搜索

[16664] 2021-04-13_下一代网络靶场：将事件响应演习带入云端

文档创建者：s7ckTeam
浏览次数：107
最后更新：2025-01-18
2021-04-13_下一代网络靶场：将事件响应演习带入云端 下 一 代 网 络 靶 场 ： 将 事 件 响 应 演 习 带 入 云 端 晶 颜 1 2 3   F r e e B u f   2 0 2 1 - 0 4 - 1 3 I B M   X - F o r c e 始 终 秉 承 “ 以 事 件 响 应 为 中 心 ” ， 使 客 户 始 终 处 于 网 络 安 全 体 验 的 最 前 沿 ， 其 中 包 括 在 云 原 生 环 境 中 进 行 响 应 。 那 么 ， 什 么 是 “ 云 原 生 ” （ C l o u d   N a t i v e ） ？ 云 原 生 这 个 概 念 最 早 于 2 0 1 3 由 P i v o t a l 公 司 的 M a t t   S t i n e 首 次 提 出 。 2 0 1 5 年 ， 云 原 生 刚 推 广 时 ， M a t t   S t i n e 在 《 迁 移 到 云 原 生 架 构 》 一 书 中 定 义 了 符 合 云 原 生 架 构 的 几 个 特 征 ： 1 2 因 素 、 微 服 务 、 自 敏 捷 架 构 、 基 于 A P I 协 作 、 扛 脆 弱 性 ； 到 了 2 0 1 7 年 ， M a t t   S t i n e 在 接 受 采 访 时 又 改 了 口 风 ， 将 云 原 生 架 构 归 纳 为 模 块 化 、 可 观 察 、 可 部 署 、 可 测 试 、 可 替 换 、 可 处 理 6 特 质 ； 而 P i v o t a l 最 新 官 网 对 云 原 生 概 括 为 4 个 要 点 ： D e v O p s + 持 续 交 付 + 微 服 务 + 容 器 。 之 后 在 2 0 1 5 年 夏 天 ， L i n u x 基 金 会 创 建 了 云 原 生 基 金 会 C N C F 。 C N C F 在 宣 布 成 立 时 也 没 有 一 个 关 于 云 原 生 的 具 体 定 义 。 只 是 提 到 了 一 些 相 关 的 技 术 ， 包 括 开 源 ， 容 器 ， 微 服 务 ， 编 排 工 具 。 可 以 说 ， 时 至 今 日 ， 关 于 云 原 生 并 没 有 一 个 明 确 的 定 义 ， 每 个 人 都 有 自 己 不 同 的 注 解 。 在 I B M ， 其 将 云 原 生 应 用 程 序 和 基 础 架 构 定 义 为 “ 由 离 散 的 、 可 重 用 的 组 件 （ 称 为 微 服 务 ） 组 成 ， 旨 在 集 成 到 任 何 云 环 境 中 。 这 些 微 服 务 充 当 构 建 块 ， 通 常 打 包 在 容 器 中 。 微 服 务 作 为 一 个 整 体 协 同 工 作 以 组 成 一 个 应 用 程 序 ， 但 是 ， 每 个 组 件 又 都 可 以 通 过 自 动 化 和 编 排 流 程 进 行 独 立 缩 放 ， 不 断 改 进 和 快 速 迭 代 。 ” 随 着 云 原 生 已 经 成 为 许 多 组 织 I T 基 础 架 构 规 划 的 关 键 部 分 ， 我 们 认 识 到 所 有 相 关 功 能 都 需 要 扩 展 到 云 原 生 中 ， 这 包 括 事 件 检 测 及 响 应 过 程 ， 因 为 这 些 事 件 极 可 能 影 响 这 些 环 境 。 从 物 理 到 虚 拟 再 到 云 原 生 从 物 理 到 虚 拟 再 到 云 原 生 网 络 靶 场 的 概 念 诞 生 于 物 理 时 代 。 