搜索

[22242] 2021-08-11_(文末送书)详解云安全攻防模型，这些攻击战略和战术越早知道越好！

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2021-08-11_(文末送书)详解云安全攻防模型，这些攻击战略和战术越早知道越好！ ( 文 末 送 书 ) 详 解 云 安 全 攻 防 模 型 ， 这 些 攻 击 战 略 和 战 术 越 早 知 道 越 好 ！ L e m o n S e c   2 0 2 1 - 0 8 - 1 1 云 计 算 在 带 来 便 利 的 同 时 ， 也 带 来 了 新 的 安 全 技 术 风 险 、 政 策 风 险 和 安 全 合 规 风 险 。 那 么 ， 如 何 设 计 云 计 算 安 全 架 构 、 如 何 保 障 云 计 算 平 台 的 安 全 合 规 、 如 何 有 效 提 升 安 全 防 护 能 力 是 需 要 研 究 的 重 要 课 题 。 本 文 就 先 来 介 绍 一 下 A T T & C K 云 安 全 攻 击 模 型 。 0 1 A T T & C K 定 义 A T T & C K （ A d v e r s a r i a l   T a c t i c s ,   T e c h n i q u e s ,   a n d   C o m m o n   K n o w l e d g e ） 是 由 M I T R E 公 司 在 2 0 1 3 年 推 出 的 ， 包 含 对 抗 策 略 、 技 术 和 常 识 ， 是 网 络 对 抗 者 （ 通 常 指 黑 客 ） 行 为 的 精 选 知 识 库 和 模 型 ， 反 映 了 攻 击 者 攻 击 生 命 周 期 的 各 个 阶 段 ， 以 及 已 知 的 攻 击 目 标 平 台 。 A T T & C K 根 据 真 实 的 观 察 数 据 来 描 述 和 分 类 对 抗 行 为 ， 将 攻 击 者 的 攻 击 行 为 转 换 为 结 构 化 列 表 ， 并 以 矩 阵 、 结 构 化 威 胁 信 息 表 达 式 （ S t r u c t u r e d   T h r e a t   I n f o r m a t i o n e   X p r e s s i o n ， S T I X ） 和 指 标 信 息 的 可 信 自 动 化 交 换 （ T r u s t e d   A u t o m a t e d e   X c h a n g e o f   I n d i c a t o r I n f o r m a t i o n ， T A X I I ） 的 形 式 来 表 示 。 由 于 此 列 表 全 面 地 呈 现 了 攻 击 者 在 攻 击 网 络 时 所 采 用 的 行 为 ， 因 此 它 对 各 种 具 有 进 攻 性 和 防 御 性 的 度 量 、 表 示 和 其 他 机 制 都 非 常 有 用 。 从 视 觉 角 度 来 看 从 视 觉 角 度 来 看 ， A T T ＆ C K 矩 阵 按 照 易 于 理 解 的 格 式 将 所 有 已 知 的 战 术 和 技 术 进 行 排 列 。 攻 击 战 术 展 示 在 矩 阵 顶 部 ， 每 列 下 面 列 出 了 单 独 的 技 术 。 一 个 攻 击 序 列 至 少 包 含 一 个 技 术 ， 并 且 从 左 侧 （ 初 始 访 问 ） 向 右 侧 （ 影 响 ） 移 动 ， 这 样 就 构 建 了 一 个 完 整 的 攻 击 序 列 。 一 种 战 术 可 能 使 用 多 种 技 术 ， 如 攻 击 者 可 能 同 时 尝 试 鱼 叉 式 网 络 钓 鱼 攻 击 中 的 钓 鱼 邮 件 和 钓 鱼 链 接 。 A T T ＆ C K 战 术 按 照 逻 辑 分 布 在 多 个 矩 阵 中 ， 并 以 “ 初 始 访 问 ” 战 术 开 始 ， 如 发 送 包 含 恶 意 附 件 的 鱼 叉 式 网 络 钓 鱼 邮 件 就 是 该 战 术 下 的 一 项 技 术 。 A T T ＆ C K 中 的 每 一 种 技 术 都 有 唯 一 的 I D 号 码 ， 如 技 术 T 1 1 9 3 。 矩 阵 中 的 下 一 个 战 术 是 “ 执 行 ” ， 在 该 战 术 下 有 “ 用 户 执 行 T 1 2 0 4 ” 技 术 ， 该 技 术 描 述 了 在 用 户 执 行 特 定 操 作 期 间 执 行 的 恶 意 代 码 。 