攻防演练–蓝队
蓝队的工作。后面总结了一下护网行动和蓝队的一些工作重心。刚刚换电脑的时候翻出来了这个文章。只是个人拙见,大佬勿喷。
下面是我对红蓝对抗中蓝队工作的一些总结:
一、团队组建
在团队建设时,蓝队主要分为四个部门:
1、指挥中心:主要进行统筹,管控蓝队事务。
2、监测小组:主要对流量监控平台、日志平台等系统进行7*24小时监控;以保证可以及时的发现各种攻击行为,对攻击者的IP进行封堵。
3、快速反应小组:主要是配合监控小组对发现的攻击行为进行分析,判断攻击的真实性及危险性,提出处置建议,部分还有进行溯源。
4、应急保障小组:主要对演习过程中的各种突发的安全事件,进行及时的处理。
二、梳理资产
资产梳理,我们更好的了解企业系统架构,可以提前针对系统的安全性或脆弱面给出建议,可以在对抗过程中更加全面的对系统进行防御。资产信息主要包括业务资产、设备资产、外包/第三方服务资产等。
1、业务资产信息
业务系统名称、业务系统类型、服务器类型、域名/IP地址、服务端口、版本、系统部署位置、开发框架、中间件、数据库、责任人、维护人员
2、设备资产信息
设备名称、设备版本号、固件版本号、IP地址、部署位置、责任人、维护人员
3、外包/第三方服务资产信息
厂商联系方式、系统名称、系统类型、IP/URL地址、部署位置、责任人、维护人员、厂商联系方式、第三方值班人员
三、风险梳理
1、基础设施风险
主要对资产中各种网络设备,安全设备,服务器等进行检查,防患于未然,对已经发现的漏洞或不安全因素进行及时修补。
2、帐号权限梳理
弱口令是最简单,但是最直接的攻击方式。我们在账号权限管理过程中,主要对各种设备,系统、服务器的密码进行核查,防止出现弱口令、闲置口令、测试账号等。
3、互联网风险排查
主要是对企业的冗余资产进行检查,测试环境,旧版本系统,未使用但是没下线的系统等缺少维护的资产进行清理检查。
四、减少攻击面
进行完资产的梳理,我们对企业内部的资产的安全性已经有了一个了解,这个时候,我们需要根据我们资产梳理的结果进行收敛。
1、核心资产,重点防护;边缘资产,进行边界防护;不安全资产,及时整改防御
2、对不稳定,或者关闭之后影响较小的系统进行关闭,减少攻击面。或者仅开放核心业务系统。
3、培养企业员工的安全意识,防止出现钓鱼、社工攻击等行为。
附部分查看系统是否有可疑行为的方式
1、查看当前登录用户
query user
2、查看系统中所有的用户
(1)net user
(2)开始 运行 -lusrmgr.msc
(3)查看C:\User目录排查是否有新建用户的目录
3、查看是否有隐藏账号、克隆账号
(1)开始 运行 regedit
(2)查看注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 中是否有异常
4、注册表查看启动项
\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
命令行查看启动项
wmic startup list full
组策略中查看启动项
运行 gpedit.msc
5、Recent目录
此目录可以看到程序或文件最后被打开和使用的日期
C:\Users\Administrator\Recent
6、windows日志
计算机-管理-事件查看器-windows日志-安全(或者eventvmr.msc)
根据时间排查安全日志中的登录事件,用户创建等事件情况。
着重寻找登录事件(ID4624)且登录类型为3和0的远程登录方式
windows安全日志文件:
C:\Windwos\System32\winevt\Logs\Security.evtx
查看其大小是否为20M左右,如果远远小于20M\zeyoukeneng被清理过。
7、排查可疑进程
查看可疑网络连接
netstat -b -n
根据网络连接寻找pid
netstat -ano | findstr xxx
根据pid寻找进程
tasklist | findstr xxx
杀死可疑进程
taskkill /T /F /PID xxxx
8、排查计划任务
schtasks /query /fo table /v
运行 -taskchd.msc
9、排查系统服务
运行service.msc