这是一份 *** 靶场入门攻略
近年来，国内外安全形势日益严峻， *** 安全问题日益凸显。前有燃油运输管道被堵，后有全球更大肉食品供应商被黑客入侵，这标志着越来越多的国家级关键基础设施提供方，特种行业，以及大型公共服务业被黑客当作攻击目标，加大对信息安全保障的投入迫在眉睫。除了软硬件技术设备的投入之外，专业的安全人才重金难求已是公认的事实，据统计，20年我国信息安全人才缺口高达140万，利用 *** 靶场可以体系，规范，流程化的训练网安人才的特点打造属于企业自己的安全维护队伍是大势所趋。
*** 与信息安全是一个以实践为基础的专业，因此，建设 *** 安全实训靶场，不仅仅让靶场成为一个知识的学习中心，更是一个技能实践中心，一个技术研究中心。 *** 攻防实训靶场平台的建设，不仅要关注培训教学业务的支撑建设，更要关注 *** 与信息安全技能综合训练场的建设。以支撑受训人员课上课下的学习、攻防技能演练、业务能力评估、协同工作训练和技术研究与验证，以保证能贴近不同培训业务的需要，并支持多维度量化每个参与者的各种能力，有计划地提升团队各个方面的技术能力。因此，建设一套实战性强、知识覆盖全面、综合型的集培训、 *** 攻防演练及竞赛、测试于一体的 *** 靶场是非常有必要的
免费领取学习中资料
2021年 *** *** 安全资料包及最新面试题
(渗透工具，环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等）
*** 靶场（Cyber Range）是一个供5方角色协同使用的 *** 系统仿真平台。用于支撑 *** 安全人才培养、 *** 攻防训练、安全产品评测和 *** 新技术验证。
*** 安全人员要就攻防技术进行训练、演练；一项新的 *** 技术要试验，不能在互联网上进行（造成不可逆的破坏），于是需要建立 *** 靶场，把 *** 的要素虚拟到 *** 靶场。
在 *** 靶场中进行 *** 安全活动，不仅可以避免对现实资源的占用和消耗，还可以做到对资源的反复利用。每一次安全试验造成的伤害程度都是可控的、可检测的，试验结束后还能够对收集的试验数据进行分析和研究。 *** 靶场在不影响真实环境的情况下可以提高 *** 安全从业人员的技术，也可以发现安全产品的漏洞从而提升安全产品的性能与安全性。
*** 靶场共有五种角色：黄、白、红、蓝、绿。
黄方是“导调”角色，整个 *** 试验的“导演”，负责：
1、设计试验
2、控制试验：开始、停止、恢复、停止
3、查看试验：查看试验的进度、状态、详细过程
白方是 *** 靶场平台“管理”角色，靶场试验“剧务”，负责试验开始前的准备工作和试验进行时的“日常事务”处理：
1、试前构建目标 *** 、模拟 *** 环境等；
2、试中负责系统运维等；
3、试后回收和释放资源等。
红方是“攻击”角色，靶场试验的“反派演员”，与蓝方相对，攻防演练中向蓝方发起攻击。
蓝方是“防御”角色，靶场试验的“正派演员”，与红方相对，攻防演练中抵御红方攻击。
绿方是“检测”角色，靶场试验的“监视器”，监控红蓝两方在演练中的一举一动，具体负责：
1、监测当前红蓝方的具体行为
2、当红蓝方攻击防守成功，研判还原成功的过程、攻击手法、防御 ***
3、监测红方违规操作
4、试验或试验片断进行定量和定性的评估
5、分析试验的攻防机理（比如针对新型蠕虫分析其运行、传播机理）
试验开始前，“导演”黄方想定攻防试验的具体内容和任务目标，确定参与试验的人员安排，设计试验的具体 *** 环境、应用环境和具体的攻击步骤。
修房首先从房屋结构入手，搭建 *** 靶场时最基础的事情是明确 *** 结构、搭建 *** 拓扑。白方根据黄方在任务想定环节设计的 *** 拓扑图生成路由器、交换机、计算机等设备，并将设备依照拓扑图配置和连接，生成试验所需的 *** 环境结构。