如 果 企 业 部 署 了 服 务 器 ， 那 么 安 全 或 I T 管 理 员 将 控 制 物 理 机 箱 和 机 架 ， 包 括 网 络 接 口 卡 、 硬 盘 驱 动 器 以 及 所 有 其 他 组 件 。 如 果 企 业 运 营 软 件 ， 其 将 控 制 其 安 装 的 代 码 。 在 虚 拟 和 云 原 生 环 境 中 ， 管 理 员 和 安 全 人 员 几 乎 无 法 控 制 物 理 硬 件 ， 甚 至 无 法 控 制 在 云 原 生 应 用 程 序 下 运 行 的 原 始 控 制 面 。 这 就 意 味 着 网 络 安 全 方 法 必 须 考 虑 架 构 、 监 视 和 控 制 方 面 的 关 键 差 异 。 从 许 多 意 义 上 讲 ， 虚 拟 化 可 能 会 带 来 一 些 复 杂 性 。 当 组 织 以 混 合 模 式 工 作 时 ， 尤 为 如 此 。 在 这 种 模 式 中 ， 组 织 的 一 些 资 产 仍 在 公 司 内 部 ， 但 他 们 也 具 有 基 于 云 的 工 作 负 载 以 及 跨 多 个 不 同 供 应 商 的 数 据 。 随 着 疫 情 的 持 续 以 及 整 个 员 工 队 伍 向 远 程 办 公 迁 移 ， 对 云 端 事 件 响 应 功 能 的 需 求 显 然 已 经 变 得 越 来 越 迫 切 。 我 们 看 到 越 来 越 多 的 攻 击 者 将 目 标 锁 定 在 云 原 生 环 境 中 的 薄 弱 环 节 ， 利 用 流 行 的 平 台 和 应 用 程 序 ， 并 在 L i n u x 和 云 环 境 中 运 行 恶 意 软 件 ， 这 些 恶 意 软 件 通 常 以 G o 编 程 语 言 编 写 ， 以 在 混 合 基 础 架 构 中 运 行 。 例 如 ， 众 所 周 知 ， A m a z o n   W e b   S e r v i c e s （ A W S ） 的 S 3 存 储 系 统 对 于 正 确 地 进 行 安 全 保 护 就 是 一 个 挑 战 。 它 也 是 云 中 最 流 行 的 对 象 存 储 设 备 ， 并 且 公 司 将 继 续 把 敏 感 数 据 放 入 S 3 存 储 桶 中 。 结 果 无 疑 是 面 临 更 大 的 风 险 ， 要 么 是 无 意 中 将 存 储 桶 暴 露 在 公 开 的 互 联 网 上 ， 要 么 像 C a p i t a l O n e 在 2 0 1 9 年 夏 天 那 样 遭 受 极 具 破 坏 性 的 攻 击 。 在 C a p i t a l O n e 攻 击 事 件 中 ， 一 位 前 A W S 员 工 利 用 配 置 错 误 的 W e b 应 用 程 序 防 火 墙 （ W A F ） 暴 露 了 超 过 1 . 0 6 亿 人 的 信 用 卡 应 用 程 序 。 云 原 生 安 全 性 演 习 有 何 不 同 ？ 云 原 生 安 全 性 演 习 有 何 不 同 ？ 在 旧 时 代 中 ， 当 检 测 到 问 题 时 ， 安 全 团 队 可 以 选 择 将 受 影 响 的 服 务 器 与 网 络 隔 离 ， 删 除 连 接 ， 但 保 留 物 理 机 以 进 行 进 一 步 检 查 和 分 析 。 但 是 ， 在 云 原 生 时 代 ， 这 些 都 是 不 可 行 的 ， 因 为 根 本 不 存 在 需 要 保 留 的 物 理 设 备 。 虽 然 可 以 从 企 业 网 络 中 删 除 虚 拟 实 例 ， 但 是 安 全 团 队 并 不 具 备 快 速 简 便 的 方 法 可 以 从 云 提 供 商 的 网 络 中 删 除 物 理 服 务 器 。 事 实 上 ， 这 些 做 还 会 破 坏 许 多 其 他 客 户 的 应 用 程 序 。 云 原 生 应 用 程 序 和 体 系 结 构 要 求 以 不 同 的 方 式 来 考 虑 和 应 对 安 全 威 胁 。 例 如 ， 当 容 器 或 虚 拟 机 受 到 威 胁 时 ， 安 全 响 应
