设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18267] 2021-01-23_攻防演练之蓝队
返回列表 发新帖
查看: 1|回复: 0

[18267] 2021-01-23_攻防演练之蓝队

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-01-23_攻防演练之蓝队 攻 防 演 练 之 蓝 队 小 宇 的 w e b   H A C K 之 道   2 0 2 1 - 0 1 - 2 3 1 . 什 么 是 蓝 队 什 么 是 蓝 队 蓝 队 一 般 是 以 参 演 单 位 现 有 的 网 络 安 全 防 护 体 系 为 基 础 ， 在 实 战 攻 防 演 习 期 间 组 建 的 防 守 队 伍 。 蓝 队 的 主 要 工 作 包 括 前 期 安 全 检 查 、 整 改 与 加 固 ， 演 习 期 间 进 行 网 络 安 全 监 测 、 预 警 、 分 析 、 验 证 、 处 置 ， 后 期 复 盘 总 结 现 有 防 护 工 作 中 的 不 足 之 处 ， 为 后 续 常 态 化 的 网 络 安 全 防 护 措 施 提 供 优 化 依 据 。 2 . 蓝 队 组 成 蓝 队 组 成 下 面 是 组 成 蓝 队 的 各 个 团 队 在 演 习 中 的 角 色 与 分 工 情 况 ： * * 目 标 系 统 运 营 单 位 ： * * 负 责 蓝 队 整 体 的 指 挥 、 组 织 和 * * 安 全 运 营 团 队 ： * * 负 责 整 体 防 护 和 攻 击 监 控 工 作 ； * * 攻 防 专 家 ： * * 负 责 对 安 全 监 控 中 发 现 的 可 疑 攻 击 进 行 分 析 研 判 ， 指 导 安 全 运 营 团 队 、 软 件 开 发 商 等 相 关 部 门 进 行 漏 洞 整 改 等 一 系 列 工 作 ； * * 安 全 厂 商 ： * * 负 责 对 自 身 产 品 的 可 用 性 、 可 靠 性 和 防 护 监 控 策 略 是 否 合 理 进 行 调 整 ； * * 软 件 开 发 商 ： * * 负 责 对 自 身 系 统 安 全 加 固 、 监 控 和 配 合 攻 防 专 家 对 发 现 的 安 全 问 题 进 行 整 改 ； * * 网 络 运 维 队 伍 ： * * 负 责 配 合 安 全 专 家 对 网 络 架 构 安 全 、 出 口 整 体 优 化 、 网 络 监 控 、 溯 源 等 工 作 ； * * 云 提 供 商 （ 如 有 ） ： * * 负 责 对 自 身 云 系 统 安 全 加 固 ， 以 及 对 云 上 系 统 的 安 全 性 进 行 监 控 ， 同 时 协 助 攻 防 专 家 对 发 现 的 问 题 进 行 整 改 。 某 些 情 况 下 ， 还 会 有 其 他 组 成 人 员 ， 这 需 要 根 据 实 际 情 况 具 体 分 配 工 作 。 防 守 的 防 守 的 3 个 阶 段 个 阶 段 一 、 备 战 阶 段 一 、 备 战 阶 段 1 ） 技 术 方 面 为 了 及 时 发 现 安 全 隐 患 和 薄 弱 环 节 ， 需 要 有 针 对 性 地 开 展 自 查 工 作 ， 并 进 行 安 全 整 改 加 固 ， 内 容 包 括 系 统 资 产 梳 理 、 安 全 基 线 检 查 、 网 络 安 全 策 略 检 查 、 W e b 安 全 检 测 、 关 键 网 络 安 全 风 险 检 查 、 安 全 措 施 梳 理 和 完 善 、 应 急 预 案 完 善 与 演 练 等 。 2 ） 管 理 方 面 一 是 建 立 合 理 的 安 全 组 织 架 构 ， 明 确 工 作 职 责 ， 建 立 具 体 的 工 作 小 组 ， 同 时 结 合 工 作 小 组 的 责 任 和 内 容 ， 有 针 对 性 地 制 定 工 作 计 划 、 技 术 方 案 及 工 作 内 容 ， 责 任 到 人 、 明 确 到 位 ， 按 照 工 作 实 施 计 划 进 行 进 度 和 质 量 把 控 ， 确 保 管 理 工 作 落 实 到 位 ， 技 术 工 作 有 效