在 矩 阵 后 面 的 阶 段 中 ， 你 将 会 遇 到 “ 提 升 特 权 ” “ 横 向 移 动 ” 和 “ 渗 透 ” 之 类 的 战 术 。 攻 击 者 不 会 使 用 矩 阵 顶 部 所 有 的 攻 击 者 不 会 使 用 矩 阵 顶 部 所 有 的 1 2 项 战 术 项 战 术 ， 相 反 ， 他 们 会 使 用 最 少 数 量 的 战 术 来 实 现 目 标 ， 因 为 这 可 以 提 高 效 率 并 且 降 低 被 发 现 的 概 率 。 例 如 ， 攻 击 者 使 用 电 子 邮 件 中 传 递 的 鱼 叉 式 网 络 钓 鱼 链 接 对 C E O 行 政 助 理 的 凭 证 进 行 “ 初 始 访 问 ” ， 在 获 得 管 理 员 的 凭 证 后 ， 攻 击
者 将 在 “ 发 现 ” 阶 段 寻 找 远 程 系 统 。 接 下 来 可 能 是 在 D r o p b o x 文 件 夹 中 寻 找 敏 感 数 据 ， 因 为 管 理 员 对 此 也 有 访 问 权 限 ， 因 此 无 须 提 升 权 限 。 最 后 攻 击 者 通 过 将 文 件 从 D r o p b o x 下 载 到 计 算 机 来 完 成 收 集 。 0 2 A T T & C K 使 用 场 景 在 各 种 日 常 环 境 中 ， A T T ＆ C K 都 很 有 价 值 。 当 开 展 防 御 活 动 时 ， 可 以 将 A T T ＆ C K 分 类 法 作 为 预 判 攻 击 者 行 为 的 参 考 依 据 。 A T T ＆ C K 不 仅 能 为 网 络 防 御 者 提 供 通 用 技 术 库 ， 还 能 为 渗 透 测 试 和 红 队 提 供 基 础 ， 即 通 用 语 言 。 组 织 可 以 以 多 种 方 式 来 使 用 组 织 可 以 以 多 种 方 式 来 使 用 A T T ＆ ＆ C K ， 下 面 是 一 些 常 见 的 场 景 。 ， 下 面 是 一 些 常 见 的 场 景 。 1 .   对 抗 模 拟 对 抗 模 拟 A T T ＆ C K 可 用 于 创 建 对 抗 性 模 拟 场 景 ， 对 常 见 对 抗 技 术 的 防 御 方 案 进 行 测 试 和 验 证 。 2 .   红 队 红 队 / 渗 透 测 试 活 动 渗 透 测 试 活 动 攻 防 双 方 的 渗 透 测 试 活 动 的 规 划 、 执 行 和 报 告 可 以 使 用 A T T ＆ C K ， 为 防 御 者 和 报 告 接 收 者 提 供 一 种 通 用 语 言 。 3 .   制 定 行 为 分 析 方 案 制 定 行 为 分 析 方 案 A T T ＆ C K 可 用 于 构 建 和 测 试 行 为 分 析 方 案 ， 以 检 测 环 境 中 的 对 抗 行 为 。 4 .   防 御 差 距 评 估 防 御 差 距 评 估 A T T ＆ C K 可 以 用 于 以 行 为 为 核 心 的 常 见 对 抗 模 型 中 ， 以 评 估 组 织 内 现 有 防 御 方 案 中 的 工 具 、 监 视 和 缓 解 措 施 。 在 研 究   A T T ＆ C K 时 ， 大 多 数 安 全 团 队 都 倾 向 于 为 E n t e r p r i s e 矩 阵 中 的 每 种 技 术 尝 试 开 发 某 种 检 测 或 预 防 控 制 措 施 。 虽 然 这 并 不 是 一 个 坏 主 意 ， 但 是 A T T ＆ C K 矩 阵 中 的 技 术 通 常 可 以 通 过 多 种 方 式 执 行 。 因 此 ， 阻 止 或 检 测 执 行 这 些 技 术 的 一 种 方 法 并 不 一 定 意 味 着 涵 盖 了 执 行 该 技 术 的 所 有 可 能 方 法 。 由 于 某 种 工 具 阻 止 了 用 另 一 种 形 式 来 采 用 这 种 技 术 ， 而 组 织 机 构 已 经 适 当 地 采 用 了 这 种 技 术 ， 这 可 能 会 产 生 一 种 虚 假 的 安 全 感 。 这 时 ， 攻 击 者 仍 然 可 以 采 用 其 他 方 式 来 采 用 该 技 术 ， 但 防 御 者 却 没 有 任 何 检 测 或 预 防 措 施 。 5 .   S O C 成 熟 度 评 估 成 熟 度 评 估 A T T ＆ C K 可 作 为 一 种 度 量 ， 确 定 S O C 在 检 测 、 分 析 和 响 应 入 侵 方 面 的 有 效 性 。 S O C 团 队 可 以 参 考 A T T ＆ C K 已 检 测 或 未 涵 盖 的 技 术 和 战 术 ， 这 有 助 于 了 解 防 御 的 优 势 和 劣 势 并 验 证 缓 解 和 检 测 控 制 措 施 ， 以 便 发 现 配 置 错 误 和 其 他 操 作 问 题 。 6 .   网 络 威 胁 情 报 收 集 网 络 威 胁 情 报 收 集
