掃二維碼與項(xiàng)目經(jīng)理溝通
我們在微信上24小時(shí)期待你的聲音
解答本文疑問/技術(shù)咨詢/運(yùn)營咨詢/技術(shù)建議/互聯(lián)網(wǎng)交流
洛克希德-馬丁公司的網(wǎng)絡(luò)殺傷鏈(Kill Chain )模型描述的攻擊過程一般包括7個(gè)階段：偵察跟蹤、武器構(gòu)建、載荷投遞、漏洞利用、安裝植入、命令與控制、目標(biāo)達(dá)成。偵察階段主要實(shí)現(xiàn)對攻擊目標(biāo)(如服務(wù)器，公司網(wǎng)站，內(nèi)網(wǎng)等)的各類信息收集，其中就包括通過各種技術(shù)手段進(jìn)行主機(jī)和端口掃描，獲取存活I(lǐng)P地址、系統(tǒng)類型、開放端口、服務(wù)版本等基本信息。
[[328528]]
安全防守方一般基于傳統(tǒng)的縱深防御理念，在物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)、流程、人員管理等不同維度使用技術(shù)和管理手段，對各種攻擊行為進(jìn)行威懾、預(yù)防、檢測、響應(yīng)和恢復(fù)。針對攻擊過程第一階段的掃描行為，安全防守方可以采取的措施包括梳理并減少對外暴露的攻擊面，進(jìn)行系統(tǒng)和應(yīng)用的安全基線加固，補(bǔ)丁更新、banner隱藏、日志和網(wǎng)絡(luò)流量審計(jì)等手段，一方面減少和降低攻擊者可以發(fā)現(xiàn)的風(fēng)險(xiǎn)資產(chǎn)數(shù)據(jù)，同時(shí)對早期的攻擊行為及時(shí)進(jìn)行預(yù)警。
根據(jù)實(shí)戰(zhàn)經(jīng)驗(yàn)，攻擊者在偵察階段收獲的目標(biāo)資產(chǎn)數(shù)據(jù)量多少和風(fēng)險(xiǎn)高低，某種程度上決定了后續(xù)攻擊行動(dòng)的難易程度和最終的攻擊成果。一些HW行動(dòng)中，經(jīng)常會(huì)看到紅方人員早期的拔線操作，其最終目標(biāo)就是盡可能減少藍(lán)方可以獲取到的攻擊面風(fēng)險(xiǎn)資產(chǎn)數(shù)據(jù)。因此從某種方式來看，最初的攻擊面掃描和安全防護(hù)，對攻防雙方來說有點(diǎn)像爭奪灘頭陣地。對于攻擊者來說，需要盡可能拿到更多的攻擊面信息，以便下一步開展武器化攻擊活動(dòng);對于防守方來說，需要盡可能通過各種方法減少暴露的攻擊面信息，以在攻擊初期就可以截?cái)喙粽吆罄m(xù)的各類攻擊行為。
我們可以試著想象一下這種場景：攻擊者在攻擊第一階段進(jìn)行資產(chǎn)漏洞掃描時(shí)，如果防守方突然通過某種方式給信息資產(chǎn)穿上了一層隱身衣，會(huì)是怎樣一種情形?攻擊者會(huì)發(fā)現(xiàn)無論是fping、nmap、zmap又或者是openvas、nessus、wvs等各種掃描工具均無功而返，根本不能和想攻擊的服務(wù)器或應(yīng)用建立任何的網(wǎng)絡(luò)層連接，之前預(yù)先準(zhǔn)備好的各種攻擊工具、POC和0Day漏洞等招數(shù)全部落空，一臉郁悶吧。盡管現(xiàn)實(shí)中的實(shí)際情況不會(huì)這么絕對，但如果防守方可以把關(guān)鍵信息資產(chǎn)(如對外開放的公網(wǎng)服務(wù)、內(nèi)部辦公應(yīng)用系統(tǒng)等)進(jìn)行統(tǒng)一隱身管理，必然可以大大降低公司整體信息資產(chǎn)風(fēng)險(xiǎn)，顯著提升公司安全防范能力。
這種隱身方法，除物理斷網(wǎng)外，現(xiàn)有的一些安全技術(shù)也可以達(dá)到類似的攻擊面隱藏效果，如Port-knocking、SPA及SDP解決方案。
2.1. 端口敲門技術(shù)(Port-Knocking)
端口敲門是一種通過服務(wù)器上關(guān)閉的端口來傳輸約定信息的方法，從而在用戶訪問受保護(hù)服務(wù)之前對用戶進(jìn)行身份驗(yàn)證，主要用于對公網(wǎng)開放的服務(wù)如sshd進(jìn)行安全防護(hù)。
Port-Knocking實(shí)現(xiàn)原理介紹
Port-Knocking帶來的安全性提升
