设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [17972] 2021-04-18_一些攻防演练后的总结与思考 ...
返回列表 发新帖
查看: 1|回复: 0

[17972] 2021-04-18_一些攻防演练后的总结与思考

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-18_一些攻防演练后的总结与思考 一 些 攻 防 演 练 后 的 总 结 与 思 考 H a c k i n g 黑 白 红   2 0 2 1 - 0 4 - 1 8 文 章 来 源 ： f r e e b u f 引 用 地 址 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / e s / 2 5 7 0 0 3 . h t m l 0 x 0   背 景 背 景 时 隔 N 个 月 之 后 当 前 再 来 复 盘 最 近 多 次 攻 防 演 练 活 动 的 技 术 细 节 ， 希 望 能 够 温 故 而 知 新 吧 。 每 次 的 活 动 参 与 后 ， 和 大 佬 们 坐 在 一 个 屋 子 里 即 使 不 说 话 也 感 觉 学 到 了 很 多 知 识 ， 经 历 了 不 知 道 多 个 彻 夜 难 眠 的 值 守 ， 认 真 揣 摩 了 网 线 那 头 的 对 手 会 从 什 么 地 方 过 来 ， 什 么 时 候 带 着 什 么 样 的 p a y l o a d 向 我 发 起 问 候 ， 盯 着 满 屏 幕 的 安 全 事 件 告 警 过 程 中 还 掺 杂 着 难 闻 的 咖 喱 味 I P ， 不 禁 想 脱 下 蓝 背 心 换 上 红 马 甲 ； 凡 事 预 则 立 不 预 则 废 ； 对 最 近 几 次 活 动 当 中 的 一 些 经 验 做 个 总 结 ， 希 望 能 对 后 续 的 活 动 提 供 了 思 路 争 取 后 续 把 安 全 工 作 做 的 更 好 ， 个 人 愚 见 欢 迎 各 位 大 佬 指 教 斧 正 。 0 x 1 安 全 事 件 分 析 安 全 事 件 分 析 君 子 生 非 异 也 ， 善 假 于 物 也 ； 作 为 一 个 资 深 的 安 全 打 工 人 在 应 对 大 量 攻 击 的 时 候 最 省 力 的 方 式 当 然 还 是 靠 各 种 各 样 的 安 全 设 备 ； 笔 者 私 下 喜 欢 把 安 全 事 件 报 警 设 备 分 为 三 大 类 ： 处 置 类 、 报 警 类 、 支 撑 类 ； 处 置 类 最 常 见 的 还 是 防 火 墙 ， 一 次 性 把 策 略 开 到 严 格 模 式 看 到 一 个 安 全 事 件 报 警 的 攻 击 I P 就 直 接 给 封 堵 掉 ， 消 减 对 手 的 攻 击 基 础 设 施 资 源 ； 发 现 有 跨 网 段 的 攻 击 I P 直 接 隔 离 被 控 制 的 I P 的 主 机 ； 同 时 基 于 终 端 的 杀 毒 软 件 类 也 是 较 好 的 处 置 ， 发 现 有 w e b s h e l l 、 后 门 文 件 、 C S 样 本 之 类 的 文 件 可 以 直 接 隔 离 删 除 掉 ； 报 警 类 的 设 备 主 要 还 是 流 量 层 面 的 监 控 设 备 多 一 些 ， 比 如 概 念 很 热 门 的 态 势 感 知 、 入 侵 检 测 （ 不 同 厂 商 的 命 名 可 能 不 一 样 意 思 大 家 都 懂 ） 、 上 网 行 为 监 控 、 N T A 、 邮 件 网 关 ( 旁 路 部 署 ) 、 沙 箱 、 蜜 罐 类 ， 主 要 功 能 还 是 可 以 依 靠 对 流 量 的 分 析 、 基 于 算 法 、 规 则 、 行 为 、 文 件 信 息 、 威 胁 情 报 等 多 个 维 度 从 流 量 当 中 发 现 恶 意 行 为 并 进 行 报 警 ， 该 类 设 备 往 往 不 具 备 处 置 能 力 需 要 人 为 的 排 查 或 者 联 动 处 置 类 的 设 备 进 行 闭 环 ， 当 然 也 有 部 分 主 机 层 面 的 I D S 支 持 从 主 机 行 为 上 识 别 攻 击 行 为 进 行 报 警 ； 还 有 一 类 比 如 运 维 管 理 、 流 量 审 计 、 远 程 接 入 、 统 一 访 问 之 类 的 设 备 主 要 做 一 些 溯 源 支 持 或 业 务 场 景 的 功 能 需 求 ， 在 对 抗 场 景 中 承 担 一 些 辅 助 的 作 用 。   在 实 际 安 全 事 件 分 析 的 阶 段 主 要 发 现 存 在 2 个 大 问 题 阻 止 了 我 成 为 最 强 安 全 打 工 人 。 0 x 2   二 个 问 题 二 个 问 题
