蓝队视角下的防御体系突破.pdf
- 文档编号:14660839
- 上传时间:2023-06-25
- 格式:PDF
- 页数:40
- 大小:578.60KB
蓝队视角下的防御体系突破.pdf
《蓝队视角下的防御体系突破.pdf》由会员分享,可在线阅读,更多相关《蓝队视角下的防御体系突破.pdf(40页珍藏版)》请在冰点文库上搜索。
蓝队视角下的防御体系突破奇安信安服团队奇安信行业安全研究中心2020.1221前言网络实战攻防演习,是新形势下关键信息系统网络安全保护工作的重要组成部分。
演习通常是以实际运行的信息系统为保护目标,通过有监督的攻防对抗,尽可能地模拟真实的网络攻击,以此来检验信息系统的实际安全性和运维保障的实际有效性。
2016年以来,在国家监管机构的有力推动下,网络实战攻防演习日益得到重视,演习范围越来越广,演习周期越来越长,演习规模越来越大。
国家有关部门组织的全国性网络实战攻防演习从2016年仅有几家参演单位,到2020年已扩展到上百家参演单位;同时各省、各市、各行业的监管机构,也都在积极地筹备和组织各自管辖范围内的实战演习。
一时间,网络实战攻防演习遍地开花。
在演习规模不断扩大的同时,攻防双方的技术水平和对抗能力也在博弈中不断升级。
2016年,网络实战攻防演习尚处于起步阶段,攻防重点大多集中于互联网入口或内网边界。
2017年,实战攻防演习开始与重大活动的网络安全保障工作紧密结合。
就演习成果来看,从互联网侧发起的直接攻击仍然普遍十分有效;而系统的外层防护一旦被突破,横向移动、跨域攻击,往往都比较容易实现。
2018年,网络实战攻防演习开始向行业和地方深入。
伴随着演习经验的不断丰富和大数据安全技术的广泛应用,防守方对攻击行为的监测、发现和溯源能力大幅增强,与之相应的,攻击队开始更多地转向精准攻击和供应链攻击等新型作战策略。
2019年以来网络实战攻防演习工作受到了监管部门、政企2机构和安全企业的空前重视。
流量分析、EDR、蜜罐、白名单等专业监测与防护技术被防守队广泛采用。
攻击难度的加大也迫使攻击队全面升级,诸如0Day漏洞攻击、1Day漏洞攻击、团队社工、身份仿冒、钓鱼WiFi、鱼叉邮件、水坑攻击等高级攻击手法,在实战攻防演练中均已不再罕见,攻防演习与网络实战的水平更加接近。
如何更好地参与网络实战攻防演习?
如何更好地借助实战攻防演习提升自身的安防能力?
这已经成为大型政企机构运营者所关心的重要问题。
作为国内前沿的网络安全企业,奇安信集团已成为全国各类网络实战攻防演习的主力军。
奇安信集团安服团队结合220余次实战攻防演习经验,总结编撰了这套实战攻防演习系列丛书,分别从红队视角、蓝队视角和紫队视角,来解读网络实战攻防演习的要领,以及如何结合演习提升政企机构的安防能力。
需要说明的是,实战攻防演习中的红方与蓝方对抗实际上是沿用了军事演习的概念和方法,一般来说,红蓝双方分别代表攻击方与防守方。
不过,红方和蓝方的名词定义尚无严格的规定,在实际的攻防演习中,有将红队作为攻击队的、也有将蓝队作为攻击队的。
在本系列丛书中,我们依据国内最新的相关工作实践要求,统一将攻击队命名为蓝队,将防守队命名为红队,而紫队则代表组织演习的机构。
蓝队视角下的防御体系突破是本系列丛书的第一册。
本册希望通过归纳总结蓝队常用的攻击策略和攻击战术,帮助政企机构理解攻方思维,以便提升演习水平,构筑更有效的安全防御体系。
正所谓“知己知彼,百战不殆”。
红队视角下的防御体系构建是本系列丛书的第二册。
本3册希望通过归纳总结红队防御的四个阶段、应对攻击的常用策略,以及建立实战化的安全体系的基本方法,帮助政企机构查找薄弱环节,更好地提升演习水平,构筑更有效的安全防御体系。
紫队视角下的实战攻防演习组织是本系列丛书的第三册。
