搜索

[9020] 2015-06-11_浅析大规模生产网络的纵深防御架构

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-06-11_浅析大规模生产网络的纵深防御架构 浅 析 大 规 模 生 产 网 络 的 纵 深 防 御 架 构 F r e e B u f   2 0 1 5 - 0 6 - 1 1 微 信 号 ： 微 信 号 ： f r e e b u f 纵 深 防 御 这 个 在 安 全 行 业 被 用 的 很 烂 的 词 ， 乙 方 的 顾 问 写 方 案 时 信 手 捏 来 ， 我 想 大 家 的 理 解 可 能 并 不 一 致 。 其 实 我 纵 深 防 御 这 个 在 安 全 行 业 被 用 的 很 烂 的 词 ， 乙 方 的 顾 问 写 方 案 时 信 手 捏 来 ， 我 想 大 家 的 理 解 可 能 并 不 一 致 。 其 实 我 比 较 赞 同 比 较 赞 同 l a k e 2 用 的 用 的 “ 河 防 河 防 ” 以 及 数 字 公 司 用 的 以 及 数 字 公 司 用 的 “ 塔 防 塔 防 ” 的 概 念 ， 这 些 都 是 比 较 贴 近 实 际 的 。 的 概 念 ， 这 些 都 是 比 较 贴 近 实 际 的 。 下 面 的 篇 幅 仅 从 自 己 的 理 解 来 展 开 ， 并 且 主 题 限 定 在 大 规 模 生 产 （ 服 务 ） 网 络 而 不 是 办 公 网 络 。 互 联 网 安 全 的 核 心 互 联 网 安 全 的 核 心 当 下 各 安 全 公 司 都 偏 爱 A P T 和 大 数 据 威 胁 情 报 之 类 的 概 念 ， 在 办 公 网 络 我 想 这 些 是 他 们 圈 地 运 动 的 战 场 ， 不 过 生 产 网 络 似 乎 仍 然 遥 远 。 自 动 化 运 维 的 交 互 模 型 跟 大 幅 度 人 机 操 作 的 办 公 网 络 完 全 不 同 ， 而 且 现 在 号 称 机 器 学 习 的 方 法 在 实 操 中 表 现 的 很 一 般 ， 效 果 不 如 对 攻 防 模 型 抽 象 后 定 义 规 则 的 方 式 。 这 里 并 不 是 在 否 定 机 器 学 习 的 方 法 ， 只 是 表 达 离 成 熟 还 尚 有 距 离 （ 我 不 是 在 说 Q V M ， 请 不 要 对 号 入 座 ） 。 先 说 一 下 互 联 网 安 全 的 一 些 理 念 性 的 东 西 ， 首 先 没 有 漏 洞 是 不 可 能 的 ， 互 联 网 追 求 快 速 交 付 ， 把 安 全 做 的 太 厚 重 是 “ 不 满 足 业 务 需 求 的 ” ， 为 追 求 极 致 的 低 缺 陷 率 而 大 幅 增 加 发 布 成 本 是 不 切 实 际 的 ， 但 是 互 联 网 安 全 有 几 个 比 较 核 心 的 需 求 ： 快 速 快 速 检 测 、 有 限 影 响 、 快 速 溯 源 ， 快 速 恢 复 检 测 、 有 限 影 响 、 快 速 溯 源 ， 快 速 恢 复 。 通 俗 解 释 一 遍 就 是 ： 允 许 带 着 一 些 问 题 上 线 ， 但 是 有 b u g 或 入 侵 我 能 快 速 检 测 到 而 不 是 无 知 无 觉 的 状 态 ， 就 算 发 生 了 攻 击 或 入 侵 ， 我 能 做 到 入 侵 者 所 获 取 的 权 限 和 造 成 的 影 响 尽 可 能 的 小 ， 并 且 我 有 途 径 或 快 照 还 原 入 侵 过 程 做 根 因 分 析 ， 安 全 事 件 能 在 基 本 不 响 应 不 中 断 业 务 的 情 况 下 恢 复 到 健 康 状 态 。 当 然 这 个 话 题 也 太 大 ， 这 次 只 讨 论 其 中 关 于 “ 有 限 影 响 ” 的 部 分 ， 在 谈 及 防 御 之 前 先 看 一 下 攻 击 路 径 ： P l a n - A ： 通 常 路 径 ， 从 目 标 系 统 正 面 找 漏 洞 ， 远 程 直 接 r o o t s h e l l 在 现 代 基 本 没 有 了 ， 大 多 数 是 从 应 用 为 入 口 ， 先 获 取 上 层 应 用 的 权 限 ， 然 后 通 过 上 传 w e b s h e l l 等 方 式 间 接 获 得 系 统 s h e l l ， 最 后 提 权 获 得 r o o t s h e l l ， 后 面 继 续 扩 大 战 果 的 事 情 就 不 提 了 ， 安 全 建 设 的 思 路 自 然 是 要 反 过 来 ， 阻 止 你 扩 大 战 果 。