第 一 个 问 题 安 全 事 件 太 多 且 种 类 多 样 ； 由 于 很 多 甲 方 上 帝 网 络 比 较 大 导 致 整 个 环 境 当 中 有 很 多 的 安 全 设 备 、 同 时 考 虑 到 异 构 的 场 景 ， 可 能 还 不 止 只 有 2 家 厂 商 的 设 备 ； 我 的 对 手 可 能 只 是 轻 描 淡 写 的 打 开 了 一 个 常 规 的 漏 扫 ， 当 前 监 控 页 面 可 能 就 会 出 现 1 0 0 + 个 安 全 报 警 ； 比 如 一 个 热 门 的 漏 洞 利 用 扫 描 往 往 包 括 常 规 的 S h i r o 反 序 列 、 S 2 系 列 、 T H i n k p h p 系 列 、 S o l a r 类 、 某 O A 系 列 类 、 已 知 C M S 类 、 W e b l o g i c 类 探 测 ； 一 个 S 2 可 以 从 S 2 - 0 1 6 尝 试 到 S 2 - 0 6 1 还 有 P O S T 和 G e t 方 法 、 再 测 试 几 个 简 单 的 编 码 绕 过 ； 因 为 当 前 很 多 安 全 设 备 的 检 测 能 力 主 要 还 是 基 于 规 则 检 测 的 多 一 些 ， 往 往 一 种 攻 击 方 式 会 有 多 个 检 测 规 则 方 法 和 场 景 ， 部 分 安 全 厂 商 会 命 中 一 条 报 警 一 条 ， 针 对 大 量 的 安 全 事 件 告 警 防 守 人 员 很 难 做 到 点 开 数 据 包 一 个 一 个 分 析 只 能 选 择 在 边 界 对 攻 击 I P 进 行 封 堵 ， 宁 教 我 负 天 下 人 、 休 叫 天 下 人 负 我 。 最 可 怕 的 也 就 是 如 果 本 地 挂 了 一 个 代 理 池 ， 攻 击 源 I P 就 会 非 常 多 非 常 多 靠 人 工 的 方 式 工 作 量 就 太 大 了 。 同 时 不 同 的 安 全 厂 商 报 警 的 安 全 事 件 、 格 式 内 容 什 么 的 都 不 一 样 ， 有 些 描 述 很 详 细 X X X 框 架 X X X 漏 洞 X X X 攻 击 ( C V E - X X X - X X X ) 熟 系 的 小 伙 伴 一 眼 就 知 道 发 生 了 什 么 ， 有 些 描 述 就 比 较 简 单 了 就 是 一 个 X X X 系 统 X X X X X X ; 由 于 吃 了 甲 方 金 主 的 零 食 喝 了 红 牛 和 奶 茶 工 作 还 是 做 好 的 ， 此 类 场 景 下 也 只 能 点 开 这 些 安 全 事 件 的 详 细 界 面 查 看 一 些 数 据 包 举 证 ， 看 一 下 攻 击 者 的 I P 和 时 间 、 次 数 以 及 一 些 详 细 描 述 、 结 合 攻 击 的 上 下 文 信 息 进 行 综 合 判 断 ， 遇 上 一 个 冷 门 的 漏 洞 可 能 自 己 还 需 要 上 网 搜 一 下 ， 有 一 些 的 确 是 一 些 真 实 攻 击 的 p a y l o a d 看 一 下 有 没 有 攻 击 成 功 的 可 能 后 直 接 封 堵 攻 击 I P 就 好 ； 有 一 部 分 是 业 务 场 景 下 的 误 报 需 要 告 知 到 甲 方 金 主 （ 虽 然 他 们 也 不 一 定 会 改 ） ， 确 定 是 正 常 业 务 的 可 以 对 该 行 为 进 行 加 白 ， 某 些 金 主 的 应 用 系 统 里 面 就 喜 欢 在 参 数 里 面 跟 着 各 种 s q l 查 询 的 命 令 s e l e c t   i n s e r t   u n i o n   f r o m   a n d   o r   g r o u p   b y 之 类 的 都 有 甚 至 很 多 结 尾 还 有 二 个 - - 符 号 ， 一 条 数 据 流 可 以 产 生 7 、 8 条 报 警 事 件 都 不 想 点 开 看 ； 有 一 部 分 也 不 知 道 命 中 了 什 么 规 则 看 起 来 十 分 正 常 ， 心 里 面 就 有 点 犯 嘀 咕 万 一 是 个 什 么 高 端 攻 击 自 己 能 力 有 限 看 不 出 来 怎 么 办 ? 但 是 这 个 数 据 包 怎 么 看 都 正 常 啊 ！ 嗯 ， 还 是 先 把 这 个 I P 给 办 了 错 杀 无 所 谓 了 。   