除了 *** 结构，目标 *** 还要为用户访问浏览器、收发邮件等操作提供应用环境，就像房屋在入住前要装修出卧室、厨房，给住户就寝、做饭提供空间一样。有了相应的应用环境，才有空间进行相关的活动。
白方在生成目标 *** 后，还要根据黄方的设计将靶标系统接入目标 *** 。靶标，即攻击的目标。靶标系统可以是实际的设备，也可以是虚拟化技术生成的靶标系统，针对不同的任务类型，靶标的设定会有所差异。
“活”的 *** ，除了 *** 结构完整，还要有活动发生。真实的 *** 环境时时刻刻都不是静止的，每一分每一秒都有人聊天、打游戏、刷短视频……白方在目标 *** 生成后，通过模拟这些活动流量和行为，并将其投放到 *** 靶场中，让靶场“活”起来，更加接近实际的 *** 环境，而不是一片实验室虚拟出的净土。
模拟的流量分为近景和远景两种。近景流量指用户操作行为，包含攻击方的攻击流量、防守方的防守流量以及用户打开浏览器、收发邮件等访问应用系统的行为流量，远景流量即与试验本身不相关的背景流量。
流量仿真和目标 *** 生成共同构成 *** 靶场的完整虚拟环境，让后续的演习更加真实，也部分增加了演习的难度。
准备工作完成后，红方和蓝方根据黄方的试验设计，在白方搭建的环境中展开攻防演练。红方发起攻击，蓝方抵御攻击。
试验进行时，绿方全程监控红蓝两方在演练中的一举一动，根据需求全面采集数据，掌握诸如攻击发起方、攻击类型、攻击步骤、是否存在违规行为等信息，并通过可视化界面实时展示检测结果。
试验结束后，绿方基于前期采集的数据，进一步进行评分和分析工作。
小到某次攻防行为、大到某次攻防演习，绿方在给出量化评分的同时，还要给出具体评价，给出优点亮点和尚存在的缺点不足。
结合试验表现和试验目的进行分析，并出具相关的分析结果。若试验目的是研究某种新型攻击，则分析其机理；若试验目的是检验某个安防产品，则分析其安全缺陷。
绿方的一系列工作，有助于我们了解靶场中发生的所有安全事件，正确分析 *** 靶场的态势，作出更准确的评估。
*** 靶场有三种类型的应用模式：内打内、内打外、外打内。此外还有分布式 *** 靶场模式。
红、蓝双方都在靶场内。内打内应用模式主要有CTF线下安全竞赛、红蓝攻防对抗赛和科学试验等。
CTF（Capture The Flag）即夺旗赛，其目标是从目标 *** 环境中获取特定的字符串或其他内容（Flag）并且提交（Capture The Flag）。
科学试验是指科研人员针对新型 *** 技术进行的测试性试验，根据试验结果对新技术进行反馈迭代。
内打外即红方在靶场内，蓝方在靶场外。
外打内即红方在靶场外，蓝方在靶场内，典型应用是安全产品评测。
为什么会有这个需求呢？通常，我们要知道一个安全设备好不好用、一个安全方案是不是有效，有几种 *** ：之一，请专业的渗透测试，出具渗透测试报告，但这种只能测一次的活动，叫静态测试。可是大家清楚，即使今天测过了，明天产品、方案也可能会出现新的问题和漏洞。那么，“靶场众测”的场景就出来了。把实物或者虚拟化的产品/方案放到靶场，作为靶标让白帽子尽情“攻击”。如果把它攻垮了，我们就知道哪里有问题了，这种开放测试，由于众多白帽子的参与、以及不影响生产环境不会造成后果、能放开手脚“攻击”，效果比聘请几个专家去现场测试要好的多。如果产品一直放在靶场，就可以在长期的众测中不断发现问题，促进产品持续迭代提升。
分布式靶场即通过互联多个 *** 靶场，实现 *** 靶场间的功能复用、资源共享。由于单个 *** 靶场的处理能力和资源都是有限的，分布式靶场可以将多个 *** 靶场的资源综合利用起来，并且这种利用对于使用人员是透明的。
比如，现有一个银行 *** 靶场A和一个电力 *** 靶场B，当前有一个试验任务既需要银行 *** 环境，又需要电力 *** 环境。那么我们可以将现有的A、B两个 *** 靶场互联起来展开试验。
分布式靶场能够连接各行各业的 *** 靶场，更大程度上实现全方位综合互联 *** 逼真模拟。
