程序员最近都爱上了这个网站  程序员们快来瞅瞅吧!  it98k网:it98k.com

本站消息

站长简介/公众号

  出租广告位,需要合作请联系站长


+关注
已关注

分类  

暂无分类

标签  

暂无标签

日期归档  

2021-12(21)

2022-01(16)

2022-02(29)

2022-03(13)

2022-04(4)

多少道防线才能挡住顶尖黑客?

发布于2022-09-18 17:19     阅读(424)     评论(0)     点赞(7)     收藏(2)


本文别名:网络安全纵深防御五道防线

先看一下这张图,这是欧洲中世纪非常典型的棱堡。

ef4a9a3b6da7b822e40018db4f48b0db.jpeg棱堡

在十字军东征期间,代表基督教世界的医院骑士团占领了意大利罗德岛,在岛上修建了这样的棱堡,用7000多人抵御奥斯曼帝国,而对方,派出400艘战舰和10万人的军队发起攻击。

城堡分外城和内城,城墙设计成凹陷形状,外面还挖了壕沟,这样,不管是敌军从哪个方向进攻,守方都可以在两个面上对来犯者进行打击。

奥斯曼帝国使用火炮、挖地道、正面攻坚等方式下,两个月后,终于攻破了外墙。骑士团依靠内墙,又抵御了3个月,最后,双方由于精疲力尽,缺乏补给,谁也再耗不起,最终通过和谈方式才结束了战争。骑士团携带财产完美退出。

显然,纵深防御思维作为人类战争中最朴素的思维,在网络安全领域一样适用。但专门研究网络安全纵深防御的文章非常少见,人们通常觉得说说就可以了。

对于一个企业或单位,要构筑多少道防线,以及怎样的防线,才能抵挡中国顶尖级别的黑客团队?

我认为至少要五道。

第一道:边界防御

边界防御是最基础、最常用,也是最管用的。

一个单位,即便人力和资源再有限,也会在边界上投入的。

这其中,防火墙是最基础的。注意一点,对于比较大的单位,建议仅使用防火墙的网络封禁能力,不要使用其他那些花里胡哨的功能,这主要是从性能角度考虑,让防火墙做单一的事,其他功能让其他设备做。

防火墙封禁应尽可能做到自动化、简单化、减少误操作,使得操作员简单填入IP就可以封禁,而不需要登录防火墙操作。具体参见《如何封禁大量恶意IP》

第二类产品是IDS/IPS,这个比较古老,而且多年来一直以海量报警而闻名,所以形象比较差,一般而言不是监控防御的主力选手。

WAF是一道防线的重要组成部分,可以抵御常见的WEB攻击,这类产品已经比较成熟,通过返回HTTP错误的形式拦截攻击。由于其自动化拦截能力,WAF是一道防线必不可少的。

K01这类产品,结合情报信息,可以实时阻断进犯IP,而且不用串接,也是很有力的工具。它通过发送TCP reset包分别到访问端和服务端,有很好的拦截效果。

还有一类工具叫“动态安全”,这类产品,可以自动识别访问者是自然人还是黑客工具。如果发现是后者,则自动阻断(返回HTTP错误),这让惯用工具的黑客非常头疼。

它的基本原理是:设备以中间人形式串接在服务端和访问端之间,当服务端返回响应页面时,设备在返回页面中插入js,要求访问端(浏览器或黑客工具)执行js并计算出token放入cookie返回,设备收到token后进行判断,判断对方是否为黑客工具并采取相应动作。

这类产品还可以对页面中的指定内容(比如页面中的url或是表单内容)做加密。虽然从理论上讲,这种加密难不倒一个意志坚定的密码学爱好者(因为客户端和服务端之间并没有实现一个完美的密钥建立机制),但对付那些熟练的渗透工具使用者已经足够。

部署时,对于HTTPS应用,这类产品应放在SSL网关之后,如果并没有SSL网关,要把服务端的证书和私钥导入产品,总之,产品要能看得见明文。

一道防线主要部署在企业边界和DMZ区。一般来说,会有这样的复杂性:入站的流量经过一层层的安全设备,在逻辑上呈现出糖葫芦状,在部署和维护时,需要清晰梳理关系和路由,比较麻烦。

