设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [22141] 2021-07-06_攻防演练中防护阵线构建的三件事 ...
返回列表 发新帖
查看: 1|回复: 0

[22141] 2021-07-06_攻防演练中防护阵线构建的三件事

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-07-06_攻防演练中防护阵线构建的三件事 攻 防 演 练 中 防 护 阵 线 构 建 的 三 件 事 L e m o n S e c   2 0 2 1 - 0 7 - 0 6 内 容 来 源 ： F r e e B u f 为 了 今 年 的 攻 防 演 练 ， 很 多 公 司 有 钱 的 买 设 备 ， 买 人 ， 没 钱 的 没 人 的 只 好 自 己 搭 设 备 ， 怎 么 都 要 有 点 东 西 才 能 为 了 今 年 的 攻 防 演 练 ， 很 多 公 司 有 钱 的 买 设 备 ， 买 人 ， 没 钱 的 没 人 的 只 好 自 己 搭 设 备 ， 怎 么 都 要 有 点 东 西 才 能 跟 领 导 交 代 。 尤 其 是 今 年 的 行 动 又 跟 以 往 的 有 所 区 别 ， 但 不 管 怎 么 样 ， 自 己 硬 才 是 真 的 硬 。 跟 领 导 交 代 。 尤 其 是 今 年 的 行 动 又 跟 以 往 的 有 所 区 别 ， 但 不 管 怎 么 样 ， 自 己 硬 才 是 真 的 硬 。 F R E E B U F 里 面 对 如 何 自 己 硬 也 有 了 相 当 多 的 文 稿 ， 从 战 略 意 义 上 的 ， 到 战 术 意 义 上 的 ； 从 行 动 派 到 口 水 派 ； 从 务 实 派 到 虚 幻 派 。 针 对 各 种 派 别 都 有 了 属 于 自 己 的 一 套 思 路 ， 一 套 打 法 ， 真 正 意 义 上 的 将 大 家 的 防 护 水 平 提 升 了 一 大 截 。 但 是 ， 道 高 一 尺 魔 高 一 丈 ， 各 种 新 型 的 ， 花 样 的 ， 实 力 的 攻 击 方 法 层 出 不 穷 ， 还 没 开 战 ， 就 已 经 隐 隐 约 约 地 看 到 尘 嚣 甚 上 ， 对 于 防 守 方 而 言 ， 压 力 确 实 不 小 ， 但 说 来 说 去 ， 总 结 下 来 ， 攻 击 渠 道 就 只 有 三 种 ， 哪 三 种 ？ 一 曰 （ y u e ） ： 从 外 到 内 （ E 2 I ） ； 二 曰 （ y u e ） ： 从 内 到 外 （ I 2 E ） ； 三 曰 （ y u e ） ： 从 内 到 内 （ I 2 I ） 。 首 先 是 从 外 到 内 。 那 么 作 为 一 个 优 秀 的 M T ， 应 该 如 何 肉 抗 呢 ？ 具 体 的 方 法 就 不 展 开 细 谈 了 ， 话 题 太 大 ， 浓 缩 后 的 精 华 我 们 简 单 的 提 一 下 ， 从 外 到 内 的 防 御 方 法 ， 即 物 抗 和 魔 抗 。 何 为 物 抗 ？ 即 俗 称 的 W A F ， 有 硬 件 W A F 和 云 W A F ， 只 要 有 公 网 的 要 求 ， W A F 是 必 须 覆 盖 的 ， 但 是 针 对 现 有 的 各 种 攻 击 的 手 段 ， 比 如 各 种 变 形 的 S Q L 注 入 ， 反 序 列 化 等 等 ， W A F 已 经 显 得 有 些 有 心 无 力 ， 已 经 不 能 再 保 证 强 防 护 力 度 ， 所 以 魔 抗 的 R A S P 也 是 需 要 启 用 的 了 ， 好 在 百 度 开 源 了 O p e n R A S P ， 用 插 桩 的 方 式 可 以 很 轻 松 的 植 入 网 站 从 而 能 有 能 力 检 测 攻 击 者 最 终 的 渗 透 手 段 。 ( I P S / I D S 就 不 再 说 了 ， 估 计 大 家 都 有 ) 此 外 ， 针 对 弱 口 令 ， 补 丁 ， 中 间 件 漏 洞 进 行 及 时 整 改 ， 那 么 不 说 固 若 金 汤 ， 起 码 攻 击 成 本 是 被 大 大 增 加 了 。 接 下 来 就 是 从 内 到 外 。 从 内 到 外 ， 一 般 而 言 我 们 可 以 考 虑 N T A ， 或 者 叫 态 势 感 知 系 统 ， 但 确 实 ， 态 势 感 知 系 统 比 较 贵 ， 不 是 随 随 便 便 可 以 挤 出 来 的 预 算 ， 如 果 之 前 没 有 做 好 预 算 的 话 ， 想 要 临 时 上 态 感 会 比 较 困 难 ， 只 能 到 时 候 找 厂 商 借 用 了 ， 借 用 的 后 果 就 是 不 可 预 测 性 ， 你 都 对 这 个 系 统 不 熟 悉 ， 没 有 调 优 ， 也 没 有 预 处 理 过 （ 指 清 除 目 前 态 感 发 现 的 告 警 ， 优 化 黑 白 名 单 ） ， 是 没 有 办 法 顺 顺 利 利 地 使 用 态 感 的 ， 如 果 确 实 没 有 预 算 ， 又 想 进 一 步 加 强 网 络 监 控 ， 那 么 使 用 免 费 的 M o l o c h 摩 罗 神 h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 8 3 9 8 4 . h t m l 或 者 S e c u r i t y O n i o n   安 全 洋 葱 h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 8 4 0 4 3 . h t m l 就 可 以 开 启 简 单 易 用 的 N T A 了 。 