P l a n - B ： 如 果 正 面 没 有 明 显 可 利 用 的 漏 洞 的 话 就 需 要 曲 折 迂 回 ， 从 周 围 信 任 域 开 始 下 手 ， 这 个 信 任 域 是 广 义 上 的 ， 包 括 可 a r p 重 定 向 的 ， 可 嗅 探 的 ， 可 会 话 中 间 人 的 ， 可 链 路 劫 持 的 ， 相 同 内 网 的 ， 口 令 满 足 同 一 规 律 的 ， 互 联 互 通 信 任 关 系 的 ， 灾 备 或 镜 像 站 点 等 ， 获 取 一 个 点 后 再 折 返 ， 之 后 的 路 径 与 A 类 似 。 P l a n - C ： 直 接 针 对 生 产 网 络 不 行 的 话 ， 就 需 要 考 虑 社 会 工 程 学 了 ， 针 对 管 理 员 和 办 公 网 络 的 A P T ， 水 坑 攻 击 ， 针 对 应 用 后 台 管 理 员 的 社 会 工 程 学 技 巧 ， 搞 定 S A 自 然 也 就 搞 定 了 所 有 服 务 器 。 纵 深 防 御 体 系 纵 深 防 御 体 系 安 全 建 设 是 反 入 侵 视 角 ， 针 对 攻 击 活 动 中 的 每 一 步 “ 埋 点 ” ， 埋 点 的 寓 意 在 于 我 假 设 攻 击 者 到 了 这 一 步 ， 我 要 阻 止 他 进 入 下 一 步 或 者 不 能 带 着 完 全 的 火 力 进 入 下 一 步 还 能 全 身 而 退 。 当 然 这 里 只 针 对 有 限 影 响 ， 入 侵 检 测 之 类 的 部 分 这 里 先 不 展 开 ， 后 续 会 有 专 门 的 话 题 。 第 一 层 安 全 域 划 分 ， 这 个 安 全 域 是 对 业 务 的 抽 象 ， 并 不 是 对 物 理 服 务 器 的 划 分 ， 在 大 规 模 分 布 式 架 构 中 ， 同 一 个 安 全 域 的 机 器 可 能 并 不 一 定 位 于 同 一 个 物 理 机 房 ， 但 是 他 们 对 应 相 同 的 安 全 等 级 ， 共 享 一 组 相 同 的 访 问 控 制 策 略 ， 只 对 其 他 安 全 域 或 I n t e r n e t 暴 露 有 限 的 协 议 和 接 口 。 即 使 攻 击 者 渗 透 了 其 他 相 邻 的 服 务 器 ， 也 只 能 扫 描 和 访 问 这 个 安 全 域 内 有 限 的 几 个 端 口 ， 没 办 法 自 由 渗 透 ， 这 个 问 题 主 要 解 决 P l a n - B 曲 线 救 国 时 被 入 侵 者 “ 误 伤 ” ， 以 及 获 得 单 点 r o o t 后 进 一 步 渗 透 的 扩 散 ， 希 望 能 把 安 全 事 件 爆 发 的 最 大 范 围 抑 制 在 一 个 安 全 域 中 ， 而 不 是 直 接 扩 散 到 全 网 。 第 二 层 是 基 于 数 据 链 路 层 的 隔 离 ， 只 有 2 层 隔 离 了 才 能 算 真 正 隔 离 ， 否 则 只 在 3 层 以 上 做 A C L 也 是 不 行 的 ， 仍 然 会 被 A R P 。 2 层 使 用 V P C ， v x l a n ， v l a n 等 方 法 相 当 于 在 安 全 域 的 基 础 上 对 一 组 服 务 器 以 更 细 的 粒 度 再 画 一 道 圈 ， 进 一 步 抑 制 单 点 沦 陷 后 受 害 源 扩 大 的 问 题 。 在 不 是 特 别 大 的 网 络 中 可 以 直 接 跳 过 安 全 域 到 这 一 步 。 当 然 安 全 域 的 概 念 在 任 何 时 候 都 是 存 在 的 ， 仅 仅 是 在 做 划 分 的 事 情 但 不 去 套 这 个 名 词 。 二 层 之 上 就 是 协 议 端 口 状 态 过 滤 ， 这 是 绝 大 多 数 “ 防 火 墙 ” 的 场 景 。 解 决 的 还 是 对 黑 客 暴 露 的 攻 击 面 的 问 题 ， 即 使 我 的 加 固 做 的 不 到 位 ， 不 必 要 的 服 务 没 有 清 理 干 净 ， 开 放 了 有 问 题 的 端 口 ， 甚 至 有 些 端 口 上 跑 着 的 服 务 还 有 漏 洞 ， 但 是 因 为 被 防 火 墙 过 滤 了 ， 路 由 不 可 达 ， 所 以 攻 击 者 利 用 不 了 ， 他 只 能 在 对 外 或 对 信 任 域 暴 露 的 端 口 上 去 想 办 法 。 本 质 一 点 就 是 给 攻 击 者 提 供 本 质 一 点 就 是 给 攻 击 者 提 供 “ 窄 带 窄 带 ” ， 有 限 的 访 问 通 道 。 ， 有 限 的 访 问 通 道 。 不 过 在 有 复 杂 嵌 套 引 用 关 系 的 大 规 模 生 产 网 络 中 ， 出 于 运 维 成 本