A T T ＆ C K 对 网 络 威 胁 情 报 很 有 用 ， 因 为 A T T ＆ C K 是 在 用 一 种 标 准 方 式 描 述 对 抗 行 为 ， 是 根 据 攻 击 者 利 用 的 A T T ＆ C K 技 术 和 战 术 来 跟 踪 攻 击 主 体 。 这 就 为 防 御 者 提 供 了 一 个 路 线 图 ， 以 便 他 们 可 以 对 照 操 作 控 制 措 施 ， 针 于 某 些 攻 击 主 体 查 看 自 己 的 弱 点 和 优 势 。 针 对 特 定 的 攻 击 主 体 创 建 A T T ＆ C K 导 航 工 具 内 容 ， 是 一 种 观 察 环 境 中 攻 击 主 体 或 团 体 的 优 势 和 劣 势 的 好 方 法 。 A T T ＆ C K 还 可 以 为 S T I X 和 T A X I I   2 . 0 提 供 内 容 ， 从 而 很 容 易 地 将 支 持 这 些 技 术 的 现 有 工 具 纳 入 其 中 。 0 3 A W S   A T T & C K 云 模 型 随 着 云 计 算 平 台 的 快 速 发 展 ， 对 云 基 础 设 施 的 攻 击 也 显 著 增 加 。 2 0 1 9 年 A W S 针 对 云 攻 击 推 出 了 A W S   A T T & C K 云 模 型 ， 下 面 针 对 云 攻 击 模 型 的 攻 击 战 略 和 战 术 ， 以 及 防 护 和 缓 解 措 施 做 详 细 的 介 绍 。 1 .   初 始 访 问 初 始 访 问 攻 击 者 试 图 进 入 你 的 网 络 。 初 始 访 问 是 使 用 各 种 入 口 向 量 在 网 络 中 获 得 其 初 始 立 足 点 的 技 术 。 其 用 于 立 足 的 技 术 包 括 针 对 性 的 鱼 叉 式 欺 骗 和 利 用 面 向 公 众 的 W e b 服 务 器 上 的 安 全 漏 洞 获 得 的 立 足 点 ， 例 如 有 效 账 户 和 使 用 外 部 远 程 服 务 等 。 攻 击 者 通 过 利 用 面 向 互 联 网 的 计 算 机 系 统 或 程 序 中 的 弱 点 ， 产 生 破 坏 行 为 ， 这 些 弱 点 可 能 是 错 误 、 故 障 或 设 计 漏 洞 等 。 这 些 应 用 程 序 通 常 是 指 网 站 ， 但 也 包 括 数 据 库 （ 如 S Q L ） 、 标 准 服 务 （ 如 S M B 或 S S H ） ， 以 及 具 有 I n t e r n e t （ 因 特 网 ） 可 访 问 开 放 套 接 字 的 任 何 其 他 应 用 程 序 ， 如 W e b 服 务 器 和 相 关 服 务 。 如 果 应 用 程 序 托 管 在 基 于 云 的 基 础 架 构 上 ， 则 对 其 使 用 可 能 会 导 致 基 础 实 例 受 到 损 害 ， 如 使 对 手 获 得 访 问 云 A P I 或 利 用 弱 身 份 和 访 问 管 理 策 略 的 路 径 。 对 于 网 站 和 数 据 库 ， O W A S P （ O p e n   W e b   A p p l i c a t i o n   S e c u r i t y   P r o j e c t ， 开 放 式 W e b 应 用 程 序 安 全 性 项 目 ） 公 示 的 前 十 大 安 全 漏 洞 和 C W E （ C o m m o n   W e a k n e s s   E n u m e r a t i o n ， 常 见 弱 点 枚 举 ） 排 名 前 2 5 位 ， 突 出 了 最 常 见 的 基 于 W e b 的 漏 洞 。 2 .   执 行 执 行 执 行 策 略 是 使 攻 击 者 控 制 的 代 码 在 本 地 或 远 程 系 统 上 执 行 的 技 术 。 此 策 略 通 常 与 初 始 访 问 结 合 使 用 ， 作 为 获 得 访 问 权 限 后 执 行 代 码 的 手 段 ， 以 及 横 向 移 动 以 扩 展 对 网 络 远 程 系 统 的 访 问 权 限 。 有 权 访 问 A W S 控 制 台 的 攻 击 者 可 以 利 用 A P I 网 关 和 L a m b d a 创 建 能 够 对 账 户 进 行 更 改 的 后 门 ， 那 么 一 组 精 心 设 计 的 命 令 就 会 触 发
