搜索

[6690] 2020-05-07_安恒EDR新版本本周发布｜你还需要了解：攻防对抗之内网探测

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2020-05-07_安恒EDR新版本本周发布｜你还需要了解：攻防对抗之内网探测 安 恒 E D R 新 版 本 本 周 发 布 ｜ 你 还 需 要 了 解 ： 攻 防 对 抗 之 内 网 探 测 E 安 全   2 0 2 0 - 0 5 - 0 7 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 安 恒 E D R 前 情 提 要 前 情 提 要   前 三 期 ， 我 们 详 细 介 绍 了 攻 防 对 抗 的 前 三 个 阶 段 单 机 扩 展 、 隧 道 搭 建 、 远 控 持 久 化 ， 干 货 满 满 的 文 章 让 大 家 在 学 习 攻 防 对 抗 知 识 的 同 时 也 对 E D R 在 攻 防 对 抗 场 景 的 应 用 价 值 有 了 更 深 刻 的 了 解 。 传 送 门 ： 【 安 恒 E D R 功 能 预 告 第 一 期 】 攻 防 对 抗 之 单 机 扩 展 【 安 恒 E D R 功 能 预 告 第 二 期 】 攻 防 对 抗 之 隧 道 搭 建 【 安 恒 E D R 功 能 预 告 第 三 期 】 攻 防 对 抗 之 远 控 持 久 化 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
攻 防 对 抗 中 黑 客 步 步 为 营 、 招 招 致 命 。 在 单 机 扩 展 和 隧 道 搭 建 阶 段 重 在 本 机 信 息 的 收 集 ， 摸 索 入 侵 的 路 径 ， 定 位 到 入 侵 的 目 标 。 远 控 持 久 化 阶 段 则 重 在 机 器 的 提 权 ， 在 单 机 中 持 久 的 潜 伏 ， 时 刻 寻 找 着 渗 透 和 扩 散 的 机 会 。 下 一 步 黑 客 会 怎 么 行 动 呢 ？ 这 就 是 本 期 的 重 点 啦 。 本 期 主 题 ， 将 重 点 谈 一 谈 ： 内 网 探 测 内 网 探 测 内 网 探 测 技 术 广 泛 应 用 于 复 杂 的 网 络 攻 击 中 ， 特 别 是 高 级 持 续 性 威 胁 。 攻 击 者 使 用 这 些 技 术 在 内 网 进 行 横 向 及 纵 向 的 渗 透 攻 击 ，
访 问 受 感 染 系 统 中 的 其 他 主 机 ， 获 取 敏 感 资 信 息 （ 如 邮 箱 ， 共 享 文 件 夹 或 凭 证 ） 。 这 些 敏 感 信 息 可 以 用 于 渗 透 其 他 机 器 、 权 限 提 升 或 者 窃 取 更 有 价 值 的 凭 证 。 通 过 内 网 探 测 攻 击 可 以 拿 到 域 控 权 限 ， 进 而 控 制 域 环 境 下 的 全 部 机 器 ， 最 终 达 到 控 制 业 务 获 取 业 务 数 据 的 目 的 。 常 见 的 内 网 渗 透 技 术 常 见 的 内 网 渗 透 技 术 常 见 的 内 网 渗 透 技 术 常 见 的 内 网 渗 透 技 术 横 向 移 动 渗 透 工 具 横 向 移 动 渗 透 工 具 攻 击 方 式 ： 攻 击 方 式 ： 利 用 渗 透 工 具 ， 可 以 做 到 在 同 一 时 间 连 接 、 攻 击 多 台 主 机 ， 获 取 数 据 库 凭 证 ， 并 且 通 过 分 析 凭 证 去 追 踪 具 有 管 理 员 权 限 的 用 户 ， 若 攻 击 者 收 集 到 了 内 网 中 服 务 器 的 管 理 员 账 号 、 密 码 或 者 h a s h 值 ， 就 可 以 利 用 该 工 具 将 本 机 作 为 跳 板 ， 对 其 他 服 务 器 进 行 远 程 代 码 执 行 攻 击 、 把 域 密 码 策 略 d u m p 下 来 ， 进 行 分 析 ， 横 向 扩 展 。 常 见 防 护 建 议 ： 常 见 防 护 建 议 ： 建 议 查 看 渗 透 工 具 的 上 传 时 间 ， 并 查 看 在 这 个 时 间 段 有 哪 些 服 务 器 对 本 地 服 务 器 进 行 了 访 问 ， 这 些 服 务 器 中 可 能 存 在 已 经 被 攻 击 者 控 制 的 机 器 ， 对 可 疑 的 服 务 器 进 行 访 问 限 制 ， 同 时 对 本 机 进 行 访 问 限 制 ， 防 止 对 内 网 中 的 其 他 服 务 器 进 行 攻 击 。 