網(wǎng)絡(luò )安全之背鍋俠是怎樣煉成的
第一章 引子
? ? ? ?近年來(lái),隨著(zhù)網(wǎng)絡(luò )的不斷發(fā)展,網(wǎng)絡(luò )安全越來(lái)越受到各行各業(yè)的關(guān)注?!毒W(wǎng)絡(luò )安全法》的制定,推動(dòng)了國民經(jīng)濟重點(diǎn)領(lǐng)域在信息安全方面的投入,等級保護2.0的到來(lái),帶來(lái)了合規建設新機遇。與此同時(shí),用戶(hù)數據和隱私安全事件頻發(fā),棱鏡門(mén)、勒索病毒更是成為人們茶余飯后的談資。借此機會(huì ),筆者以朋友小白的親身經(jīng)歷,講述一個(gè)我們身邊的網(wǎng)絡(luò )安全故事。
? ? ? ?小白,就讀于某交通大學(xué)計算機應用技術(shù)專(zhuān)業(yè),天資聰慧,家境殷實(shí),大學(xué)期間基本以打游戲談戀愛(ài)為主業(yè),彈得一手好吉他,日子過(guò)得怡然自得。然而轉眼臨近畢業(yè),考慮到即將到來(lái)就業(yè)問(wèn)題,小白有些捉急了,不得不鼓足勁頭,臨陣磨槍沖刺各種認證考試,一路過(guò)五關(guān)、斬六將,順利拿到某軟、某為認證,直到順利拿到NISP一級證書(shū),這才大松口氣。
? ? ? ?畢業(yè)后,小白順利進(jìn)入某集團公司網(wǎng)絡(luò )信息部擔任技術(shù)員。經(jīng)過(guò)半年的學(xué)習,小白逐漸進(jìn)入角色,安裝配置各種路由器、防火墻信手沾來(lái),各種系統的運維更是輕車(chē)熟路,各類(lèi)計算機打印機等等之類(lèi)的辦公設備也能修上一修,更因為掌握了數據恢復的硬功夫深得部門(mén)女同事仰慕。因為公司職員眾多,網(wǎng)絡(luò )架構復雜,各類(lèi)問(wèn)題層出不窮,小白雖然忙的焦頭爛額,但是熟能生巧,日常工作基本游刃有余,而且技術(shù)水平得到了很大的提高,甚至幾個(gè)老同事也發(fā)現按照小白的指導開(kāi)展工作會(huì )更有效率,在外人看來(lái),已然一副工程師派頭。
? ? ? ? 工作兩年多后,公司因為業(yè)務(wù)發(fā)展及信息化應用需求,建設了標準化機房和私有云,同時(shí)引進(jìn)部署了OA等集成辦公系統,極大提高了公司工作效率。小白因為在工作期間表現突出,學(xué)習能力強,被集團任命為信息部副主任,主要負責機房設備的運維工作。機房設備及辦公系統均為新購置,日常操作培訓等有信息部其他同事負責,小白終于閑了下來(lái),生活又恢復了大學(xué)時(shí)候的怡然自得,吉他終于又能彈起來(lái)了,偶爾還能吃吃雞。每每與同事酒足飯飽之后,小白竟覺(jué)得路由表與琴弦的觸感有極強的相似性…
第二章 飛來(lái)橫禍(GUO)
? ? ? ? 就這樣又過(guò)了一年,這天一大早,小白接到信息部同事的電話(huà),反應某業(yè)務(wù)系統無(wú)法正常使用,小白急忙趕到公司,經(jīng)過(guò)初步檢查,故障是服務(wù)端無(wú)響應造成的,類(lèi)似情況之前也有發(fā)生。
? ? ? ? “重啟一下服務(wù)器就好了”,小白一邊想一邊登入服務(wù)器后,看到桌面顯示,小白瞬間懵(握)了(草)!