L a m b d a 函 数 返 回 角 色 的 临 时 凭 证 ， 然 后 将 这 些 凭 证 添 加 到 本 地 A W S   C L I （ A W S   C o m m a n d - L i n e   I n t e r f o c e ， A W S 命 令 行 界 面 ） 配 置 文 件 中 来 创 建 恶 意 用 户 。 3 .   持 久 性 持 久 性 对 手 试 图 保 持 立 足 点 。 持 久 性 是 指 攻 击 者 利 用 重 新 启 动 、 更 改 凭 证 等 手 段 对 系 统 访 问 的 技 术 组 成 。 攻 击 驻 留 技 术 包 括 任 何 访 问 、 操 作 或 配 置 更 改 ， 以 便 使 它 们 能 够 在 系 统 内 持 久 隐 藏 ， 例 如 替 换 、 劫 持 合 法 代 码 或 添 加 启 动 代 码 。 A m a z o n   W e b   S e r v i c e   A m a z o n   M a c h i n e   I m a g e s （ A W S   A M I ） ， G o o g l e   C l o u d   P l a t f o r m （ G C P ） 映 像 和 A z u r e 映 像 ， 以 及 容 器 在 运 行 时 （ 如 D o c k e r ） 都 可 以 被 植 入 后 门 以 包 含 恶 意 代 码 。 如 果 指 示 基 础 架 构 配 置 的 工 具 始 终 使 用 最 新 映 像 ， 则 可 以 提 供 持 久 性 访 问 。 攻 击 者 已 经 开 发 了 一 种 工 具 ， 可 以 在 云 容 器 映 像 中 植 入 后 门 。 如 果 攻 击 者 有 权 访 问 受 感 染 的 A W S 实 例 ， 并 且 有 权 列 出 可 用 的 容 器 映 像 ， 则 他 们 可 能 会 植 入 后 门 ， 如 W e b   S h e l l 。 攻 击 者 还 可 能 将 后 门 植 入 在 云 部 署 无 意 使 用 的 D o c k e r 映 像 中 ， 这 在 某 些 加 密 挖 矿 僵 尸 网 络 实 例 中 已 有 报 道 。 4 .   提 升 权 限 提 升 权 限 攻 击 者 可 以 使 用 凭 证 访 问 技 术 窃 取 特 定 用 户 或 服 务 账 户 的 凭 证 ， 或 者 在 侦 察 过 程 的 早 期 通 过 社 会 工 程 来 获 取 凭 证 以 获 得 初 始 访 问 权 限 。 攻 击 者 使 用 的 账 户 可 以 分 为 三 类 ： 默 认 账 户 、 本 地 账 户 和 域 账 户 。 默 认 账 户 默 认 账 户 是 操 作 系 统 内 置 的 账 户 ， 如 W i n d o w s 系 统 上 的 G u e s t 和 A d m i n i s t r a t o r 账 户 ， 或 其 他 类 型 的 系 统 、 软 件 、 设 备 上 的 默 认 工 厂 或 提 供 者 设 置 账 户 。 本 地 账 户 本 地 账 户 是 由 组 织 配 置 的 账 户 ， 供 用 户 远 程 支 持 、 服 务 或 在 单 个 系 统 或 服 务 上 进 行 管 理 。 域 账 户 域 账 户 是 由 A c t i v e   D i r e c t o r y 域 服 务 和 管 理 的 账 户 ， 其 中 为 跨 该 域 的 系 统 和 服 务 配 置 访 问 权 限 。 域 账 户 可 以 涵 盖 用 户 、 管 理 员 和 服 务 。 受 损 的 凭 证 可 能 会 用 于 绕 过 放 置 在 网 络 系 统 上 各 种 资 源 的 访 问 控 制 ， 甚 至 可 能 会 用 于 对 远 程 系 统 和 外 部 可 用 服 务 （ 如 V P N ， O u t l o o k   W e b   A c c e s s 和 远 程 桌 面 ） 的 持 久 访 问 。 受 损 的 凭 证 也 可 能 会 增 加 攻 击 者 对 特 定 系 统 或 访 问 网 络 受 限 区 域 的 特 权 。 攻 击 者 可 能 不 选 择 将 恶 意 软 件 或 工 具 与 这 些 凭 证 提 供 的 合 法 访 问 结 合 使 用 ， 以 便 更 难 检 测 到 它 们 的 存 在 。 另 外 ， 攻 击 者 也 可 能 会 利 用 公 开 披 露 的 私 钥 或 被 盗 的 私 钥 ， 通 过 远 程 服 务 合 法 连 接 到 远 程 环 境 。 在 整 个 网 络 系 统 中 ， 账 户 访 问 权 、 凭 证 和 权 限 的 重 叠 是 需 要 关 注 的 ， 因 为 攻 击 者 可 能 会 跨 账 户 和 系 统 进 行 轮 转 以 达 到 较 高 的 访 问 级 别 （ 即 域 或 企 业 管 理 员 ） ， 从 而 绕 过 访 问 控 制 。 5 .   防 御 绕 过 防 御 绕 过