第 二 个 问 题 就 是 误 报 问 题 的 出 现 ， 非 攻 击 者 的 行 为 被 识 别 成 恶 意 行 为 就 认 为 是 误 报 ， 总 体 上 来 说 误 报 也 分 二 种 场 景 ： 业 务 误 报 与 检 测 误 报 ； 大 多 数 参 与 攻 防 对 抗 的 主 力 选 手 对 用 户 上 帝 的 网 络 情 况 基 本 上 都 是 不 求 甚 解 ， 所 以 在 很 多 业 务 场 景 下 存 在 着 很 多 惊 喜 的 报 警 ； 比 较 常 见 的 如 一 些 文 件 共 享 、 文 件 备 份 的 服 务 器 精 彩 遭 受 到 大 量 的 S M B 暴 力 破 解 ， 或 者 一 些 网 络 管 理 的 操 作 系 统 批 量 的 对 内 网 发 起 端 口 扫 描 、 部 分 负 载 均 衡 的 地 址 疯 狂 攻 击 内 网 某 w e b 服 务 器 、 数 据 平 台 遭 受 大 量 的 E S 未 授 权 访 问 、 邮 件 网 关 设 备 中 了 几 百 种 僵 尸 网 络 等 等 的 情 况 ； 这 种 情 况 下 颇 有 一 种 考 验 革 命 友 谊 的 意 思 ， 如 果 用 户 方 对 这 些 业 务 场 景 比 较 了 解 的 话 很 多 行 为 其 实 都 是 说 的 通 ， 也 能 够 理 解 这 就 是 一 个 特 殊 的 用 户 场 景 ， 如 果 用 户 方 不 了 解 这 些 业 务 场 景 就 依 赖 于 防 守 的 小 伙 伴 自 己 结 合 更 多 的 行 为 去 揣 测 或 者 引 导 用 户 确 定 对 应 的 业 务 场 景 。 踩 的 坑 多 了 多 多 少 少 也 就 知 道 怎 么 回 事 了 ， 主 要 结 合 一 些 其 他 的 流 量 行 为 、 最 近 一 段 时 间 内 的 全 部 行 为 做 一 个 综 合 分 析 。 比 较 多 的 坑 包 括 负 载 均 衡 、 反 向 代 理 、 域 控 服 务 器 、 D N S 转 发 、 云 平 台 、 文 件 共 享 服 务 器 、 漏 扫 场 景 、 运 维 应 用 场 景 、 网 关 类 接 入 场 景 、 特 殊 应 用 场 景 等 等 ， 所 以 多 了 解 点 用 户 的 使 用 场 景 对 安 全 研 究 人 员 来 说 是 值 得 的 ， 毕 竟 攻 防 是 个 对 抗 的 过 程 防 御 检 测 时 候 能 派 上 用 场 ， 攻 击 渗 透 的 时 候 一 样 有 用 ；
如 果 说 业 务 误 报 是 和 用 户 的 二 人 转 的 话 ， 规 则 误 报 的 场 景 就 可 能 是 安 全 研 究 人 员 的 独 角 戏 。 估 计 大 多 数 的 安 全 研 究 人 员 对 一 些 攻 击 姿 势 的 积 累 和 知 识 储 备 远 远 多 于 对 检 测 技 术 的 积 累 ， 研 究 什 么 数 据 统 计 、 关 联 算 法 、 检 测 模 型 、 机 器 学 习 、 特 征 工 程 、 流 量 分 析 之 类 的 东 西 相 对 来 说 枯 燥 乏 味 的 多 ， 且 实 际 动 手 的 成 本 较 高 没 有 膜 拜 一 下 大 佬 的 诡 异 姿 势 和 绕 过 操 作 来 的 淋 漓 畅 快 一 些 ， 且 不 同 安 全 厂 商 识 别 同 一 种 的 攻 击 方 法 也 是 林 林 总 总 更 多 的 像 一 种 猜 测 。 目 前 主 要 的 检 测 方 法 普 遍 采 用 的 方 式 可 以 简 单 的 分 为 三 大 类 、 规 则 匹 配 ( 内 容 分 析 ) 、 行 为 模 型 检 测 、 关 联 分 析 识 别 ; 为 了 方 便 理 解 简 单 举 几 个 例 子 解 释 一 下 ， 所 谓 的 规 则 匹 配 主 要 是 一 种 检 测 p a y l o a d 特 征 的 一 种 方 式 ， 比 如 尝 试 一 个 脚 本 文 件 上 传 的 检 测 方 式 主 要 思 路 就 是 从 H T T P 协 议 当 中 筛 选 出 P O S T 请 求 再 分 离 出 上 传 的 文 件 ， 从 文 件 名 后 缀 和 文 件 内 容 二 个 方 面 识 别 这 个 上 传 的 文 件 到 底 是 不 是 个 脚 本 ， 典 型 的 j s p 、 p h p 、 a s p x 、 p h p 3 等 文 件 后 缀 ， 再 从 文 件 内 容 当 中 检 测 是 否 包 含 一 些 < ? j s p     e v a l   a s s e r t 等 特 殊 的 字 符 之 类 的 方 法 ， 当 然 这 里 也 有 很 多 的 反 检 测 姿 势 在 里 面 常 见 的 代 码 混 淆 、 编 码 绕 过 、 加 密 、 文 件 包 含 、 后 缀 名 伪 造 、 