网络边界部署WAF、入侵防御、防火墙等安全防护设备,有效抵御扫描器、网络爬虫等攻击;
部署蜜罐网络,混淆攻击者的侦测目标,主动识别黑客身份,对入侵者进行溯源打击。
目标侦查阶段的有力防护,可以在网络攻击的初始阶段拖延入侵进度,限制攻击者的攻击手段,增加攻击者的入侵成本,让攻击者知难而退。
2.制作工具(Weaponization)
“工欲善其事,必先利其器”。攻击者对目标侦查完毕后,会根据目标特点和入侵目的,组合“传统兵器”,定制“特种武器”,打造具有针对性的“武器库”,常见的“武器”例举以下几种:
利用Metasploit框架编写的攻击脚本;
EXP库中的漏洞利用工具;
僵尸程序、特洛伊木马、网络蠕虫等恶意程序;
利用社会工程学成果制作的钓鱼网站、弱口令库;
SQLMap、BurpSuite、中国菜刀、中国蚁剑、AWVS、WAPITI等常用攻击工具。
通常在一次具有针对性的攻击中,还可能会制作智能攻击脚本,通过调用工具集实现自动化攻打击,利用混淆、加壳、加密等技术制作变种恶意程序,利用AI技术Bypass动态检测,利用自学习攻击模型进行情报库污染等。面对各式各样的攻击工具,可以通过以下措施强化安全防线:
采用漏洞扫描工具,及时发现系统和应用中的漏洞,并采取修补或防护措施;
安装防毒墙、杀毒软件,对病毒传播进行定向防护;
利用网站监测工具对钓鱼网站进行定位打击;
开启WAF、防火墙等产品的攻击防护策略,阻断扫描、注入、拒绝服务、暴力破解等入侵行为。
断敌兵刃,可夺其志。针对攻击工具的定向防护,可以有效遏制攻击者的入侵,让攻击者无计可施。
3.传送工具(Delivery)
攻击者打造“武器库”后,将进行“武器”投放,特洛伊战争的故事非常经典,古希腊间谍诱骗特洛伊国王将大型木马雕像运往城中,隐藏在大型木马中的希腊军队在城中发动奇袭,一举攻破了特洛伊王国,这也是特洛伊木马命名的由来。同样,在网络空间中,攻破一个系统最有效的方式,就是将恶意代码传送至目标系统。
通常情况下,传送恶意代码的方式可以分为物理传输和网络传输。
物理传输 | 通过U盘、外设、硬盘等物理介质,将恶意代码输送至目标主机 |
---|---|
网络传输 | 通过钓鱼邮件、挂马网站、即时通讯软件等方式诱导受害者下载恶意文件 |
表1 恶意代码传送方式
针对以上恶意代码的传送方式,可以通过以下措施进行防范:
安装主机防护软件,检测来源于物理介质的恶意代码传输;
部署网络边界防护产品,及时发现并阻断病毒和恶意程序的传输行为;
部署邮件安全网关产品,识别电子邮箱中的恶意文件和危险链接,有效防范来源于电子邮件的恶意攻击;
提高人员网络安全防护意识,具备基本的网络欺骗鉴别能力。
据相关报告统计,2019年全球19.8%的计算机至少检测到一次恶意软件类攻击;2020年垃圾邮件在电子邮件流量中占50.37%,共检测到184435643个恶意附件,反钓鱼软件阻止了434898635次诈骗网站访问。庞大的数据说明了恶意代码的网络传播行为尤为猖獗,全网计算机用户的网络安全防护意识仍待提高。
4.触发工具(Exploitation)
攻击者将恶意程序传送到目标系统后,会利用目标系统或应用中存在的漏洞,执行恶意程序中包含的恶意代码,常被利用的安全漏洞有SQL注入、XSS、弱口令、任意文件上传、任意代码执行、缓冲区溢出等。除此之外,多数恶意程序本身就具备迷惑性的特点,会诱导计算机用户主动运行恶意程序,执行恶意代码。
当恶意程序已经被传输到主机后,我们可以采用以下防护手段:
安装杀毒软件,对恶意软件进行拦截、查杀;
利用沙箱工具,检查未知文件的安全性,动态分析文件行为,深度鉴别文件危害性;
部署安全防护产品,防御利用常见安全漏洞发起的攻击,拦截远程执行恶意代码的命令。
如果攻击已经进展到了触发工具的阶段,说明攻击者对目标系统的入侵已接近成功,意味着目标系统已经岌岌可危,可能随时被攻击者获取权限。