如 果 是 采 用 商 业 方 案 ， 斗 象 目 前 在 做 N T A 的 评 估 报 告 ， 有 机 会 可 以 参 考 一 下 ， 但 有 几 个 指 标 是 建 议 达 到 一 定 标 准 的 的 ， 包 括 且 不 限 于 ， 依 赖 A I 检 测 算 法 在 不 依 赖 威 胁 情 报 的 情 况 下 对 反 弹 外 联 ， 隧 道 传 输 能 力 的 检 测 ； 兼 容 各 威 胁 情 报 ， 包 括 免 费 的 ， 商 业 的 ， 对 C & C 地 址 ， 域 名 有 快 速 检 测 的 能 力 ； 能 同 W A F ， I P S ， 下 一 代 防 火 墙 设 备 等 进 行 一 定 程 度 的 联 动 ， 包 括 隔 离 ， 封 堵 ， 重 置 包 等 的 能 力 。 此 外 就 是 安 装 位 置 ， 一 般 而 言 ， 如 果 有 威 胁 情 报 （ T I ,   T h r e a t
I n t e l l i g e n c e ） 的 支 持 ， 仅 监 控 从 南 到 北 的 数 据 流 已 经 够 用 了 ， 大 企 业 中 如 果 还 想 监 控 从 西 到 东 的 数 据 流 甚 至 全 域 流 量 ， 流 量 将 是 非 常 之 大 ， 交 换 机 口 都 不 够 用 ， 也 对 服 务 器 和 探 针 的 需 求 会 有 非 常 夸 张 的 要 求 ， 要 靠 企 业 的 实 力 （ 钱 ） 硬 扛 ， 能 部 署 的 应 该 寥 寥 无 几 。 在 依 靠 南 北 向 的 监 控 中 还 有 一 点 须 得 注 意 ， 威 胁 情 报 在 攻 防 演 练 事 件 中 的 检 测 效 率 大 大 降 低 ， 请 务 必 不 要 迷 信 ， 反 倒 在 真 实 防 护 中 能 起 到 一 定 的 作 用 。 这 里 列 出 几 个 常 用 的 威 胁 情 报 源 ， 供 大 家 配 置 参 考 ： · h t t p : / / m i r r o r 1 . m a l w a r e d o m a i n s . c o m / f i l e s / d o m a i n s . t x t · h t t p : / / w w w . m a l w a r e d o m a i n l i s t . c o m / h o s t s l i s t / i p . t x t · h t t p s : / / i s c . s a n s . e d u / b l o c k . t x t · h t t p s : / / i s c . s a n s . e d u / a p i / t h r e a t l i s t / m i n e r / ? c s v · h t t p s : / / t a l o s i n t e l l i g e n c e . c o m / d o c u m e n t s / i p - b l a c k l i s t · h t t p s : / / f e o d o t r a c k e r . a b u s e . c h / d o w n l o a d s / i p b l o c k l i s t _ r e c o m m e n d e d . t x t · h t t p s : / / r u l e s . e m e r g i n g t h r e a t s . n e t / b l o c k r u l e s / c o m p r o m i s e d - i p s . t x t · h t t p : / / l i s t . i b l o c k l i s t . c o m / ? l i s t = b t _ s p y w a r e · h t t p : / / l i s t . i b l o c k l i s t . c o m / ? l i s t = t o r · h t t p : / / l i s t . i b l o c k l i s t . c o m / ? l i s t = l o g m e i n · h t t p : / / l i s t . i b l o c k l i s t . c o m / ? l i s t = b t _ p r o x y 最 后 就 是 从 内 到 内 了 。 