攻 击 者 试 图 避 免 被 发 现 。 防 御 绕 过 包 括 攻 击 者 用 来 避 免 在 整 个 攻 击 过 程 中 被 发 现 的 技 术 。 逃 避 防 御 所 使 用 的 技 术 包 括 卸 载 或 禁 用 安 全 软 件 或 对 数 据 和 脚 本 进 行 混 淆 或 加 密 。 攻 击 者 还 会 利 用 和 滥 用 受 信 任 的 进 程 来 隐 藏 和 伪 装 其 恶 意 软 件 。 攻 击 者 在 执 行 恶 意 活 动 后 可 能 会 撤 回 对 云 实 例 所 做 的 更 改 ， 以 逃 避 检 测 并 删 除 其 存 在 的 证 据 。 在 高 度 虚 拟 化 的 环 境 （ 如 基 于 云 的 基 础 架 构 ） 中 ， 攻 击 者 可 以 通 过 云 管 理 仪 表 板 使 用 V M 或 数 据 存 储 快 照 的 还 原 轻 松 达 到 此 目 的 。 该 技 术 的 另 一 个 变 体 是 利 用 附 加 到 计 算 实 例 的 临 时 存 储 。 大 多 数 云 服 务 商 都 提 供 各 种 类 型 的 存 储 ， 包 括 持 久 性 存 储 、 本 地 存 储 和 临 时 存 储 ， 后 者 通 常 在 V M 停 止 或 重 新 启 动 时 被 重 置 。 6 .   凭 证 访 问 凭 证 访 问 攻 击 者 试 图 窃 取 账 户 名 和 密 码 。 凭 证 访 问 包 括 用 于 窃 取 凭 证 （ 如 账 户 名 和 密 码 ） 的 技 术 ， 包 括 密 钥 记 录 和 凭 证 转 储 。 若 攻 击 者 利 用 了 合 法 的 凭 证 访 问 系 统 ， 则 更 难 被 发 现 ， 此 时 攻 击 者 可 以 创 建 更 多 账 户 以 帮 助 其 增 加 最 终 实 现 目 标 的 概 率 。 攻 击 者 可 能 会 尝 试 访 问 云 实 例 元 数 据 A P I ， 以 收 集 凭 证 和 其 他 敏 感 数 据 。 大 多 数 云 服 务 商 都 支 持 云 实 例 元 数 据 A P I ， 这 是 提 供 给 正 在 运 行 的 虚 拟 实 例 的 服 务 ， 以 允 许 应 用 程 序 访 问 有 关 正 在 运 行 的 虚 拟 实 例 的 信 息 。 可 用 信 息 通 常 包 括 名 称 、 安 全 组 和 其 他 元 数 据 的 信 息 ， 甚 至 包 括 敏 感 数 据 （ 如 凭 证 和 可 能 包 含 其 他 机 密 的 U s e r D a t a 脚 本 ） 。 提 供 实 例 元 数 据 A P I 是 为 了 方 便 管 理 应 用 程 序 ， 任 何 可 以 访 问 该 实 例 的 人 都 可 以 访 问 它 。 如 果 攻 击 者 在 运 行 中 的 虚 拟 实 例 上 存 在 ， 则 他 们 就 可 以 直 接 查 询 实 例 元 数 据 A P I ， 以 标 识 授 予 对 其 他 资 源 访 问 权 限 的 凭 证 。 此 外 ， 攻 击 者 可 能 会 利 用 面 向 公 众 的 W e b 代 理 中 的 服 务 器 端 请 求 伪 造 （ S e r v e r - S i d e   R e q u e s t   F o r g e r y ， S S R F ） 漏 洞 ， 该 漏 洞 可 以 使 攻 击 者 通 过 对 实 例 元 数 据 A P I 的 请 求 访 问 敏 感 信 息 。 7 .   发 现 发 现 攻 击 者 试 图 找 出 你 的 环 境 。 发 现 包 括 攻 击 者 可 能 用 来 获 取 有 关 系 统 和 内 部 网 络 知 识 的 技 术 。 这 些 技 术 可 帮 助 攻 击 者 在 决 定 采 取 行 动 之 前 观 察 环 境 并 确 定 方 向 。 它 们 还 允 许 攻 击 者 探 索 他 们 可 以 控 制 的 东 西 及 进 入 点 附 近 的 东 西 ， 以 便 发 现 如 何 使 他 们 当 前 的 目 标 受 益 。 攻 击 者 可 以 通 过 查 询 网 络 上 的 信 息 ， 来 尝 试 获 取 与 他 们 当 前 正 在 访 问 的 受 感 染 系 统 之 间 或 从 远 程 系 统 获 得 的 网 络 连 接 的 列 表 。 获 得 基 于 云 环 境 的 一 部 分 系 统 访 问 权 的 攻 击 者 ， 可 能 会 规 划 出 虚 拟 私 有 云 或 虚 拟 网 络 ， 以 便 确 定 连 接 了 哪 些 系 统 和 服 务 。
