自2016年開展首屆HW行動(dòng)以來，越來越多的企業(yè)、單位加入到HW行動(dòng)中來，網(wǎng)絡(luò)攻防演練越來越貼近實(shí)際情況，越來越考驗(yàn)其實(shí)際安全能力。HW行動(dòng)對(duì)于我國網(wǎng)絡(luò)安全行業(yè)發(fā)展有著巨大的促進(jìn)作用。假若沒有HW行動(dòng)，大多數(shù)企業(yè)的安全防護(hù)體系建設(shè)還停留在預(yù)算審批階段，在沒有出現(xiàn)大的安全事件和觸碰合規(guī)紅線之前，企業(yè)對(duì)于安全方面的投入極為克制。HW失敗，一年白干，這雖然是業(yè)界的一個(gè)段子，但是某些時(shí)候還是很有道理的。對(duì)于所有網(wǎng)絡(luò)安全人員來說，這是一次年度大考，攻防演練的成敗直接決定了他們本年度的績效。對(duì)于提供駐場服務(wù)的安全廠商來說同樣十分關(guān)鍵，第二年的攻防演練訂單能不能續(xù)上就看今年駐場人員的表現(xiàn)。由于HW行動(dòng)的所有參與單位，最終根據(jù)其所獲得的分?jǐn)?shù)進(jìn)行排名，隨意排名靠后的單位就會(huì)非常被動(dòng)。雖然不會(huì)面臨直接處罰，但是會(huì)直接影響其評(píng)優(yōu)等多項(xiàng)工作，重要性毋庸置疑。例如2022年，業(yè)界瘋傳某個(gè)金融單位因?yàn)樵诰W(wǎng)絡(luò)攻防演練中表現(xiàn)過于糟糕（系統(tǒng)被打穿），直接導(dǎo)致該單位二把手被撤職，下邊安全人員和廠商駐場人員都討不了好。在攻防演練中，攻守雙方分別是紅隊(duì)和藍(lán)隊(duì)，紅隊(duì)大多數(shù)都是由“國家隊(duì)”、廠商滲透技術(shù)人員組成，其中“國家隊(duì)”的占比大概是60%左右，負(fù)責(zé)對(duì)目標(biāo)單位發(fā)起實(shí)戰(zhàn)式網(wǎng)絡(luò)攻擊，以此檢驗(yàn)其防護(hù)體系的實(shí)際安全能力。而藍(lán)隊(duì)基本是由企業(yè)/單位安全人員、廠商駐場安全服務(wù)人員組成，他們不僅要對(duì)抗紅隊(duì)持續(xù)發(fā)起的各種網(wǎng)絡(luò)攻擊，還要在溯源中固定證據(jù)，反制紅隊(duì)人員。
給藍(lán)隊(duì)防守方的11個(gè)忠告
1、運(yùn)氣第一，實(shí)力第二（手動(dòng)狗頭保命）
哪怕實(shí)力不強(qiáng)，運(yùn)氣好沒被打破，輕輕松松取得令人羨慕的成績；運(yùn)氣差，哪怕實(shí)力再強(qiáng)也有可能因?yàn)橐粋€(gè)小錯(cuò)誤而崩盤。有時(shí)候運(yùn)氣這種東西真的沒辦法吐槽，大家盡力就好。
2、攻防演練再怎么重視也不為過
攻防演練是檢驗(yàn)安全體系建設(shè)有效性的關(guān)鍵指標(biāo)之一，就像前文說的“這是一次安全人員的大考”，因此在攻防演練考試之前安全部門需充分向上管理，強(qiáng)調(diào)“攻防演練”的重要性，借此盡可能多申請資源，包括應(yīng)急演練大屏、防守方專用電腦、部署監(jiān)控視頻等。不論是駐場人員還是內(nèi)部福利，有多少搞多少，這樣才能更好滴提振士氣；同時(shí)也要做好向下管理，提前給安全人員打好預(yù)防針，使得內(nèi)部在行動(dòng)指揮上形成統(tǒng)一。據(jù)說2023年HW行動(dòng)剛剛開始，四川某運(yùn)營商就已經(jīng)被打穿，這一消息在網(wǎng)安圈內(nèi)瘋狂傳播，不論是出于輿情考慮還是站在攻防演練的重要性上（ZZRW），該運(yùn)營商的領(lǐng)導(dǎo)層都處于一個(gè)十分被動(dòng)的位置，對(duì)于安全人員來說也是一個(gè)非常糟糕的消息。