团 队 必 须 立 即 冻 结 并 隔 离 该 计 算 实 例 ， 以 进 行 适 当 的 取 证 ， 这 一 点 至 关 重 要 。 这 与 最 初 关 闭 云 服 务 器 的 冲 动 想 法 背 道 而 驰 ， 这 种 冲 动 可 能 会 阻 止 其 违 规 行 为 ， 但 也 会 消 除 进 行 正 确 的 分 析 所 需 的 取 证 追 踪 。 当 D e v S e c O p s 团 队 致 力 于 跨 多 个 云 保 护 其 应 用 程 序 和 基 础 架 构 时 ， 这 些 差 异 将 成 倍 增 加 。 云 之 间 的 安 全 标 准 和 功 能 差 异 很 大 。 例 如 ， 像 S 3 等 存 储 服 务 的 默 认 配 置 可 能 具 有 不 同 的 安 全 级 别 。 两 种 云 日 志 文 件 服 务 A W S   C l o u d   T r a i l s 和 M i c r o s o f t   A z u r e   S e n t i n e l 中 用 于 收 集 和 分 析 云 日 志 文 件 的 标 准 也 有 所 不 同 。 在 A W S 和 A z u r e 上 运 行 的 基 础 级 应 用 程 序 编 程 接 口 （ A P I ） 也 存 在 根 本 差 异 ， 这 要 求 与 这 些 A P I 进 行 通 信 的 开 发 人 员 在 命 令 脚 本 和 D e v O p s 工 具 中 使 用 不 同 的 语 言 标 准 以 进 行 持 续 集 成 （ C I ） 和 连 续 部 署 （ C D ）   。 为 了 检 测 潜 在 的 安 全 事 件 ， 适 当 的 监 控 必 须 使 团 队 能 够 看 到 他 们 所 需 保 护 的 整 个 环 境 。 但 不 幸 的 是 ， 在 复 杂 的 混 合 基 础 架 构 中 ， 创 建 一 个 简 单 易 用 的 单 窗 格 视 图 才 是 真 正 的 挑 战 。 这 就 是 为 什 么 我 们 经 常 在 企 业 和 政 府 客 户 的 安 全 咨 询 工 作 中 生 成 此 类 仪 表 板 和 连 接 层 的 原 因 。 除 了 监 控 障 碍 外 ， 团 队 可 用 的 安 全 工 具 和 控 件 在 整 个 云 中 也 可 能 有 所 不 同 。 例 如 ， A W S 具 有 三 种 类 型 的 负 载 均 衡 器 ， 它 们 具 有 不 同 的 （ 或 没 有 ） W e b 应 用 程 序 防 火 墙 （ W A F ） 。 在 A W S 和 A z u r e 上 运 行 的 托 管 K u b e r n e t e s 服 务 不 允 许 将 W A F 轻 松 地 放 置 在 群 集 的 前 面 。 此 外 ， 在 内 部 部 署 和 云 中 范 式 之 间 ， 安 全 团 队 如 何 使 用 诸 如 S a f e B r e a c h 之 类 的 连 续 安 全 控 制 验 证 平 台 也 存 在 很 大 不 同 。 在 云 中 ， 大 多 数 应 用 程 序 是 使 用 容 器 技 术 部 署 的 。 容 器 能 够 大 规 模 创 建 不 可 变 且 短 暂 的 基 础 架 构 的 能 力 使 云 原 生 成 为 可 能 。 因 此 ， 在 这 些 演 习 中 ， 我 们 针 对 容 器 使 用 攻 击 模 拟 ， 攻 击 其 网 络 堆 栈 、 安 全 流 程 以 及 安 全 团 队 在 构 建 和 保 护 多 云 环 境 的 过 程 中 必 须 管 理 的 任 何 其 他 攻 击 面 。 