执 行 。 二 是 建 立 有 效 的 工 作 沟 通 机 制 ， 通 过 安 全 可 信 的 即 时 通 讯 工 具 建 立 实 战 工 作 指 挥 群 ， 及 时 发 布 工 作 通 知 ， 共 享 信 息 数 据 ， 了 解 工 作 情 况 ， 实 现 快 速 、 有 效 的 工 作 沟 通 和 信 息 传 递 。 3 ） 运 营 方 面 成 立 防 护 工 作 组 并 明 确 工 作 职 责 ， 责 任 到 人 ， 开 展 并 落 实 技 术 检 查 、 整 改 和 安 全 监 测 、 预 警 、 分 析 、 验 证 和 处 置 等 运 营 工 作 ， 加 强 安 全 技 术 防 护 能 力 。 完 善 安 全 监 测 、 预 警 和 分 析 措 施 ， 建 立 完 善 的 安 全 事 件 应 急 处 置 机 构 和 可 落 地 的 流 程 机 制 ， 提 高 事 件 的 处 置 效 率 。 二 、 实 战 阶 段 二 、 实 战 阶 段 1 ） 做 好 全 局 性 分 析 研 判 工 作 在 实 战 防 护 中 ， 分 析 研 判 应 作 为 核 心 环 节 ， 分 析 研 判 人 员 要 具 备 攻 防 技 术 能 力 ， 熟 悉 网 络 和 业 务 。 分 析 研 判 人 员 作 为 整 个 防 护 工 作 的 大 脑 ， 应 充 分 发 挥 专 家 和 指 挥 棒 的 作 用 ， 向 前 ， 对 监 测 人 员 发 现 的 攻 击 预 警 进 行 分 析 确 认 并 溯 源 ， 向 后 ， 指 导 协 助 事 件 处 置 人 员 对 确 认 的 攻 击 进 行 处 置 。 2 ） 全 面 布 局 安 全 监 测 预 警 安 全 监 测 须 尽 量 做 到 全 面 覆 盖 ， 在 网 络 边 界 、 内 网 区 域 、 应 用 系 统 、 主 机 系 统 等 方 面 全 面 布 局 安 全 监 测 手 段 ， 同 时 ， 除 了 I D S 、 W A F 等 传 统 安 全 监 测 手 段 外 ， 尽 量 多 使 用 天 眼 全 流 量 威 胁 检 测 、 网 络 分 析 系 统 、 蜜 罐 、 主 机 加 固 等 手 段 ， 只 要 不 影 响 业 务 ， 监 测 手 段 越 多 元 化 越 好 。 3 ） 提 高 事 件 处 置 效 率 效 果 安 全 事 件 发 生 后 ， 最 重 要 的 是 在 最 短 时 间 内 采 取 技 术 手 段 遏 制 攻 击 、 防 止 蔓 延 。 事 件 处 置 环 节 ， 应 联 合 网 络 、 主 机 、 应 用 和 安 全 等 多 个 岗 位 人 员 协 同 处 置 。 三 、 战 后 整 顿 三 、 战 后 整 顿 演 习 的 结 束 也 是 防 护 工 作 改 进 的 开 始 。 在 实 战 工 作 完 成 后 应 进 行 充 分 、 全 面 复 盘 分 析 ， 总 结 经 验 、 教 训 。 