本册重点介绍实战环境下的紫队工作,提出如何组织一场有效的实战攻防演习、如何组织演习过程中的应急演练、如何组织对无法开展实战演习的关基设施的沙盘推演。
45目录第一章第一章什么是蓝队什么是蓝队.1第二章第二章蓝队演变趋势蓝队演变趋势.3第三章第三章蓝队四板斧蓝队四板斧攻击的四个阶段攻击的四个阶段.5一、第一阶段:
准备收集.5二、第二阶段:
情报收集.6三、第三阶段:
建立据点.6四、第四阶段:
横向移动.7第四章第四章蓝队也套路蓝队也套路常用的攻击战术常用的攻击战术.9一、利用弱口令获得权限.9二、利用互联网边界渗透内网.10三、利用通用产品组件漏洞.10四、利用安全产品0DAY漏洞.11五、利用人心弱点社工钓鱼.11六、利用供应链隐蔽攻击.12七、利用下属单位迂回攻击.12八、秘密渗透.13九、多点潜伏.146第五章第五章蓝队三十六计蓝队三十六计经典攻击实例经典攻击实例.15一、正面突破跨网段控制工控设备.15二、百折不饶社工钓鱼突破边界.16三、迂回曲折供应链定点攻击.18四、浑水摸鱼社工钓鱼突破系统.20五、声东击西混淆流量躲避侦察.22六、李代桃僵旁路攻击搞定目标.23七、顺手牵羊巧妙种马实施控制.25八、暗渡陈仓迂回渗透取得突破.26第六章第六章蓝队眼中的防守弱点蓝队眼中的防守弱点.28一、资产混乱、隔离策略不严格.28二、通用中间件未修复漏洞较多.28三、边界设备成为进入内网的缺口.28四、内网管理设备成扩大战果突破点.29五、安全设备自身安全成为新的风险点.29附录附录奇安信蓝队能力及攻防实践奇安信蓝队能力及攻防实践.30蓝队视角下的防御体系突破奇安信安服团队奇安信行业安全研究中心2020.1221第一章什么是蓝队蓝队,一般是指网络实战攻防演习中的攻击一方。
蓝队一般会采用针对目标单位的从业人员,以及目标系统所在网络内的软件、硬件设备同时执行多角度、全方位、对抗性的混合式模拟攻击手段;通过技术手段实现系统提权、控制业务、获取数据等渗透目标,来发现系统、技术、人员、管理和基础架构等方面存在的网络安全隐患或薄弱环节。
蓝队人员并不是一般意义上的电脑黑客。
因为黑客往往以攻破系统,获取利益为目标;而蓝队则是以发现系统薄弱环节,提升系统安全性为目标。
此外,对于一般的黑客来说,只要发现某一种攻击方法可以有效地达成目标,通常就没有必要再去尝试其他的攻击方法和途径;但蓝队的目标则是要尽可能地找出系统中存在的所有安全问题,因此往往会穷尽已知的“所有”方法来完成攻击。
换句话说,蓝队人员需要的是全面的攻防能力,而不仅仅是一两招很牛的黑客技术。
蓝队的工作也与业界熟知的渗透测试有所区别。
渗透测试通常是按照规范技术流程对目标系统进行的安全性测试;而蓝队攻击一般只限定攻击范围和攻击时段,对具体的攻击方法则没有太多限制。
渗透测试过程一般只要验证漏洞的存在即可,而蓝队攻击则要求实际获取系统权限或系统数据。
此外,渗透测试一般都会明确要求禁止使用社工手段(通过对人的诱导、欺骗等方法完成攻击),而蓝队则可以在一定范围内使用社工手段。
还有一点必须说明:
虽然实战攻防演习过程中通常不会严格限定蓝队的攻击手法,但所有技术的使用,目标的达成,也必须严格遵守国家相关的法律和法规。
2在演习实践中,蓝队通常会以3人为一个战斗小组,1人为组长。
组长通常是蓝队中综合能力最强的人,需要较强的组织意识、应变能力和丰富的实战经验。
而2名组员则往往需要各有所长,具备边界突破、横向移动(利用一台受控设备攻击其他相邻设备)、情报收集或武器研制等某一方面或几个方面的专长。
蓝队工作对其成员的能力要求往往是综合性的、全面性的。
蓝队成员不仅要会熟练使用各种黑客工具、分析工具,还要熟知目标系统及其安全配置,并具备一定的代码开发能力,以便应对特殊问题。
3第二章蓝队演变趋势“魔高一尺道高一丈”!
