专栏文章索引：网络安全
有问题可私聊：QQ：3375119339
目录
一、处理DDOS事件
1.准备工作
2.预防工作
3.检测与分析
4.限制、消除
5.证据收集
二、处理恶意代码事件
1.准备
2.预防
3.检测与分析
4.限制
5.证据收集
6.消除与恢复
三、处理未授权访问事件
1.准备
2.预防
3.检测与分析
4.限制、消除
5.证据收集
6.恢复
四、处理复合型安全事件
1.建议
一、处理DDOS事件
- 事件定义：拒绝服务攻击是通过消耗CPU、内存、带宽或磁盘空间阻碍或破坏对网络、系统或应用的合法使用。
- 常见DDOS类型有：
- 反射式DDOS
- 应用型DDOS
- SYN FLOOD等
1.准备工作
- 与ISP及相关服务商沟通，在遭受DDOS时，他们能提供什么服务。如流量清洗、封掉目的IP、限制某类流量的上限、提供DDOS流量日志。并确立明确的帮助流程与人员对接、及响应时间等
- 部署IDS来检测DDOS攻击
- 对现有网络资源进行监控，建立利用率基线
- 建立网络性能检查的监控
2.预防工作
- 使用严格的防火墙规则，禁用某些流量，如echo、chargen、ssdp
- 使用源地址过滤设备，过滤伪造源地址流量
- 对某些协议的比例进行限制，如ICMP
- 对关键的应用和设备实现冗余配置，如多ISP、FW
- 使用CDN保护WEB
3.检测与分析
- DDOS 攻击的前兆
- 在DDOS攻击开始前，一般会有小规模的试探型攻击。
- 应对措施：根据试探攻击的特征来进行防护，或者迁移目标主机，加强对目标主机的保护
- 新发布的DDOS利用工具，如2018年2月，攻击Github的memcached
- 应对措施：分析新工具的特征，如memcached使用UDP 11211端口，可以联系ISP或在边界上过滤UDP11211的流量
- 在DDOS攻击开始前，一般会有小规模的试探型攻击。
- DDOS 攻击的迹象
- 用户报告系统不可用
- 无故的连接丢失
- 网络入侵检测报警
- 主机入侵检测报警
- 网络带宽利用率提高
- 大量到单台主机的连接
- 不对称的网络流量，进多出少
- 防火墙或路由器日志
- 数据包源地址不正常
4.限制、消除
- 选择限制策略
- 对被利用的弱点或缺陷进行修补
- 根据攻击特征进行过滤
- 借助ISP力量进行过滤
- 重新部署受攻击目标
- 对攻击者进行反攻
5.证据收集
- 通过观察流量来发现攻击源
- 通过ISP进行追踪
- 了解僵尸网络主机是如何被控制
- 检查大量日志记录
二、处理恶意代码事件
- 恶意代码指的是一种被隐蔽插入到另一个程序中的程序，其目的是破坏数据、执行破坏性和入侵性程序或破坏受害者数据的安全性和完整性
- 恶意代码类型：
- 病毒
- 木马
- 蠕虫
- 混合型
1.准备
- 提高用户意识，使用户意识到恶意代码
- 获取反病毒厂商关于最新恶意代码的通告
- 对关键主机部署基于主机的IDS
- 在边界上限制知名的木马连接端口
2.预防
- 使用防病毒软件
- 限制特定后缀的文件，如vbs、ps
- 限定一些工具对文件的传输，如即时消息、网盘等
- 教育用户安全的处理邮件
- 关闭windows隐藏共享
- 配置浏览器策略
- 配置邮件客户端
3.检测与分析
- 恶意代码前兆
- 公开了一个对组织所使用软件的恶意代码利用，如2017年office公式编辑器漏洞
- 反病毒软件成功隔离了一个新的文件
- 恶意代码的迹象
- 反病毒服务器报警文件被感染
- 收发邮件数量突然大量增加
- OFFICE经常使用的模板发生了变化
- 屏幕上出现不正常的东西
- 出现不正常的对话框或请求批准
- 计算机或程序启动很慢
- 系统不稳定和崩溃
- 存在未知本机与远程的连接
- 不正常的端口开启
- 一些未知的进程正在运行
- 主机产生大量的对外流量
4.限制
- 限制策略
- 确定并隔离受感染主机
- 发送未知的病毒样本给反病毒厂商
- 配置邮件服务器来限制邮件传播
- 阻挡特定的主机，通常是木马的控制服务器
- 关闭邮件服务器
- 断开局域网与因特网的连接
5.证据收集