针 对 不 同 的 操 作 系 统 ， 所 执 行 的 操 作 可 能 是 相 同 类 型 的 攻 击 发 现 技 术 ， 但 是 所 得 信 息 都 包 括 与 攻 击 者 目 标 相 关 的 联 网 云 环 境 的 详 细 信 息 。 不 同 云 服 务 商 可 能 有 不 同 的 虚 拟 网 络 运 营 方 式 。 8 .   横 向 移 动 横 向 移 动 横 向 移 动 由 使 攻 击 者 能 够 访 问 和 控 制 网 络 上 的 远 程 系 统 的 技 术 组 成 ， 并 且 可 以 但 不 一 定 包 括 在 远 程 系 统 上 执 行 工 具 。 横 向 移 动 技 术 可 以 使 攻 击 者 从 系 统 中 收 集 信 息 ， 而 无 须 其 他 工 具 ， 如 远 程 访 问 工 具 。 如 果 存 在 交 叉 账 户 角 色 ， 攻 击 者 就 可 以 使 用 向 其 授 予 A s s u m e R o l e 权 限 的 凭 证 来 获 取 另 一 个 A W S 账 户 的 凭 证 。 在 默 认 情 况 下 ， 当 使 用 A W S   O r g a n i z a t i o n 时 ， 父 账 户 的 使 用 者 可 以 在 子 账 户 中 创 建 这 些 交 叉 账 户 角 色 攻 击 者 可 以 识 别 可 用 作 横 向 移 动 桥 接 器 的 I A M 角 色 ， 并 在 初 始 目 标 账 户 中 搜 索 所 有 I A M 用 户 、 组 、 角 色 策 略 及 客 户 管 理 的 策 略 ， 并 识 别 可 能 的 桥 接 I A M 角 色 。 在 A s s u m e R o l e 事 件 的 初 始 目 标 账 户 中 ， 攻 击 者 使 用 两 天 的 默 认 回 溯 窗 口 配 置 和 1 % 的 采 样 率 收 集 有 关 任 何 跨 账 户 角 色 假 设 的 信 息 。 有 了 潜 在 的 桥 接 I A M 角 色 列 表 ， M a d D o g 就 可 以 尝 试 获 取 可 用 于 横 向 移 动 的 临 时 凭 证 账 户 了 。 通 过 波 动 模 式 ， 攻 击 者 可 以 使 用 M a d D o g 通 过 从 每 个 被 破 坏 账 户 中 获 得 的 凭 证 来 破 坏 尽 可 能 多 的 A W S 账 户 。 通 过 持 久 性 模 式 ， M a d D o g 将 在 每 个 违 规 账 户 下 创 建 一 个 I A M 用 户 ， 以 进 行 直 接 和 长 期 访 问 ， 而 无 须 遍 历 横 向 移 动 最 初 使 用 的 A W S 角 色 链 。 9 .   纵 向 移 动 纵 向 移 动 纵 向 移 动 包 括 使 攻 击 者 能 够 访 问 和 控 制 系 统 并 同 时 在 两 个 不 同 的 平 面 （ 即 网 络 平 面 和 云 平 面 ） 上 旋 转 的 技 术 。 攻 击 者 可 以 使 用 A W S   S S M （ S i m p l e   S e r v e r   M a n a g e r ） 来 获 得 具 有 适 当 权 限 的 A W S 凭 证 在 计 算 机 中 的 反 向 S h e l l 。 借 助 云 的 控 制 ， 攻 击 者 可 以 向 自 己 授 予 读 取 网 络 中 所 有 硬 盘 的 权 限 ， 以 及 在 磁 盘 中 搜 寻 凭 证 或 用 户 的 权 限 。 1 0 .   收 集 收 集 攻 击 者 正 在 尝 试 收 集 目 标 感 兴 趣 的 数 据 。 收 集 包 括 攻 击 者 用 来 收 集 信 息 的 技 术 。 通 常 ， 收 集 数 据 后 的 下 一 个 目 标 是 窃 取 （ 泄 露 ） 数 据 。 常 见 的 目 标 来 源 包 括 各 种 驱 动 器 类 型 、 浏 览 器 、 音 频 、 视 频 和 电 子 邮 件 。 