使用流量编排设备,可以通过SDN技术将流量进行灵活、简单地配置,原先串接的安全设备放入安全资源池中,流量经过谁,不经过谁,先过谁,后过谁,经过一台,还是多台,都可以通过Web界面做比较容易的编排,这就轻松多了。

流量编排使得安全结构和网络拓扑解耦,在部署和维护上会带来很多便利。这篇文章《网络智能流量编排探索》很好,感兴趣可以看看。

第二道:监测响应

第二道防线的名字不太好取,我反复思考以后,将其命名为监测响应。

二道防线中的重点不是拦截,而是能准确发现正在发生的攻击,不管是从外部还是内部发起的。

NTA、NDR,都属于这类工具,为确保安全,一个单位应至少部署两到三家这样的产品,互相弥补对方的不足:即便一家发现不了,另一家也可能发现。当然,最好的情况下,这类产品可以和防火墙联动。

很多产品仅分析访问单向来包,并不做双向的分析。WEBIDS做得比较好,它能够对http请求和响应进行综合分析,服务端是否已经被控,很有价值。

蜜罐/蜜网主要用来引诱攻击者,内网的蜜罐如果被触发,不是误触就是攻击者已经进来。通常应在各个网络区域都开启蜜罐,只要是不用的IP都放入蜜罐。可以购买专门的产品,也可以利用负载均衡的功能来设置。

抗APT工具这里不多说了,它的侧重点和优势在于发现木马。

在检测木马(包括隐蔽信道)方面,还有一种比较新的产品是加密流量检测。现在,几乎所有木马都采用了加密方式,没有私钥是无法解开分析的,这类产品可以通过特征匹配、行为识别和机器学习的方法,在不解密的情况下,分析一个加密流量是不是木马流量。

总之,这道防线的产品很多,而且往往会用到很多先进技术,但能力和易用性参差不齐,能否买到好的产品,既考验判断力,也考验运气,如果条件允许,多部署一些总是对的。

从基础设施上讲,单位最好能建设一个流量汇聚平台,该平台可以采集各个网络区域的流量,然后汇聚和处理,最终输出到需要流量的设备,这样,各类安全设备不用到处接流量,集中部署并享用流量输出就可以了。这篇文章《数据中心流量如何整合应用》就是讲这个的,有兴趣可以一看。

第三道:访问控制

基本上,内网里面的一切访问控制措施都可以认为是第三道防线。

这道防线体现一个单位的安全基本功,也体现一个单位的信息科技实力。

访问控制其实就是给攻击者处处设卡,让攻击者寸步难行。

从网络访问的角度看,网络分区,系统间的隔离,终端间的隔离,以及网络准入、DNS安全等,都是非常有效的防护手段。

从资源访问的角度看,使用虚拟桌面、堡垒机、特权管理这些工具,使得服务器、网络设备、数据库不能被随便访问,结合口令管理、认证管理(包括双因素)、审计管理(录屏取证)等,不仅防外部攻击,也防内部人员攻击。

从应用访问的角度看,通过开发安全、认证授权、加密通信、加密存储、漏洞管理等这些工作,来保障应用系统的安全性。这方面内容很多,这里不细说了。

值得一提的是,看似不起眼的口令管理,应该格外重视,很多所谓著名黑客的著名攻击,并没有什么技术含量,仅仅是口令的窃取和尝试成功而已。一个单位的口令管理应尽可能自动和严格,强制口令复杂度、强制定期修改,对于重要系统强制双因素认证(短信或动态口令)。这些看上去不难,但能做好的很少,只有很懂安全的单位才能做好这件事。