防守能力提升的同时,攻击能力也在与时俱进。
目前,蓝队的工作已经变得非常体系化、职业化和工具化,主要变现如下。
1)体系化从漏洞准备、工具准备,到情报收集、内网渗透等,每个人都有明确的分工,有组织地形成团队作战能力,已经很少有一个人干全套的情况了。
2)职业化蓝队人员都来自各组织专职实战演习团队,有明确分工和职责,具备协同配合的职业操守,平时开展专业化训练。
3)工具化工具化程序持续提升,除了使用常用渗透工具,基于开源代码的定制化工具应用增多,自动化攻击被大规模应用,如采用多IP出口的自动化攻击平台进行作业。
从实战对抗的手法来看,现如今的蓝队还呈现出社工化、强对抗和迂回攻击的特点。
1)社工化利用“人”的弱点实施社会工程学攻击,是黑产团伙和高级威胁组织的常用手段,如今也被大量引入实战攻防演习当中。
除了钓鱼、水坑等传统社工攻击手段外,如今的蓝队还会经常通过在线客服、私信好友等多种交互平台进行社工攻击,以便更加高效地获取业务信息。
社工手段的多变性往往会让防守方防4不胜防。
2)强对抗利用0Day漏洞、NDay漏洞、免杀技术等方式与防守方进行高强度的技术对抗,也是近1-2年来蓝队在实战攻防演习中表现出的明显特点。
特别的,蓝队人员大多出自安全机构,经过专业训练,因此往往会比民间黑客更加了解安全软件的防护机制和安全系统的运行原理,其使用的对抗技术也往往更具针对性。
3)迂回攻击对于防护严密,有效监控的目标系统来说,正面攻击往往难以奏效。
这就迫使蓝队越来越多的采用“曲线救国”的攻击方式,将战线拉长:
从目标系统的同级单位和下级单位入手,从供应链及业务合作方下手,在防护相对薄弱的关联机构中寻找突破点,通过迂回攻击的方式攻破目标系统。
5第三章蓝队四板斧攻击的四个阶段蓝队的攻击并非是天马行空的撞大运,而是一个有章可循、科学合理的作战过程。
一般来说,蓝队的工作可分为四个阶段:
站前准备、情报收集、建立据点和横向移动。
我们也常将这个四个阶段称为蓝队工作的“四板斧”。
一、第一阶段:
准备收集在一场实战攻防演习作战开始前,蓝队人员主要会从以下几个方面进行准备。
1)漏洞挖掘漏洞一直是第一攻击力。
前期的漏洞挖掘对于打开突破口显得非常重要,在实战中,漏洞挖掘工作一般会聚焦于互联网边界应用、网络设备、办公应用、运维系统、移动办公、集权管控等方面。
此外,只是找到漏洞还不够,好的漏洞利用方式也是十分重要的。
想要在不通环境下达到稳定、深度的漏洞利用,这对漏洞挖掘人员来说是一个不小的挑战。
2)工具储备工具的目的是为了提升工作效率,好的工具往往能事半功倍,在实战中,蓝队通常需要准备信息收集、钓鱼、远控、WebShell管理、隧道、扫描器、漏洞利用等多种工具。
3)战法策略团队作战考虑的是配合,因此,攻击队成员的分工角色就显得尤为重要,小的战役靠个人,大的战役一定是靠机制、流程以及团队合作。
好的战法策略,对于一场大的战役来讲至关重要。
4)以赛代练6日常的任务中,需要挑选出一些具有代表性的任务来对蓝队进行有针对性的训练,有利于蓝队队员提高自身的技能。
参加各类安全大赛将非常有助于蓝队队员的技术能力提升。