内 网 漏 洞 利 用 内 网 漏 洞 利 用 攻 击 方 式 ： 攻 击 方 式 ： 常 见 的 内 网 渗 透 漏 洞 有 远 程 代 码 执 行 漏 洞 和 任 意 文 件 读 取 漏 洞 。 对 于 有 远 程 代 码 执 行 漏 洞 的 服 务 器 ， 攻 击 者 可 以 通 过 注 入 实 现 远 程 代 码 执 行 ， 无 需 登 录 等 操 作 ， 直 接 可 以 获 得 服 务 器 的 权 限 或 者 通 过 执 行 任 意 代 码 ， 向 网 站 写 W e b S h e l l 控 制 整 个 网 站 甚 至 服 务 器 。 对 于 有 文 件 读 取 漏 洞 的 服 务 器 ， 攻 击 者 可 通 过 该 漏 洞 进 行 目 录 穿 越 ， 导 致 未 授 权 的 用 户 读 取 服 务 器 任 意 文 件 ， 给 服 务 器 信 息 安 全 造 成 严 重 威 胁 。 常 见 防 护 建 议 ： 常 见 防 护 建 议 ： 把 系 统 升 级 到 最 新 版 本 或 安 装 最 新 的 漏 洞 补 丁 ， 使 用 防 火 墙 策 略 ， 防 止 端 口 暴 露 在 互 联 网 ， 设 置 精 细 化 网 络 访 问 控 制 ， 同 时 开 启 认 证 功 能 ， 不 要 使 用 默 认 账 号 口 令 ， 配 置 自 定 义 账 号 和 强 口 令 ， 防 止 暴 力 破 解 攻 击 事 件 。 哈 希 传 递 哈 希 传 递 攻 击 方 式 ： 攻 击 方 式 ： 哈 希 传 递 （ p a s s - t h e - h a s h ） 在 内 网 渗 透 中 是 一 种 很 经 典 的 攻 击 方 式 ， 原 理 就 是 攻 击 者 可 以 直 接 通 过 L M   H a s h 和 N T L M H a s h 访 问 远 程 主 机 或 服 务 ， 而 不 用 提 供 明 文 密 码 。 通 过 哈 希 传 递 ， 攻 击 者 可 以 通 过 已 经 获 取 的 主 机 凭 证 去 碰 撞 目 标 主 机 ， 如 果 内 网 内 存 在 多 个 同 一 密 码 的 主 机 ， 将 都 可 能 受 到 该 攻 击 。 攻 击 者 可 通 过 凭 证 连 接 远 程 主 机 的 4 4 5 、 1 3 5 端 口 ， 从 而 直 接 对 远 程 计 算 机 进 行 完 全 控 制 ， 且 无 需 明 文 密 码 ， 进 而 访 问 局 域 网 服 务 器 特 定 资 源 ， 严 重 威 胁 内 网 服 务 器 的 信 息 安 全 。 常 见 防 护 建 议 ： 常 见 防 护 建 议 ： 及 时 更 新 系 统 版 本 并 部 署 防 火 墙 等 安 全 软 件 。 禁 止 用 户 网 络 登 录 ， 阻 止 主 机 缓 存 内 存 中 远 程 验 证 用 户 的 凭 据 禁 止 缓 存 受 保 护 用 户 不 支 持 的 凭 据 。 建 议 定 期 修 改 密 码 ， 增 加 密 码 强 度 ， 每 台 服 务 器 设 置 不 同 的 密 码 。 A R P 欺 骗 欺 骗 攻 击 方 式 ： 攻 击 方 式 ： A R P 攻 击 ， 是 针 对 以 太 网 地 址 解 析 协 议 （ A R P ） 的 一 种 攻 击 技 术 ， 通 过 欺 骗 局 域 网 内 访 问 者 P C 的 网 关 M A C 地 址 ， 使 访 问 者 P C 错 以 为 攻 击 者 更 改 后 的 M A C 地 址 是 网 关 的 M A C ， 导 致 网 络 流 量 经 过 攻 击 者 。 攻 击 者 可 在 内 网 已 沦 陷 的 主 机 发 起 A R P 劫 持 ， 通 过 A R P 攻 击 控 制 目 标 流 量 ， 可 以 监 控 目 标 机 器 的 通 信 情 况 、 上 网 信 息 、 明 文 传 输 的 密 码 等 敏 感 信 息 ， 还 可 以 对 目 标 访 问 的 页 面 或 者 下 载 的 文 件 进 行 恶 意 篡 改 、 绑 定 恶 意 木 马 ， 或 进 行 网 络 钓 鱼 等 恶 意 行 为 。