- 尽管可以通过主机日志收集到证据，但恶意代码自身是可以互相传播。
- 确定恶意代码的来源是比较困难的
- 分析病毒样本的网络特性可能会更有意义
6.消除与恢复
- 对受感染的文件进行杀毒、隔离、删除、替换
- 修复被恶意代码利用的弱点，如MS17-010
- 使用未受感染的备份进行恢复
三、处理未授权访问事件
- 未经授权访问就是指访问者通过非法手段，在未经允许的情况下获得使用资源的权限。
- 实现未授权访问的方式有：
- 利用系统或程序漏洞
- 非法获取用户名和口令
- 社会工程学
- 常见的未授权访问事件：
- 非法获取服务器root权限
- 非法修改网站主页
- 暴力破解口令
- 数据库脱库
- 网络监听获取口令
1.准备
- 配置基于主机的IDS
- 使用集中的日志服务器并设置告警
- 防止暴力破解 （使用验证码、账号锁定、强密码策略等）
2.预防
- 对网络未授权访问的预防：
- 配置默认拒绝的防火墙策略
- 使用合理的VPN身份验证，如双因子验证
- 划分DMZ区域，并做好区域间访问控制
- 对内网服务器使用私有IP地址，通过NAT转换连网
- 对主机未授权访问的预防：
- 定期进行漏洞扫描
- 关闭主机上不必要的服务
- 使用普通用户运行服务，如新建一个apache的账号运行apache服务
- 开启主机自带防火墙，如windows firewall 、 iptables
- 设置自动锁屏和注销会话的策略
- 定期检查权限配置
- 对用户未授权访问的预防：
- 启用复杂的口令策略
- 在关键系统上使用双因素验证
- 使用强加密算法保护口令
- 建立完整的账号生命周期管理流程
3.检测与分析
- 未授权访问的征兆
- 对系统的扫描侦察活动发生了异象，如每天大量的扫描变突然减少
- 一个新的远程利用漏洞公开，如针对IIS的缓冲区溢出
- 用户反馈收到诱骗邮件，需要用户名输入账号密码
- 一些登录失败的日志
- 未授权访问迹象：
- 主机上存安全相关利用工具
- 主机上有不正常的流量
- 主机系统配置发生变化，如进程服务增加、端口增加、日志策略更改
- 重要数据、特权发生变化
- 无法解释的账户登录或使用
- 资源利用率发生明显变化
- IDS的报警
- 异常的日志
- 未授权访问事件一般会分步进行
- 进行扫描侦察工作，发现弱点
- 侦察结束后，会利用弱点进行未授权访问
- 获取基本用户权限后，会利用提权漏洞来获取管理员权限
- 获取管理员权限后会使用rootkit技术来隐藏后门
4.限制、消除
- 限制策略
- 隔离受影响的系统
- 禁用受影响的服务
- 消除攻击者进入系统的路径
- 禁用可能被利用的账号
- 加强物理安全保护
5.证据收集
- 如果怀疑系统被未授权访问， 安全处理人员应立即对系统做完整的映像备份。
- 同时要保存主机、应用、IDS、防火墙日志
- 如果发生物理安全问题，则保存门禁系统日志、监控视频等证据
6.恢复
- 对系统的恢复工作可以基于攻击者获取权限的程序
- 如攻击者获取了管理员权限，建议是从备份中恢复系统，而不是修复系统。因为很难保证rootkit的检测完整
- 如果攻击者只获取部分权限，可以依据日志行为分析攻击者文件。进而恢复。
四、处理复合型安全事件
- 复合型安全事件是指一次安全事件中包含多种安全事件，如
- 某恶意代码通过邮件感染了员工PC
- 攻击者利用被感染PC破坏了其它服务器或PC
- 攻击者利用获取到权限的设备发起DDOS攻击
- 这次安全事件包含：恶意代码事件、多起未授权访问、DDOS事件
- 复合型安全事件分析起来往往非常困难
- 安全人员可能只意识到其中一部分，而没有认识到整体的安全事件
- 处理人员可能知道是多起安全事件，但无法分析其联系
- 处理复合型事件需要丰富的安全事件处理经验
- 其准备、预防工作要包含全面，对组织要求较高
- 处理人员应该限制最先发现的安全事件
- 但安全事件的优先级也同样重要
- 正进行DDOS攻击优先级应该高于一个月前暴发病毒
1.建议
- 使用集中式日志系统和事件关联分析软件
- 限制最初的安全事件，然后查找其它部分的征兆
- 单独对安全事件进行优先级排序