从安全的本质讲,第三道防线是最重要的。一道和二道防线在很大程度上都是在帮助三道,如果一个应用系统自身不安全,前两道防线能挡一挡,但终究是挡不住的。

如果应用系统很安全,即便没有前两道防线,攻击者也无计可施。

看过我写的《区块链安全和传统安全的区别》都知道,安全说到底,是程序的问题。

开发安全能力,是真正的实力。

第四道:端点安全

端点通常是攻击者最想拿到的据点,拿下一个机器就代表着一种胜利。

这道防线建立在服务器或用户终端上,从技术上讲,这已经是最后的防线了。

这道防线最基本的一个功能是防病毒,这里不多说了,主要说说EDR(端点检测和响应)。

EDR的重要功能是异常发现,主要是通过对主机的网络、进程、文件等资源的监控。比如通过网络监测,可以发现正在开展的网络攻击、网络扫描以及可疑的外联;通过进程监测,可以发现一些异常的进程创建和执行;通过文件监测,可以发现一些恶意文件的读写。

EDR可以对这些网络异常、进程异常、文件异常进行阻拦和处置,这在一定程度上可以防范0day攻击。

此外,通过监测日志,EDR可以发现正在开展的暴力破解;通过离线破译,可以发现常见应用的弱口令;其他如资产管理、漏洞管理等能力也很实用。

总体而言,这类产品是非常有力和有效的。

第五道:人的防线

上述这些工具,都需要人的使用和维护。人就是第五道防线。

所以你看在搞安全演习时,满满一屋子都是人(至少30、40人起)

组织层面不多说了,大多数单位在组织层面做得都还不错,因为组织技术是通用的,一般而言,就是领导重视、层层压实、某处牵头、全局动员、资产梳理、表格完善、制定方案、安排任务、汇报进度、协调资源、各司其职、检查确认、问题发现、举一反三,落实整改,层层请示、高层决策。这和做其他工作没有什么不同,属于管理层面的技术。

但有一点,传统管理往往不太能注意到,并因此中招,这就是老生常谈的安全意识问题。

纵观网络安全攻击史,社工一直是攻击者最重要的手段。(没有之一)

一个攻击者想入侵一个单位,100%会采用社工方法,所以一定要在所有员工的意识层面建立起强大的防御能力。

一封带有木马的钓鱼邮件,如果躲过了第一层的封禁,逃过了第二层的检测,一般就会逃过第三层和第四层,那么这封邮件就展现在员工面前了,这时就靠员工的安全意识防线了。

增强员工意识的方法就是反复讲,反复说,反复培训,反复测试,看看员工是不是真的掌握了,要通过最真实的案例强化员工意识。

这个工作看上去没有什么技术含量,但如果水平不足,往往无法做好这个工作。

反社工需要和社工一样的能力:洞悉人性。

回顾

第一道防线守住大门,及时阻拦可能的攻击。

第二道防线严加监测,一旦发现有异常,立刻处置。

第三道防线坚壁清野,让攻击者即便进来也寸步难行,无门可入,或者是处处踩雷。

第四道防线坚守据点,在终端层面第一时间发现异常,然后采取行动。

第五道防线全民皆兵,各司其职,协作有力;人人不中招,不上当。

纵深防御的应用

这些年比较火的零信任架构,其实也是纵深防御思维的应用。

下图是某个零信任方案的架构图:

7e2267cc7c73c164f095791c40be3a62.jpeg某厂商零信任安全架构

图中,单包认证(SPA)就是一道防线,

SDP控制器和SDP可信网关是二道防线,对用户的行为和终端的安全情况进行分析,并据此动态调整用户可访问的资源和权限。

再往右,就进入企业的内部,这里是三道防线,发挥作用的是企业的身份认证和权限管理(IAM),以及企业内部各种访问控制。

客户端上的防病毒软件,终端安全软件,是第四道防线,主机上的EDR也属于这道防线。

最后,第五道防线在人脑之中。

文|卫剑钒

关注并回复5,获取本文PPT版本。

原文链接:https://blog.csdn.net/vigor2323/article/details/126552784



所属网站分类: 技术文章 > 博客

作者:我睡觉爱打呼噜

链接:http://www.javaheidong.com/blog/article/504402/e0e2c31b3da1d9092547/

来源:java黑洞网

任何形式的转载都请注明出处,如有侵权 一经发现 必将追究其法律责任

7 0
收藏该文
已收藏

评论内容:(最多支持255个字符)