解 析 漏 洞 等 方 式 ， 所 以 除 了 黑 名 单 策 略 之 外 往 往 还 有 一 些 白 名 单 的 技 术 在 里 面 ， 非 白 即 黑 ； 往 往 内 容 特 征 检 测 都 有 一 些 字 符 的 举 证 ， 比 如 在 一 个 完 整 的 H T T P 数 据 包 当 中 进 行 高 亮 标 注 清 楚 ； 行 为 检 测 的 话 往 往 是 根 据 一 段 时 间 内 的 行 为 进 行 识 别 ， 常 见 的 A 主 机 扫 描 B 主 机 在 一 定 的 时 间 内 达 到 了 一 定 的 频 率 ， 次 数 就 会 识 别 成 扫 描 或 者 尝 试 多 少 次 账 号 暴 力 破 解 ， 需 要 设 定 多 少 个 账 号 、 多 少 个 密 码 、 失 败 次 数 等 维 度 进 行 判 断 ； 此 类 报 警 的 事 件 举 证 起 来 就 相 对 模 糊 一 些 往 往 只 是 对 行 为 进 行 语 言 性 的 描 述 。 0 x 3     告 警 优 化 场 景 告 警 优 化 场 景 总 得 来 说 由 于 场 景 的 多 样 性 ， 对 安 全 人 员 在 研 判 的 过 程 当 中 增 加 了 不 少 的 难 度 ， 同 时 也 对 研 判 人 员 对 安 全 事 件 的 理 解 与 业 务 场 期 望 可 以 景 熟 悉 程 度 提 出 了 更 高 的 要 求 。 所 以 最 理 想 的 状 态 应 该 是 ， 无 论 是 通 过 人 员 还 是 一 定 的 算 法 在 大 量 的 安 全 事 件 报 警 面 前 进 行 聚 合 过 滤 后 生 成 少 数 几 个 准 确 度 高 、 危 害 度 高 的 定 向 攻 击 行 为 出 来 ； 由 于 不 同 设 备 的 产 生 的 安 全 告 警 的 数 量 是 巨 大 的 而 且 有 很 多 真 实 攻 击 往 往 混 杂 在 一 些 无 用 的 扫 描 器 的 漏 洞 探 测 的 情 况 发 生 ， 所 以 需 要 一 种 方 法 将 这 些 安 全 事 件 进 行 聚 类 分 析 。 常 见 的 方 法 比 如 攻 击 源 同 源 、 攻 击 行 为 同 源 、 时 序 关 系 相 关 、 因 果 关 系 聚 类 、 攻 击 场 景 聚 类 ； 攻 击 同 源 还 是 比 较 理 解 1 0 0 个 安 全 事 件 的 告 警 在 同 一 个 时 间 都 来 自 于 同 一 个 外 网 攻 击 源 I P 、 可 以 理 解 这 些 告 警 属 于 同 一 个 组 织 或 者 团 队 。 或 者 根 据 情 报 显 示 、 多 个 攻 击 源 I P 属 于 同 一 个 团 伙 。 多 个 攻 击 I P 地 址 在 一 定 时 间 内 接 受 到 了 大 量 来 自 某 一 个 地 区 、 某 一 个 城 市 或 者 I P 位 于 同 一 个 供 应 商 、 在 一 个 C 段 的 场 景 都 可 以 理 解 为 攻 击 同 源 ； 攻 击 行 为 同 源 主 要 从 攻 击 手 法 层 面 出 发 ， 某 个 I P 地 址 之 前 针 对 某 个 O A 系 统 上 传 了 一 个 p h p 、 在 一 定 的 时 间 内 另 外 一 个 I P 地 址 进 行 了 I P 的 链 接 ， 可 以 认 为 当 前 二 个 I P 地 址 对 应 的 安 全 告 警 都 属 于 同 一 个 团 队 。 或 者 当 前 某 个 外 网 资 产 在 一 定 的 时 间 段 内 先 后 遭 受 了 S 2 - 0 4 5 、 S 2 - 0 4 6 、 S 2 - 0 3 2 的 漏 洞 测 试 ， 可 以 认 为 当 前 几 个 I P 存 在 较 大 的 可 能 性 属 于 同 一 个 团 队 ； 通 过 去 重 、 聚 类 等 方 法 在 减 少 告 警 的 数 量 后 依 然 会 存 在 较 多 的 安 全 告 警 无 法 分 析 ， 在 研 判 人 员 时 间 、 精 力 都 有 限 的 条 件 下 优 先 会 选 择 分 析 哪 些 疑 似 攻 击 成 功 的 攻 击 数 据 包 。 攻 击 者 往 往 在 攻 击 成 功 之 前 必 然 会 有 大 量 的 探 测 、 尝 试 攻 击 的 攻 击 行 为 ， 一 招 致 命 的 毕 竟 还 是 少 数 。 如 果 从 告 警 当 中 筛 选 出 攻 击 成 功 的 事 件 就 显 得 格 外 重 要 ； 1 0 0 次 失 败 漏 洞 利 用 效 果 不 如 1 次 成 功 攻 击 来 的 可 怕 ， 目 前 重 要 的 攻 击 成 功 判 断 方 式 主 要 依 赖 ： 请 求 p a y l o a d 与 r e s p o n s e 内 容 的 回 显 、 多 源 数 据 的 关 联 、 前 置 关 系 的 关 联 ；
