安全矩阵

 找回密码
 立即注册
搜索
查看: 1062|回复: 0

多少道防线才能挡住顶尖黑客?

[复制链接]

249

主题

299

帖子

1391

积分

金牌会员

Rank: 6Rank: 6

积分
1391
发表于 2022-8-28 17:00:48 | 显示全部楼层 |阅读模式
原文链接:多少道防线才能挡住顶尖黑客?



先看一下这张图,这是欧洲中世纪非常典型的棱堡。
棱堡
在十字军东征期间,代表基督教世界的医院骑士团占领了意大利罗德岛,在岛上修建了这样的棱堡,用7000多人抵御奥斯曼帝国,而对方,派出400艘战舰和10万人的军队发起攻击。
城堡分外城和内城,城墙设计成凹陷形状,外面还挖了壕沟,这样,不管是敌军从哪个方向进攻,守方都可以在两个面上对来犯者进行打击。
奥斯曼帝国使用火炮、挖地道、正面攻坚等方式下,两个月后,终于攻破了外墙。骑士团依靠内墙,又抵御了3个月,最后,双方由于精疲力尽,缺乏补给,谁也再耗不起,最终通过和谈方式才结束了战争。骑士团携带财产完美退出。
显然,纵深防御思维作为人类战争中最朴素的思维,在网络安全领域一样适用。但专门研究网络安全纵深防御的文章非常少见,人们通常觉得说说就可以了。
对于一个企业或单位,要构筑多少道防线,以及怎样的防线,才能抵挡中国顶尖级别的黑客团队?
我认为至少要五道。
第一道:边界防御
图片
边界防御是最基础、最常用,也是最管用的。
一个单位,即便人力和资源再有限,也会在边界上投入的。
这其中,防火墙是最基础的。注意一点,对于比较大的单位,建议仅使用防火墙的网络封禁能力,不要使用其他那些花里胡哨的功能,这主要是从性能角度考虑,让防火墙做单一的事,其他功能让其他设备做。
防火墙封禁应尽可能做到自动化、简单化、减少误操作,使得操作员简单填入IP就可以封禁,而不需要登录防火墙操作。具体参见《如何封禁大量恶意IP》。
第二类产品是IDS/IPS,这个比较古老,而且多年来一直以海量报警而闻名,所以形象比较差,一般而言不是监控防御的主力选手。
WAF是一道防线的重要组成部分,可以抵御常见的WEB攻击,这类产品已经比较成熟,通过返回HTTP错误的形式拦截攻击。由于其自动化拦截能力,WAF是一道防线必不可少的。
K01这类产品,结合情报信息,可以实时阻断进犯IP,而且不用串接,也是很有力的工具。它通过发送TCP reset包分别到访问端和服务端,有很好的拦截效果。
还有一类工具叫动态安全,这类产品,可以自动识别访问者是自然人还是黑客工具。如果发现是后者,则自动阻断(返回HTTP错误),这让惯用工具的黑客非常头疼。
    它的基本原理是:设备以中间人形式串接在服务端和访问端之间,当服务端返回响应页面时,设备在返回页面中插入js,要求访问端(浏览器或黑客工具)执行js并计算出token放入cookie返回,设备收到token后进行判断,判断对方是否为黑客工具并采取相应动作。
    这类产品还可以对页面中的指定内容(比如页面中的url或是表单内容)做加密。虽然从理论上讲,这种加密难不倒一个意志坚定的密码学爱好者(因为客户端和服务端之间并没有实现一个完美的密钥建立机制),但对付那些熟练的渗透工具使用者已经足够。
部署时,对于HTTPS应用,这类产品应放在SSL网关之后,如果并没有SSL网关,要把服务端的证书和私钥导入产品,总之,产品要能看得见明文。
一道防线主要部署在企业边界和DMZ区。一般来说,会有这样的复杂性:入站的流量经过一层层的安全设备,在逻辑上呈现出糖葫芦状,在部署和维护时,需要清晰梳理关系和路由,比较麻烦。