3、神隊(duì)友還是豬隊(duì)友決定了攻防演練的成敗
對(duì)于大多數(shù)公司/單位來說，藍(lán)隊(duì)防守方僅僅依靠公司內(nèi)部安全人員是萬萬不行的（類似于電信行業(yè)大佬不在統(tǒng)計(jì)中），所以必須要找外援。說的再直白一點(diǎn)，攻防演練和籃球足球比賽差不多，在某些時(shí)候外援才是決定勝負(fù)的關(guān)鍵。如果遇上厲害的大佬，直接躺著就把分拿了。至于怎么找到靠譜的白帽滲透人員，除了已有的資源外平時(shí)可以多參加一些相關(guān)會(huì)議，積累一些人脈。還有個(gè)不太文明的方法，如果有心儀的白帽可以將壓力給到合作的廠商，利用他們的白帽資源來完成招募的目標(biāo)。不論是新隊(duì)伍還是老隊(duì)伍，面試環(huán)節(jié)都需要嚴(yán)肅對(duì)待，防止濫竽充數(shù)的混子影響戰(zhàn)斗力，包括對(duì)人員進(jìn)行技術(shù)能力、背景等方面的審核，確定防守方負(fù)責(zé)人并構(gòu)建防守方組織架構(gòu)，與第三方人員簽署保密協(xié) 議，向防守人員宣貫防守規(guī)則及演練相關(guān)要求。
4、能不能寫好技戰(zhàn)法也是一大關(guān)鍵
一篇合格的技戰(zhàn)法可以起到錦上添花的作用，讓我們的成績更加明顯，也能讓錯(cuò)誤變的不那么明顯，簡單來說就是多得分，少掉分。自2016年開展HW行動(dòng)以來，攻防演練雙方的專業(yè)水平已經(jīng)逐漸提升，防守方越來越多地通過設(shè)備聯(lián)動(dòng)、縱深防御、應(yīng)急響應(yīng)、溯源反制來抵擋攻擊方專業(yè)的網(wǎng)絡(luò)攻擊。因此防守方技戰(zhàn)法撰寫的四大核心點(diǎn)分別是設(shè)備（體系）聯(lián)動(dòng)、縱深防御、應(yīng)急響應(yīng)、溯源反制。這四大核心點(diǎn)又可以進(jìn)一步拆分成多個(gè)小點(diǎn)，圍繞其中某一個(gè)點(diǎn)寫深寫透，凸顯我方在攻防演練中的努力與成績。
5、資產(chǎn)盤點(diǎn)是攻防演練前的準(zhǔn)備
大多教情況下，藍(lán)隊(duì)對(duì)于自己的資產(chǎn)情況把控不夠，導(dǎo)致部分資產(chǎn)未能納入有效監(jiān)測、防護(hù)范圍，這就成為了防護(hù)體系中的暴露面。紅隊(duì)在發(fā)起進(jìn)攻前，會(huì)先收集這些薄弱點(diǎn)，并以此為跳板攻入企業(yè)關(guān)鍵系統(tǒng)。資產(chǎn)是安全運(yùn)營的基礎(chǔ)支撐能力，合格的安全管理是建立在對(duì)于資產(chǎn)全面且精準(zhǔn)掌握的基礎(chǔ)之上，動(dòng)態(tài)、周期性的資產(chǎn)監(jiān)測以及及時(shí)的變更預(yù)警是非常必要的，保持對(duì)于資產(chǎn)部署分析、業(yè)務(wù)屬性及應(yīng)用上下游關(guān)系等清晰的認(rèn)知，才能夠?qū)⑵髽I(yè)在互聯(lián)網(wǎng)的暴漏面進(jìn)行持續(xù)收斂。公網(wǎng)資產(chǎn)評(píng)估:通過收集企業(yè)暴露在公網(wǎng)的資產(chǎn)信息和敏感信息，分析存在的未知公網(wǎng)資產(chǎn)、以及業(yè)務(wù)系統(tǒng)源碼、賬號(hào)密碼暴露等安全風(fēng)險(xiǎn)，協(xié)助企業(yè)在攻擊者發(fā)起信息收集前收斂外部攻擊面，提升企業(yè)對(duì)自身資產(chǎn)的掌握程度以及應(yīng)對(duì)突發(fā)安全事件的能力。內(nèi)網(wǎng)資產(chǎn)評(píng)估:從內(nèi)網(wǎng)安全維度對(duì)主機(jī)安全產(chǎn)品核心功能模塊的檢測結(jié)果進(jìn)行詳細(xì)分析，從而發(fā)現(xiàn)操作系統(tǒng)、業(yè)務(wù)系統(tǒng)存在的風(fēng)險(xiǎn)隱患為客戶解讀并持續(xù)跟進(jìn)風(fēng)險(xiǎn)整改期間各類技術(shù)問題，協(xié)助企業(yè)提升操作系統(tǒng)、業(yè)務(wù)系統(tǒng)本身的健壯性，進(jìn)而提高內(nèi)網(wǎng)橫向攻擊門檻。
