HW护网即将开始4.6

今年护网时间在清明节之后，大约4.6号左右就会开始，提前一周进场，所以三月底小伙伴们差不多就已经进入状态了。今年我在北京xxx集团担任防守方。。。

攻击方总结

一个攻击队拿下一个企业核心系统的时间需要根据目标的安全防护程度来决定，一般情况下会需要大量的时间投入，假如是APT的话甚至要潜伏数年才能获得想要的数据。但是在护网行动中规定的时间可能仅仅不到一个月，而且每个攻击队伍都有许多个目标，那也就意味着排除提前几个月做护网踩点探测的情况下，攻击方要在短时间内快速的获取目标信息，并针对性的发动有效攻击才能完成自己的目的。

(1)信息收集

护网行动中攻击方会对目标的公司组织架构、人员信息和IT资产进行情报和信息的收集，这就是攻防与渗透测试最大的区别所在，更加的贴近实战。在掌握目标企业组织架构和人员信息后便可以进行针对性的攻击了，比如以邮箱攻击为例，先选定目标企业的某某工作人员，对其邮箱进行攻击，在成功获得该邮箱登录权限后便可以去通信录导出企业所有联系人，然后批量的对导出邮箱进行简单的口令爆破；如果在进行这些操作后还没拿到有价值的账号时，便根据组织结构进行定点攻击，比如用swaks伪造管理员发送钓鱼邮件，或者编造一个理由加密发送一个宏病毒等方式进行攻击。

IT资产信息收集包括域名、IP地址、开放端口、运行服务等信息。如何快速收集目标信息，分布式扫描器绝对是首选，按照护网期间防守方宁可错杀一千不放过一个的准则来看，要想避开防守方IP封禁大法的限制，一个扫描器是绝对不够用的。快速的对目标的资产的端口进行一次全方位的扫描和识别，再根据扫描得到的Banner信息完成收割。

(2) 0day与价值

拥有0day绝对是攻击方硬实力的证明，以目前国内的网络安全现状来看，安全开发人才紧缺，许多公司包括国企政府的业务系统大多都是外包厂商开发的，而普通的外包开发者对网络安全并不了解，做出来的系统存在的安全问题绝对不少，所以对攻击方来说只要攻击一个客户广泛的厂商，拿到一个0day就可以轻而易举的拿下其他相关的所有目标，收益非常的高。0day极有可能大量的存在，只不过在使用上非常的谨慎，因为0day的生存期实在太短，平常状态下生存期不超过一周，在护网期间更是可能连一个小时都没有，所以0day的拥有者是否使用0day跟所创造的价值有很大的关联。

防守方总结

临战期:

在临战初期，客户举行了两场攻防演练，通过公司内分队对攻到从上往下发起的攻击。这次演练发现了在备战期所忽略的地方：在备战期对风险点进行排查的时候侧重于WEB漏洞而忽视了其他漏洞的渗透及验证，导致在演练的时候被攻击方通过中间件漏洞攻破；还有就是在备战期对VPN没有做好严格的把控，以致于VPN的用户名及密码明文存储在APP中，被攻击方成功反编译出密码，直接进入内网。对于演练中发现的问题，我们进行以下处置：对于中间件漏洞及时升级补丁并且删除相关被利用的war包，对中间打补丁及删除war包的过程进行严格把控，对于进行的每个操作进行截图记录，确保每个过程都进行到位；对于VPN账号泄露问题，账号密码不写死在APP中，通过验证码进行VPN登录，且将APP进行混淆，防止攻击者通过反编译获取敏感信息。

客户在临战期陆续将安全设备进行部署。针对这次HW行动，客户对原本已有的一些安全设备进行策略优化，同时也新增了一些安全设备。主要的类型有防御设备、监控设备等。防御设备还是最常见的WAF、IPS，对WAF、IPS的策略进行优化，增强设备的防御能力；监控设备这块就是我们自主研发了一个主机探针，主要作用就是对主机进程进行审计、webshell监控；除了主机监控还有就是网络流量监控设备，对监测的流量进行分析。

(1) 无法应对0day

0day攻击着实是防守方最头疼的一个点，理论来说0day攻击是无法防御，但是实际上其实并不是那么的绝对。重边界、轻内网导致了边界防护一旦被绕过或是破坏，企业内网会存在崩塌的风险，所以防守方会在边界部署很多安全设备，比如WAF、IPS、IDS、态势感知设备等，此类安全设备受用面极广也是各大安全厂商大力推荐的监控设备，但是恰好这些设备都是经不住0day攻击的。这些安全设备都是以黑名单、规则或是安全情报为基础，假如攻击方会用最新的IP、域名或者是0day进行攻击，原有IOC情报、规则在这种情况下基本无效，这就会让安全平台无法识别此类攻击。一旦安全设备不告警，防守方即使7*24小时防守也没有实际意义，可能系统被突破了还浑然不知。应对0day攻击正确的办法应该是注重对WEB攻击行为与攻击意图的监控，或是加强管控终端程序运行，阻断非许可进程的运行等方式来防范，而非迷信规则情报类的安全设备。

风险处置流程:

根据监控设备告警划分风险等级，主机探针告警高于其他安全设备告警，主机探针作为防守的最后一道防线，若主机探针发出告警，则攻击已经进入内网，因此风险等级最高。根据风险等级不同，我们制定了两个风险处置流程：

当收到主机探针告警，监控人员告知应用处置人员进行风险排查确认，同时通知网络处置组进行攻击IP封锁。应用处置组确认风险存在后，监控组立即通知机房管理员进行断网处置，随后，由应用处置组协助监控组进行溯源取证，并且对风险进行处置，删除shell脚本或木马程序。应用组处理后将结果反馈给监控组，监控组通知机房管理员将受攻击服务器进行下电处理，并且将事件记录在防御工作列表中。

当其他安全设备监测到攻击时，监控组会将发起攻击源IP告知网络处置组进行封堵，同时将发现的告警信息发送给研判组进行研判，监控组根据研判结果通知应用处置组进行风险排查，应用处置组将加固结果反馈给监控组，监控组将事件记录在防御工作列表中。