设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21781] 2021-03-17_HW必备-蜜罐如何在攻防演练中战术部 ...
返回列表 发新帖
查看: 1|回复: 0

[21781] 2021-03-17_HW必备-蜜罐如何在攻防演练中战术部防

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-03-17_HW必备-蜜罐如何在攻防演练中战术部防 H W 必 备 - 蜜 罐 如 何 在 攻 防 演 练 中 战 术 部 防 L e m o n S e c   2 0 2 1 - 0 3 - 1 7 原 创 作 者 ： 长 亭 科 技 ， 已 获 授 权 。 在 开 始 阅 读 这 篇 文 章 之 前 ， 请 先 仔 细 看 看 以 下 几 个 问 题 ， 如 果 它 们 刚 好 是 你 关 心 的 ， 请 继 续 下 面 的 文 章 内 容 。 1 .   你 是 否 除 了 需 要 知 道 是 否 有 入 侵 ， 还 需 要 知 道 对 方 的 目 标 是 什 么 ？ 轨 迹 是 什 么 ？ 行 为 是 什 么 ？ 工 具 是 什 么 ？ 2 .   比 较 而 言 ， 攻 防 演 练 快 速 反 应 场 景 下 ， 你 是 更 希 望 得 到 “ 大 而 全 的 数 据 ” ， 还 是 “ 对 的 数 据 ” ？ 3 .   传 统 攻 防 中 ， 防 守 者 要 1 0 0 % 聚 精 会 神 ， 而 攻 击 者 只 需 要 幸 运 一 次 … … 你 希 望 延 续 这 个 局 面 ， 还 是 反 转 这 个 局 面 ？ 4 .   你 是 否 直 觉 上 认 可 蜜 罐 的 价 值 ， 然 而 却 依 然 觉 得 其 历 史 和 复 杂 性 有 那 么 一 丢 丢 让 你 犹 豫 ， 而 保 持 观 望 态 度 ？ 网 络 攻 防 演 练 活 动 以 模 拟 真 实 攻 击 为 重 要 标 准 ， 对 参 与 演 练 单 位 的 各 类 系 统 进 行 渗 透 ， 通 过 设 定 演 练 规 则 ， 根 据 统 计 攻 击 和 防 守 方 得 失 分 情 况 ， 判 定 防 守 方 防 护 能 力 水 平 。 在 这 个 过 程 中 ， 防 守 方 对 攻 击 方 是 谁 、 从 哪 里 发 动 攻 击 、 用 何 在 这 个 过 程 中 ， 防 守 方 对 攻 击 方 是 谁 、 从 哪 里 发 动 攻 击 、 用 何 种 手 段 均 一 无 所 知 ， 处 于 种 手 段 均 一 无 所 知 ， 处 于 “ 攻 防 不 对 称 攻 防 不 对 称 ” 下 的 天 然 劣 势 。 下 的 天 然 劣 势 。 本 次 我 们 将 以 某 个 行 业 开 展 的 攻 防 演 练 活 动 为 示 例 ， 从 防 守 方 的 视 角 ， 看 其 怎 样 利 用 欺 骗 伪 装 技 术 ， 实 现 主 动 对 从 防 守 方 的 视 角 ， 看 其 怎 样 利 用 欺 骗 伪 装 技 术 ， 实 现 主 动 对 抗 ， 及 时 诱 捕 、 发 现 、 处 置 、 溯 源 ， 甚 至 反 制 攻 击 者 。 抗 ， 及 时 诱 捕 、 发 现 、 处 置 、 溯 源 ， 甚 至 反 制 攻 击 者 。 在 该 次 攻 防 演 练 活 动 中 ， 十 数 支 攻 击 队 伍 组 成 蓝 军 ， 对 全 国 分 支 机 构 和 直 属 单 位 的 互 联 网 信 息 系 统 进 行 模 拟 攻 击 。 本 次 由 蓝 军 对 参 与 演 练 单 位 的 各 类 系 统 发 起 挑 战 ， 不 限 制 攻 击 路 径 。