应 对 准 备 、 预 演 习 、 实 战 等 阶 段 工 作 中 各 环 节 的 工 作 进 行 全 面 复 盘 ， 复 查 层 面 包 括 工 作 方 案 、 组 织 管 理 、 工 作 启 动 会 、 系 统 资 产 梳 理 、 安 全 自 查 及 优 化 、 基 础 安 全 监 测 与 防 护 设 备 的 部 署 、 安 全 意 识 、 应 急 预 案 及 演 练 和 注 意 事 项 等 所 有 方 面 。 蓝 队 应 对 攻 击 的 常 用 策 略 蓝 队 应 对 攻 击 的 常 用 策 略 一 、 防 微 杜 渐 ： 防 范 被 踩 点 一 、 防 微 杜 渐 ： 防 范 被 踩 点 攻 击 者 首 先 会 通 过 各 种 渠 道 收 集 目 标 单 位 的 各 种 信 息 ， 收 集 的 情 报 越 详 细 ， 攻 击 则 会 越 隐 蔽 ， 越 快 速 。 前 期 防 踩 点 ， 首 先 要 尽 量 防 止 本 单 位 敏 感 信 息 泄 露 在 公 共 信 息 平 台 ， 加 强 人 员 安 全 意 识 ， 不 准 将 带 有 敏 感 信 息 的 文 件 上 传 至 公 共 信 息 平 台 。 社 工 也 是 攻 击 者 进 行 信 息 收 集 和 前 期 踩 点 的 重 要 手 段 ， 要 定 期 对 信 息 部 门 重 要 人 员 进 行 安 全 意 识 培 训 ， 如 ： 来 路 不 明 的 邮 件 附 件 不 要 随 便 点 开 ， 聊 天 软 件 未 经 身 份 确 认 不 要 随 便 添 加 。 此 外 ， 安 全 管 理 和 安 全 意 识 培 训 难 免 也 会 有 漏 网 之 鱼 ， 安 全 运 营 部 门 应 定 期 在 一 些 信 息 披 露 平 台 搜 索 本 单 位 敏 感 词 ， 查 看 是 否 存 在 敏 感 文 件 泄 露 情 况 。
二 、 收 缩 战 线 ： 收 敛 攻 击 面 二 、 收 缩 战 线 ： 收 敛 攻 击 面 门 用 于 防 盗 ， 窗 户 没 关 严 也 会 被 小 偷 得 逞 。 攻 击 者 往 往 不 会 正 面 攻 击 防 护 较 好 的 系 统 ， 而 是 找 一 些 可 能 连 防 守 者 自 己 都 不 知 道 的 薄 弱 环 节 下 手 。 这 就 要 求 防 守 者 一 定 要 充 分 了 解 自 己 暴 露 在 互 联 网 的 系 统 、 端 口 、 后 台 管 理 系 统 、 与 外 单 位 互 联 的 网 络 路 径 等 信 息 。 哪 方 面 考 虑 不 到 位 、 哪 方 面 往 往 就 是 被 攻 陷 的 点 。 互 联 网 暴 露 面 越 多 ， 越 容 易 被 攻 击 者 “ 声 东 击 西 ” ， 最 终 导 致 防 守 者 顾 此 失 彼 ， 眼 看 着 被 攻 击 却 无 能 为 力 。 结 合 多 年 的 防 守 经 验 ， 可 从 如 下 几 方 面 收 敛 互 联 网 暴 露 面 。 1 ） 攻 击 路 径 梳 理 由 于 网 络 不 断 变 化 、 系 统 不 断 增 加 ， 往 往 会 产 生 新 的 网 络 边 界 和 新 的 系 统 。 蓝 队 （ 防 守 单 位 ） 一 定 要 定 期 梳 理 自 己 的 网 络 边 界 、 可 能 被 攻 击 的 路 径 ， 尤 其 是 内 部 系 统 全 国 联 网 的 单 位 更 要 注 重 此 项 梳 理 工 作 。 2 ） 互 联 网 攻 击 面 收 敛 一 些 系 统 维 护 者 为 了 方 便 ， 往 往 会 把 维 护 的 后 台 、 测 试 系 统 和 端 口 私 自 开 放 在 互 联 网 上 ， 方 便 维 护 的 同 时 也 方 便 了 攻 击 者 。 攻 击 者 最 喜 欢 攻 击 的 W E B 服 务 就 是 网 站 后 台 ， 以 及 安 全 状 况 比 较 差 的 测 试 系 统 。 