基 于 回 显 的 攻 击 成 功 目 前 来 看 应 该 是 最 主 流 的 一 种 方 式 ， 其 实 也 比 较 简 单 每 一 次 攻 击 从 数 据 当 中 提 取 出 p a y l o a d 部 份 再 根 据 内 置 一 些 攻 击 者 常 常 执 行 的 命 令 w h o a m i 、 i p c o n i f g 、 n e t   u s e r 、 i f c o n f i g 、 d i r 、 l s 等 命 令 ， 在 内 置 一 些 每 一 个 对 应 命 令 返 回 内 容 的 格 式 ， 前 面 命 中 了 p a y l o a d 后 面 命 中 了 返 回 的 格 式 内 容 ， 即 可 以 认 为 当 前 攻 击 的 状 态 是 成 功 的 ， 此 类 方 式 的 误 报 率 还 是 可 以 控 制 的 ， 单 纯 的 依 靠 返 回 状 态 码 、 数 据 包 大 小 等 手 法 就 不 是 很 靠 谱 了 。 多 源 数 据 关 联 的 方 式 的 思 路 主 要 还 是 来 自 于 溯 源 分 析 ， 单 纯 的 依 靠 流 量 层 面 的 数 据 仅 仅 是 对 部 分 的 攻 击 行 为 能 够 做 识 别 。 端 点 层 面 的 探 针 提 供 的 信 息 往 往 更 加 丰 富 一 些 ， 常 见 的 S S H 暴 力 破 解 、 R D P 暴 力 破 解 因 为 都 是 加 密 流 量 无 法 做 到 对 密 码 和 状 态 的 判 断 ， 能 够 借 助 终 端 上 的 日 志 在 流 量 层 面 的 安 全 告 警 过 程 中 读 取 O S 的 系 统 日 志   4 6 2 5 、 4 6 2 4 就 容 易 的 多 ； 发 现 一 个 遭 受 w e b s h e l l 上 传 的 行 为 ， 无 法 判 断 是 否 成 功 结 合 终 端 是 否 有 文 件 生 成 ； 出 现 命 令 执 行 的 场 景 ， 重 点 监 控 w e b l o g i c 、 I I S 、 A p a h c e 此 类 进 程 的 调 用 顺 序 在 攻 击 成 功 的 判 断 方 面 具 备 较 好 的 效 果 与 价 值 。 由 于 很 多 用 户 环 境 都 不 是 特 别 干 净 ， 内 网 当 中 必 定 有 一 些 中 毒 的 机 器 特 别 是 最 近 几 年 黑 产 的 活 动 越 来 越 频 繁 。 在 众 多 的 安 全 告 警 当 中 也 需 要 摈 弃 那 部 分 中 毒 主 机 导 致 的 告 警 ， 这 部 分 主 机 的 确 是 有 问 题 只 是 当 前 处 理 的 不 是 时 候 ， 也 有 一 部 分 可 能 是 不 好 处 置 或 者 处 置 不 了 一 些 历 史 遗 留 问 题 。 所 以 有 必 要 把 这 部 分 的 事 件 给 分 离 出 来 原 则 上 需 要 对 所 有 的 安 全 报 警 类 型 进 行 分 类 ， 冰 蝎 w e b s h e l l 访 问 、 F R P 穿 透 、 I C M P 隧 道 通 信 、 C S 、 M S F 工 具 流 量 活 动 、 特 定 内 容 的 鱼 叉 邮 件 、 D N S l o g 注 入 多 数 就 是 定 向 攻 击 的 行 为 ， X X X 家 族 的 威 胁 情 报 访 问 、 各 种 p a y m e n t 、 i n v o i c e 发 票 之 类 的 病 毒 邮 件 就 是 典 型 的 病 毒 类 型 的 告 警 ， 内 网 横 向 的 M S 1 7 - 0 1 0 、 R D P 暴 力 破 解 、 网 段 扫 描 等 场 景 二 者 都 有 可 能 ， 同 样 也 是 值 得 关 注 。 0 x 4 未 知 威 胁 应 对 未 知 威 胁 应 对