*** 靶场存在三个主要科学问题，这三个问题反映了 *** 靶场在关键技术上面临的挑战。
1）建得快
*** 靶场用户众多，还会出现多个用户同时使用的情况，但是大部分用户的使用时间不长，这就需要 *** 靶场目标 *** 包括 *** 环境要能够快速生成、快速擦除回收，特别是节点数量较大的应用，是一项技术上重大的挑战。没有过硬的 *** 构建能力，基础设施以及虚拟化编排技术是很难实现的。
2）仿得真
由于 *** 靶场是用有限的资源仿造真实 *** ，大部分要素需要虚拟化，而非实物。因此如何逼真的仿真目标 *** 元素是一项持续的挑战问题。 *** 靶场中，一台实物路由器的功能是否都在其虚拟设备上具备？如果功能缺失，是否会对靶场应用造成影响？靶标、 *** 环境、虚拟设备、背景流量的逼真仿真同理， *** 环境仿真还需要服务于靶场具体应用场景，这些都依赖于长期的积累。
*** 靶场绿方主要有以下挑战：
1、如何针对 *** 靶场运行中产生的大量数据进行针对性的采集？
2、只要是采集就要有接触（比如医学检验，可能要抽血，可能要有仪器深入身体），有接触就有影响（影响目标 *** 的计算资源、 *** 资源……），如何使影响尽量小，如何平衡这种影响和采集全面、准确性？
3、如何基于采集到的多样、海量的数据，分析、提炼、评估出靶场绿方需要得出的信息？
这是对探针采集能力、大数据关联能力、事件分析还原能力、安全知识图谱能力的综合考验。
1、 *** 靶场多个试验同时进行，必须保证试验间互相独立，互不干扰。就像多个房间在射击打靶，不能从这个房间打到另一个房间去了。
2、目标 *** 和分析 *** 必须严格安全隔离，即红方和绿方、白方、黄方要安全隔离，不能红方把绿方打瘫了，也就是参加比赛的人把裁判系统攻陷了，同时试验间的角色、系统间也需要安全隔离。
3、同时，安全隔离的同时不能影响 *** 靶场运行的性能。
HW蓝队必看课程（文末有模板文档分享）
国家 *** 安全主管部门为落实全国 *** 安全和信息化工作会议精神而发起了长期专项行动，旨在检验各单位信息基础设施和重点网站 *** 安全的综合防御能力和水平，实战验证相关单位“监测发现、安全防护和应急处置”的能力，发现并整改 *** 系统存在的深层次安全问题，进一步以防攻击、防破坏、防泄密、防重大故障为重点，构建多层次多渠道合作、各单位各行业和全民共同参与、众人受益的“钢铁城墙”。
hw行动分攻击和防守两个队伍，一般叫红队和蓝队，攻击方的目标是拿下DNS服务器、OA系统服务器、工控系统服务器等的控制权。攻击手段包括weblogic的WLS的0day漏洞利用、4A服务器的0day漏洞攻击、致远OA服务器攻击、Struts 2漏洞攻击等。
红蓝队对抗与渗透测试都是模拟黑客攻击，但有以下的不同点：
时间：在渗透测试中会制定明确的时间点完成（通常是两星期），而红蓝队对抗并无明确时间，两星期或半年都可以。
技术：红蓝队对抗不单止需要渗透技术，还需要懂得机器学习、自动化等技术。
过程：渗透测试过程是有条不絮的进行。而红队攻击过程中不会全面收集企业资产，也不会进行大规模漏洞扫描。红队攻击的策略主要是依据蓝队防护策略、工具等，拥有不定性。
输出：红蓝队对抗后会出现清晰的脆弱点、攻击路径及解决方案。
目的：渗透测试是为了了解自身 *** 资产是否存在风险点；而红蓝队对抗更对是了解自身 *** 资产能否在遭受攻击后能迅速进行应急响应。
关注点：红蓝队对抗更专注的是应用层上的漏洞，而不是信息技术上的漏洞。
攻击队（蓝队）分类
军火商级：掌握0day漏洞、具备编写工具的能力。甚至有vpn的漏洞。攻击特点：直接攻击，如导弹、大炮一般，攻击猛烈，效果极强。
间谍级：长期APT钓鲸攻击，打入红队内部，通过木马控制重要用户终端，从而控制目标服务器。与系统管理员同工同息，极难被发现。
摊贩级：使用攻击工具，利用已有漏洞进行攻击，打击效果一般。
600人组成的蓝方，红方需12万人参与防御。
得分标准：