蓝 队 须 定 期 检 测 如 下 内 容 ： 开 放 在 互 联 网 的 管 理 后 台 、 开 放 在 互 联 网 上 的 测 试 系 统 、 无 人 维 护 的 僵 尸 系 统 、 拟 下 线 未 下 线 的 系 统 、 疏 漏 的 未 纳 入 防 护 范 围 的 互 联 网 开 放 系 统 。 3 ） 外 部 接 入 网 络 梳 理 如 果 正 面 攻 击 不 成 ， 红 队 或 攻 击 者 往 往 会 选 择 攻 击 供 应 商 、 下 级 单 位 、 业 务 合 作 单 位 等 与 目 标 单 位 有 业 务 连 接 的 其 他 单 位 ， 通 过 这 些 单 位 直 接 绕 到 目 标 系 统 内 网 。 防 守 单 位 应 对 这 些 外 部 的 接 入 网 络 进 行 梳 理 ， 尤 其 是 未 经 过 安 全 防 护 设 备 就 直 接 连 进 来 的 单 位 ， 应 先 连 接 防 护 设 备 ， 再 接 入 内 网 。 4 ） 隐 蔽 入 口 梳 理 由 于 A P I 接 口 、 V P N 、 W i F i 这 些 入 口 往 往 会 被 安 全 人 员 忽 略 ， 这 往 往 是 攻 击 者 最 喜 欢 打 的 入 口 ， 一 旦 搞 定 则 畅 通 无 阻 。 安 全 人 员 一 定 要 梳 理 W E B 服 务 的 A P I 隐 藏 接 口 、 不 用 的 V P N 、 W i F i 账 号 等 ， 便 于 重 点 防 守 。 三 、 纵 深 防 御 ： 立 体 防 渗 透 三 、 纵 深 防 御 ： 立 体 防 渗 透 前 期 工 作 做 完 后 ， 真 正 的 防 守 考 验 来 了 。 防 守 单 位 在 互 联 网 上 的 冠 名 网 站 、 接 口 、 V P N 等 对 外 服 务 必 然 会 成 为 攻 击 者 的 首 要 目 标 。 一 旦 一 个 点 突 破 后 ， 攻 击 者 会 迅 速 进 行 横 向 突 破 ， 争 取 控 制 更 多 的 主 机 ， 同 时 试 图 建 立 多 条 隐 蔽 隧 道 ， 巩 固 成 果 ， 使 防 守 者 顾 此 失 彼 。 此 时 ， 战 争 中 的 纵 深 防 御 理 论 就 很 适 用 于 网 络 防 守 。 互 联 网 端 防 护 、 内 外 部 访 问 控 制 （ 安 全 域 间 甚 至 每 台 机 器 之 间 ） 、 主 机 层 防 护 、 重 点 集 权 系 统 防 护 、 无 线 网 络 防 护 、 外 部 网 络 接 入 防 护 甚 至 物 理 层 面 的 防 护 ， 都 需 要 考 虑 进 去 。 通 过 层 层 防 护 ， 尽 量 拖 慢 攻 击 者 扩 大 战 果 的 时 间 ， 将 损 失 降 至 最 小 。 1 ） 互 联 网 端 防 护 互 联 网 作 为 防 护 单 位 最 外 部 的 接 口 ， 是 重 点 防 护 区 域 。 互 联 网 端 的 防 护 工 作 可 通 过 部 署 网 络 防 护 设 备 和 开 展 攻 击 检 测 两 方 面 开 展 。 需 部 署 的 网 络 防 护 设 备 包 括 ： 下 一 代 防 火 墙 、 防 病 毒 网 关 、 全 流 量 分 析 设 备 、 防 垃 圾 邮 件 网 关 、 W A F （ 云 W A F ） 、 I P S 等 。 攻 击 检 测 方 面 。 如 果 有 条 件 ， 可 以 事 先 对 互 联 网 系 统 进 行 一 次 完 整 的 渗 透 测 试 ， 检 测 互 联 网 系 统 安 全 状 况 ， 查 找 存 在 的 漏 洞 。
