互联网企业安全高级指南读书笔记之入侵感知体系

最新推荐文章于 2024-06-23 08:49:07 发布

PolluxAvenger

最新推荐文章于 2024-06-23 08:49:07 发布

阅读量1.2k

点赞数 1

分类专栏：读书笔记互联网企业安全高级指南读书笔记文章标签：互联网企业安全高级指南读书笔记入侵感知

本文链接：https://blog.csdn.net/tan6600/article/details/79847942

版权

读书笔记同时被 2 个专栏收录

57 篇文章 2 订阅

订阅专栏

互联网企业安全高级指南读书笔记

17 篇文章 1 订阅

订阅专栏

主机入侵检测

开源 HIDS

OSSEC、Mozilla InvestiGator 和 OSquery

OSSEC 是典型的 B/S 架构，通常一个 Server 集群最多配置 2000 台 agent 接入。在此基础上，OSSEC 也支持在开发插件、采集数据、解析/检测规则三个方面的功能扩展

Mozilla InvestiGator 具备了现代 HIDS 架构的雏形，但是整体上 MIG 偏向事后的取证，而不是实时的入侵检测

OSquery 适合有一定 IDC 规模的企业，安全团队有一定的开发能力，并且对入侵检测有基于大数据理解的环境

自研 HIDS

agent 功能

基线安全

在 Linux 系统下以读取解析文本配置为主，辅以某些二进制文件的 ELF 格式解析；Windows 系统通过读取注册表和组策略信息完成采集

采集数据包括但不限于：

系统版本，Linux 发行版版本、Linux 内核版本、Linux 内核热补丁、Windows 补丁（微软官方补丁公告中注册表项）信息
Linux 系统账户、Windows 账户权限、权限组、最后登录时间
系统关键文件 MD5
应用服务版本
第三方应用服务版本
webapp 版本

日志采集

采集的日志内容如下：

Linux 系统日志
- syslog 默认日志
- 系统服务登录记录
- 系统账户登录记录
Windows 系统
- 应用服务日志
- 安全日志
- 系统日志
Webserver
扩展插件日志

进程信息

周期性遍历/proc。这是风险最小的方案，部署适配性最强。但缺点明显，实时性无法得到保障，且性能差
用户态 Hook Libc 函数。相比前面一种方案，风险相对高一点，特别在多线程进程中要注意安全性。但其部署适配性也特别高，同时性能也是各种方案最好的，建议
作为首要选择。虽然 libc hook 方式可能有被绕过的风险，但如果对抗主要集中在 Web 入侵场景，基本是无需担心的
利用 LSM 模块接口。如果对抗必须深入系统级攻防，那么通过内核态获取进程数据就非常必要了。但是为了安全性、适配性考虑，采用 LSM（Linux security module）开发接口就是较佳的选择。Fackbook 安全团队开发的 osquery 就是使用了 LibAudit 获取 execve 调用信息
内核态 syscall HOOK，安全类的开发最惯性的思维就是内核态 HOOK，反倒不是什么新鲜的招式。但是这样的方案未必都适合大范围使用，作为一个可能要大量部署的安全系统来说，不是一个最佳选择。在 Linux 环境里各种发行版和内核版本差异很大，以至于需要维护多个兼容性版本，同时稳定性也难以保证。这类方案通常是开发一个 LKM 模块实现

建议字段：
image_1c6fddn23s9f1tak1ht8h0s8nm55.png-199kB
image_1c6fdf4951k4b1oj61at0rndip5i.png-365.9kB

小技巧：
image_1c6fdi4sgrca57g1fa21akb1h1o5v.png-358kB

网络连接信息

/proc/net/raw RAW 套接字信息
/proc/net/tcp TCP 套接字信息
/proc/net/udp UDP 套接字信息

Webshell

inotify 文件监控，Linux 系统中公认的技术就是 inotify，在 BSD 和 macOS 里类似的是 kqueue。Linux 内核从 2.6.13 开始引入 inotify，可以通过

 % grep INOTIFY_USER /boot/config-$(uname -r)
 CONFIG_INOTIFY_USER=y

来查看系统是否支持

DB 审计

DB 保护是重中之重

数据传输

syslog 转发，默认使用 UDP 514 端口，数据量较大或者数据量波动可能会丢失数据，敏感信息也可能因明文传输而泄露
数据直传
数据接收 Server

值得注意的是：

避免数据传输波峰“雪崩效应”
敏感数据脱密与加密
做好数据传输环境的前后链对账，出现漏报时能够及时追查到可能导致数据丢失的环节

控制管理

健康度监控

image_1c6febo564vgg3c10iiv7k1kov6c.png-350.5kB

自杀机制

安全在极端情况下，出现故障时必须为业务稳定牺牲，系统资源消耗超标功能模块要暂停甚至自杀

部署与更新

海量环境影响
- 发布前必须通知业务方，有应急预案和回滚手段
- 灰度发布，未经一个可靠的时间周期稳定运营验证，不得批量部署
- 节假日前不部署
- agent 更新由 Server 端推送任务完成
安全性
- 控制（更新）指令仅允许选择固话的指令，严禁预留命令执行接口
- 更新包必须经过第三方安全工程师审核之后上传至更新 Server 保存
- 控制指令下发时必须由第三方审核批准才可执行