HW护网即将开始4.6
今年护网时间在清明节之后,大约4.6号左右就会开始,提前一周进场,所以三月底小伙伴们差不多就已经进入状态了。今年我在北京xxx集团担任防守方。。。
攻击方总结
一个攻击队拿下一个企业核心系统的时间需要根据目标的安全防护程度来决定,一般情况下会需要大量的时间投入,假如是APT的话甚至要潜伏数年才能获得想要的数据。但是在护网行动中规定的时间可能仅仅不到一个月,而且每个攻击队伍都有许多个目标,那也就意味着排除提前几个月做护网踩点探测的情况下,攻击方要在短时间内快速的获取目标信息,并针对性的发动有效攻击才能完成自己的目的。
(1)信息收集
护网行动中攻击方会对目标的公司组织架构、人员信息和IT资产进行情报和信息的收集,这就是攻防与渗透测试最大的区别所在,更加的贴近实战。在掌握目标企业组织架构和人员信息后便可以进行针对性的攻击了,比如以邮箱攻击为例,先选定目标企业的某某工作人员,对其邮箱进行攻击,在成功获得该邮箱登录权限后便可以去通信录导出企业所有联系人,然后批量的对导出邮箱进行简单的口令爆破;如果在进行这些操作后还没拿到有价值的账号时,便根据组织结构进行定点攻击,比如用swaks伪造管理员发送钓鱼邮件,或者编造一个理由加密发送一个宏病毒等方式进行攻击。
IT资产信息收集包括域名、IP地址、开放端口、运行服务等信息。如何快速收集目标信息,分布式扫描器绝对是首选,按照护网期间防守方宁可错杀一千不放过一个的准则来看,要想避开防守方IP封禁大法的限制,一个扫描器是绝对不够用的。快速的对目标的资产的端口进行一次全方位的扫描和识别,再根据扫描得到的Banner信息完成收割。
(2) 0day与价值
拥有0day绝对是攻击方硬实力的证明,以目前国内的网络安全现状来看,安全开发人才紧缺,许多公司包括国企政府的业务系统大多都是外包厂商开发的,而普通的外包开发者对网络安全并不了解,做出来的系统存在的安全问题绝对不少,所以对攻击方来说只要攻击一个客户广泛的厂商,拿到一个0day就可以轻而易举的拿下其他相关的所有目标,收益非常的高。0day极有可能大量的存在,只不过在使用上非常的谨慎,因为0day的生存期实在太短,平常状态下生存期不超过一周,在护网期间更是可能连一个小时都没有,所以0day的拥有者是否使用0day跟所创造的价值有很大的关联。
防守方总结
临战期:
在临战初期,客户举行了两场攻防演练,通过公司内分队对攻到从上往下发起的攻击。这次演练发现了在备战期所忽略的地方:在备战期对风险点进行排查的时候侧重于WEB漏洞而忽视了其他漏洞的渗透及验证,导致在演练的时候被攻击方通过中间件漏洞攻破;还有就是在备战期对VPN没有做好严格的把控,以致于VPN的用户名及密码明文存储在APP中,被攻击方成功反编译出密码,直接进入内网。对于演练中发现的问题,我们进行以下处置:对于中间件漏洞及时升级补丁并且删除相关被利用的war包,对中间打补丁及删除war包的过程进行严格把控,对于进行的每个操作进行截图记录,确保每个过程都进行到位;对于VPN账号泄露问题,账号密码不写死在APP中,通过验证码进行VPN登录,且将APP进行混淆,防止攻击者通过反编译获取敏感信息。
客户在临战期陆续将安全设备进行部署。针对这次HW行动,客户对原本已有的一些安全设备进行策略优化,同时也新增了一些安全设备。主要的类型有防御设备、监控设备等。防御设备还是最常见的WAF、IPS,对WAF、IPS的策略进行优化,增强设备的防御能力;监控设备这块就是我们自主研发了一个主机探针,主要作用就是对主机进程进行审计、webshell监控;除了主机监控还有就是网络流量监控设备,对监测的流量进行分析。
(1) 无法应对0day
0day攻击着实是防守方最头疼的一个点,理论来说0day攻击是无法防御,但是实际上其实并不是那么的绝对。重边界、轻内网导致了边界防护一旦被绕过或是破坏,企业内网会存在崩塌的风险,所以防守方会在边界部署很多安全设备,比如WAF、IPS、IDS、态势感知设备等,此类安全设备受用面极广也是各大安全厂商大力推荐的监控设备,但是恰好这些设备都是经不住0day攻击的。这些安全设备都是以黑名单、规则或是安全情报为基础,假如攻击方会用最新的IP、域名或者是0day进行攻击,原有IOC情报、规则在这种情况下基本无效,这就会让安全平台无法识别此类攻击。一旦安全设备不告警,防守方即使7*24小时防守也没有实际意义,可能系统被突破了还浑然不知。应对0day攻击正确的办法应该是注重对WEB攻击行为与攻击意图的监控,或是加强管控终端程序运行,阻断非许可进程的运行等方式来防范,而非迷信规则情报类的安全设备。
风险处置流程:
根据监控设备告警划分风险等级,主机探针告警高于其他安全设备告警,主机探针作为防守的最后一道防线,若主机探针发出告警,则攻击已经进入内网,因此风险等级最高。根据风险等级不同,我们制定了两个风险处置流程:
当收到主机探针告警,监控人员告知应用处置人员进行风险排查确认,同时通知网络处置组进行攻击IP封锁。应用处置组确认风险存在后,监控组立即通知机房管理员进行断网处置,随后,由应用处置组协助监控组进行溯源取证,并且对风险进行处置,删除shell脚本或木马程序。应用组处理后将结果反馈给监控组,监控组通知机房管理员将受攻击服务器进行下电处理,并且将事件记录在防御工作列表中。
当其他安全设备监测到攻击时,监控组会将发起攻击源IP告知网络处置组进行封堵,同时将发现的告警信息发送给研判组进行研判,监控组根据研判结果通知应用处置组进行风险排查,应用处置组将加固结果反馈给监控组,监控组将事件记录在防御工作列表中。
HW护网即将开始4.6相关推荐
- 【愚公系列】2023年06月 网络安全高级班 025.HW护网行动攻防演练介绍和工具
文章目录 前言 一.HW护网行动攻防演练 1.蓝队 1.1 备战阶段 1.2 临战阶段 1.3 决战阶段 1.4 总结阶段 2.红队 2.1 情报侦察阶段 2.2 外网打点阶段 2.3 内网渗透阶段 ...