2 ） 访 问 控 制 措 施 互 联 网 及 内 部 系 统 、 网 段 和 主 机 的 访 问 控 制 措 施 ， 是 阻 止 攻 击 者 打 点 、 内 部 横 向 渗 透 的 最 简 单 有 效 的 防 护 手 段 。 防 守 者 应 依 照 “ 必 须 原 则 ” ， 只 给 必 须 使 用 的 用 户 开 放 访 问 权 限 ， 按 此 原 则 梳 理 访 问 控 制 策 略 ， 禁 止 私 自 开 放 服 务 或 者 内 部 全 通 的 情 况 出 现 ， 通 过 合 理 的 访 问 控 制 措 施 尽 可 能 地 为 攻 击 者 制 造 障 碍 。 3 ） 主 机 防 护 当 攻 击 者 从 突 破 点 进 入 内 网 后 ， 首 先 做 的 就 是 攻 击 同 网 段 主 机 。 主 机 防 护 强 度 直 接 决 定 了 攻 击 者 内 网 攻 击 成 果 的 大 小 。 防 守 者 应 从 以 下 几 个 方 面 对 主 机 进 行 防 护 ： 关 闭 没 用 的 服 务 ； 修 改 主 机 弱 口 令 ； 高 危 漏 洞 必 须 打 补 丁 （ 包 括 装 在 系 统 上 的 软 件 高 危 漏 洞 ） ； 安 装 主 机 和 服 务 器 安 全 软 件 ； 开 启 日 志 审 计 。 4 ） 集 权 系 统 集 权 系 统 是 攻 击 者 最 喜 欢 打 的 内 部 系 统 ， 一 旦 被 拿 下 ， 则 集 权 系 统 所 控 制 的 主 机 可 同 样 视 为 已 被 拿 下 ， 杀 伤 力 巨 大 。 集 权 系 统 是 内 部 防 护 的 重 中 之 重 。 蓝 队 或 防 守 者 一 般 可 从 以 下 方 面 做 好 防 护 ： 集 权 系 统 的 主 机 安 全 ； 集 权 系 统 访 问 控 制 ； 集 权 系 统 配 置 安 全 ； 集 权 系 统 安 全 测 试 ； 集 权 系 统 已 知 漏 洞 加 固 或 打 补 丁 ； 集 权 系 统 的 弱 口 令 等 。 5 ） 无 线 网 络 不 安 全 的 开 放 无 线 网 络 也 有 可 能 成 为 攻 击 者 利 用 的 攻 击 点 。 无 线 开 放 网 络 与 业 务 网 络 应 分 开 。 一 般 建 议 无 线 网 接 入 采 用 强 认 证 和 强 加 密 。 6 ） 外 部 接 入 网 络 如 果 存 在 外 部 业 务 系 统 接 入 ， 建 议 接 入 的 系 统 按 照 互 联 网 防 护 思 路 ， 部 署 安 全 设 备 ， 并 对 接 入 的 外 部 业 务 系 统 进 行 安 全 检 测 ， 确 保 接 入 系 统 的 安 全 性 ， 防 止 攻 击 者 通 过 这 些 外 部 业 务 系 统 进 行 旁 路 攻 击 。 四 、 守 护 核 心 ： 找 到 关 键 点 四 、 守 护 核 心 ： 找 到 关 键 点 核 心 目 标 系 统 是 攻 击 者 的 重 点 攻 击 目 标 ， 也 应 重 点 防 护 。 上 述 所 有 工 作 都 做 完 后 ， 还 需 要 重 点 梳 理 ： 目 标 系 统 和 哪 些 业 务 系 统 有 联 系 ？ 目 标 系 统 的 哪 些 服 务 或 接 口 是 开 放 的 ？ 传 输 方 式 如 何 ？ 梳 理 得 越 细 越 好 。 同 时 还 须 针 对 重 点 目 标 系 统 做 一 次 交 叉 渗 透 测 试 ， 充 分 检 验 目 标 系 统 的 安 全 性 。 协 调 目 标 系 统 技 术 人 员 及 专 职 安 全 人 员 ， 专 门 对 目 标 系 统 的 进 出 流 量 、 中 间 件 日 志 进 行 安 全 监 控 和 分 析 。 