蓝队：获取权限、穿透 *** 隔离、发现被控线索。
红队：发现木马、钓鱼邮件、溯源、应急处置。
渗透测试和红蓝队对抗都是企业或机构最重要的防护手段，其结果都是为了应对当前不断增加的安全漏洞及复杂多样的 *** 攻击。只有企业不断经过渗透测试和红蓝对抗，形成漏洞闭环，才能构建强有力的安全防御体系。
红蓝对抗之蓝队防守：ATT&CK框架的应用
文章来 源： HACK之道
企业大规模数字化转型的浪潮下，各类 *** 入侵事件频发、APT和黑客团伙活动猖獗，合规性驱动的传统安全防护建设已无法满足需求。近年来随着各级红蓝对抗行动的开展，企业安全建设正逐步向实战化转型，而MITRE（一个向美国 *** 提供系统工程、研究开发和信息技术支持的非营利性组织）提出的ATTCK框架正是在这一过程中能够起到指导性作用的重要参考。
ATTCK框架在2019年的Gartner Security Risk Management Summit会上，被F-Secure评为十大关注热点。ATTCK是一套描述攻击者战术、技术和执行过程的共享知识库，能够关联已知的黑客组织、攻击工具、检测数据源和检测思路、缓解措施等内容。ATTCK能够全面覆盖洛克希德-马丁公司提出的Kill Chain内容，并在此基础上提供更细粒度的攻击技术矩阵和技术详情。ATTCK分为三个部分，分别是PRE-ATTCK，ATTCK for Enterprise和ATTCK for Mobile。其中，PRE-ATTCK包含的战术有优先级定义、选择目标、信息收集、脆弱性识别、攻击者开放性平台、建立和维护基础设施、人员的开发。ATTCK for Enterprise包括的战术有初始化访问、执行、持久化、权限提升、防御逃避、凭据访问、发现、横向移动、收集、命令与控制、数据外传、影响。这些基于APT组织及黑客团伙的披露信息进行分析梳理的详细信息能够有效指导实战化的红蓝对抗，目前已在多个领域得到较好的应用。
在红蓝对抗中，防守方都可以按照事前、事中、事后三个阶段进行应对，在ATTCK框架的指导下实现安全体系建立、运营和提升的闭环改进。
一、准备阶段
攻击面评估
攻击面指企业在遭受内、外部入侵时可能的起始突破点或中间跳板，包括但不限于：对外提供业务的Web系统、邮件系统、VPN系统，对内提供服务的OA系统、运维系统、开发环境，员工使用的各类账号、办公终端等。
企业的攻击面是广泛存在的，在企业内进行攻击面评估属于信息收集和脆弱性识别的过程，能够帮助企业在早期应对攻击者入侵活动。该过程映射到攻击链中属于“侦察”阶段。
由于攻防的不对称性，在红蓝对抗中防守方往往处于弱势，攻击方只需要单点突破即可，而防守方需要建立覆盖所有攻击面的纵深防御体系，很难做到万无一失。但在 信息收集阶段，是为数不多的防守方占优的阶段，主要原因包括：
1. 攻击方只能通过互联网 *** 息（Google、社交网站、Github）或传统社工方式获取部分企业信息，而防守方能够获得完整的企业内部信息，包括 *** 架构、业务系统、资产信息、员工信息等等，掌握以上信息不但能够梳理潜在入侵点、发现防御中的薄弱环节，还能够结合诱骗或欺诈技术（Deception，如蜜罐），在攻击者能够获取到的信息中埋点，实现类似软件“动态污染”的检测和追踪效果。
2. 攻击面评估能够在特定阶段（如重保时期）通过采取更严格的管控措施降低入侵风险， 通过有限的代价获取更大攻击者入侵难度提升 ，具有很高的投资回报率。例如，获取VPN通道，相当于突破了企业传统的防护边界，直接获取内网漫游的权限。在特定情况下，通过增强VPN防护，能够大大缩减攻击者入侵成功的可能性。突破VPN主要有2种方式，利用VPN服务器本身的漏洞或通过合法VPN账号入侵。对于之一种方式，关注VPN厂商漏洞披露信息、做好补丁升级管理，能够有效减少大部分威胁；对于利用0day漏洞攻击VPN获取远程访问权限的场景，通过VPN自身日志审计的方式，关联VPN账号新建、变更及VPN服务器自身发起的访问内网的流量，也能够及时发现未知的漏洞攻击行为。对于第二种攻击VPN合法账号的入侵方式，增加VPN账号的口令复杂度要求、临时要求修改VPN账号口令并增加双因子验证（如绑定手机号短信验证），都可以在牺牲部分用户体验的情况下极大削减攻击者攻击成功的可能性。