常 见 的 收 集 方 法 包 括 捕 获 屏 幕 截 图 和 键 盘 输 入 。 常 见 的 收 集 方 法 包 括 捕 获 屏 幕 截 图 和 键 盘 输 入 。 攻 击 者 可 能 会 从 安 全 保 护 不 当 的 云 存 储 中 访 问 数 据 对 象 。 许 多 云 服 务 商 都 提 供 在 线 数 据 存 储 解 决 方 案 ， 如 A m a z o n   S 3 ， A z u r e 存 储 和 G o o g l e   C l o u d   S t o r a g e 。 与 其 他 存 储 解 决 方 案 （ 如 S Q L 或 E l a s t i c s e a r c h ） 的 不 同 之 处 在 于 ， 它 们 没 有 总 体 应 用 程 序 ， 它 们 的 数 据 可 以 使 用 云 服 务 商 的 A P I 直 接 检 索 。 云 服 务 商 通 常 会 提 供 安 全 指 南 ， 以 帮 助 最 终 用 户 配 置 系 统 。 最 终 用 户 的 配 置 出 现 错 误 是 一 个 普 遍 的 问 题 ， 发 生 过 很 多 类 似 事 件 ， 如 云 存 储 的 安 全 保 护 不 当 （ 通 常 是 无 意 中 允 许 未 经 身 份 验 证
的 用 户 进 行 公 共 访 问 ， 或 者 所 有 用 户 都 过 度 访 问 ） ， 从 而 允 许 公 开 访 问 信 用 卡 、 个 人 身 份 信 息 、 病 历 和 其 他 敏 感 信 息 。 攻 击 者 还 可 能 在 源 存 储 库 、 日 志 等 中 获 取 泄 露 的 凭 证 ， 以 获 取 对 具 有 访 问 权 限 控 制 的 云 存 储 对 象 的 访 问 权 。 1 1 .   渗 透 与 数 据 窃 取 渗 透 与 数 据 窃 取 攻 击 者 试 图 窃 取 数 据 。 渗 透 由 攻 击 者 用 来 从 网 络 中 窃 取 数 据 的 技 术 组 成 。 攻 击 者 收 集 到 数 据 后 ， 通 常 会 对 其 进 行 打 包 ， 避 免 在 删 除 数 据 时 被 发 现 ， 这 包 括 数 据 压 缩 和 数 据 加 密 。 用 于 从 目 标 网 络 中 窃 取 数 据 的 技 术 通 常 包 括 在 其 命 令 和 控 制 信 道 或 备 用 信 道 上 传 输 数 据 ， 以 及 在 传 输 中 设 置 大 小 限 制 。 攻 击 者 通 过 将 数 据 （ 包 括 云 环 境 的 备 份 ） 转 移 到 他 们 在 同 一 服 务 上 控 制 的 另 一 个 云 账 户 中 来 窃 取 数 据 ， 从 而 避 免 典 型 的 文 件 下 载 或 传 输 和 基 于 网 络 的 渗 透 检 测 。 通 过 命 令 和 控 制 通 道 监 视 向 云 环 境 外 部 大 规 模 传 输 的 防 御 者 ， 可 能 不 会 监 视 向 同 一 个 云 服 务 商 内 部 的 另 一 个 账 户 的 数 据 传 输 。 这 样 的 传 输 可 以 利 用 现 有 云 服 务 商 的 A P I 和 内 部 地 址 空 间 混 合 到 正 常 流 量 中 ， 或 者 避 免 通 过 外 部 网 络 接 口 进 行 数 据 传 输 。 在 一 些 事 件 中 ， 攻 击 者 创 建 了 云 实 例 的 备 份 并 将 其 转 移 到 单 独 的 账 户 中 。 1 2 .   干 扰 干 扰 攻 击 者 试 图 操 纵 、 中 断 或 破 坏 系 统 和 数 据 。 干 扰 包 括 攻 击 者 用 来 通 过 操 纵 业 务 和 运 营 流 程 破 坏 系 统 和 数 据 的 可 用 性 或 完 整 性 的 技 术 ， 包 括 破 坏 或 篡 改 数 据 。 在 某 些 情 况 下 ， 有 时 候 业 务 流 程 看 起 来 还 不 错 ， 但 可 能 已 进 行 了 更 改 ， 以 使 攻 击 者 的 目 标 受 益 。 攻 击 者 可 能 会 使 用 这 些 技 术 实 现 其 最 终 目 标 ， 或 为 违 反 保 密 性 提 供 掩 护 。 常 见 的 攻 击 战 术 包 括 D D o S （ D i s t r i b u t e d   D e n i a l - o f - S e r v i c e ， 抗 拒 绝 服 务 攻 击 ） 和 资 源 劫 持 。 