二、第二阶段:
情报收集当蓝队专家接到目标任务后,并不会像渗透测试那样在简单收集数据后直接去尝试各种常见漏洞,而是先去做情报侦察和信息收集工作。
收集的内容包括目标系统的组织架构、IT资产、敏感信息泄露、供应商信息等各个方面。
组织架构包括单位部门划分、人员信息、工作职能、下属单位等;IT资产包括域名、IP地址、C段、开放端口、运行服务、Web中间件、Web应用、移动应用、网络架构等;敏感信息泄露包括代码泄露、文档信息泄露、邮箱信息泄露、历史漏洞泄露信息等方面;供应商信息包括相关合同、系统、软件、硬件、代码、服务、人员等相关信息。
掌握了目标企业相关人员信息和组织架构,可以快速定位关键人物以便实施鱼叉攻击,或确定内网横纵向渗透路径;而收集了IT资产信息,可以为漏洞发现和利用提供数据支撑;掌握企业与供应商合作相关信息,可为有针对性开展供应链攻击提供素材。
而究竟是要社工钓鱼,还是直接利用漏洞攻击,抑或是从供应链下手,一般取决于安全防护的薄弱环节究竟在哪里,以及蓝队对攻击路径的选择。
三、第三阶段:
建立据点在找到薄弱环节后,蓝队专家会尝试利用漏洞或社工等方法去获取外网系统控制权限,一般称之为“打点”或撕口子。
在这个过程中,蓝队专家会尝试绕过WAF、IPS、杀毒软件等防护设备或软件,用最少的流量、最小的动作去实现漏洞利用。
7通过撕开的口子,寻找和内网联通的通道,再进一步进行深入渗透,这个由外到内的过程一般称之为纵向渗透。
如果没有找到内外联通的DMZ区(DemilitarizedZone,隔离区),蓝队专家会继续撕口子,直到找到接入内网的点为止。
当蓝队专家找到合适的口子后,便可以把这个点作为从外网进入内网的根据地。
通过frp、ewsocks、reGeorg等工具在这个点上建立隧道,形成从外网到内网的跳板,将它作为实施内网渗透的坚实据点。
若权限不足以建立跳板,蓝队专家通常会利用系统、程序或服务漏洞进行提权操作,以获得更高权限;若据点是非稳定的PC机,则会进行持久化操作,保证PC机重启后,据点依然可以在线。
四、第四阶段:
横向移动进入内网后,蓝队专家一般会在本机以及内部网络开展进一步信息收集和情报刺探工作。
包括收集当前计算机的网络连接、进程列表、命令执行历史记录、数据库信息、当前用户信息、管理员登录信息、总结密码规律、补丁更新频率等信息;同时对内网的其他计算机或服务器的IP、主机名、开放端口、开放服务、开放应用等情况进行情报刺探。
再利用内网计算机、服务器不及时修复漏洞、不做安全防护、同口令等弱点来进行横向渗透扩大战果。
对于含有域的内网,蓝队专家会在扩大战果的同时去寻找域管理员登录的蛛丝马迹。
一旦发现某台服务器有域管理员登录,就可以利用Mimikatz等工具去尝试获得登录账号密码明文,或者用Hashdump工具去导出NTLM哈希,继而实现对域控服务器的渗透控制。
8在内网漫游过程中,蓝队专家会重点关注邮件服务器权限、OA系统权限、版本控制服务器权限、集中运维管理平台权限、统一认证系统权限、域控权限等位置,尝试突破核心系统权限、控制核心业务、获取核心数据,最终完成目标突破工作。