ATTCK框架内所有攻击技术都有对应的攻击目的和执行攻击所需的环境、依赖，对其分解可以提取每项攻击技术适用的攻击对象，参照企业内的资产和服务，评估攻击面暴露情况和风险等级，能够帮助制定有效的攻击面缩减、消除或监控手段。例如，防守方需要在红蓝对抗前检查企业内部的共享目录、文件服务器、BYOD设备是否符合安全基线要求，是否存在敏感信息，并针对这些内容设定合规性要求和强制措施，以缩减该攻击面暴露情况。
综上，ATTCK框架可以帮助防守方了解攻击目标、提炼攻击面并制定攻击面缩减手段，同时也能够通过攻击面评估为后续增强威胁感知能力、总结防御差距、制定改进方案提供参考标准。
威胁感知体系建立
传统的安全防护和管控措施存在的主要问题在于没有全景威胁感知的体系，无法及时有效地监测威胁事件、安全风险和入侵过程。威胁感知体系的建立，可以有效地把孤立的安全防御和安全审计手段串联起来，形成完整的企业安全态势，为防守方实现实时威胁监控、安全分析、响应处置提供基础。建立威胁感知体系主要包括以下准备工作：
1.数据源梳理： 数据是实现安全可见性的基础元素，缺少多维度和高质量的数据会严重影响监控覆盖面；同时，很多企业会为了满足 *** 安全法、等保标准等法律和标准要求存储大量设备、系统和业务日志数据。因此，在数据源的规划、管理上，由威胁驱动的数据源需求和由合规驱动的日志数据留存，存在匹配度低、使用率低、有效性低的诸多问题，需要防守方加以解决。
* We can’t detect what we can’t see.
在进行数据源规划时，需根据企业实际存在的攻击面、威胁场景和风险情况进行设计。例如：针对员工邮箱账号可能会遭受攻击者暴力破解、泄露社工库撞库的风险，需要采集哪些数据？首先需要考虑企业实际的邮件系统情况，比如使用自建的Exchange邮件服务，需要采集的数据包括：Exchange邮件追踪日志、IIS中间件日志、 *** TP/POP3/IMAP等邮件协议日志。其次还需要具体考虑攻击者是通过OWA访问页面爆破？还是通过邮件协议认证爆破？还是通过Webmail或客户端接口撞库？不同的企业开放的邮箱访问方式不同，暴露的攻击面和遭受的攻击 *** 也有所区别，需要根据实情梳理所需的数据源。
在数据源梳理上，由于涉及到的威胁类型、攻击 *** 众多，考虑周全很困难，可以通过参考ATTCK框架选取企业相关的攻击技术，统计所需的数据源类型，并梳理数据源采集、接入优先级。关于数据源优先级筛选，2019年MITRE ATTCKcon 2.0会议上Red Canary发布的议题：Prioritizing Data Sources for Minimum Viable Detection 根据总体数据源使用的频率做了Top 10排序，如下图所示：
该统计结果并未考虑企业实际攻击面范围、数据源获取的难易程度等，不应生搬硬套照抄。但在大部分情况下可以考虑先构建包括 *** 镜像流量、终端行为审计日志、关键应用服务日志在内的基础数据源的采集规划，再通过实际的检测效果增强补充。
2. 检测规则开发：大数据智能安全平台（或参考Gartner所提的Modern SIEM架构）已逐步取代传统的SIEM产品，成为企业威胁感知体系的核心大脑。传统的攻击检测 *** 大多是基于特征签名（Signature），采用IOC碰撞的方式执行，在实际攻防对抗过程中存在告警噪音过多、漏报严重、外部情报数据和特征库更新不及时等问题，且在防守方看来无法做到检测效果的衡量和能力评估。因此，新的检测理念需要从行为和动机出发，针对攻击者可能执行的操作完善审计和监控机制，再采用大数据关联分析的方式去识别攻击活动。
