用户
搜索
  • TA的每日心情
    开心
    2016-9-7 09:25
  • 签到天数: 1 天

    连续签到: 1 天

    [LV.1]初来乍到

    SRC部落

    Rank: 7Rank: 7Rank: 7

    21

    主题

    64

    帖子

    2200

    魔法币
    收听
    1
    粉丝
    3
    注册时间
    2016-8-31

    i春秋认证SRC部落

    发表于 2019-5-31 15:04:18 2936
    笔者按
    最近圈内关于红蓝对抗,Red Team服务的讨论很热烈,原因相信大家都是清楚的。目前来看,很多企事业单位对“安全之痛”还缺乏体会,国内安全防护水平的发展很大程度上仍然需要监管部门来推动。
    我们在今年年初也把原来做渗透测试的团队升级成为了可提供Red Team服务的队伍,一方面是因为渗透测试服务市场受到了众测服务一定程度的冲击,另外一方面是随着攻击手段隐蔽性和复杂性的逐年提升,国内Red Team服务需求会大幅上升。现在回过头来看,我们的预判很准确。
    最近很多文章都在强调Red Team服务攻击能力的重要性,由于我本人长年从事安全防护产品研究和设计工作,所以本文将从Red Team服务促进安全体系改进提升的角度进行探讨。

    Red Team服务(国内团队也称为蓝军)旨在通过全场景、多维度的“真实”攻击来检验企业实际的安全防护水平,并发现安全防护体系的缺陷。 Red Team服务跟传统渗透测试最大的区别在于:
    1、传统渗透测试目的在于尽可能找全某个系统的漏洞,对于漏洞的利用基本是点到为止(确认其可利用性和危害);Red Team服务的目的则不是为了找全漏洞,而是为了找到可利用的风险点,并绕过防护体系渗透到企业内部,全面检验企业各个维度的安全防护能力和安全感知能力;
    2、传统渗透测试的攻击手段相对比较单一,比如针对web业务系统的渗透测试基本就是利用web攻击的相关方法;而Red Team服务会利用多维度的攻击方法(如web渗透、邮件钓鱼、鱼叉攻击、无线攻击甚至物理攻击);
    3、传统渗透测试一般会选用模拟测试环境进行;而Red Team更倾向于在真实环境和场景中进行真实的对抗,会有攻击方和防守方甚至有裁判组,整个过程相对更加复杂。 安全狗的Red Team方案把整个攻击链条总结为“从外到内、从内到内和从内到外”三个环节,从这三个环节基本能完整检验一家企业的真实防守能力,如下图所示:

    配图1.png

      “从外到内”主要检验企业的边界防护能力、员工的安全意识以及供应链上的安全风险等;这部分的攻击方法会涉及到web攻击、邮件钓鱼、社工测试、第三方供应链攻击等。
    “从内到内”主要检验企业内部安全的防护能力和内部安全威胁感知能力等;这部分的攻击方法会涉及到内部的横向渗透、系统提权攻击、后门隐藏甚至会用到一些0Day漏洞,有点APT的味道。
    “从内到外”主要检验企业对于安全威胁感知能力和信息数据外传泄露的检测能力等;这部分的攻击方法会涉及隐藏的反弹Shell(绕过防火墙)、隐蔽隧道数据传输等。
    从这个三个方面的攻击链条来看,安全防护体系的纵深性、联动性和全面感知是非常重要的。由于Red Team能检验的防守点很多,接下来我们结合对应的产品,分别从三个阶段给出对防护体系提升的建议。