战 术 战 术 1 — — 知 己 知 彼 知 己 知 彼 分 析 攻 击 者 的 攻 击 路 径 分 析 攻 击 者 的 攻 击 路 径 制 定 战 术 布 防 策 略 制 定 战 术 布 防 策 略 通 常 情 况 下 ， 攻 击 者 会 在 攻 击 前 期 对 目 标 信 息 系 统 进 行 全 面 的 信 息 收 集 ， 以 期 望 找 到 处 于 严 控 防 护 手 段 之 外 的 站 点 或 路 径 ， 利 用 漏 洞 获 取 W e b 服 务 器 权 限 ， 或 者 采 用 0 d a y 攻 击 、 社 会 工 程 学 、 物 理 入 侵 等 手 段 突 破 或 绕 过 边 界 防 护 ， 进 入 内 网 。 攻 击 者 常 利 用 的 突 破 口 多 为 对 外 开 放 的 站 点 、 服 务 上 存 在 的 漏 洞 、 未 经 严 格 控 制 而 开 放 的 测 试 站 点 等 。 防 守 方 应 当 提 前 分 析 自 身 网 络 特 性 ， 找 到 攻 击 者 最 可 能 “ 光 顾 ” 的 区 域 ， 加 强 防 护 的 同 时 ， 在 相 应 区 域 内 的 关 键 信 息 节 点 部 署 蜜 罐 ， 使 攻 击 者 在 信 息 收 集 阶 段 受 到 干 扰 ， 进 而 诱 导 攻 击 者 对 蜜 罐 发 动 攻 击 。 根 据 分 析 ， 该 行 业 的 互 联 网 应 用 均 部 署 在 互 联 网 大 区 中 ， 攻 击 者 从 互 联 网 应 用 突 破 的 路 径 在 该 区 域 。 因 此 ， 伪 装 欺 骗 系 统 最 终 决 定 部 署 在 该 区 域 中 。
战 术 战 术 2 — — 监 察 敌 情 监 察 敌 情 网 络 异 常 行 为 监 测 网 络 异 常 行 为 监 测 分 析 攻 击 者 攻 击 意 图 分 析 攻 击 者 攻 击 意 图 攻 击 者 在 进 行 信 息 收 集 时 ， 会 借 用 各 类 扫 描 工 具 向 目 标 资 产 发 送 探 测 请 求 ， 进 行 信 息 收 集 。 这 些 由 探 测 工 具 发 送 的 各 类 探 测 包 ， 属 于 异 常 网 络 行 为 ， 这 些 探 测 行 为 背 后 ， 酝 酿 着 各 类 可 能 发 生 的 攻 击 动 作 。 因 此 ， 防 守 方 应 监 测 网 络 中 的 异 常 网 络 行 为 ， 包 括 任 意 端 口 探 测 、 P i n g 探 测 、 A R P 探 测 等 。 蜜 罐 进 程 级 的 监 控 能 力 ， 能 够 监 控 和 记 录 攻 击 者 进 入 蜜 罐 后 的 所 有 动 作 进 行 。 W e b 类 的 蜜 罐 还 可 识 别 和 记 录 攻 击 者 使 用 的 攻 击 方 法 和 攻 击 载 荷 ， 可 作 为 判 断 攻 击 者 意 图 的 重 要 依 据 。 防 守 方 将 由 蜜 罐 收 集 的 信 息 汇 总 至 欺 骗 伪 装 平 台 ， 由 平 台 进 行 统 一 分 析 ， 根 据 攻 击 者 的 攻 击 意 图 战 略 调 整 监 控 防 御 节 点 ， 做 到 因 “ 敌 “ 制 宜 。 战 术 战 术 3 — — 诱 敌 深 入 诱 敌 深 入 蜜 罐 高 度 模 拟 真 实 资 产 蜜 罐 高 度 模 拟 真 实 资 产 诱 导 攻 击 者 进 入 欺 骗 伪 装 系 统 诱 导 攻 击 者 进 入 欺 骗 伪 装 系 统