ATTCK框架在这里就起到了非常重要的参考作用，框架中的每项攻击技术，知识库都描述了相应的检测手段和过程，以T1110暴力破解为例，其Detection描述如下图所示。
虽然没有抽象出具体检测 *** 、检测规则，但提炼出了需要监控的设备以及能够提炼攻击痕迹的日志。参考这部分描述，防守方能高效的通过相关资料收集、内部攻击技术模拟、特征提炼等方式完成检测 *** 和检测规则的开发、部署、测试。此外，高级持续性威胁（APT）使用了较多的白利用技术，无法有效区分攻击者和普通工作人员。但通过开发检测规则对数据源进行过滤提炼，打上技术标签，后续再综合所有异常行为能够发现此类攻击活动。这样再与传统的检测 *** 结合，就提供了更加有效的补充手段。
综上，威胁感知体系的建立，需要通过数据源梳理和检测规则开发来完成基础准备工作，ATTCK框架可以帮助防守方快速了解所需数据源、并协助开发对应的检测规则，使防守方脱离安全可见性盲区，实现安全防护能力的可量化、可改进。
内部模拟对抗
为摸清目前 *** 安全防御能力并找出薄弱点，部分企业会进行内部红蓝对抗模拟演练，ATTCK知识库在模拟红队攻击、组织内部对抗预演上具有非常高的参考价值。
1.红队技术指导：ATTCK框架包含了266种攻击技术描述，模拟红队可以借鉴其中部分技术进行特定战术目的的专项测试或综合场景测试。在开展内网信息收集专项测试时，可以通过参考并复现“发现”、“收集”战术目的下的攻击技术，对内网暴露的攻击面逐一测试；在开展模拟场景演练时，可以挑选不同的战术目的制定模拟攻击流程，从矩阵中选择相关技术实施。以典型的红队钓鱼攻击场景为例，攻击技术链包括：钓鱼 - hta执行 - 服务驻留 - 凭证获取 - 远程系统发现 - 管理员共享，如下图红色链路所示。
2. 蓝队效果评估：内部模拟对抗是企业防守方检查实际威胁感知能力的更佳手段，对蓝队来说具有查漏补缺的效果。攻击行为是否被记录、检测规则是否有效、有无绕过或误报、攻击面梳理是否遗漏、威胁场景是否考虑充分等很多问题只有在实际测试中才会暴露。同时，防守方也可以通过模拟演练提炼极端情况下的缓解预案，包括：临时增加防御拦截措施、增加业务访问管控要求、加强人员安全意识教育和基线管理等。
综上，内部模拟是红蓝对抗实战阶段验证所有准备工作有效性的手段，作为大考前的模拟考，对防守方具有很大的查漏补缺、优化完善的作用，而ATTCK框架在这个阶段，对模拟红队攻击、协助蓝队查找问题都起到了参考作用。
二、开展阶段
准备过程越充分，在实际红蓝对抗行动开展阶段对防守方来说就越轻松。经过验证的威胁感知体系在这里将起到主导作用。
资产风险监控
除了封堵、上报潜在的红队攻击IP外，对于已突破边界防护进入内网漫游阶段的攻击者，基于ATTCK框架能够有效识别资产（终端/服务器）风险，发现疑似被攻陷的内网主机。
通过为每个资产创建独立的ATTCK主机威胁分布矩阵图，汇聚该主机上近期被检测到的所有攻击技术活动，然后根据该矩阵图上所标注的攻击技术的分布特征训练异常模型，监控主机是否失陷。异常模型从以下三个维度识别攻击：
1.攻击技术分布异常：多个战术下发生攻击、某个战术下发生多个不同攻击等。
2. 攻击技术数量异常：主机上检测到大量攻击技术，与基线对比偏差很大。
3. 特定高置信度失陷指标：主机上触发了高置信度规则检测到的高风险告警（传统的Trigger机制）。
以下图为例，主机短时间内触发一系列“发现”战术下的攻击技术，这在日常运维中是较为少见的，与该主机或同类型主机基线对比偏差非常大。在受害主机被控制后可能会执行大量此类操作，故该机器风险很高，判定为失陷/高危资产。
可疑进程判定与溯源
根据采集的终端行为日志（包括：进程活动、注册表活动、文件活动和 *** 活动），可以通过唯一进程ID（GUID）进行父子进程关联操作。当发现可疑进程活动时，能够回溯该进程的进程树，向上直到系统初始调用进程，向下包含所有子进程，并且为进程树中所有可疑进程添加ATTCK攻击技术标签，如 *** 请求、域名请求、文件释放等丰富化信息，帮助防守方的安全分析人员判断该进程是否可疑并及时采取处置措施。