相 信 对 于 绝 大 多 数 有 多 年 安 全 从 业 经 验 的 选 手 来 说 ， 对 主 流 的 攻 击 手 法 多 多 少 都 见 过 一 些 即 使 没 有 怎 么 使 用 过 ， 用 来 实 现 什 么 目 的 都 还 是 清 楚 的 ， 在 大 多 数 的 事 件 研 判 上 问 题 应 该 都 不 大 。 最 大 的 不 确 定 性 应 该 是 担 心 某 些 行 为 根 本 没 有 安 全 事 件 产 生 ， 巧 妇 难 为 无 米 之 炊 ， 在 活 动 当 中 使 用 到 之 前 保 存 的 一 些 0 - d a y 或 者 免 杀 的 样 本 、 加 密 流 量 、 特 定 场 景 的 绕 过 姿 势 导 致 检 测 的 探 针 都 没 有 报 警 就 有 点 降 维 打 击 的 感 觉 ， 所 以 整 个 活 动 当 中 大 家 都 是 兢 兢 业 业 的 担 心 对 手 不 来 （ 感 觉 自 己 没 有 什 么 用 ） ， 却 也 担 心 悄 无 声 息 来 （ 感 觉 自 己 没 有 什 么 用 ） ， 大 家 心 里 其 实 都 没 有 底 ， 目 前 针 对 未 知 威 胁 的 检 测 比 较 成 熟 的 方 法 主 要 有 二 大 类 ： 文 件 沙 箱 （ 针 对 样 本 的 行 为 判 断 恶 意 ） 、 行 为 异 常 识 别 （ 针 对 攻 击 者 行 为 与 正 常 业 务 行 为 的 差 异 性 ） ； 对 于 很 多 高 级 白 帽 子 来 说 对 抗 杀 软 绕 过 静 态 的 特 征 扫 描 的 思 路 也 是 林 林 总 总 ， 在 文 件 沙 箱 虚 拟 执 行 的 过 程 中 难 度 就 会 更 高 一 些 ， 稍 微 有 一 些 敏 感 的 动 作 都 比 较 容 易 标 记 成 恶 意 行 为 于 是 就 衍 生 了 不 少 技 术 在 动 态 执 行 、 对 抗 虚 拟 机 沙 箱 、 反 调 试 的 一 些 技 术 的 研 究 和 知 识 储 备 。 由 于 一 些 重 大 的 安 全 活 动 的 原 因 ， 每 年 都 有 一 些 0 - d a y 、 免 杀 样 本 、 无 特 征 工 具 、 新 的 攻 击 手 法 被 披 露 出 来 成 为 热 门 的 话 题 之 一 ， 伴 随 着 红 蓝 对 抗 的 意 识 越 来 越 强 更 加 趋 近 于 常 态 化 工 作 ， 对 当 前 的 安 全 检 测 能 力 提 出 了 更 好 的 要 求 。 目 前 主 流 的 开 源 入 侵 检 测 引 擎 主 要 为 S u r i c a t a 、 S n o r t 、 Z e e k 三 个 相 对 使 用 的 多 一 些 检 测 方 法 主 要 为 基 于 特 征 的 检 测 和 基 于 异 常 的 检 测 为 主 。 针 对 于 新 的 攻 击 手 法 与 漏 洞 利 用 ， 基 于 异 常 的 检 测 往 往 效 果 会 更 好 一 些 ， 这 里 本 质 上 是 在 区 分 攻 击 者 与 业 务 使 用 人 员 在 信 息 不 对 称 的 场 景 下 的 特 殊 行 为 ， 对 业 务 系 统 很 熟 悉 的 安 全 人 员 清 晰 的 知 道 当 前 网 络 的 拓 扑 、 业 务 系 统 情 况 ， 以 及 访 问 关 系 图 大 概 的 路 径 、 网 段 的 划 分 以 及 安 全 设 备 的 部 署 情 况 。 试 想 一 下 在 攻 击 者 成 功 拿 到 某 台 服 务 器 的 权 限 之 后 期 望 更 进 一 步 的 内 网 漫 游 ， 即 使 通 过 前 期 的 信 息 收 集 拿 到 了 很 多 账 号 和 密 码 没 有 爆 破 、 漏 洞 利 用 的 攻 击 行 为 但 是 总 得 有 一 些 网 络 访 问 或 者 登 录 行 为 ， 一 台 公 网 的 W e b 服 务 器 主 动 发 起 对 其 他 网 段 的 R D P 访 问 ， 通 过 鱼 叉 邮 件 被 控 制 的 办 公 电 脑 对 D M Z 区 的 服 务 器 发 起 连 接 、 1 9 2 . 1 6 8 的 终 端 首 次 访 问 1 0 . 1 网 段 的 服 务 器 这 些 行 为 结 合 对 历 史 访 问 关 系 的 判 断 都 能 够 产 生 一 定 的 告 警 并 进 行 研 判 分 析 。  
除 了 内 置 一 些 典 型 的 U s e r C a s e 之 外 还 可 以 依 赖 当 前 主 流 的 一 些 分 类 算 法 统 计 区 分 异 常 。 常 规 的 一 些 算 法 对 网 络 的 流 量 访 问 关 系 基 于 低 颗 粒 度 ， 区 分 正 常 流 量 与 异 常 流 量 的 访 问 ， k 均 值 聚 类 算 法 （ k - m e a n s   c l u s t e r i n g   a l g o r i t h m ） 是 一 种 迭 代 求 解 的 聚 类 分 析 算 法 ， 其 步 骤 是 随 机 选 取 K 个 对 象 作 为 初 始 的 聚 类 中 心 ， 然 后 计 算 每 个 对 象 与 各 个 种 子 聚 类 中 心 之 间 的 距 离 ， 把 每 个 对 象 分 配 给 距 离 它 最 近 的 聚 类 中 心 。 