常 见 防 护 建 议 ： 常 见 防 护 建 议 ： 使 用 H t t p s 协 议 或 其 他 有 保 密 协 议 的 连 接 进 行 访 问 ， 对 传 输 数 据 进 行 加 密 。 确 保 防 火 墙 正 常 运 行 并 开 启 相 关 A R P 保 护 。 安 装 个 人 防 护 软 件 绑 定 m a c 地 址 。 安 恒 安 恒 E D R 解 决 方 案 解 决 方 案 安 恒 安 恒 E D R 解 决 方 案 解 决 方 案 对 于 内 网 探 测 黑 客 渗 透 工 具 ， 安 恒 E D R 相 关 专 家 根 据 上 百 种 A T T & C K 攻 击 检 测 模 型 ， 研 发 高 级 威 胁 模 块 中 的 内 网 探 测 功 能 ， 全 面 提 高 威 胁 检 测 能 力 ， 对 内 网 探 测 的 恶 意 行 为 进 行 实 时 监 控 使 得 E D R 不 仅 能 够 防 止 黑 客 渗 透 工 具 的 产 生 ， 而 且 还 能 做 到 黑 客 渗 透 工 具 的 防 启 动 和 防 内 网 探 测 。 防 生 成 ： 防 生 成 ： 开 启 病 毒 防 护 功 能 中 的 文 件 产 生 时 、 存 储 介 质 连 接 时 扫 描 ， 可 在 恶 意 渗 透 工 具 落 地 实 时 发 现 阻 断 并 告 警 。 详 细 记 录 生 成 的 包 括 文 件 路 径 、 工 具 名 称 、 M D 5 等 相 关 信 息 ， 用 于 排 查 和 告 警 。 防 启 动 ： 防 启 动 ： 开 启 病 毒 防 护 功 能 中 文 件 执 行 时 扫 描 ， 可 在 恶 意 渗 透 工 具 启 动 时 实 时 发 现 阻 断 并 告 警 。 详 细 记 录 生 成 的 包 括 进 程 、 进 程 命 令 行 、 父 进 程 、 父 进 程 命 令 行 等 相 关 信 息 ， 用 于 清 理 处 置 。 防 内 网 探 测 ： 防 内 网 探 测 ： 开 启 高 级 威 胁 中 的 防 内 网 探 测 功 能 模 块 ， 可 在 渗 透 工 具 进 行 内 网 内 网 探 测 时 实 时 阻 断 并 告 警 。 详 细 记 录 生 成 的 包 括 来 源 I P 、 进 程 树 、 风 险 评 级 等 相 关 信 息 ， 用 于 追 踪 溯 源 。 安 恒 E D R 是 一 款 集 成 了 丰 富 的 系 统 防 护 与 加 固 、 网 络 防 护 与 加 固 等 功 能 的 主 机 安 全 产 品 。 业 界 独 有 的 高 级 威 胁 模 块 ， 专 门 应 对 攻 防 对 抗 场 景 业 界 独 有 的 高 级 威 胁 模 块 ， 专 门 应 对 攻 防 对 抗 场 景 ； 自 主 研 发 的 免 疫 引 擎 与 专 利 级 文 件 诱 饵 引 擎 ， 有 着 业 界 领 先 的 勒 索 专 防 专 杀 能 力 ； 通 过 内 核 级 东 西 向 流 量 隔 离 技 术 ， 实 现 网 络 隔 离 与 防 护 、 流 量 画 像 ； 拥 有 补 丁 修 复 、 外 设 管 控 、 文 件 审 计 、 违 规 外 联 检 测 与 阻 断 等 主 机 安 全 能 力 。 目 前 产 品 广 泛 应 用 在 服 务 器 、 桌 面 P C 、 虚 拟 机 、 工 控 系 统 、 国 产 操 作 系 统 、 容 器 安 全 等 各 个 场 景 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 疫 情 过 后 ， 你 被 记 录 的 “ 行 踪 ” 将 何 去 何 从 ？ 安 恒 信 息 安 全 研 究 院 ： 深 度 解 构   B l u e t o o t h   设 备 地 址 一 张 图 片 竟 带 来 如 此 风 险 ？ 苹 果 操 作 系 统 多 媒 体 处 理 组 件 暗 含 严 重 隐 患 W i n d o w s 严 重 蠕 虫 漏 洞 将 破 坏 全 球 的 商 业 网 络 ！ 国 泰 航 空 被 处 以 I C O 5 0 万 英 镑 最 高 罚 款   因 数 据 泄 露 长 达 四 年 之 久 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容
喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理