以下图为例，发现可疑进程wscript.exe后溯源其进程树，其中标记了感叹号的子进程为命中了ATTCK攻击技术的进程，无感叹号的子进程也属于该可疑进程树下，有可能是攻击者利用的正常系统进程或规避了检测规则导致未检出的进程。通过该进程树展示的信息，可以直观发现wscript进程及其派生的powershell进程存在大量可疑行为，这些进程信息也为后续联动终端防护软件处置或人工上机排查处置提供了充足的信息。
应急响应对接
在发现失陷资产、溯源到可疑进程后可导出其进程树上的进程实体路径、进程命令行、进程创建文件、进程 *** 连接等信息提交给应急响应组进行清除工作。应急响应组通过以上信息可以快速在主机上处置并开展入侵路径分析，通过回溯攻击者入侵植入木马的手段，进一步排查是否存在数据缺失、规则缺失导致的攻击漏报；并通过关联所有具有相似行为的终端，确认是否存在其他未知失陷资产。
以上基于ATTCK框架建立的资产风险监控和可疑进程判定 *** ，能够有效地在红蓝对抗过程中及时发现攻击者攻击成功的痕迹，并为溯源和应急响应处置提供数据支撑。而这些都脱离不了以威胁感知体系为核心的蓝队建设思路，更多与ATTCK框架适配的应用 *** 也会在后续不断丰富、增强。
三、复盘阶段
防御效果评估
在红蓝对抗结束复盘阶段，防守方对防御效果的评估是非常重要的环节。具体包括以下内容：
安全设备漏报分析：结合攻击方提供的报告，把各个攻击类型归属到相应的安全检测设备，查看相关设备的告警与报告中的攻击过程是否匹配，分析当前安全设备检测能力，较低检出率的设备需要后续协调厂商优化、更新规则等，以加强完善。
规则误报调优：在红蓝对抗开展阶段，为了确保对攻击方攻击过程的全面覆盖检测，通常会采用限制条件较宽松的规则检测模式，以防漏报对防守方造成的失分影响。例如，对暴力破解场景，触发告警的连续登录失败请求阈值可能设定的较低；对Webshell植入场景，可能对所有尝试上传动态脚本文件的行为都做监控或拦截，以防攻击者通过一些编码、混淆的方式绕过特征检测等。这些限制条件宽松的检测规则，在红蓝对抗过程中能够尽量减少攻击漏报，具有比较好的效果；但同时，由于限制不严导致的告警噪音也会随之增加。在红蓝对抗结束复盘过程中，需要对产生误报的数据和误报原因进行统计分析，完善检测规则逻辑、边界条件限制，配置适当的白名单过滤，为后续能够日常运营提供更具备可操作性和更实用的威胁检测规则。
攻击面再评估和数据可见性分析：在红蓝对抗准备和红蓝对抗开展阶段，防守方和攻击方分别进行了攻击面评估、攻击目标信息收集的工作，因此在复盘阶段可以通过对比双方掌握的攻击面信息和攻击目标的选择，来挖掘是否存在先前遗漏的边缘资产、未知攻击面，通过攻方视角查漏补缺。同时对遗漏的攻击面可以做相关的数据源需求分析，补充缺失的数据可见性和威胁感知能力。
防御差距评估与改进：针对红蓝对抗中发现的薄弱环节，防守方可以提炼改进目标、指导后续的安全建设工作。由于不同企业存在的攻击面差异性较大，重点关注的核心资产、靶标也有所差别，在准备过程中可能根据优先级选择了比较关键的几个领域优先开展，而通过红蓝对抗发现的其他薄弱环节，为后续开展哪些方向的工作提供了参考。例如，重点加强生产环境安全防护的，可能忽略了员工安全意识培训，导致被攻击者钓鱼的方式突破入侵；重点关注网站安全的，可能忽略了服务器存在其他暴露在外的端口或服务，被攻击者通过探测发现，利用已知漏洞或0day漏洞控制服务器绕过。结合ATTCK框架补充对应的数据源和攻击技术检测手段，可以快速补足这方面的遗漏。
防御效果评估是红蓝对抗复盘阶段重要的总结过程，也为后续持续优化改进提供参考。在这里ATTCK框架起到的作用主要是统一攻防双方语言，将每一个攻击事件拆分成双方都可理解的技术和过程，为红蓝对抗走向红蓝合作提供可能。
0条大神的评论