的 考 虑 ， 有 时 候 访 问 控 制 策 略 不 会 做 的 很 细 粒 度 ， 因 为 那 样 的 话 如 果 有 台 机 器 挂 了 换 个 i p 都 麻 烦 。 这 也 是 安 全 的 妥 协 ， 我 之 后 会 有 单 独 篇 幅 讲 做 安 全 是 否 需 要 妥 协 ， 应 该 如 何 妥 协 ， 底 线 是 什 么 。 再 往 上 一 层 是 现 在 讨 论 的 最 多 的 一 层 ， 其 实 从 图 中 也 可 以 看 出 你 平 日 的 工 作 都 是 聚 焦 于 哪 层 。 这 一 层 单 独 拆 开 都 可 以 再 建 一 个 纵 深 防 御 的 子 体 系 。 应 用 层 通 常 是 暴 露 在 I n t e r n e t 上 的 攻 击 面 ， 这 一 层 主 要 是 解 决 认 证 鉴 权 、 注 入 跨 站 上 传 之 类 的 应 用 层 漏 洞 ， 尽 可 能 把 入 侵 者 堵 在 第 一 人 口 之 外 。 如 果 你 在 开 发 W A F ， 那 你 对 应 的 也 是 这 一 层 的 工 作 。 应 用 层 上 方 是 容 器 、 运 行 时 环 境 。 这 里 的 目 标 是 假 设 我 的 服 务 器 上 的 应 用 程 序 有 漏 洞 ， 且 攻 击 者 找 到 了 漏 洞 ， 我 不 希 望 这 个 漏 洞 能 被 成 功 利 用 直 接 跳 转 到 系 统 权 限 ， 而 是 希 望 能 在 这 一 步 阻 止 他 ， 办 法 就 是 通 过 容 器 加 固 。 比 如 阻 止 一 些 危 险 函 数 的 运 行 ， 比 如 上 传 了 w e b s h e l l 但 是 不 被 解 析 执 行 ， 比 如 你 想 执 行 e v a l （ ） 并 用 种 种 方 法 变 形 编 码 字 符 窜 拼 接 逃 过 了 应 用 层 的 检 测 ， 但 是 到 了 运 行 时 其 实 是 相 同 的 底 层 指 令 ， 那 么 无 论 你 在 上 层 多 么 努 力 的 变 形 我 都 会 希 望 在 更 底 层 把 你 揪 出 来 ， 哪 怕 不 直 接 阻 断 我 也 至 少 报 个 警 。 在 绝 大 多 数 入 侵 活 动 中 ， 上 传 或 生 成 w e b s h e l l 是 从 应 用 权 限 向 系 统 权 限 转 化 的 关 键 一 步 ， 所 以 这 一 层 的 防 御 也 是 比 较 重 要 的 。 以 后 如 果 有 时 间 单 独 篇 幅 讲 如 何 对 抗 w e b s h e l l 。 对 抗 攻 击 对 抗 攻 击 如 果 不 幸 之 前 的 都 没 阻 止 攻 击 者 ， 对 方 已 经 得 到 了 普 通 用 户 的 s h e l l ” $ ” ， 那 么 我 肯 定 不 希 望 你 继 续 得 到 r o o t s h e l l ， 对 抗 的 办 法 就 是 大 家 常 见 的 那 些 系 统 加 固 项 ， 那 些 文 章 洋 洋 洒 洒 写 了 一 大 堆 主 要 就 是 用 在 这 个 场 景 的 ， 不 过 最 主 要 的 还 是 对 抗 本 地 提 权 以 及 内 核 提 权 ， 攻 击 免 疫 或 称 攻 击 缓 解 机 制 。 例 如 S M E P 、 S M A P 、 D E P 、 各 种 A S L R ， s t a c k - c a n a y ， r e a d - o n l y   . P L T   . G O T 等 都 是 在 这 里 “ 埋 点 ” ， 其 他 的 诸 如 u m a s k = 0 2 2 等 也 是 在 这 里 埋 点 ， 似 乎 看 上 去 这 些 不 太 需 要 安 全 t e a m 的 介 入 ， 好 像 都 是 O S 默 认 的 机 制 ？ 