服務(wù)器主機(jī)防火墻默認(rèn)DROP所有請求的數(shù)據(jù)包，因此攻擊者不能通過掃描器確認(rèn)服務(wù)器是否存活，以及服務(wù)器上開放的任何端口。
訪問服務(wù)器上對外開放端口所對應(yīng)的服務(wù)需要預(yù)先知曉敲門順序，所以即使對外開放的服務(wù)如SSH等存在哪怕是0day漏洞，攻擊者也無法利用。不存在暴力破解、字典攻擊、協(xié)議漏洞等安全問題。
端口敲門順序是受信用戶才應(yīng)知曉的秘密口令，因此某種程度來說，敲門順序和密碼一樣，也是一種用戶身份驗(yàn)證機(jī)制。只有輸入了正確的敲門順序后，才會(huì)允許訪問對應(yīng)的服務(wù)，即在所訪問服務(wù)之前增加了一層用戶身份認(rèn)證防護(hù)。
2.2. 單包授權(quán)技術(shù)(Single Packet Authorization)
SPA可以說是下一代的端口敲門技術(shù)，和Port-Knocking實(shí)現(xiàn)機(jī)制不同的是，SPA把敲門所需要的信息即授權(quán)包PA(Authorization Packet)，編碼在單個(gè)數(shù)據(jù)包內(nèi)，然后發(fā)送給服務(wù)器的任意端口。
SPA傳遞的授權(quán)包信息類似：
AID : 發(fā)送數(shù)據(jù)包的客戶端唯一ID，明文傳輸以便服務(wù)端根據(jù)該ID查到對應(yīng)的解密密鑰
PASSWORD : 客戶端口令(和服務(wù)端共享)
NEW_SEED : 下次事務(wù)的新種子
RANDOM : 客戶端發(fā)包前生成的隨機(jī)數(shù)，避免重放攻擊
MD5_HASH : 上述值的hash計(jì)算結(jié)果
和Port-Knocking技術(shù)相比，SPA具有如下優(yōu)點(diǎn)：
2.3. 軟件定義邊界技術(shù)(Software Defined Perimeter)
隨著云時(shí)代的來臨，2013年云安全聯(lián)盟(CSA)提出了軟件定義邊界(Software Defined Perimeter，SDP)的概念，并于2014年發(fā)布了《SDP標(biāo)準(zhǔn)規(guī)范1.0》,為各安全廠商構(gòu)建自己的SDP產(chǎn)品提供指南。
SDP標(biāo)準(zhǔn)的核心仍然是通過SPA協(xié)議對后端服務(wù)實(shí)現(xiàn)隱身后的防護(hù)，但擴(kuò)展了SPA的應(yīng)用場景。通過引入SDP控制器，可以支持多種身份認(rèn)證和授權(quán)服務(wù)，通過連接接受主機(jī)(AH)的網(wǎng)關(guān)模型，可以對網(wǎng)關(guān)后的多臺(tái)服務(wù)器或應(yīng)用服務(wù)進(jìn)行隱身和防護(hù)，從而在Iaas、Paas、SaaS、遠(yuǎn)程辦公、私有云、混合云等場景下實(shí)現(xiàn)信息資產(chǎn)的隱身保護(hù)。
SDP技術(shù)方案的真正落地涉及到管理人員的安全認(rèn)知改變，SDP產(chǎn)品性能和功能完善，IT基礎(chǔ)架構(gòu)及應(yīng)用使用場景的身份認(rèn)證和授權(quán)機(jī)制的改造，目前主要還是以取代遠(yuǎn)程VPN訪問、內(nèi)辦公平臺(tái)統(tǒng)一安全管理等內(nèi)部應(yīng)用場景。有關(guān)SDP的介紹和其他應(yīng)用場景可參考之前發(fā)布的《零信任和軟件定義邊界》一文。
目前在其他行業(yè)如游戲行業(yè)，零信任或“連接之前首先進(jìn)行身份驗(yàn)證”的安全理念也有一些實(shí)踐成果，通過游戲客戶端內(nèi)嵌專用sdk和游戲服務(wù)端建立連接并進(jìn)行合法性驗(yàn)證，可有效預(yù)防和降低DDOS和CC攻擊，如阿里云游戲盾，締盟云太極盾等。
可以肯定的是，基于ZTNA的顛覆性安全理念，幾年后云計(jì)算、IOT、工業(yè)控制、衛(wèi)星通信等多個(gè)行業(yè)必將有更多的SDP實(shí)現(xiàn)方案和案例落地。
2.4. 實(shí)現(xiàn)工具
2.5. 參考資料
我們在微信上24小時(shí)期待你的聲音
解答本文疑問/技術(shù)咨詢/運(yùn)營咨詢/技術(shù)建議/互聯(lián)網(wǎng)交流
微信二維碼
微信二維碼
移動(dòng)版官網(wǎng)