向 基 于 容 器 的 安 全 性 转 变 也 扩 大 了 参 与 者 的 范 围 。 在 这 种 情 况 下 ， 开 发 人 员 将 不 断 部 署 代 码 和 应 用 程 序 ， 并 控 制 容 器 中 的 内 容 。 由 于 发 布 周 期 快 ， 安 全 审 查 往 往 是 自 动 化 的 。 因 此 ， 云 原 生 网 络 靶 场 包 括 来 自 开 发 团 队 和 D e v S e c O p s 的 参 与 者 ， 而 对 于 传 统 事 件 响 应 团 队 而 言 ， 情 况 并 非 总 是 如 此 。 将 所 有 资 源 整 合 在 一 个 平 台 将 所 有 资 源 整 合 在 一 个 平 台 在 向 客 户 咨 询 他 们 对 事 件 响 应 培 训 的 需 求 时 ， 我 们 听 说 他 们 想 要 一 个 实 践 平 台 ， 在 这 里 ， 安 全 团 队 不 仅 可 以 在 混 合 （ 传 统 ） 实 施 和 云 之 间 ， 而 且 可 以 在 多 个 云 之 间 进 行 分 析 、 监 视 和 编 排 。 这 正 是 I B M   X - F o r c e 的 云 原 生 网 络 靶 场 的 推 动 思 想 。 在 网 络 靶 场 中 ， 演 习 始 于 紧 急 触 发 ， 例 如 新 闻 工 作 者 打 来 的 电 话 或 F B I 发 出 的 电 子 邮 件 ， 以 告 知 企 业 团 队 的 违 规 行 为 。 这 些 演 习 中 的 漏 洞 来 源 可 能 是 公 共 云 中 众 多 攻 击 点 之 一 。 除 此 之 外 ， 我 们 还 确 保 将 不 受 参 与 者 控 制 的 云 部 分 包 括 在 内 ， 以 教 会 他 们 如 何 应 对 这 一 “ 新 现 实 ” ， 以 及 如 何 与 公 共 云 安 全 团 队 进 行 互 动 ， 以 最 大 限 度 地 发 挥 成 功 响 应 的 机 会 ， 从 而 尽 可 能 地 减 少 影 响 。 借 助 S a f e B r e a c h ， 我 们 可 以 运 行 以 容 器 为 中 心 的 攻 击 手 册 ， 来 着 眼 潜 在 的 杀 伤 链 进 展 ， 然 后 重 点 凸 显 哪 些 控 件 有 效 ， 哪 些 控 件 无 效 。 S a f e B r e a c h 规 定 的 补 救 措 施 还 可 作 为 改 善 参 与 者 的 云 原 生 安 全 状 态 的 指 南 。 采 取 补 救 措 施 后 ， 我 们 将 运 行 同 一 本 手 册 ， 以 确 保 控 件 现 在 可 以 按 预 期 运 行 。 我 们 构 建 云 原 生 网 络 靶 场 的 主 要 目 标 之 一 是 帮 助 安 全 组 织 和 开 发 者 团 队 了 解 在 高 速 部 署 的 分 布 式 应 用 程 序 环 境 中 验 证 安 全 性 的 最 佳 方 式 。 这 就 要 求 加 强 他 们 的 安 全 代 谢 ， 因 为 如 果 可 以 将 其 纳 入 C I / C D 管 道 中 ， 而 不 是 作 为 对 妥 协 指 标 （ I o C ） 的 反 应 进 行 添 加 ， 那 么 所 需 的 补 救 措 施 实 际 上 能 得 到 更 好 地 执 行 。 如 今 ， 大 多 数 团 队 已 经 了 解 了 这 一 点 ， 但 是 帮 助 它 们 实 现 并 持 续 存 在 下 去 ， 才 是 适 应 这 种 转 变 并 更 改 安 全 立 场 ， 以 反 应 新 的 云 原 生 方 式 现 实 的 最 佳 方 式 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理