- 【愚公系列】2023年05月 网络安全高级班 035.HW护网行动攻防演练(0day漏洞防护)
文章目录 前言 一.背景 二.实施思路 三.成效亮点 前言 0day漏洞指的是一种尚未被发现或公开披露的安全漏洞.攻击者可以利用这些漏洞进入受影响的系统或应用程序,可能会导致数据泄露.系统崩溃.恶意软 ...
- 【愚公系列】2023年05月 网络安全高级班 036.HW护网行动攻防演练(连环陷阱的apt攻击捕获)
文章目录 前言 一.背景 二.实施思路 三.成效亮点 前言 连环陷阱的APT攻击是指攻击者通过使用多个攻击向量来渗透进入目标系统,以使攻击更加难以检测和遏制.这些攻击向量通常包括社交工程.恶意软件.漏 ...
- 聊聊护网中常见钓鱼攻击思路
每日一句:HW中,红队.蓝队都会很累.没有说哪个会更强一些,毕竟道高一尺魔高一丈. 一.网络钓鱼 01.一些简介~钓鱼属于社会工程学~在18年的红蓝对抗还不怎么常见,~在19年的时候就比较泛滥了02. ...
- 红蓝对抗-2022年蓝队初级护网测试总结
2022年蓝队初级护网测试总结 文章目录 2022年蓝队初级护网测试总结 一. 设备误报如何处理? 二. 如何区分扫描流量和手工流量? 三. 网站被上传webshell如何处理? 四. 给你一个比较大 ...
- 2022年蓝队初级护网总结
目录 1.设备误报如何处理? 2.如何区分扫描流量和手工流量? 3.网站被上传webshell如何处理? 4.给你一个比较大的日志,应该如何分析? 5.常见OA系统? 6.了解安全设备吗? 7.了解过 ...
- 网络安全-防守-护网
护网背景 一.什么是护网? 网络安全的态势之严峻,迫切需要我们在网络安全领域具备能打硬仗的能力,"护网行动"应运而生. 护网目标 通过防守工作与技术方案,做好"护网&qu ...
- 2022护网日记,护网工作内容、护网事件、告警流量分析
「作者主页」:士别三日wyx 「作者简介」:CSDN top100.阿里云博客专家.华为云享专家.网络安全领域优质创作者 2022护网日记 一.监控设备 二.工作内容 三.安全事件 1)失陷主机排查 ...
- 护网行动安全防守工作指南应看
"护网"行动安全防守工作指南 本指南主要为了规避驻场工程师在护网防守期间出现违规行为,从保密要求.网络传播.个人终端安全.值守要求.关键个人行为等方面提出最基本的护网期间工作准则, ...
- 2023护网日记,护网工作内容、护网事件、告警流量分析
2023护网日记 一.监控设备 二.工作内容 三.安全事件 1)失陷主机排查 2)后门网站修复 四.告警流量分析 1)信息泄露 2)SQL注入 3)文件上传 4)XSS(跨站脚本) 5)代码执行 今年 ...
最新文章
- java中文件名和类名之间的关系
- 69:shell脚本介绍 | shell脚本结构 | 执行data命令用法 | shell脚本中变量
- 哪里可以接到python的活干-学了Python以后,我干了很多不是人干的活
- python3.6.3安装-CentOS7.2安装Python3.6.3
- 生鲜在卖场中的六大类别
- 《岸上的波妞》观后感
- 实验6 控制结构综合程序设计 7-3 简单计算器
- Lync Server 2010迁移至Lync Server 2013部署系列 Part1: 扩展AD架构
- nginxlua文件服务器权限,通过lua进行nginx的权限控制
- linux远程执行迷路,linux操作系统基础
- 【前端】第一章 前端三要素、前后端分离的演变史
- 求连续区间和为目标值的一种解题思路
- python 实例对象 浅拷贝_Python 对象的深拷贝与浅拷贝 -- (转)
- ubuntu opencv多版本控制
- Python学习笔记——Python版本的选择
- 个人博客网站可以通过写系列连载文章来吸引用户
- Unity DoTween
- 计算机容斥原理,三集合容斥原理解题技巧
- matlab 非线性误差,matlab处理非线性误差估计.doc
- XXXXXXXXXXX
热门文章
- Hibernate重附(Reattach)和合并(Merge)操作的比较
- oracle dnfs 配置,配置 Oracle Direct NFS (dNFS)
- wordpress中如何正确书写robots.txt
- 百度快照多久更新一次?
- php cookbook怎么样,《PHP Cookbook》学习笔记(三)
- mysql 存储过程 后面慢_MySQL存储过程执行慢
- python linux系统管理与自动化运维pdf_Python Linux系统管理与自动化运维 完整pdf扫描版[191MB]...
- 一维欧拉方程matlab代码,一维欧拉方程组的warming-beam差分求解
- linux fdisk运用
- C/C++[codeup 1929,]日期处理