， 运 用 了 各 种 安 全 子 系 统 ， 如 何 面 对 和 处 理 这 些 系 统 产 生 的 告 警 信 息 ， 可 以 精 确 的 定 位 威 胁 是 一 个 课 题 ， 在 不 断 实 践 中 归 纳 出 这 些 基 本 原 则 ， 无 论 是 商 业 产 品 还 是 开 源 项 目 ， 对 威 胁 信 息 的 抽 象 与 有 效 组 织 ， 才 可 以 提 高 应 急 的 响 应 速 度 。 我 们 基 于 这 些 原 则 ， 把 握 运 维 人 员 在 威 胁 事 件 处 理 中 ， 与 防 护 系 统 间 的 良 性 互 动 ， 不 被 信 息 淹 没 ， 相 对 高 效 的 化 风 险 于 未 然 。 * 本 文 作 者 ： 本 文 作 者 ： x s e c u r i t y ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理