    一、从外到内这个阶段我们重点推荐RASP(应用运行时自保护),这是针对web安全的纵深防护手段。目前大部分企业在边界上都部署了云WAF、硬件WAF,但如果出现一个未知web中间件漏洞或应用系统漏洞,直接绕过边界上的WAF是相当容易的(如各种JAVA中间件的反序列化漏洞);而如果此时web后端有个RASP模块进行保护,就可以轻松地发现这些高级攻击,如:web进程执行命令、web进程敏感文件读写行为、web进程对系统账号的修改行为、web进程对外网络连接行为等;对这些行为再加以分析基本就可以判断系统是否已经被攻陷并快速采取处置动作。 具体的原理如下图:
    配图4.png
    二、从内到内从去年的“大型攻防演练”中可以看到很多大型企业内部防护基本是空的(大部分单位认为内部网络是隔离的就是安全的),因此今年企业对这块也特别重视。这个阶段重点推荐两种类型产品:
    第一类是(云)服务器主机EDR产品:EDR(终端检测和响应)是Gartner针对终端安全提出的下一代产品,连续四年进入Gartner的年度安全技术榜单。我们在实际的产品研究过程中发现EDR的能力要求更适合(云)服务器主机环境:
    EDR要求Agent轻量化:很多甲方客户不敢在服务器上装安全Agent就是担心安全Agent占用资源影响到业务,由此导致出现内部主机大面积裸奔的情况;而EDR的Agent轻量化正好符合服务器场景的要求;
    EDR要求检测能力:PC终端安全的大部分问题在于容易感染病毒,而服务器主机更多问题在于如何发现入侵和违规行为,因此服务器场景对于检测能力的要求高于杀毒能力,所以EDR的检测能力非常适合在服务器场景上应用;
    EDR要求快速响应能力:主机Agent可以满足阻断、隔离、还原等快速响应的要求。
    因此服务器主机EDR产品在内部安全威胁检测中可以起到很好的效果,弥补了内部检测能力的不足,同时也很适用于云的场景,不受网络区域限制。 安全狗在服务器EDR产品的研发上已经积淀了多年经验,可以说从公司创立初始,就在做这个方向的研发,目前也积累了大量的行业客户案例(“大型攻防演练”中就有不少用户都在使用)。

    配图2.png

    第二类是欺骗防御产品: 欺骗防御系统也是这几年比较新兴的一种产品品类,由原来的蜜罐产品升级而来,但又不同于传统意义上的蜜罐。我们认为欺骗防御产品是安全检测体系的一个很好的补充,很适合在一些特殊的内网进行部署。
    欺骗技术分不同层次,需具备真实网络的所有特征,包括真正的数据和设备。这种欺骗技术可以模仿并分析不同类型的流量,提供对账户和文件的虚假访问,更为神似地模仿内部网络,同时还要求可以自动部署,让攻击者被耍得团团转,陷入无穷无尽地追逐更多信息的循环中。欺骗防御产品按既定意图运作时,黑客会真的相信自己已经渗透到了受限网络中。

    三、从内到外这个阶段对于数据外传的检测是相当重要的,这里重点介绍流量威胁检测类型的产品。不少人认为流量威胁检测产品是IDS的下一代升级版,这样认为有一定道理(都是旁路流量检测)但又不完全准确,我们认为好的流量威胁检测产品须具备以下特性:
    ·不依赖威胁情报情况下对于反弹外联的检测能力(依赖检测算法)
    ·依赖威胁情报对于C&C的快速检测能力
    ·依赖AI模型对于隐蔽传输通道的识别能力
    ·元数据的采集、存储和分析能力,同时能对接给态势感知平台
    ·威胁事件的溯源取证能力(存储原始的packet)

    配图3.png

    当然,介绍了这么多的防护产品,最终还是要能联动起来才能发挥作用,这就要依靠安全大数据分析和响应平台(也就是大家常说的态势感知平台或安全大脑)。在缺乏有效的全局安全威胁情报共享联动作支撑的情况下,不同厂商、不同类型的传统安全产品难以协同,容易发生安全威胁和整体态势研判误报、漏报的现象。
    而依托安全大数据分析和响应平台,部署的各类防护软件和系统既可以针对目标进行实时防护,同时又可将攻击数据汇总至态势感知平台,全面展示安全态势,实现对全局的安全风险可视和可预测,为安全决策提供可靠的依据和手段,这也是我们发展此类安全态势感知平台的重要意义。

    “九层之台起于垒土”,安全防护体系的建设也需要一个过程,既考验甲方的安全规划和安全运营能力,也挑战乙方的产品能力和服务能力。相信随着国内网络安全产业不断地向前发展,我们整体的安全防护水平也会不断提升到新的高度。

    绝对有bug
    使用道具 举报 回复
    发表于 5 天前
    在攻防体系中加强网络安全建设
    有一天他会突然觉得累了甚至忘了初衷 放弃了梦想也许因为年纪的关系奔波于现实 然后拉黑了网络认识的所有人或者说不用了一个号码换了一个QQ 那么记得他叫大叔 这个网络他曾来过
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册