对 于 防 守 方 ， 如 何 在 敌 暗 我 明 的 情 况 下 尽 量 争 取 主 动 权 ， 抢 占 先 机 呢 ？ 答 案 是 采 用 主 动 诱 捕 战 术 。 主 动 诱 捕 主 要 作 用 于 演 练 活 动 启 动 前 主 动 诱 捕 主 要 作 用 于 演 练 活 动 启 动 前 2 - 3 天 内 ， 此 时 攻 击 方 正 广 泛 收 集 目 标 资 产 信 息 ， 防 守 方 的 目 标 是 污 天 内 ， 此 时 攻 击 方 正 广 泛 收 集 目 标 资 产 信 息 ， 防 守 方 的 目 标 是 污 染 攻 击 方 掌 握 的 资 产 情 报 ， 并 诱 导 攻 击 者 优 先 访 问 伪 装 探 针 节 点 。 染 攻 击 方 掌 握 的 资 产 情 报 ， 并 诱 导 攻 击 者 优 先 访 问 伪 装 探 针 节 点 。 探 针 节 点 的 作 用 包 括 两 部 分 ， 首 先 是 监 测 探 针 所 部 署 网 络 中 的 扫 描 探 测 行 为 ， 其 次 是 通 过 绑 定 蜜 罐 将 蜜 罐 服 务 映 射 至 所 部 署 网 络 中 。 因 此 ， 探 针 节 点 应 尽 可 能 覆 盖 核 心 区 域 的 C 类 网 段 或 V L A N s ， 可 部 署 在 虚 拟 机 或 专 用 硬 件 设 备 中 。 主 要 战 术 动 作 有 ： 主 要 战 术 动 作 有 ： 1 .   制 作 具 有 真 实 性 和 迷 惑 性 的 W e b 蜜 罐 。 2 . 将 仿 真 W e b 蜜 罐 、 通 用 W e b 蜜 罐 绑 定 至 若 干 探 针 节 点 ， 通 过 地 址 转 换 、 域 名 绑 定 等 措 施 将 探 针 节 点 发 布 至 互 联 网 。 通 过 地 址 转 换 （ N A T ） 设 备 ， 将 探 针 节 点 服 务 映 射 到 公 网 。 通 过 四 层 和 七 层 协 议 的 负 载 均 衡 设 备 ， 通 过 端 口 映 射 或 反 向 代 理 将 探 针 节 点 服 务 发 布 到 公 网 。 3 . 在 代 码 平 台 、 文 库 、 安 全 论 坛 、 社 交 网 络 分 撒 探 针 节 点 的 互 联 网 地 址 作 为 诱 饵 。 在 代 码 平 台 、 文 库 、 安 全 论 坛 、 社 交 网 络 分 撒 探 针 节 点 的 互 联 网 地 址 作 为 诱 饵 。
主 动 诱 捕 战 术 执 行 时 主 动 诱 捕 战 术 执 行 时 应 注 意 以 下 几 点 应 注 意 以 下 几 点 ： ： 防 守 方 应 早 于 演 练 启 动 前 ， 发 布 互 联 网 探 针 节 点 ， 并 进 行 充 分 测 试 。 仿 真 蜜 罐 应 保 证 真 实 性 和 诱 惑 性 。 为 提 升 真 实 性 ， 应 避 免 使 用 系 统 服 务 和 缺 陷 伪 装 服 务 蜜 罐 。 蜜 罐 被 触 发 后 ， 应 及 时 处 理 告 警 信 息 ， 并 根 据 攻 击 方 动 态 调 整 蜜 罐 配 置 ， 必 要 时 下 线 蜜 罐 ， 避 免 攻 击 者 发 现 蜜 罐 后 ， 为 掩 盖 自 己 身 份 ， 将 蜜 罐 地 址 随 意 分 发 ， 诱 导 无 关 人 员 访 问 ， 污 染 蜜 罐 告 警 数 据 。 战 术 战 术 4 — — 强 强 联 合 强 强 联 合 将 将 W A F 识 别 的 可 疑 信 息 联 动 至 蜜 罐 识 别 的 可 疑 信 息 联 动 至 蜜 罐 由 欺 骗 伪 装 平 台 实 现 分 析 研 判 由 欺 骗 伪 装 平 台 实 现 分 析 研 判 攻 防 演 练 中 W A F 作 为 W e b 应 用 的 重 要 防 线 ， 能 够 识 别 出 大 部 分 攻 击 行 为 ， 为 获 取 更 多 攻 击 者 信 息 ， 本 次 演 练 中 ， 防 守 方 设 定 W A F 与 欺 骗 伪 装 平 台 进 行 联 动 ， 将 可 疑 访 问 转 发 至 蜜 罐 中 ， 采 集 攻 击 者 信 息 。 战 术 动 作 如 下 ： 战 术 动 作 如 下 ：