9第四章蓝队也套路常用的攻击战术在蓝队的实战过程中,蓝队专家们逐渐摸出了一些套路、总结了一些经验:
有后台或登录入口的,会尽量尝试通过弱口令等方式进入系统;找不到系统漏洞时,会尝试社工钓鱼,从人开展突破;有安全防护设备的,会尽量少用或不用扫描器,使用EXP力求一击即中;针对防守严密的系统,会尝试从子公司或供应链来开展工作;建立据点过程中,会用多种手段多点潜伏,防患于未然。
下面介绍九种蓝队最常用的攻击战术。
一、利用弱口令获得权限弱密码、默认密码、通用密码和已泄露密码通常是蓝队专家们关注的重点。
实际工作中,通过弱口令获得权限的情况占据90%以上。
很多企业员工用类似zhangsan、zhangsan001、zhangsan123、zhangsan888这种账号拼音或其简单变形,或者123456、888888、生日、身份证后6位、手机号后6位等做密码。
导致通过信息收集后,生成简单的密码字典进行枚举即可攻陷邮箱、OA等账号。
还有很多员工喜欢在多个不同网站上设置同一套密码,其密码早已经被泄露并录入到了黑产交易的社工库中;或者针对未启用SSO验证的内网业务系统,均习惯使用同一套账户密码。
这导致从某一途径获取了其账户密码后,通过凭证复用的方式可以轻而易举地登录到此员工所使用的其他业务系统中,为打开新的攻击面提供了便捷。
很多通用系统在安装后会设置默认管理密码,然而有些管理员从来没有修改过密码,如admin/admin、test/123456、10admin/admin888等密码广泛存在于内外网系统后台,一旦进入后台系统,便有很大可能性获得服务器控制权限;同样,有很多管理员为了管理方便,用同一套密码管理不同服务器。
当一台服务器被攻陷并窃取到密码后,进而可以扩展至多台服务器甚至造成域控制器沦陷的风险。
二、利用互联网边界渗透内网大部分企业都会有开放于互联网边界的设备或系统,如:
VPN系统、虚拟化桌面系统、邮件服务系统、官方网站等。
正是由于这些设备或系统可以从互联网一侧直接访问,因此也往往会成为蓝队首先尝试的,突破边界的切入点。
此类设备或系统通常都会访问内网的重要业务,为了避免影响到员工使用,很多企业都没有在其传输通道上增加更多的防护手段;再加上此类系统多会集成统一登录,一旦获得了某个员工的账号密码,就可以通过这些系统突破边界直接进入内网中来。
譬如,开放在内网边界的邮件服务如果缺乏审计,也未采用多因子认证;员工平时又经常通过邮件传送大量内网的敏感信息。
如服务器账户密码、重点人员通讯录等。
那么,当掌握相关员工的邮箱账号密码后,在邮件中所获得的信息,会被蓝队下一步工作提供很多方便。
三、利用通用产品组件漏洞信息化的应用提高了工作效率,但其存在的安全漏洞也是蓝队人员喜欢的。
历年实战攻防演习中,经常被利用的通用产品漏洞包括:
邮件系统漏洞、OA系统漏洞、中间件软件漏洞、数据库漏洞等。
这些漏洞被利用后,可以使攻击方快速获取大量账户权限,进而控制目标系统。
而作为防守方,漏洞往往很难被发现,相关活动常常被当作正常业务访问而被忽略。
11四、利用安全产品0Day漏洞安全产品自身也无法避免0Day攻击!