聚 类 中 心 以 及 分 配 给 它 们 的 对 象 就 代 表 一 个 聚 类 ， 通 过 对 一 段 时 间 内 的 访 问 关 系 进 行 学 习 分 析 建 立 一 定 的 基 线 模 型 ， 在 真 实 的 攻 防 场 景 下 出 现 的 异 常 访 问 的 点 就 值 得 重 点 关 注 和 排 查 ， 特 别 是 在 内 网 横 向 的 场 景 下 具 备 较 好 的 识 别 效 果 ， 加 密 流 量 、 正 常 流 量 即 使 无 法 进 行 内 容 匹 配 或 者 特 征 识 别 还 可 以 从 网 络 层 的 行 为 进 行 判 断 识 别 是 目 前 针 对 未 知 威 胁 的 主 要 方 向 之 一 ， 相 关 的 算 法 模 型 还 有 很 多 包 括 各 种 图 、 树 、 森 林 、 概 率 转 化 、 数 据 挖 掘 算 法 可 参 考 应 用 此 类 方 法 最 需 要 的 还 是 大 量 可 供 学 习 的 数 据 源 或 者 针 对 不 同 场 景 下 的 特 征 向 量 提 取 。 类 似 的 场 景 还 比 较 多 常 见 的 比 如 异 常 流 量 的 外 发 ( 超 出 日 常 水 平 ) 、 基 于 w e b s h e l l 访 问 的 稀 有 流 量 、 运 维 场 景 下 的 首 次 访 问 、 主 机 异 常 外 联 场 景 、 敏 感 的 鱼 叉 邮 件 、 高 可 疑 的 加 密 流 量 通 信 、 服 务 器 之 间 的 异 常 访 问 服 务 器 、 境 外 I P 的 异 常 登 录 等 场 景 即 使 是 目 前 常 用 的 一 些 D N S l o g 、 D O H 技 术 都 依 靠 一 定 时 间 窗 口 内 的 数 据 统 计 具 备 对 应 的 检 测 方 法 和 途 径 。 很 多 高 对 抗 的 攻 击 行 为 的 确 很 难 基 于 传 统 的 特 征 检 测 去 识 别 ， 通 过 对 主 机 行 为 、 流 量 访 问 数 据 层 面 一 定 时 间 内 所 有 的 小 的 异 常 点 的 告 警 事 件 进 行 非 线 性 累 加 与 场 景 判 断 ， 相 对 大 多 数 的 攻 击 场 景 都 发 现 。 相 对 于 特 征 检 测 而 言 往 往 异 常 识 别 的 误 报 率 经 常 会 翻 好 几 倍 ， 数 量 与 质 量 的 保 证 都 不 一 定 会 比 较 精 确 ， 多 数 只 是 一 个 异 常 点 需 要 熟 系 业 务 的 人 对 对 应 的 情 况 进 行 识 别 排 查 ， 往 往 需 要 一 定 的 知 识 积 累 和 精 力 投 入 。 于 是 有 很 多 技 术 人 员 对 此 类 告 警 觉 得 很 不 准 觉 得 质 量 不 高 ， 但 是 攻 防 对 抗 的 对 抗 的 是 双 方 选 手 的 技 术 功 底 、 精 力 、 时 间 投 入 的 方 方 面 面 ， 攻 击 者 的 定 向 攻 击 从 最 开 始 的 信 息 收 集 、 踩 点 打 点 、 漏 洞 利 用 和 信 息 收 集 甚 至 是 0 - d a y 的 挖 掘 同 样 花 费 了 比 较 多 时 间 精 力 为 了 b y p a s s 安 全 设 备 做 的 免 杀 与 无 特 征 通 信 的 技 术 研 究 ， 防 守 人 员 不 花 点 心 思 和 精 力 分 析 就 轻 易 发 现 岂 不 是 在 否 认 别 人 努 力 成 果 了 。 0 x 5   一 些 方 法 论 与 资 料 一 些 方 法 论 与 资 料 攻 防 对 抗 的 场 景 是 一 个 持 续 学 习 、 持 续 改 进 的 过 程 ， 冰 冻 三 尺 非 一 日 之 寒 ， 需 要 安 全 人 员 对 当 前 方 向 上 的 持 续 研 究 。 安 全 效 果 与 价 值 的 可 视 化 伴 随 着 一 些 活 动 的 展 开 变 得 更 加 容 易 和 量 化 ， 用 户 对 安 全 的 需 求 的 也 更 显 的 清 晰 可 见 ， 用 实 战 化 的 结 果 来 评 估 攻 击 者 的 技 术 水 平 、 防 守 方 的 识 别 能 力 、 网 络 当 中 的 存 在 的 脆 弱 性 与 可 能 存 在 的 风 险 。 P D C A 是 为 了 更 好 地 理 解 和 更 有 意 识 地 在 工 作 生 活 中 使 用 P D C A 思 考 模 型 ， 因 为 它 真 的 太 有 用 了 ， 能 力 需 要 持 续 打 磨 非 一 夕 一 朝 之 劳 。