1 .   W A F 应 具 备 自 定 义 拦 截 页 面 和 重 定 向 能 力 。 2 .   W A F 检 测 策 略 应 进 行 优 化 ， 尽 可 能 消 除 误 报 ， 避 免 将 正 常 请 求 重 定 向 至 蜜 罐 。 3 .   攻 击 者 触 发 W A F 拦 截 策 略 后 ， 将 被 重 定 向 至 拦 截 页 面 ， 拦 截 页 面 具 备 溯 源 能 力 ， 攻 击 者 信 息 会 传 递 至 欺 骗 伪 装 平 台 后 台 。 W A F 联 动 战 术 执 行 时 应 注 意 以 下 几 点 ： 联 动 战 术 执 行 时 应 注 意 以 下 几 点 ： 1 .   W A F 检 测 策 略 应 能 保 证 较 低 的 误 报 率 。 2 .   避 免 在 访 问 量 较 大 的 系 统 使 用 该 战 术 。 战 术 战 术 5 — — 定 位 溯 源 定 位 溯 源 欺 骗 伪 装 平 台 收 集 汇 总 信 息 欺 骗 伪 装 平 台 收 集 汇 总 信 息 分 析 绘 制 攻 击 者 画 像 分 析 绘 制 攻 击 者 画 像 攻 防 演 练 活 动 中 ， 防 守 方 对 攻 击 方 行 为 、 遗 留 文 件 、 身 份 信 息 等 进 行 分 析 和 判 断 ， 并 向 指 挥 部 报 告 ， 可 获 得 加 分 。 因 此 ， 防 守 方 在 发 现 和 研 判 攻 击 事 件 时 ， 应 能 采 集 和 记 录 攻 击 行 为 和 身 份 信 息 。 在 经 过 主 动 诱 捕 和 W A F 联 动 战 术 的 后 ， 已 基 本 完 成 攻 击 者 的 信 息 采 集 ， 收 集 到 的 信 息 可 支 撑 对 攻 击 者 的 追 踪 和 溯 源 ， 从 而 对 攻 击 态 势 进 行 研 判 。 该 战 术 依 赖 情 报 的 完 善 程 度 ， 根 据 获 取 到 的 攻 击 者 信 息 不 同 ， 追 踪 溯 源 动 作 包 括 I P 信 息 溯 源 和 社 交 信 息 溯 源 。 I P 信 息 溯 源 信 息 溯 源 欺 骗 伪 装 平 台 获 得 攻 击 者 I P 后 ， 可 从 以 下 几 个 方 面 对 攻 击 者 进 行 画 像 ：
根 据 上 述 查 询 方 法 ， 可 以 对 某 个 I P 进 行 多 维 度 的 信 息 查 询 ， 通 过 关 联 人 员 、 地 址 、 注 册 单 位 、 邮 件 、 域 名 关 键 字 等 信 息 ， 可 对 攻 击 I P 进 行 画 像 ， 进 而 参 考 社 交 信 息 溯 源 进 一 步 管 理 分 析 ， 可 将 攻 击 者 定 位 至 自 然 人 、 单 位 组 织 。 社 交 信 息 溯 源 社 交 信 息 溯 源 欺 骗 伪 装 平 台 能 够 抓 取 攻 击 者 社 交 账 户 信 息 ， 下 面 介 绍 一 种 基 于 已 知 社 交 身 份 信 息 进 行 信 息 关 联 查 询 和 整 合 分 析 的 方 法 ， 仅 限 于 攻 防 演 练 中 防 守 战 术 使 用 ， 不 得 违 反 相 关 法 律 规 定 ， 危 害 公 民 隐 私 信 息 。 常 见 社 交 账 户 信 息 包 括 以 下 内 容 ： 关 联 查 询 方 法 包 括 ： 1 .   访 问 其 社 交 网 站 ， 检 测 有 无 个 人 信 息 泄 露 。 2 .   利 用 支 付 平 台 ， 查 询 其 真 实 姓 名 。 3 .   利 用 通 信 平 台 ， 添 加 好 友 ， 套 取 信 息 。 4 .   利 用 其 注 册 昵 称 ， 查 询 在 其 他 站 点 同 名 注 册 者 。 5 .   将 各 平 台 获 取 的 信 息 整 合 ， 完 整 拼 凑 出 自 然 人 画 像 。
