【红蓝对抗】蓝队视角下的企业安全运营

蓝队应急响应处置案例

一、发现及研判组

【攻击成功分析及举证】

处置建议： 排查可疑进程与 TCP 连接。

二、应急处置溯源组

【威胁等级】： 严重

【事件链说明】： 以时间点为出发点简述如下：

处理记录：

1 > 于 2021-06-28 10:51 登机排查

网络连接

2 > 处置过程：查看对应进程的进程号并 kill 进程。

溯源过程：

通过搜索指定时间内系统内被修改的文件发现 exp.so 文件，通过对 exp.so 文件进行分析认定此文件用于 redis 主从复制 rce 漏洞攻击。

全局查找被更改的文件

删除 exp.so 文件

发现 /tmp 文件夹下存在软连接，将其删除

根据检测情况可知 10.10.60.58 为跳板机 IP。所以首先需要对 10.10.60.58 进行溯源追踪

溯源过程如下：

Everything 全局搜索发现存在 exp.so 文件

经查访客桌面上存在利用程序与 exp.so 库文件

在访客下载文件夹中发现 nmap 扫描工具

nmap 扫描结果

发现存在高危端口（3389、6200-JavaRMI）

根据 nmap 扫描结果使用 java rmi 反序列化测试成功

日志记录注册恶意流量代理服务

清理服务

日志记录 guest 访客被打开并登陆

guest 开启时间点

标记 guest security ID

guest 被添加至管理员组

powershell 启动时间点

可疑 IP（10.10.55.8）

可疑 IP 10.10.66.12

services 多个提权

system 权限

惊讶的是服务器中仅有 1 个补丁

445 端口开放

溯源综述：

经查 10.10.59.11 存在文件上传漏洞被上传 webshell，继而对内网的其他机器进行攻击。通过日志文件记录 10.10.59.11 曾对 10.10.60.58 发起 RDP 爆破，根据日志文件判断其未爆破成功，因服务器存在大量报错日志及未打补丁，疑似通过其他操作系统命令执行漏洞 (如 MS17-010) 对服务器发起攻击，开启 guest 用户并添加管理员组后，登录服务器使用 nmap 对 10.201.0.0/16 网段进行扫描，后作为跳板机通过 nmap 扫描结果利用端口漏洞进行攻击。

2、蓝队阻击红队的常用手段

蓝队是企业安全的守门员，既守护着企业安全的第一道防线，又保卫着企业安全的最后一道防线，因此，建议蓝队常态化的从攻击者实战视角去加强自身的安全防护能力，俗话说，未知攻焉知防，只有全面了解敌人的路数，熟悉对方的打法，才能从战略上碾压敌人，建立起无坚不摧的护城墙，增强企业安全韧性。

红队的打法一般为：

第一步：搜集情报，寻找突破口、建立突破据点；

第二步：横向移动打内网，尽可能多地控制服 务器或直接打击目标系统；

第三步：删日志、清工具、写后门建立持久控制权限。

蓝队应对红队的常用策略可总结为：防范被踩点 、收敛攻击面 、立体防渗透 、全方位防护核心、全方位监控

防范被踩点：首先要尽量防止本单位敏感信息泄露在公共信息平台，加强人员安全意识，不准将带有敏感信息的文件上传至公共信息平台，对文件进行分机管理，定期对信息部门重要人员进行安全意识培训，并且安全运营部门应常态化在 一些信息披露平台搜索本单位敏感词，查看是否存在 敏感文件泄露情况。

收敛攻击面： 要充分了解自己暴露在互联网的系统、 端口、后台管理系统、与外单位互联的网络路径等信息。哪方面考虑不到位、哪方面往往就是被攻陷的点。互联网暴露面越多，越容易被攻击者 “声东击西” ，最终导致防守者顾此失彼，眼看着被攻击却无能为力。结合多年的防守经验，可从攻击路径梳理、互联网攻击面收敛、外部接入网络梳理、隐蔽入口梳理收敛互联网暴露面。

立体防渗透： 互联网端防护、访问控制措施、主机防护、集权系统、无线网络、外部接入网络

全方位防护核心： 集中火力（团队、技术、资源）对核心系统进行防护。

全方位监控： 全流量网络监控 、 主机监控 （轻 Agent 模式）、 日志监控、情报监控。

最终达到：认证机制逐步向零信任架构演进 、建立面向实战的纵深防御体系 、强化行之有效的威胁监测手段、、建立闭环的安全运营模式。参考文献

​最后

为了帮助大家更好的学习网络安全，小编给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂，所有资料共282G，朋友们如果有需要全套网络安全入门+进阶学习资源包，可以点击免费领取（如遇扫码问题，可以在评论区留言领取哦）~

😝有需要的小伙伴，可以点击下方链接免费领取或者V扫描下方二维码免费领取🆓

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

2️⃣视频配套资料&国内外网安书籍、文档

① 文档和书籍资料

② 黑客技术

因篇幅有限，仅展示部分资料

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​

3️⃣网络安全源码合集+工具包

4️⃣网络安全面试题

5️⃣汇总

所有资料 ⚡️ ，朋友们如果有需要全套 《网络安全入门+进阶学习资源包》，扫码获取~

👉CSDN大礼包🎁：全网最全《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）👈

​