使用流量编排设备,可以通过SDN技术将流量进行灵活、简单地配置,原先串接的安全设备放入安全资源池中,流量经过谁,不经过谁,先过谁,后过谁,经过一台,还是多台,都可以通过Web界面做比较容易的编排,这就轻松多了。
流量编排使得安全结构和网络拓扑解耦,在部署和维护上会带来很多便利。这篇文章《网络智能流量编排探索》很好,感兴趣可以看看。
图片
第二道:监测响应
图片
第二道防线的名字不太好取,我反复思考以后,将其命名为监测响应。
二道防线中的重点不是拦截,而是能准确发现正在发生的攻击,不管是从外部还是内部发起的。
NTANDR,都属于这类工具,为确保安全,一个单位应至少部署两到三家这样的产品,互相弥补对方的不足:即便一家发现不了,另一家也可能发现。当然,最好的情况下,这类产品可以和防火墙联动。
很多产品仅分析访问单向来包,并不做双向的分析。WEBIDS做得比较好,它能够对http请求和响应进行综合分析,服务端是否已经被控,很有价值。
蜜罐/蜜网主要用来引诱攻击者,内网的蜜罐如果被触发,不是误触就是攻击者已经进来。通常应在各个网络区域都开启蜜罐,只要是不用的IP都放入蜜罐。可以购买专门的产品,也可以利用负载均衡的功能来设置。
APT工具这里不多说了,它的侧重点和优势在于发现木马。
在检测木马(包括隐蔽信道)方面,还有一种比较新的产品是加密流量检测。现在,几乎所有木马都采用了加密方式,没有私钥是无法解开分析的,这类产品可以通过特征匹配、行为识别和机器学习的方法,在不解密的情况下,分析一个加密流量是不是木马流量。
总之,这道防线的产品很多,而且往往会用到很多先进技术,但能力和易用性参差不齐,能否买到好的产品,既考验判断力,也考验运气,如果条件允许,多部署一些总是对的。
从基础设施上讲,单位最好能建设一个流量汇聚平台,该平台可以采集各个网络区域的流量,然后汇聚和处理,最终输出到需要流量的设备,这样,各类安全设备不用到处接流量,集中部署并享用流量输出就可以了。这篇文章《数据中心流量如何整合应用》就是讲这个的,有兴趣可以一看。
图片
第三道:访问控制
图片
基本上,内网里面的一切访问控制措施都可以认为是第三道防线。
这道防线体现一个单位的安全基本功,也体现一个单位的信息科技实力。
访问控制其实就是给攻击者处处设卡,让攻击者寸步难行。
从网络访问的角度看,网络分区,系统间的隔离,终端间的隔离,以及网络准入、DNS安全等,都是非常有效的防护手段。
从资源访问的角度看,使用虚拟桌面、堡垒机、特权管理这些工具,使得服务器、网络设备、数据库不能被随便访问,结合口令管理、认证管理(包括双因素)、审计管理(录屏取证)等,不仅防外部攻击,也防内部人员攻击。
从应用访问的角度看,通过开发安全、认证授权、加密通信、加密存储、漏洞管理等这些工作,来保障应用系统的安全性。这方面内容很多,这里不细说了。
值得一提的是,看似不起眼的口令管理,应该格外重视,很多所谓著名黑客的著名攻击,并没有什么技术含量,仅仅是口令的窃取和尝试成功而已。一个单位的口令管理应尽可能自动和严格,强制口令复杂度、强制定期修改,对于重要系统强制双因素认证(短信或动态口令)。这些看上去不难,但能做好的很少,只有很懂安全的单位才能做好这件事。
从安全的本质讲,第三道防线是最重要的。一道和二道防线在很大程度上都是在帮助三道,如果一个应用系统自身不安全,前两道防线能挡一挡,但终究是挡不住的。
如果应用系统很安全,即便没有前两道防线,攻击者也无计可施。
看过我写的《区块链安全和传统安全的区别》都知道,安全说到底,是程序的问题。
开发安全能力,是真正的实力。