内 到 内 的 防 护 也 从 三 个 方 面 来 讲 ， 从 内 到 内 保 护 中 的 第 一 点 ， 相 信 大 家 都 有 基 础 包 ， 即 防 病 毒 软 件 ， 但 是 对 于 目 前 各 种 绕 过 手 段 ， 单 一 的 防 病 毒 工 具 并 不 能 真 正 有 效 地 识 别 并 检 测 攻 击 工 具 ， 就 以 M i m i k a t z 为 例 ， T i d e 重 剑 无 锋 所 提 到 的 1 8 种 免 杀 姿 势 及 防 御 策 略 就 已 经 令 人 望 而 生 畏 了 ， 更 别 说 还 有 某 些 大 佬 自 制 的 工 具 。 连 K a s p e r s k y 这 位 反 病 毒 先 锋 也 被 轻 易 地 斩 在 马 下   ， 所 以 ， 适 当 的 搭 配 是 必 须 的 。 说 实 话 ， W i n d o w s D e f e n d e r 的 查 杀 能 力 还 是 非 常 不 错 的 ， 对 于 大 部 分 变 形 ， 变 种 均 能 识 别 ， 如 果 能 启 用 D e v i c e G u a r d ， C r e d e n t i a l G u a r d ， S e c u r e B o o t ， A p p   l o c k e r ， W i n d o w s F i r e w a l l ， U A C 并 配 置 A t t a c k S u r f a c e   R e d u c t i o n   R u l e ， 回 收 计 算 机 用 户 权 限 （ 重 置 A d m i n 管 理 员 密 码 ） ， 清 理 本 地 管 理 员 组 成 员 ， 限 制 用 户 权 限 最 高 不 超 过 P o w e r U s e r ， 启 用 强 密 码 策 略 ， 启 用 R e s t r i c t e d A d m i n 模 式 的 R D P 登 录 保 护 ， 启 用 受 保 护 的 用 户 组 ， 将 域 管 理 员 等 全 部 加 入 受 保 护 用 户 组 ， 通 过 以 上 手 段 已 经 基 本 可 以 将 系 统 防 护 能 力 提 升 至 M A X 了 。 内 到 内 的 保 护 中 的 第 二 点 ， 除 了 策 略 的 加 强 ， 从 内 到 内 的 防 护 ， 仅 靠 A V 是 肯 定 不 现 实 的 ， 那 么 应 声 而 起 的 新 方 案 为 A V + N G A V + E D R ， 即 ， 防 病 毒 系 统 + 下 一 代 反 病 毒 系 统 + 终 端 响 应 系 统 。 国 内 的 某 些 安 全 厂 商 将 N G A V + E D R 合 并 为 E D R 防 护 ， 也 未 尝 不 可 ， 其 实 质 概 念 均 为 基 于 用 户 行 为 的 高 级 防 护 。 据 说 某 些 企 业 已 经 开 始 放 弃 传 统 的 A V 系 统 ， 开 始 投 奔 N G A V + E D R 防 护 ， 其 实 这 点 会 触 及 到 一 个 异 构 的 问 题 ， 我 的 个 人 建 议 是 保 留 传 统 的 A V 系 统 ， 并 配 置 部 署 E D R 系 统 （ 含 N G A V 清 除 功 能 ） ， 原 因 跟 上 面 提 到 的 态 感 产 品 一 样 ， 需 要 保 留 最 大 能 力 ， 最 高 效 率 的 检 测 并 对 抗 已 知 病 毒 的 能 力 ， 否 则 光 靠 E D R 系 统 动 态 识 别 能 力 是 不 够 效 率 的 ， 而 大 部 分 E D R 系 统 并 不 具 备 本 地 或 者 文 件 静 态 识 别 能 力 ， 所 以 必 须 依 靠 A V 的 特 征 库 识 别 来 进 行 预 查 杀 。 （ 国 内 某 厂 除 外 ， 其 采 用 了 二 者 结 合 ， 使 用 第 三 方 A V 库 ， 可 以 进 行 静 态 查 杀 ， 但 是 ， 良 心 地 讲 ， 专 业 的 事 还 是 需 要 专 业 的 人 去 做 ） 。 顺 便 说 一 句 国 外 某 A V 产 品 的 续 约 ， 据 说 已 经 有 蛮 多 小 伙 伴 已 经 下 车 了 ， 原 因 在 于 其 大 幅 度 的 撤 销 国 内 的 售 后 ， 客 服 的 投 入 ， 但 其 实 这 个 产 品 还 是 相 当 不 错 的 ， 这 里 我 就 不 多 说 了 ， 大 家 都 有 自 己 的 一 杆 秤 。 内 到 内 的 保 护 中 的 第 二 点 已 经 明 确 标 记 为 A V + E D R 方 案 ， E D R 产 品 的 选 择 依 然 包 括 三 条 准 则 ， 第 一 ， 事 件 回 溯 能 力 ， 能 清 晰 反 映 进 程 与 进 程 之 间 的 关 系 ， 进 程 与 网 络 之 间 的 关 系 ； 第 二 ， A I 模 块 和 机 器 学 习 的 能 力 ， 需 要 有 效 的 识 别 新 型 威 胁 ， 并 能 降 低 误 报 率 ； 第 三 ， M I T R E   A T T & C K 矩 阵 的 检 测 能 力 ， 增 加 防 护 覆 盖 面 。 最 后 一 点 可 以 参 考 B i t d e f e n d e r