战 术 战 术 6 — — 乘 胜 追 击 乘 胜 追 击 通 过 对 攻 击 者 行 为 日 志 的 纪 录 通 过 对 攻 击 者 行 为 日 志 的 纪 录 定 位 敌 人 实 现 技 术 反 制 定 位 敌 人 实 现 技 术 反 制 此 战 术 仅 限 在 攻 防 演 练 活 动 中 使 用 ， 不 得 违 反 相 关 法 律 规 定 对 未 授 权 目 标 进 行 探 测 和 扫 描 。 技 术 反 制 措 施 包 括 反 向 扫 描 攻 击 I P 、 利 用 蜜 罐 服 务 定 向 鱼 叉 攻 击 入 侵 攻 击 者 ， 最 终 实 现 对 其 技 术 反 制 的 目 标 。 参 考 战 术 动 作 如 下 ： 反 向 扫 描 ： 反 向 扫 描 ： 防 守 方 发 现 攻 击 I P 后 ， 通 过 I P 查 询 确 定 其 是 否 为 恶 意 I P ， 使 用 扫 描 器 对 目 标 进 行 探 测 ， 判 断 攻 击 I P 下 的 资 产 类 型 ， 若 发 现 目 标 存 在 漏 洞 且 具 备 肉 鸡 特 征 ， 可 上 报 裁 判 组 并 报 警 处 置 。 反 向 鱼 叉 ： 反 向 鱼 叉 ： 防 守 方 在 主 动 诱 捕 阶 段 ， 通 过 在 V P N 蜜 罐 、 邮 箱 蜜 罐 中 放 置 包 含 木 马 程 序 的 文 件 或 可 执 行 程 序 ， 通 过 提 示 下 载 、 包 含 敏 感 信 息 等 模 式 诱 导 攻 击 者 下 载 ， 若 攻 击 者 在 本 地 环 境 运 行 该 文 件 后 ， 防 守 方 可 对 攻 击 方 本 地 信 息 进 行 收 集 ， 上 报 裁 判 组 并 模 拟 报 警 处 置 。
在 此 次 攻 防 演 练 中 ， 超 过 一 半 的 防 守 单 位 利 用 谛 听 （ D - S e n s o r ） 伪 装 欺 骗 系 统 战 术 布 防 ， 先 发 制 敌 ， 迷 惑 攻 击 者 ， 对 攻 击 者 进 行 溯 源 反 击 ， 取 得 了 出 色 的 成 绩 ： 其 中 8 0 % 的 防 守 单 位 通 过 平 台 溯 源 到 攻 击 者 信 息 ， 并 有 3 0 % 的 防 守 单 位 溯 源 到 同 一 名 攻 击 者 ， 同 时 ， 还 有 2 0 % 的 防 守 单 位 成 功 对 攻 击 进 行 反 向 探 测 和 控 制 。 尽 管 欺 骗 伪 装 类 产 品 ， 目 前 依 然 存 在 不 能 覆 盖 全 网 架 构 和 部 分 内 部 员 工 熟 悉 内 部 环 境 等 局 限 性 ， 但 在 日 常 安 全 运 维 中 ， 如 果 你 面 临 安 全 人 手 不 足 的 情 况 ， 它 是 一 个 和 其 他 安 全 产 品 形 成 互 补 的 很 好 的 选 项 ； 尤 其 中 小 企 业 中 ， 蜜 罐 产 品 应 成 为 主 要 的 一 个 安 全 防 护 工 具 ， 它 可 以 帮 助 你 记 录 很 多 有 价 值 的 数 据 和 高 质 量 的 预 警 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.337884 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表