安全帽检测方法_安全检测的新方法

安全帽检测方法

我们中多少人曾经说过以下话： “我希望这行得通！” ？

毫无疑问，我们大多数人可能会不止一次。 这不是一个鼓舞人心的短语，因为它揭示了人们对我们的能力或所测试的功能的怀疑。 不幸的是，这句话很好地定义了我们的传统安全模型。 我们基于这样的假设并希望我们采取的控制措施（从Web应用程序的漏洞扫描到端点上的防病毒），防止恶意行为者和软件进入我们的系统并破坏或窃取我们的信息。

渗透测试通过主动尝试闯入网络，将恶意代码注入Web应用程序或通过发送网络钓鱼电子邮件来传播“恶意软件”，从而迈出了消除依赖假设的一步。 笔测试由在我们不同的安全层中查找和戳出Kong组成，因此无法考虑主动打开Kong的情况。 在安全性实验中，我们故意以受控的模拟事件行为的形式制造混乱，以客观地衡量我们检测和阻止此类活动的能力。

“安全性实验为分布式系统的安全性实验提供了一种方法，以建立对抵御恶意条件的能力的信心。”

当涉及到安全性和复杂的分布式系统时，混乱的工程界普遍认为“希望不是一种有效的策略”。 我们多久会主动检测我们设计或构建的内容，以确定控件是否失败？ 大多数组织都不会发现他们的安全控制失败，直到该失败导致安全事件。 我们认为，“安全事件不是侦探措施”和“希望不是有效策略”应该是IT专业人员采取有效安全措施的口头禅。

在现代分布式系统中，所有这些不断变化的无状态变量使人们几乎无法充分了解其系统的行为，因为这可能会随时变化。 解决此问题的一种方法是通过强大的系统仪表和监视。 为了进行安全性检测，您可以将域划分为两个主要的存储段： 测试和我们称为实验 。 测试是对先前已知结果的确认或评估。 简而言之，我们在寻找之前就知道了要寻找的东西。 另一方面，实验试图获得以前未知的新见解和信息。 尽管测试是成熟的安全团队的重要做法，但以下示例应有助于进一步阐明两者之间的差异，并对测试的附加值进行更具体的描述。

示例场景：精酿啤酒交付

考虑一个简单的Web服务或Web应用程序，该服务接受精酿啤酒交付的订单。

对于这家精酿啤酒配送公司而言，这是一项至关重要的服务，该公司的订单来自客户的移动设备，网络以及通过其API来提供精酿啤酒的餐厅。 此关键服务在公司的AWS EC2环境中运行，并被公司认为是安全的。 该公司去年成功通过了PCI认证，并每年进行第三方渗透测试，因此假定其系统是安全的。

该公司还为自己的DevOps和持续交付实践而感到自豪，有时会在一天之内部署两次。

在了解了混乱的工程和安全性实验之后，该公司的开发团队希望连续确定其安全性系统对现实事件的恢复力和有效性，并确保它们不会将新问题引入到安全性中。安全控件无法检测到的系统。

该团队希望从评估端口安全性和防火墙配置的能力入手，以检测，阻止和警告EC2安全组中端口配置的错误配置更改。

• 该团队首先对他们对正常状态的假设进行总结。
• 为他们的EC2实例中的端口安全性提出假设
• 为未经授权的端口更改实验选择并配置YAML文件。
• 此配置将指定要从中随机选择的目标，以及端口范围和应更改的端口数。
• 该团队还配置了运行实验的时间，并缩小了爆炸半径的范围，以确保对业务的影响最小。
• 对于第一个测试，团队选择在其阶段环境中运行实验，然后运行一次测试。
• 在真正的比赛日风格中，团队选择了灾难大师，在预定的两个小时内运行实验。 在该时间段内，灾难管理员将在EC2实例安全组之一上执行实验。
• 比赛日结束后，团队将开始进行彻底，无罪的验尸练习，重点是针对稳态和原始假设的实验结果。 问题将类似于以下内容：

验尸问题

• 防火墙是否检测到未经授权的端口更改？
• 如果检测到更改，是否阻止了该更改？
• 防火墙是否向日志聚合工具报告了有用的信息？
• SIEM是否对未授权的更改发出警报？
• 如果防火墙没有检测到更改，配置管理工具是否发现了更改？
• 配置管理工具是否向日志聚合工具报告了良好的信息？
• SIEM最终是否与警报关联？
• 如果SIEM发出警报，安全运营中心是否收到警报？
• 收到警报的SOC分析员是否能够对警报采取措施，还是缺少必要的信息？
• 如果SOC警报确定警报是可信的，安全事件响应是否能够轻松地从数据中进行分类活动？

对系统故障的认识和预期已经开始打破我们对系统工作方式的假设。 我们的使命是利用我们所学到的知识，并将其广泛应用，以开始积极主动地解决安全漏洞，超越目前在传统安全模型中占主导地位的被动流程。

随着我们继续探索这个新领域，我们一定会发布我们的发现。 对于那些有兴趣了解更多有关研究或参与的人，请随时与Aaron Rinehart或Grayson Brewer联系 。

特别感谢Samuel Roden在本文中提供的见解和想法。

---

[请参阅我们的相关故事， 术语DevSecOps是否必要？ ]

翻译自: https://opensource.com/article/18/4/new-approach-security-instrumentation

安全帽检测方法