安全产品也是一行行代码构成,也是包含了操作系统、数据库、各类组件等组合而成的产品。
历年攻防实战演习中,被发现和利用的各类安全产品的0Day漏洞,主要涉及安全网关、身份与访问管理、安全管理、终端安全等类型安全产品。
这些安全产品的漏洞一旦被利用,可以使攻击者突破网络边界,获取控制权限进入网络;获取用户账户信息,并快速拿下相关设备和网络的控制权限。
安全产品的0Day漏洞常常是蓝队最好的攻击利器。
五、利用人心弱点社工钓鱼利用人的安全意识不足或安全能力不足,实施社会工程学攻击,通过钓鱼邮件或社交平台进行诱骗,是蓝队专家经常使用的社工手段。
在很多情况下,“搞人”要比“搞系统”容易得多。
钓鱼邮件是最经常被使用的攻击手段之一。
蓝队专家常常会首先通过社工钓鱼或漏洞利用等手段盗取某些安全意识不足的员工邮箱账号;再通过盗取的邮箱,向该单位的其他员工或系统管理员发送钓鱼邮件,骗取账号密码或投放木马程序。
由于钓鱼邮件来自内部邮箱,“可信度”极高,所以,即便是安全意识较强的IT人员或管理员,也很容易被诱骗点开邮件中的钓鱼链接或木马附件,进而导致关键终端被控,甚至整个网络沦陷。
冒充客户进行虚假投诉,也是一种常用的社工手法,攻击方会通过单人或多人配合的方式,通过在线客服平台、社交软件平台等,向客户人员进行虚假的问题反馈或投诉,设局诱使或迫使客服人员接受经过精心设计的带毒文件或带毒压缩包。
一旦客户人员的心理防线被突破,打开了带毒文件或压缩包,客服人员的电脑就会成为攻击队打入内网的一个“立足点”。
12除了客服人员外,很多非技术类岗位的工作人员也很容易成为社工攻击的“外围目标”。
例如,如给法务人员发律师函,给人力资源人员发简历,给销售人员发送采购需求等,都是比较常用的社工方法。
而且往往“百试百灵”。
六、利用供应链隐蔽攻击供应链攻击是迂回攻击的典型方式。
攻击方会从IT(设备及软件)服务商、安全服务商、办公及生产服务商等供应链入手,寻找软件、设备及系统漏洞,发现人员及管理薄弱点并实施攻击。
常见的系统突破口包括:
邮件系统、OA系统、安全设备、社交软件等;常见的突破方式包括软件漏洞,管理员弱口令等。
利用供应链攻击,可以实现第三方软件系统的恶意更新,第三方服务后台的秘密操控,以及物理边界的防御突破(如,受控的供应商驻场人员设备被接入内网)等多种复杂的攻击目标。
七、利用下属单位迂回攻击在有红队防守的实战攻防演习中,有时总部的系统防守会较为严密,蓝队很难正面突破,很难直接撬开进入内网的大门。
此时,尝试绕过正面防御,通过攻击防守相对薄弱的下属单位,再迂回攻入总部的目标系统,就是一种很“明智”的策略。
蓝队大量实战中发现:
绝大部分企业机构,其下属单位之间的内部网络,下属单位与集团总部之间的内部网络,均未进行有效隔离。
很多部委单位、大型央企均习惯于使用单独架设一条专用网络,来打通各地区之间的内网连接,但同时又普遍忽视了不通区域网络之间必要的隔离管控措施,缺乏足够有效的网络访问控制。
这就导致蓝队一旦突破了子公司或分公司的防线,便可以通13过内网横向渗透,直接攻击到集团总部,或是漫游整个企业内网,进而攻击任意系统。
例如A子公司位于深圳,B子公司位于广州,而总部位于北京。
当A子公司或B子公司被突破后,就可以毫无阻拦地进入到总部网络中来。
事实上,A子公司与B子公司可能仅需要访问北京总部的部分业务系统;同时,A与B则可能完全不需要有任何业务上的往来。
那么,从安全角度看,就应该严格限制A与B之间的网络访问。
但实际情况常常是:
一条专线内网通往全国各地,一处沦陷,处处沦陷。
