设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [17944] 2021-04-09_2021护网日记（三）-护网工程如何解 ...
返回列表 发新帖
查看: 0|回复: 0

[17944] 2021-04-09_2021护网日记（三）-护网工程如何解决误报、提高沟通效率问题

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-09_2021护网日记（三）-护网工程如何解决误报、提高沟通效率问题 2 0 2 1 护 网 日 记 （ 三 ） - 护 网 工 程 如 何 解 决 误 报 、 提 高 沟 通 效 率 问 题 原 创   H a c k i n g 黑 白 红   H a c k i n g 黑 白 红   2 0 2 1 - 0 4 - 0 9 4 月 9 日 ， 天 气 ： 多 云 正 是 护 网 第 二 天 ， 经 历 了 第 一 天 多 条 0 d a y 漏 洞 被 曝 出 和 某 单 位 被 打 穿 了 两 台 服 务 器 后 ， 我 所 在 入 场 的 甲 方 赶 紧 打 补 丁 、 加 固 ， 所 以 一 切 都 安 好 。 给 这 两 天 一 个 总 结 就 是 ： 系 统 误 报 太 多 ， 交 流 消 耗 太 大 护 网 前 准 备 充 分 的 各 种 工 具 & 技 能 、 应 急 响 应 勒 索 病 毒 、 排 查 挖 矿 木 马 、 w e b s h e l l 、 网 页 篡 改 、 数 据 泄 露 、 流 量 劫 持 、 L i n u x 排 查 、 W i n d o w s 排 查 ， 结 果 基 本 都 没 有 用 到 ， 精 力 时 间 基 本 都 花 在 了 处 理 系 统 误 报 和 内 部 交 流 上 。 一 、 系 统 误 报 太 多 一 、 系 统 误 报 太 多 整 理 一 下 两 天 的 处 置 单 ， 一 共 是 6 8 个 ， 其 中 确 定 误 报 的 为 5 8 个 ， 确 定 为 攻 击 的 为 6 个 ， 还 在 继 续 排 查 的 4 个 。 先 说 这 5 8 个 误 报 的 情 况 ， 大 致 分 为 4 类 ， 1 、 业 务 系 统 之 间 的 调 用 请 求 ， 设 备 报 警 ， 内 网 渗 透 向 ； 2 、 业 务 公 司 人 员 上 生 产 系 统 上 的 p o c 测 试 （ 直 接 执 行 注 入 和 远 程 读 取 命 令 ） ， 被 系 统 误 报 成 渗 透 攻 击 （ 这 一 条 应 该 不 算 是 误 报 ， 毕 竟 有 攻 击 行 为 ， 只 不 过 是 自 己 人 干 的 ） ； 3 、 c e n t o s 系 统 自 动 更 新 系 统 文 件 ， 设 备 报 警 ， 未 经 授 权 的 访 问 外 网 ； 4 、 业 务 人 员 配 置 中 间 件 ， 设 备 报 警 ； 二 、 交 流 消 耗 太 大 二 、 交 流 消 耗 太 大 我 所 在 的 现 场 ， 根 据 甲 方 需 求 ， 分 为 4 组 ： 监 测 组 、 防 守 应 急 组 、 处 置 组 、 溯 源 反 制 组 流 程 如 下 ： 1 、 监 测 组 监 测 设 备 ， 整 理 报 警 信 息 ， 提 交 交 处 置 单 给 防 守 应 急 组   ； 2 、 防 守 应 急 拿 到 处 置 单 ， 进 行 排 查 ， 该 组 没 有 看 机 器 的 权 限 ， 只 能 和 处 置 组 建 群 沟 通 ， 根 据 处 置 单 （ 期 间 要 不 停 的 去 检 测 组 设 备 上 看 详 细 信 息 ） ， 提 出 处 置 建 议 ， 让 处 置 组 来   操 作 ； 3 、 处 置 组 ， 主 要 是 甲 方 的 业 务 人 员 ， 因 为 很 多 对 应 急 的 操 作 不 是 很 熟 悉 ， 而 且 有 些 系 统 他 们 还 需 要 找 系 统 服 务 商 进 行 操 作 ， 这 就 增 加 了 沟 通 的 成 本 ； 4 、 溯 源 反 制 组 ， 根 据 确 定 的 攻 击 进 行 溯 源 和 反 制 ， 前 两 天 真 实 攻 击 较 少 ， 这 组 的 兄 弟 这 两 天 很 哈 皮 ， 基 本 没 啥 事 ， 静 等 盒 饭 了 所 以 一 个 处 置 单   ， 基 本 消 耗 在 不 停 的 找 人 的 路 上 ， 一 个 处 置 单 最 初 只 有 建 群 的 时 候 只 有 3 个 人 ， 中 间 遇 到 不 停 的 问 题 不 停 的 加 人 入 群 ， 有 负 责 V P N 的 、 系 统 业 务 开 发 公 司 的 、 甲 方 维 护 的 、 系 统 管 理 的 。 。 。 。 就 这 样 不 停 的 加 ， 直 接 一 个 处 置 单 群 ， 加 了 2 0 多 个 人 ， 这 个 问 题 最 终 才 解 决 ， 最 终 发 现 居 然 是 误 报 ， 自 己 人 操 作 、 系 统 的 业 务 正 常 调 用 等 等 建 议 ： 建 议 ： 1 、 随 着 护 网 的 进 行 ， 要 不 停 的 修 改 报 警 规 则 ， 从 源 头 上 减 少 误 报 2 、 从 V P N 上 排 查 谁 登 陆 了 报 警 I P 是 一 个 高 效 的 方 法 3 、 增 加 扁 平 化 的 沟 通 交 流 方 式
两 天 干 的 有 点 累 ， 其 他 的 建 议 欢 迎 大 家 补 充 了 扫 描 关 注 扫 描 关 注 “ H a c k i n g 黑 白 红 黑 白 红 ”
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.103189 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表