6、溯源與反制是防守方的得分神器
由于攻守雙方天然處于不對(duì)等地位，因此在攻防演練中防守方如果能夠通過主動(dòng)式欺騙措施（例如高級(jí)蜜罐）來誘敵深入，收集信息并固定證據(jù)，最終對(duì)攻擊方進(jìn)行有效殺傷，將會(huì)獲得非常多的加分。- 攻擊者是通過“哪個(gè)系統(tǒng)” “哪個(gè)漏洞”打進(jìn)來的，確認(rèn)攻擊IP有哪些。
- 攻擊者打到內(nèi)網(wǎng)后做了什么操作，例如“流量代理” “內(nèi)網(wǎng)穿透”。
- 最后總結(jié)哪些互聯(lián)網(wǎng)和內(nèi)網(wǎng)系統(tǒng)被拿下了，并且通過安全流量設(shè)備等方式證明攻擊者的攻擊動(dòng)作。
在溯源反制中，攻擊源捕獲是至關(guān)重要的步驟，在網(wǎng)絡(luò)攻擊發(fā)生時(shí)防守方需要通過各種方法獲取攻擊者的信息，比如說攻擊者開始攻擊的時(shí)間、攻擊的手法、利用的漏洞、入口點(diǎn)是什么、有沒有在服務(wù)器里留下后門、攻擊者的IP地址是什么，被攻擊的主機(jī)有哪些等。
7、布置好蜜罐
蜜罐是溯源與反制中最關(guān)鍵的技術(shù)。在攻防演練中，攻擊者常利用的突破口多為對(duì)外開放的站點(diǎn)、服務(wù)上存在的漏洞、未經(jīng)嚴(yán)格控制而開放的測試站點(diǎn)等。防守方應(yīng)當(dāng)提前分析自身網(wǎng)絡(luò)特性，找到攻擊者最可能“光顧”的區(qū)域，加強(qiáng)防護(hù)的同時(shí)，在相應(yīng)區(qū)域內(nèi)的關(guān)鍵信息節(jié)點(diǎn)部署蜜罐，使攻擊者在信息收集階段受到干擾，進(jìn)而誘導(dǎo)攻擊者對(duì)蜜罐發(fā)動(dòng)攻擊。另外，目前不少蜜罐都能夠監(jiān)控和記錄攻擊者進(jìn)入蜜罐后的所有動(dòng)作進(jìn)行，Web類的蜜罐還可識(shí)別和記錄攻擊者使用的攻擊方法和攻擊載荷，可作為判斷攻擊者意圖的重要依據(jù)。防守方將由蜜罐收集的信息匯總至欺騙偽裝平臺(tái)，由平臺(tái)進(jìn)行統(tǒng)一分析，根據(jù)攻擊者的攻擊意圖戰(zhàn)略調(diào)整監(jiān)控防御節(jié)點(diǎn)，做到因“敵“制宜。最后還可以化被動(dòng)為主動(dòng)，充分使用主動(dòng)誘捕戰(zhàn)術(shù)。主動(dòng)誘捕主要作用于演練活動(dòng)啟動(dòng)前2-3天內(nèi)，此時(shí)攻擊方正廣泛收集目標(biāo)資產(chǎn)信息，防守方的目標(biāo)是污染攻擊方掌握的資產(chǎn)情報(bào)，并誘導(dǎo)攻擊者優(yōu)先訪問偽裝探針節(jié)點(diǎn)。8、十二分防范釣魚郵件