P l a n ： 从 最 开 始 的 方 案 预 研 、 针 对 不 同 的 攻 击 手 法 与 特 征 进 行 分 析 研 究 确 定 当 前 的 方 案 与 需 要 达 到 的 目 标 ； D o : 根 据 设 计 和 布 局 进 行 具 体 运 作 ， 实 现 计 划 中 的 内 容 通 过 自 己 的 思 路 尝 试 并 检 验 效 果 C h e c k : 通 过 运 营 对 结 果 进 行 分 析 是 否 存 在 可 以 优 化 的 空 间 ， 漏 报 误 报 检 出 的 平 衡 点 A c i o n : 通 过 对 运 营 的 结 论 进 行 改 进 与 探 索 新 的 方 法 与 方 向 A T T C K 模 型 通 过 对 案 例 和 攻 击 手 法 的 梳 理 整 理 出 了 攻 击 这 个 阶 段 的 一 些 知 识 点 ， 比 较 适 合 部 分 安 全 研 究 人 员 探 索 ， 纸 上 得 来 终 觉 浅 自 己 尝 试 测 试 一 下 一 些 攻 击 手 法 想 必 收 获 也 会 颇 丰 。 目 前 该 模 型 很 多 用 户 喜 欢 把 这 个 模 型 作 为 一 个 安 全 全 景 图 用 于 描 述 当 前 安 全 能 力 的 现 况 ， 既 然 是 全 景 图 必 然 有 很 多 攻 击 手 法 利 用 场 景 非 常 的 特 殊 并 不 一 定 是 热 门 事 件 或 者 常 用 技 术 ， 且 有 部 分 覆 盖 不 到 的 地 方 ， 对 于 很 多 从 业 者 和 爱 好 者 作 为 学 习 资 料 还 是 不 错 的 也 不 必 太 过 追 捧 。 C y b e r   K i l l   C h a i n “ 网 络 杀 链 ” 是 由 洛 克 希 德 . 马 丁 研 所 发 的 威 胁 情 报 的 驱 动 防 御 模 型 ， 用 于 指 导 识 别 攻 击 者 为 了 达 到 入 侵 网 络 的 目 的 所 需 完 成 的 活 动 。 攻 击 者 往 往 也 是 按 照 一 定 的 攻 击 顺 序 进 行 渗 透 入 侵 ， 对 攻 击 者 的 攻 击 阶 段 有 个 良 好 的 分 类 在 后 续 溯 源 、 风 险 判 断 都 有 比 较 大 的 帮 助 ， 由 于 K i l l C h a i n 主 要 是 按 照 攻 击 者 攻 击 手 法 进 行 参 考 属 于 纯 粹 的 攻 击 者 视 角 ， 比 如 这 武 器 化 / 工 具 化 这 个 阶 段 对 受 害 者 完 全 是 无 感 知 ， 对 应 很 多 安 全 知 识 理 解 不 深 刻 的 用 户 很 难 从 中 去 明 白 当 前 发 生 了 什 么 事 件 。 另 外 一 个 问 题 是 多 数 安 全 厂 商 按 照 不 同 的 理 解 都 有 自 己 的 安 全 告 警 阶 段 分 类 ， 导 致 很 多 企 业 用 户 在 建 设 自 己 的 S I E M 、 S O C 、 S O A R 之 类 的 平 台 的 时 候 很 难 做 到 针 对 不 同 的 厂 家 的 安 全 事 件 的 归 一 化 ， 后 续 的 报 警 的 理 解 与 关 联 分 析 就 存 在 更 大 的 障 碍 。
0 x 6   总 结 总 结 都 说 安 全 建 设 是 一 个 典 型 的 木 桶 理 论 思 想 整 体 的 安 全 能 力 只 能 取 决 于 最 薄 弱 的 地 方 ， 大 家 普 遍 认 可 基 于 纵 深 网 络 的 网 络 建 设 体 系 。 对 攻 击 者 针 对 目 标 只 需 找 到 一 个 最 薄 弱 的 地 方 单 点 突 破 ， 而 对 应 企 业 内 部 的 安 全 建 设 却 需 要 花 费 很 大 的 成 本 在 构 建 一 个 相 对 合 理 的 防 御 体 系 ， 然 而 却 很 难 做 到 面 面 俱 到 ， 突 破 点 可 能 是 一 个 弱 密 码 、 可 能 是 g i t h u b 的 路 径 、 可 能 是 开 源 组 件 的 b u g 、 可 能 是 某 个 框 架 的 漏 洞 、 可 能 是 某 个 O A 的 默 认 密 码 、 可 能 是 某 些 应 用 的 访 问 控 制 不 严 等 。 偏 偏 安 全 所 产 生 的 价 值 并 没 有 那 么 容 易 凸 显 且 存 在 较 高 的 认 知 门 槛 ， 不 出 安 全 事 故 感 觉 无 价 值 出 了 事 故 发 现 也 没 有 价 值 ， b u t   w h a t e v e r
本 文 作 者 ： s i 1 e n c e
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 17:34 , Processed in 0.707159 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表