攻 击 者 可 以 对 来 自 A W S 区 域 中 E C 2 实 例 的 多 个 目 标 （ A W S 或 非 A W S ） 执 行 D D o S ， 也 可 能 会 利 用 增 补 系 统 的 资 源 ， 解 决 影 响 系 统 或 托 管 服 务 可 用 性 的 资 源 密 集 型 问 题 。 资 源 劫 持 的 一 个 常 见 目 的 是 资 源 劫 持 的 一 个 常 见 目 的 是 验 证 加 密 货 币 网 络 的 交 易 并 获 得 虚 拟 货 币 。 攻 击 者 可 能 会 消 耗 足 够 的 系 统 资 源 ， 从 而 对 受 影 响 的 计 算 机 造 成 负 面 影 响 或 使 它 们 失 去 响 应 。 服 务 器 和 基 于 云 的 系 统 经 常 是 他 们 的 目 标 ， 因 为 可 用 资 源 的 潜 力 很 大 ， 但 是 有 时 用 户 终 端 系 统 也 可 能 会 受 到 危 害 ， 并 用 于 资 源 劫 持 和 加 密 货 币 挖 掘 。 ▼ 本 文 节 选 自 《 云 计 算 安 全 实 践 — — 从 入 门 到 精 通 》 一 书 ， 想 了 解 更 多 云 计 算 安 全 的 内 容 ， 欢 迎 阅 读 此 书 ！
今 日 赠 书 福 利 今 日 赠 书 福 利 一 ： 一 ： 云 计 算 安 全 实 践 云 计 算 安 全 实 践 — — 从 入 门 到 精 通 从 入 门 到 精 通         本 书 将 云 计 算 安 全 能 力 建 设 对 应 到 N I S T   C S F 中 ， 从 云 计 算 安 全 能 力 建 设 的 角 度 由 浅 入 深 地 总 结 云 计 算 安 全 产 业 实 践 的 基 本 常 识 、 云 安 全 能 力 构 建 的 基 础 实 验 与 云 计 算 产 业 安 全 综 合 实 践 。         在 简 单 介 绍 基 本 原 理 的 基 础 上 ， 以 云 计 算 应 用 安 全 能 力 建 设 为 主 ， 重 点 介 绍 在 云 安 全 能 力 建 设 中 的 典 型 案 例 与 实 验 。 其 中 实 验 部 分 又 分 为 基 础 篇 、 提 高 篇 和 综 合 篇 ， 通 过 动 手 实 验 可 以 让 你 快 速 学 习 基 本 的 安 全 策 略 、 安 全 功 能 、 安 全 服 务 及 最 佳 实 践 ， 深 度 体 验 云 上 安 全 能 力 的 建 设 设 计 与 实 现 ， 最 终 完 成 自 定 义 安 全 集 成 和 综 合 安 全 架 构 的 设 计 与 实 现 。           为 了 感 谢 大 家 一 直 以 来 的 关 注 与 支 持 ， 会 有 为 了 感 谢 大 家 一 直 以 来 的 关 注 与 支 持 ， 会 有 五 五 本 本 书 籍 免 费 赠 送 书 籍 免 费 赠 送 。 。           规 则 如 下 ： 规 则 如 下 ：           1 .     本 文 末 点 本 文 末 点 ‘ 在 看 在 看 ’ ， 不 需 要 转 发 朋 友 圈 ， 点 个 ， 不 需 要 转 发 朋 友 圈 ， 点 个 ‘ 在 看 在 看 ’ 就 可 以 。 就 可 以 。         2 .   公 众 号 内 发 送 公 众 号 内 发 送 “ 抽 奖 抽 奖 ” 即 可 扫 描 参 与 抽 奖 。 即 可 扫 描 参 与 抽 奖 。           3 .   中 奖 者 不 满 足 条 件 中 奖 者 不 满 足 条 件 1 ， 视 为 放 弃 中 奖 资 格 。 ， 视 为 放 弃 中 奖 资 格 。           4 .   活 动 截 止 时 间 为 活 动 截 止 时 间 为 8 月 月 1 2 日 日   1 8 : 0 0 点 ， 到 时 候 还 要 中 奖 者 及 时 联 系 号 主 留 下 你 的 收 货 点 ， 到 时 候 还 要 中 奖 者 及 时 联 系 号 主 留 下 你 的 收 货 地 址 、 姓 名 、 手 机 号 以 及 想 要 的 书 籍 ， 好 给 您 发 送 书 籍 哦 ！ 地 址 、 姓 名 、 手 机 号 以 及 想 要 的 书 籍 ， 好 给 您 发 送 书 籍 哦 ！ 2 4 小 时 内 未 联 系 号 主 视 为 自 小 时 内 未 联 系 号 主 视 为 自 动 放 弃 ！ 动 放 弃 ！ 点 击 下 方 公 众 号 私 聊 发 送 “ 抽 奖 ”   即 可 马 上 扫 描 参 与 抽 奖 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理