五 、 洞 若 观 火 ： 全 方 位 监 控 五 、 洞 若 观 火 ： 全 方 位 监 控 任 何 攻 击 都 会 留 下 痕 迹 。 攻 击 者 会 尽 量 隐 藏 痕 迹 、 防 止 被 发 现 ； 而 防 守 者 恰 好 相 反 ， 需 要 尽 早 发 现 攻 击 痕 迹 ， 并 通 过 分 析 攻 击 痕 迹 ， 调 整 防 守 策 略 、 溯 源 攻 击 路 径 、 甚 至 对 可 疑 攻 击 源 进 行 反 制 。 建 立 全 方 位 的 安 全 监 控 体 系 是 防 守 者 最 有 力 的 武 器 ， 总 结 多 年 实 战 经 验 ， 有 效 的 安 全 监 控 体 系 需 在 如 下 几 方 面 开 展 ： 1 ） 全 流 量 网 络 监 控 任 何 攻 击 都 要 通 过 网 络 ， 并 产 生 网 络 流 量 。 攻 击 数 据 和 正 常 数 据 肯 定 是 不 同 的 ， 通 过 全 网 络 流 量 去 捕 获 攻 击 行 为 是 目 前 最 有 效 的 安
全 监 控 方 式 。 蓝 队 或 防 守 者 通 过 全 流 量 安 全 监 控 设 备 ， 结 合 安 全 人 员 的 分 析 ， 可 快 速 发 现 攻 击 行 为 ， 并 提 前 做 出 针 对 性 防 守 动 作 。 2 ） 主 机 监 控 任 何 攻 击 最 终 都 会 落 到 主 机 （ 服 务 器 或 终 端 ） 上 。 通 过 部 署 合 理 的 主 机 安 全 软 件 ， 结 合 网 络 全 流 量 监 控 措 施 ， 可 以 更 清 晰 、 准 确 、 快 速 地 找 到 攻 击 者 的 真 实 目 标 主 机 。 3 ） 日 志 监 控 对 系 统 和 软 件 的 日 志 监 控 同 样 必 不 可 少 。 日 志 信 息 是 帮 助 防 守 者 分 析 攻 击 路 径 的 一 种 有 效 手 段 。 攻 击 者 攻 击 成 功 后 ， 打 扫 战 场 的 首 要 任 务 就 是 删 除 日 志 ， 或 者 切 断 主 机 日 志 的 外 发 ， 以 防 止 防 守 者 追 踪 。 防 守 者 应 建 立 一 套 独 立 的 日 志 分 析 和 存 储 机 制 ， 重 要 目 标 系 统 可 派 专 人 对 目 标 系 统 日 志 和 中 间 件 日 志 进 行 恶 意 行 为 监 控 分 析 。 4 ） 情 报 监 控 高 端 攻 击 者 会 用 0 d a y 或 N d a y 漏 洞 来 打 击 目 标 系 统 、 穿 透 所 有 防 守 和 监 控 设 备 ， 防 守 者 对 此 往 往 无 能 为 力 。 防 守 单 位 可 通 过 与 更 专 业 的 安 全 厂 商 合 作 ， 建 立 漏 洞 通 报 机 制 ， 安 全 厂 商 应 将 检 测 到 的 与 防 守 单 位 信 息 资 产 相 关 的 0 d a y 或 N d a y 漏 洞 快 速 通 报 给 防 守 单 位 。 防 守 单 位 根 据 获 得 的 情 报 ， 参 考 安 全 厂 商 提 供 的 解 决 方 案 ， 迅 速 自 查 处 置 ， 将 损 失 减 到 最 少 。 作 者 ： 小 宇 的 w e b 文 章 来 源 ： h t t p s : / / b l o g . c s d n . n e t / x h y 1 8 6 3 4 2 9 7 9 7 6 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:26 , Processed in 0.189137 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表