隨著攻防演練變的越來越規(guī)范，除了使用0Day漏洞等大殺器外，攻擊方其實(shí)很難對(duì)防守方的防護(hù)體系進(jìn)行有效突破。這時(shí)候攻擊方最常用的打點(diǎn)方式就是網(wǎng)絡(luò)釣魚攻擊。一般來說，一個(gè)制作精良的釣魚郵件基本都有以下特征。首先是繞過防火墻等查殺手段，目前有多種免殺技術(shù)可供攻擊方選擇，例如使用分離加載的方法，通過C 編寫的加載器，并使用MSF作為C2很容易制作一封免殺的釣魚郵件。其次，釣魚郵件都有極強(qiáng)的針對(duì)性，里面包含了大量的社會(huì)工程學(xué)，是對(duì)目標(biāo)用戶發(fā)起針對(duì)性釣魚，中招的概率并不低。2020年某集團(tuán)企業(yè)副總就曾被釣魚，直接導(dǎo)致攻防演練被打穿，該副總也因此被開除。因此，在攻防演練期間，企業(yè)所有員工必須高度重視釣魚郵件，提高警惕性，不亂點(diǎn)擊附件、網(wǎng)址等，一旦發(fā)現(xiàn)可疑郵件立即向安全部門報(bào)告。最后，防守方成員也是攻擊方釣魚的重點(diǎn)目標(biāo)。這幾天各種0Day漏洞的消息滿天飛，不少攻擊隊(duì)趁機(jī)利用這些漏洞進(jìn)行釣魚，大家切勿上當(dāng)受騙。9、安全意識(shí)培訓(xùn)很有必要
第8條提到釣魚郵件，那么就不得不提及安全意識(shí)培訓(xùn)，尤其是在攻防演練期間很有必要對(duì)全員進(jìn)行安全意識(shí)強(qiáng)化培訓(xùn)。以上文提及的釣魚郵件為例，安全部門可列舉常見的釣魚郵件，深入分析其各項(xiàng)特征。這里分享一個(gè)方法，即在攻防演練之前預(yù)先發(fā)起一次釣魚郵件攻擊測試，對(duì)于中招的員工進(jìn)行專門的培訓(xùn)，提高其安全意識(shí)。釣魚郵件只是其中之一，還有諸如弱口令、隨意連WiFi、隨意插U盤都會(huì)帶來相應(yīng)的安全問題，企業(yè)若能打出一套漂亮的安全意識(shí)提升組合拳，定可以大大減少因此帶來的安全風(fēng)險(xiǎn)。因此在培訓(xùn)方面也要下一些功夫，這里建議安全部門可以聯(lián)合行政、人事或市場人員共同參與，制作高質(zhì)量的安全意識(shí)培訓(xùn)內(nèi)容，而不是像上課一樣照本宣科。在進(jìn)行安全意識(shí)培訓(xùn)時(shí)可重點(diǎn)關(guān)注四大要素：游戲化、個(gè)性化、多樣性和高質(zhì)量內(nèi)容，力爭培訓(xùn)內(nèi)容新穎有意思，千萬不能為了培訓(xùn)而培訓(xùn)。10、加大近源攻擊防備力度
這兩年近源攻擊開始越來越流行，并且被認(rèn)為是突破企業(yè)安全防線的有力突擊技術(shù)。不同于通過有線網(wǎng)絡(luò)進(jìn)行安全性檢測的傳統(tǒng)方式，近源滲透測試是指測試人員靠近或位于測試目標(biāo)建筑內(nèi)部，利用各類無線通信技術(shù)、物理接口和智能設(shè)備進(jìn)行滲透測試。近源滲透涉及到的測試對(duì)象非常多，包括WiFi、藍(lán)牙、RFID、ZigBee、蜂窩、Ethernet等各類物聯(lián)網(wǎng)通信技術(shù)，甚至包括智能設(shè)備的嵌入式安全。分享部分近年來近源攻擊中攻擊隊(duì)常用的工具，防守方可以有的放矢。無線網(wǎng)卡：外接無線網(wǎng)卡主要是用來配合kali破解無線密碼的，現(xiàn)在一般是通過抓握手包然后跑包來破解。還有其他的方式可以通過偽造SSID釣魚等等。WIFI 大菠蘿：大菠蘿不是吃的那個(gè)玩意，可以說是一個(gè)釣魚WiFi。最新版本的大菠蘿功能更強(qiáng)大，其實(shí)可以替代上面的外接無線網(wǎng)卡了。大菠蘿可以捕獲握手包并模仿目標(biāo)AP，甚至可以完全模仿首選網(wǎng)絡(luò)，從而實(shí)現(xiàn)中間人攻擊。EMP干擾器：當(dāng)前電子設(shè)備和電路的工作頻率不斷提高，而工作電壓卻逐漸降低，因此對(duì)電磁脈沖（EMP）的敏感性和易損性也不斷增加。同時(shí)，電子系統(tǒng)中的集成電路對(duì)電磁脈沖比較敏感，往往一個(gè)較大的電磁脈沖，就會(huì)使集成塊產(chǎn)生誤碼、甚至電子元器件失效或燒毀等。變色龍：變色龍主要有三種使用方法，第一種是隨機(jī)化UID進(jìn)行模糊測試、第二種是支持IC卡的仿真、第三種是存儲(chǔ)多張?zhí)摂M化卡。11、利用情報(bào)提升威脅感知能力