? ? ? ? 服務(wù)器所有文件均被改為不規則英文后綴,無(wú)法正常讀取,試圖打開(kāi)文件后,會(huì )彈出窗口要求向指定地址支付比特幣獲得解密文件的密鑰,小白按照癥狀搜索后得知,服務(wù)器這是中了勒索病毒!
? ? ? ? 為避免病毒擴散,小白緊急切斷了服務(wù)器網(wǎng)絡(luò ),又百度了解了 “勒索病毒”關(guān)鍵詞。
? ? ? ? 原來(lái)勒索病毒早在2017年就已出現,曾襲擊全球150多個(gè)國家和地區,影響領(lǐng)域包括政府部門(mén)、醫療服務(wù)、通信等多個(gè)行業(yè),中國高校校園網(wǎng)及醫療系統網(wǎng)絡(luò )也成為重災區。受到感染后,勒索軟件會(huì )將用戶(hù)系統上所有的文檔、數據庫、源代碼、圖片、壓縮文件等數據文件進(jìn)行某種形式的加密操作,使之不可用。重點(diǎn)是感染勒索病毒后,即便繳納贖金,文件也可能無(wú)法恢復。只能在把硬盤(pán)低格后,重新安裝操作系統,也就意味著(zhù)服務(wù)器上的數據要全完了!
? ? ? ? 了解完這些,小白急匆匆向主管領(lǐng)導辦公室走去,然后詳細匯報了當前情況以及可能產(chǎn)生的后果。
? ? ? ? “小白,A科技公司前段時(shí)間不是來(lái)我們公司拜訪(fǎng)過(guò)么,你盡快聯(lián)系一下他們的工程師,描述一下我們遇到的問(wèn)題,請他們提供解決方案,最好能派遣人員過(guò)來(lái)現場(chǎng)協(xié)助我們處理,一定要將損失降到最低,盡快恢復業(yè)務(wù)運行,其他部門(mén)我來(lái)協(xié)調?!敝鞴茴I(lǐng)導安排道。
? ? ? ? 小白支支吾吾了好一會(huì )兒,原來(lái)A科技公司聯(lián)系人的名片已經(jīng)被他順手丟掉了,還好主管領(lǐng)導有保存的電話(huà)號碼,這次小白認真的記錄了下來(lái)。
第三章 亡羊補牢,為時(shí)未晚
? ? ? ? 情況緊急,小白一分鐘也不敢耽擱,第一時(shí)間與A公司工程師取得聯(lián)系,詳細介紹了所遇狀況,A公司緊急響應,工程師在10分鐘后便趕到了現場(chǎng),首先切斷了所有存有重要數據設備的網(wǎng)絡(luò ),隨后對其他服務(wù)器和設備進(jìn)行檢測,所幸未發(fā)現其他數據被加密的情況。
? ? ? ? 經(jīng)過(guò)對中毒服務(wù)器仔細診斷,本次事件是攻擊者通過(guò)RDP遠程桌面弱口令枚舉,暴力破解服務(wù)器密碼,使用工具強制結束殺毒軟件進(jìn)程,手動(dòng)上傳勒索病毒軟件,實(shí)施數據加密。
勒索病毒常用攻擊手段一
勒索病毒常用攻擊手段(小白公司遭遇的攻擊形式)
? ? ? ? 考慮到數據恢復的復雜性及辦公系統的緊迫需求,經(jīng)請示部門(mén)領(lǐng)導同意,將中毒服務(wù)器硬盤(pán)低格后重新安裝操作系統,重新搭建辦公系統軟件,導入異地備份的數據,同時(shí)對服務(wù)器進(jìn)行了多方面的加固,包括:
? ? ? ? 安裝補?。?/strong>WannaCry勒索病毒軟件是攻擊者通過(guò)改造之前泄露的NSA黑客武器庫中“永恒之藍”攻擊程序發(fā)起的網(wǎng)絡(luò )攻擊,利用了微軟基于445 端口傳播擴散的 SMB 漏洞MS17-010,微軟已在2017年3月14日發(fā)布的MS17-010漏洞補丁,下載地址http://www.yizhugong.com/Item/84.aspx。