其 实 不 然 ， 安 全 做 到 偏 执 的 程 度 还 是 有 自 己 出 手 的 地 方 ， A n d r o i d 出 手 比 标 准 的 L i n u x 更 快 一 点 ， 也 许 以 后 就 真 的 没 太 多 需 要 自 己 出 手 的 地 方 了 。 不 过 当 下 各 种 基 于 L X C 的 容 器 ， 越 来 越 多 的 m u l t i   t e n a n t 的 云 环 境 ， 隔 离 的 机 制 完 全 依 赖 于 k e r n e l 的 健 壮 性 ， 这 些 场 景 下 对 抗 这 一 层 的 攻 击 都 显 得 尤 为 重 要 。 如 果 被 拿 走 了 r o o t 自 然 是 很 令 人 不 爽 的 事 ， 但 还 不 是 最 令 人 不 爽 的 。 如 果 有 一 天 当 你 的 1 万 台 服 务 器 中 有 5 0 0 台 被 人 搞 了 ， 而 且 还 不 能 推 断 是 不 是 装 了 k e r n e l   r o o t k i t 的 情 况 下 ， 这 种 感 觉 是 最 要 命 的 ， 你 生 了 个 肿 瘤 手 术 摘 掉 也 就 算 了 ， 那 种 情 况 就 像 你 手 术 完 都 不 确 定 摘 了 没 ， 即 便 5 0 0 台 服 务 器 备 份 数 据 重 装 系 统 都 不 彻 底 ， 而 且 近 似 于 你 某 个 子 业 务 要 处 于 离 线 状 态 这 种 极 其 影 响 可 用 性 的 事 情 业 务 部 门 会 把 你 逼 疯 掉 。 所 以 不 是 特 别 需 求 要 干 掉 L K M ， / d e v / k m e m ， 限 制 / d e v / m e m 的 全 地 址 空 间 读 写 ， 另 外 k e r n e l   M A C 内 核 强 制 访 问 控 制 也 能 限 制 r o o t 只 能 做 有 限 的 事 情 ， 尽 管 理 论 上 内 核 提 权 还 是 能 控 制 一 切 ， 不 过 要 在 没 有 开 发 环 境 的 服 务 器 上 实 现 完 整 的 k e r n e l   r o o t k i t 功 能 并 保 证 不 在 用 户 态 留 下 蛛 丝 马 迹 的 概 率 还 是 比 较 低 。 这 样 做 还 有 一 个 好 处 ， 把 入 侵 检 测 聚 焦 于 用 户 态 ， 不 要 动 不 动 就 去 装 一 堆 内 核 级 别 的 重 量 级 玩 意 儿 ， 大 规 模 高 并 发 的 生 产 环 境 伤 不 起 。 在 云 计 算 环 境 中 ， 上 面 那 步 可 能 还 不 算 是 单 点 渗 透 的 终 结 ， 更 底 层 还 有 h y p e r v i s o r ， 如 果 攻 击 者 逃 逸 出 V M 那 就 比 较 狼 狈 了 ， 每 个 厂 商 都 需 要 考 虑 一 下 V M M 的 保 护 方 案 ， 现 在 h y p e r v i s o r 这 一 层 很 薄 不 会 做 的 很 重 ， 似 乎 还 没 有 特 别 成 熟 和 通 用 的 办 法 ， 不 过 肯 定 会 发 展 起 来 ， 会 有 更 多 类 似 于 X S M 这 样 的 方 案 。 结 语 结 语 在 一 个 真 正 建 立 纵 深 防 御 的 系 统 中 ， 入 侵 者 一 般 到 不 了 r o o t 这 一 步 就 会 被 揪 出 来 ， 只 不 过 完 整 的 纵 深 防 御 要 以 后 的 篇 幅 慢 慢 写 了 ， 这 里 只 是 选 取 了 其 中 一 个 维 度 来 试 图 解 读 这 个 概 念 。 另 一 方 面 ， 完 整 的 纵 深 防 御 体 系 只 有 大 型 互 联 网 公 司 才 可 能 全 覆 盖 ， 因 为 跟 安 全 建 设 成 本 有 关 ， 所 以 又 涉 及 另 外 两 个 话 题 ： 不 同 规 模 企 业 的 安 全 需 求 和 同 一 公 司 在 不 同 安 全 建 设 阶 段 的 需 求 ， 以 后 再 展 开 。
* 作 者 ： a y a z 3 r o ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理