在攻防演練場景，威脅情報(bào)可以作用于防護(hù)的多個(gè)環(huán)節(jié)。威脅情報(bào)的作用多在于與所有防護(hù)產(chǎn)品融合帶來的能力加成，它與檢測阻斷類產(chǎn)品如防火墻、IPS、WAF等聯(lián)動(dòng)可以提升檢測準(zhǔn)確率，與蜜罐類產(chǎn)品聯(lián)動(dòng)可有效助益對(duì)攻擊者的溯源與反制，威脅情報(bào)的價(jià)值在于樣本量及準(zhǔn)確性，從更高維度的視角打通不同安全產(chǎn)品、不同防護(hù)階段、不同防護(hù)位置信息交換的壁壘，掌握單點(diǎn)攻擊全網(wǎng)可知的防守主動(dòng)權(quán)。如果企業(yè)缺乏相應(yīng)的費(fèi)用投入，那么在攻防演練期間也應(yīng)掌握一些免費(fèi)的威脅情報(bào)資源。斗象科技、微步在線等發(fā)力攻防演練的廠商，每年都會(huì)在攻防演練前發(fā)布一些列的漏洞合集，可供參考。例如斗象科技在7月底發(fā)布《2023攻防演練必修高危漏洞集合》，整合了近兩年在攻防演練被紅隊(duì)利用最頻繁且對(duì)企業(yè)危害較高的漏洞，包含了詳細(xì)的漏洞基礎(chǔ)信息、檢測規(guī)則和修復(fù)方案，對(duì)于防守方來說有一定的參考價(jià)值。攻防的路徑千千萬萬，于攻擊方而言，一個(gè)路徑上攻擊失敗，不代表整體攻擊失敗；一個(gè)路徑上防守成功，也不代表整體防守成功。安全的木桶效應(yīng)始終存在，只要有一條路徑上的短板、脆弱點(diǎn)被攻擊方利用，沒能及時(shí)防守，可能就是全面的潰敗。1、大型機(jī)構(gòu)/企業(yè)的總部的互聯(lián)網(wǎng)邊界越來越難攻陷。原因是通常總部邊界的資產(chǎn)梳理清晰，暴露面控制得較好、高危漏洞修復(fù)及時(shí)，邊界安全設(shè)備(VPN/SDP等）收縮辦公業(yè)務(wù)，同時(shí)分析檢測、蜜罐誘捕等能力建設(shè)齊全能快速發(fā)現(xiàn)攻擊嘗試2、釣魚(郵件、HR應(yīng)聘等）成為重要手段，而且難以避免。安全中最脆弱的就是人，包括我們看到詐騙電話極難控制，就是因?yàn)槿说拇嗳跣?。多?shù)情況下，釣魚成功率，通常超過20%（100個(gè)郵件閱讀者中，有20個(gè)人點(diǎn)擊惡意附件）。在實(shí)際案例中，甚至能高達(dá)70%3、通過泄漏/暴破賬號(hào)登錄業(yè)務(wù)系統(tǒng)，再分析登錄后的業(yè)務(wù)系統(tǒng)漏洞，成功率高，成為慣用手段。受限于各業(yè)務(wù)系統(tǒng)的普遍性安全開發(fā)水平，多數(shù)業(yè)務(wù)的登錄后業(yè)務(wù)接口，發(fā)現(xiàn)漏洞并不困難，文件上傳、SQL注入等。4、分子公司/供應(yīng)商成為關(guān)鍵脆弱點(diǎn)，迂回攻擊成功率大幅提升。分子公司、供應(yīng)商的安全建設(shè)參差不齊，容易被發(fā)現(xiàn)脆弱點(diǎn)，從而迂回突破到總部。不少非總部單元，有n-day高危漏洞補(bǔ)丁沒有打全，被攻擊者輕易突破也是時(shí)有發(fā)生的事情。5、0day/1day成為關(guān)鍵致勝手段。由于演練時(shí)間有限，所以積累、挖掘0day，并在演練期間通過0day/1day進(jìn)行快速突破，成為關(guān)鍵致勝手段。作者：愛吃炸雞，轉(zhuǎn)自于freebuf。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點(diǎn)擊舉報(bào)。