图片
第四道:端点安全
图片
端点通常是攻击者最想拿到的据点,拿下一个机器就代表着一种胜利。
这道防线建立在服务器或用户终端上,从技术上讲,这已经是最后的防线了。
这道防线最基本的一个功能是防病毒,这里不多说了,主要说说EDR(端点检测和响应)。
EDR的重要功能是异常发现,主要是通过对主机的网络、进程、文件等资源的监控。比如通过网络监测,可以发现正在开展的网络攻击、网络扫描以及可疑的外联;通过进程监测,可以发现一些异常的进程创建和执行;通过文件监测,可以发现一些恶意文件的读写。
EDR可以对这些网络异常、进程异常、文件异常进行阻拦和处置,这在一定程度上可以防范0day攻击。
此外,通过监测日志,EDR可以发现正在开展的暴力破解;通过离线破译,可以发现常见应用的弱口令;其他如资产管理、漏洞管理等能力也很实用。
总体而言,这类产品是非常有力和有效的。
图片
第五道:人的防线
图片
上述这些工具,都需要人的使用和维护。人就是第五道防线。
所以你看在搞安全演习时,满满一屋子都是人"(至少3040人起)"
组织层面不多说了,大多数单位在组织层面做得都还不错,因为组织技术是通用的,一般而言,就是领导重视、层层压实、某处牵头、全局动员、资产梳理、表格完善、制定方案、安排任务、汇报进度、协调资源、各司其职、检查确认、问题发现、举一反三,落实整改,层层请示、高层决策。这和做其他工作没有什么不同,属于管理层面的技术。
但有一点,传统管理往往不太能注意到,并因此中招,这就是老生常谈的安全意识问题。
纵观网络安全攻击史,社工一直是攻击者最重要的手段。"(没有之一)"
一个攻击者想入侵一个单位,100%会采用社工方法,所以一定要在所有员工的意识层面建立起强大的防御能力。
一封带有木马的钓鱼邮件,如果躲过了第一层的封禁,逃过了第二层的检测,一般就会逃过第三层和第四层,那么这封邮件就展现在员工面前了,这时就靠员工的安全意识防线了。
增强员工意识的方法就是反复讲,反复说,反复培训,反复测试,看看员工是不是真的掌握了,要通过最真实的案例强化员工意识。
这个工作看上去没有什么技术含量,但如果水平不足,往往无法做好这个工作。
反社工需要和社工一样的能力:洞悉人性。
图片
回顾
图片
第一道防线守住大门,及时阻拦可能的攻击。
第二道防线严加监测,一旦发现有异常,立刻处置。
第三道防线坚壁清野,让攻击者即便进来也寸步难行,无门可入,或者是处处踩雷。
第四道防线坚守据点,在终端层面第一时间发现异常,然后采取行动。
第五道防线全民皆兵,各司其职,协作有力;人人不中招,不上当。
图片
纵深防御的应用
图片
这些年比较火的零信任架构,其实也是纵深防御思维的应用。
下图是某个零信任方案的架构图:
某厂商零信任安全架构
图中,单包认证(SPA)就是一道防线,
SDP控制器和SDP可信网关是二道防线,对用户的行为和终端的安全情况进行分析,并据此动态调整用户可访问的资源和权限。
再往右,就进入企业的内部,这里是三道防线,发挥作用的是企业的身份认证和权限管理(IAM),以及企业内部各种访问控制。
客户端上的防病毒软件,终端安全软件,是第四道防线,主机上的EDR也属于这道防线。
最后,第五道防线在人脑之中。
"文|卫剑钒"
"
"


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-29 02:07 , Processed in 0.015215 second(s), 19 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表