是 如 何 应 对 A T T & C K 矩 阵 的 ， 详 情 见 ： h t t p s : / / a t t a c k e v a l s . m i t r e . o r g / A P T 2 9 / r e s u l t s / b i t d e f e n d e r / 或 h t t p s : / / a t t a c k e v a l s . m i t r e . o r g / A P T 2 9 / r e s u l t s / b i t d e f e n d e r / a l l r e s u l t s . h t m l ， 引 用 M I T R E 的 官 宣 ， 不 做 评 分 、 排 名 或 评 级 。 评 估 结 果 对 公 众 开 放 ， 因 此 其 他 机 构 可 以 提 供 自 己 的 分 析 和 解 读 — — M I T R E 不 认 可 或 验 证 这 些 结 果 。 但 无 可 厚 非 ， A T T & C K 矩 阵 确 实 涵 盖 了 几 乎 所 有 目 前 已 知 的 攻 击 可 能 的 渠 道 ， 使 用 A T T & C K 矩 阵 来 验 证 攻 击 手 段 是 非 常 可 行 的 。 （ 虽 然 误 报 会 比 较 多 ， 需 要 有 一 定 能 力 的 调 优 以 及 数 据 分 析 人 员 ） 内 到 内 的 保 护 中 的 第 三 点 即 为 构 建 一 个 能 够 快 速 检 索 的 应 急 响 应 平 台 ， 态 感 即 为 N T A + S I E M 的 结 合 ， 所 以 有 态 感 的 需 要 好 好 调 优 策 略 ， 熟 悉 数 据 检 索 的 方 法 。 对 于 需 要 自 己 造 轮 子 的 童 鞋 ， 或 者 还 没 有 自 己 的 S I E M 方 案 的 童 鞋 ， 必 须 抓 紧 考 虑 成 熟 的 方 案 ， 如 果 还 是 因 为 预 算 的 缘 故 ， 那 么 使 用 E l a s t i c s e a r c h +   W a z u h   +   T h e H i v e   +   M I S P 构 建 开 源 安 全 应 急 响 应 平 台 也 是 非 常 有 价 值 的 。 具 体 文 章 可 以 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / e s / 2 0 3 5 3 8 . h t m l 。 使 用 上 述 方 案 还 有 一 个 好 处 ， 可 以 容 纳 N T A 的 事 件 ， 这 样 就 可 以 通 过 E L K 的 大 数 据 平 台 构 建 一 套 完 整 的 态 势 感 知 + 威 胁 情 报 + E D R 平 台 方 案 ， 除 了 维 护 量 略 大 以 外 ， 效 果 还 是 棒 棒 的 。 至 于 有 钱 的 童 鞋 呢 ， 可 以 采 用 S P L U N K + S Y S M O N 方 案 ， 能 更 为 效 率 地 进 行 数 据 关 联 和 分 析 处 理 ， 维 护 量 远 远 小 于 E L K 方 案 ， 但 谁 叫 E L K 方 案 是 免 费 的 呢 ？ （ 硬 件 不 免 费 ） 最 后 ， 引 用 一 张 非 常 有 价 值 的 图 ， 作 为 防 护 向 量 的 有 效 补 充 ， 原 文 在 此 ： h t t p s : / / w w w . p a t h c o m . c o m / s e c u r i t y - t o o l s - a n d - t i p s / 我 就 不 翻 译 了 。 E N D 从 外 到 内 ， 依 靠 F W + W A F + R A S P ； 内 到 内 ， 依 靠 N G A V + E D R ； 从 内 到 外 ， 依 靠 N T A + T I 。 这 就 是 攻 防 演 练 防 护 阵 线 构 建 的 三 件 事 ， 其 实 也 是 对 于 安 全 工 作 的 一 个 简 单 的 总 结 ， 希 望 本 文 可 以 给 第 一 次 参 加 攻 防 演 练 防 护 的 兄 弟 提 供 一 些 帮 助 ， 不 至 于 两 眼 一 抹 黑 而 不 知 道 从 何 做 起 。 安 全 更 多 的 是 做 起 来 看 似 很 简 单 ， 但 是 策 略 如 何 能 够 推 动 ， 能 够 落 地 ， 才 是 需 要 仔 细 考 量 和 最 花 功 夫 的 地 方 。
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:41 , Processed in 0.275319 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表