5.安装木马(Installation)
攻击者在获取到目标系统的控制权限后,将在目标系统中安装木马,植入后门,后门程序通常具有极强的隐蔽性,很难被正常用户发现。植入后门程序的作用是使得攻击者可以长期保持对目标系统的控制权限,即使目标系统修复漏洞后,攻击者仍然具有目标系统的连接方式。
简单的后门可能是拥有一个或多个账户的使用权限,复杂的后门可能是拥有特定的系统连接方式,对系统有安全存取权,可以采取以下措施对后门程序进行检测和防护:
监控系统日志,对于修改注册表、调整安全配置、添加账户、修改权限表、安装远程工具等敏感操作进行管控和审计;
利用漏洞扫描工具,定期检查系统是否被植入后门,及时查杀后门程序,修复后门漏洞;
定期备份系统状态,被入侵后可以恢复到正常状态。
6.建立连接(Command and Control)
目标系统被植入后门后,攻击者会开始建立目标系统与控制服务器的连接通道,到了这一步意味着目标系统已经完全失陷,攻击者已经具备目标系统的完整控制权限,失陷主机已经成为攻击者的肉鸡,攻击者随时可以利用该据点进行横向渗透,扩大攻击成果,或者立即发起攻击。
倘若攻击者已经“hand on the keyboard”,那么被入侵者能施展的防护手段已经不多了,可以采取以下措施进行检测和预防:
部署专业的僵木蠕检测产品,检查网络中的僵尸主机和受控资产,切断失陷主机与僵尸网络的通信;
网络边界部署非法外联检测产品,识别网络中的异常通信,及时阻断未经授权的连接;
对于重要系统应当采用白名单机制进行访问控制。
7.执行攻击(Actions on Objectives)
经历了前6个阶段的攻击后,攻击者可以根据商业或政治意图,开始干扰目标系统的保密性、完整性和可用性,进行信息窃取、破坏、加密等行为,或利用失陷主机作为跳板,入侵网络中的其他系统。
此时,受害者的损失已经不可避免,但是组织和机构仍然可以事先采取预防措施,面对攻势及时发起应急响应,有效控制受害面,缓解攻击强度,降低损失。
信息系统采取分级分域安全管理办法,做好网络域与域之间的安全隔离,级与级之间的访问控制,防止攻击扩散;
建立健全的数据安全管理制度,部署数据防泄漏产品,严格控制数据访问权限,阻止数据窃取;
建立健全的网络安全应急响应机制,针对突发的网络安全事件可以快速定位威胁,缓解并根除攻击,及时修复业务;
对于重要业务有灾备方案,面对不可逆转的破坏具备恢复能力。
总结
随着信息科技的蓬勃发展,创新技术和新兴产业快速融入信息化时代的同时,也增加了网络空间的脆弱性,为黑客提供了更多的攻击手段,传统的安全防护思路显得有些无所适从。
基于人工智能(AI)与机器学习(ML)的自动化攻防将成为网络安全对抗的主流形式,扩展检测和响应(XDR)和威胁情报(TI)技术的逐步落地,为精准检测、快速响应提供了有力帮助。网络资产攻击面管理(CASSM)和入侵与攻击模拟(BAS)等新兴技术理念的实践应用,也为企业安全运营提供了更多思路。深入研究产业应用场景,探索网络安全创新技术,是提升网络空间安全能力的有效途径。
最后
为了帮助大家更好的学习网络安全,小编给大家准备了一份网络安全入门/进阶学习资料,里面的内容都是适合零基础小白的笔记和资料,不懂编程也能听懂、看懂,所有资料共282G,朋友们如果有需要全套网络安全入门+进阶学习资源包,可以点击免费领取(如遇扫码问题,可以在评论区留言领取哦)~
😝有需要的小伙伴,可以点击下方链接免费领取或者V扫描下方二维码免费领取🆓
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供:
给大家的福利
零基础入门
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供:
因篇幅有限,仅展示部分资料
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!