八、秘密渗透不同于民间黑客或黑产团队,蓝队工作一般不会大规模使用漏洞扫描器,因为扫描器活动特征明显,很容易暴露自己。
例如,目前主流的WAF、IPS等防护设备都有识别漏洞扫描器的能力,一旦发现后,可能第一时间触发报警或阻断IP。
因此,信息收集和情报刺探是蓝队工作的基础。
在数据积累的基础上,针对性地根据特定系统、特定平台、特定应用、特定版本,去寻找与之对应的漏洞,编写可以绕过防护设备的EXP来实施攻击操作,可以达到隐蔽攻一击即中的目的。
如果目标系统的防御纵深不够,或使用安全设备的能力不足,当面对这种有针对性攻击时,往往就很难及时发现和阻止攻击行为。
在攻防演习的实战中,常常使用蓝队获取到目标资料或数据后,被攻击单位尚未感知到入侵行为。
如果参与演习的安全人员本身的技术能力也比较薄弱,无法实现对攻击行为的发现、识别,无法给出有效的攻击阻断、漏洞溯源及系统修复策略,则在攻击发生的很长一段时间内,防守一方可能都不会对蓝队的隐蔽攻击采取有效的应对措施。
14九、多点潜伏蓝队专家在工作中,通常不会仅仅站在一个据点上去去开展渗透工作,而是会采取不同的Webshell,使用不同的后门程序,利用不同的协议来建立不同特征的据点。
事实上,大部分应急响应过程并没有溯源攻击源头,也未必能分析完整攻击路径。
在防护设备告警时,很多防守方队员会仅仅只处理告警设备中对应告警IP的服务器,而忽略了对攻击链的梳理,从而导致尽管处理了告警,但仍未能将蓝队排除在内网之外。
而蓝队则可以通过多个潜伏据点,实现快速“死灰复燃”。
如果某些防守方成员专业程度不高,安全意识不足,还有可能在蓝队的“伏击”之下暴露更多敏感信息。
例如,在针对Windows服务器应急运维的过程中,有防守方队员会直接将自己的磁盘通过远程桌面共享挂载到被告警的服务器上。
这样反而可以给秘密潜伏的蓝队进一步攻击防守方成员的机会。
15第五章蓝队三十六计经典攻击实例古人带兵打仗讲三十六计。
而蓝队实战亦是一个攻防对抗的过程,同样是人与人之间的较量,需要出谋划策、斗智斗勇。
在这个过程中,有着“勾心斗角”、“尔虞我诈”,也有着勇往直前、正面硬刚。
为此,我们精选了几个小案例,以三十六计为题向大家更加具体的展现蓝队的常见攻击手法。
一、正面突破跨网段控制工控设备某企业为国内某大型制造业企业,内部生产网大量使用双网卡技术实现网络隔离。
在本次实战攻防演习活动中,攻击队的目标是:
获取该企业工控设备控制权限。
经过前期的情报收集与分析,攻击队制定了首先突破办公网,再通过办公网渗透进入工控网的战略部署。
1)突破办公网攻击队首先选择该企业的门户网站作为突破口,并利用一个0Day漏洞获取了该门户网站应用与操作系统的管理员权限,从而获取到该企业办公内网的接入权限。
在横向移动过程中,攻击队又探测到该企业内网中的多个服务系统和多台服务器。
使用已经获得门户网站管理员账号和密码进行撞库攻击,成功登录并控制了该企业内网中的绝大多数服务器。
这表明,该企业内网中的大量系统服务器都使用了相同的管理账号和密码。
至此,攻击队突破办公网的第一阶段目标顺利完成,并取得了巨大的战果。
接下来的目标就是找到工控网络的突破口。
2)定位运维人员16对已经被攻破的服务器系统进行全面排查,攻击队发现,有多台服务器中存储了用Excel明文记录的密码本,密码本中包含所有系统用户的账户和密码。
同时,服务器上还明文存储了大量机构内部敏感文件,包括企业IT部门的组织架构等信息。
结合组织架构及密码本
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 视角 防御 体系 突破