? ? ? ? 修改遠程桌面端口:遠程桌面默認端口為3389,修改為其他端口可降低被暴力破解的可能性。
? ? ? ? 配置防火墻:開(kāi)啟防火墻,并為445、135、137、138、139等端口設置阻斷連接的規則。
? ? ? ? 修改密碼:被暴力破解服務(wù)器密碼并成功投放勒索病毒的設備,設備管理員密碼均為類(lèi)似123abc的弱密碼,很容易被破解,將設備管理密碼設置為包含字母+數字+符號的強密碼組合,同時(shí)多臺設備避免使用同一密碼,有效防止密碼暴力破解。
? ? ? ? 安裝殺毒軟件:安裝現階段主流殺毒軟件,配置殺毒軟件關(guān)閉、卸載密碼,防止惡意停止殺毒軟件進(jìn)程。
? ? ? ? 配置完這些,給服務(wù)器插上網(wǎng)線(xiàn),辦公系統終于重新投入使用,雖然近一周數據缺失,但公司業(yè)務(wù)終于恢復正常,損失尚在承受范圍內。
? ? ? ? 隨后,小白并未松懈,會(huì )同A公司工程師對所有服務(wù)器及辦公電腦進(jìn)行排查及加固。
? ? ? ? 排查工作直到第二天早上才結束,看到一臺臺設備重新正常運行,小白懸著(zhù)的心終于落了下來(lái),排查過(guò)程中,小白也沒(méi)放過(guò)向A公司工程師學(xué)習的機會(huì ),虛心請教了網(wǎng)絡(luò )安全管理的要點(diǎn),心中對后續工作已經(jīng)有了清晰的計劃。
第四章 塞翁失馬,焉知非福
? ? ? ? 經(jīng)過(guò)此次事件,小白深刻了解到網(wǎng)絡(luò )安全的重要性,也深刻理解了數據備份的重要性,一改往日的摸魚(yú)狀態(tài),制定了詳細的工作及學(xué)習計劃,開(kāi)啟了奮斗模式。
? ? ? ? 1、了解網(wǎng)絡(luò )安全形勢
? ? ? ? 這一研究,小白嚇了一跳,過(guò)去的一年里,從ATT&CK模型框架的興起到實(shí)戰化攻防環(huán)境的建立,從反序列化漏洞的攻防博弈到VPN漏洞的異軍突起,從不斷APT化發(fā)展的勒索攻擊到廣撒網(wǎng)的挖礦活動(dòng),從不斷受地緣政治影響的APT攻擊到新冠疫情引發(fā)的花式攻擊,從MaaS模式的逐漸成熟到惡意軟件家族間“合作”案例的逐漸增多……
參考資料《啟明星辰網(wǎng)絡(luò )安全態(tài)勢觀(guān)察報告》
2019-2020年流行漏洞TOP10
? ? ? ? 2020年上半年,我國捕獲計算機惡意程序樣本數量約1815萬(wàn)個(gè),日均傳播次數達483萬(wàn)余次,涉及計算機惡意程序家族約1.1萬(wàn)余個(gè)。我國境內受計算機惡意程序攻擊的IP地址約4208萬(wàn)個(gè),約占我國IP總數的12.4%,感染計算機惡意程序的主機數量約304萬(wàn)臺,同比增長(cháng)25.7%。層出不窮的網(wǎng)絡(luò )安全事件時(shí)刻提醒著(zhù)我們越來(lái)越嚴峻的網(wǎng)絡(luò )安全態(tài)勢。
數據來(lái)源:《2020年上半年我國互聯(lián)網(wǎng)網(wǎng)絡(luò )安全監測數據分析報告》
2、學(xué)習各類(lèi)安全設備功能及特色
? ? ? ? 了解了眼下嚴峻的網(wǎng)絡(luò )安全形勢,小白又對常用安全設備進(jìn)行了深入研究,充分了解其功能及部署方式:
? ? ? ? 防火墻(FW): 主要用于兩個(gè)網(wǎng)絡(luò )之間做邊界防護,企業(yè)中更多使用的是企業(yè)內網(wǎng)與互聯(lián)網(wǎng)的NAT、包過(guò)濾規則、端口映射等功能。其抵御的是外部的攻擊,對內部的病毒 (如ARP病毒) 或攻擊作用不大。多采用網(wǎng)關(guān)模式部署,可替代路由器并提供更多的功能。
? ? ? ? 入侵防御 (IPS):一般都具有防火墻的功能,對網(wǎng)絡(luò )攻擊的防御更具有針對性,其可對數據包進(jìn)行檢測,對蠕蟲(chóng)、病毒、木馬、拒絕服務(wù)等攻擊進(jìn)行查殺。(防火墻允許符合規則的數據包進(jìn)行傳輸,對數據包中是否有病毒代碼或攻擊代碼并不進(jìn)行檢查,而入侵防御則通過(guò)更深的對數據包的檢查)。部署方式同防火墻。
? ? ? ? 入侵檢測(IDS):通過(guò)對計算機網(wǎng)絡(luò )及系統中若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析,從中發(fā)現網(wǎng)絡(luò )或系統中是否有違反安全策略的行為和被攻擊的跡象。采用旁路部署模式,通過(guò)在核心交換機上設置鏡像口,將鏡像數據發(fā)送到入侵檢測設備。?
? ? ? ? 上網(wǎng)行為管理:對上網(wǎng)用戶(hù)進(jìn)行流量管理、上網(wǎng)行為日志進(jìn)行審計、對應用軟件或站點(diǎn)進(jìn)行阻止或流量限制等。多采用透明模式部署,將設備部署在網(wǎng)關(guān)與核心交換之間,對上網(wǎng)數據進(jìn)行管理。
? ? ? ? 漏洞掃描系統:基于漏洞數據庫,通過(guò)掃描等手段對指定的遠程或者本地計算機系統的安全脆弱性進(jìn)行檢測,發(fā)現可利用的漏洞的一種安全檢測(滲透攻擊)行為,其還可以生成相關(guān)報告,提供漏洞修復意見(jiàn)等。
? ? ? ? 運維安全審計:為了保障網(wǎng)絡(luò )和數據不受來(lái)自?xún)炔亢戏ㄓ脩?hù)的不合規操作帶來(lái)的系統損壞和數據泄露,而運用各種技術(shù)手段實(shí)時(shí)收集和監控網(wǎng)絡(luò )環(huán)境中每一個(gè)組成部分的系統狀態(tài)、安全事件、網(wǎng)絡(luò )活動(dòng),以便集中報警、記錄、分析、處理的一種技術(shù)手段,可對事后處理提供有利證據。旁路模式部署。使用防火墻對服務(wù)器訪(fǎng)問(wèn)權限進(jìn)行限制,只能通過(guò)堡壘機對網(wǎng)絡(luò )設備/服務(wù)器/數據庫等系統操作。
? ? ? ? 安全隔離網(wǎng)閘:一種由帶有多種控制功能專(zhuān)用硬件在電路上切斷網(wǎng)絡(luò )之間的鏈路層連接,并能夠在網(wǎng)絡(luò )間進(jìn)行安全適度的應用數據交換的網(wǎng)絡(luò )安全設備。(防火一般在兩套網(wǎng)絡(luò )之間做邏輯隔離,而網(wǎng)閘可以做物理隔離)。常部署于內外網(wǎng)之間。
? ? ? ? 網(wǎng)絡(luò )安全審計:針對互聯(lián)網(wǎng)行為提供有效的行為審計、內容審計、行為報警、行為控制及相關(guān)審計功能。滿(mǎn)足用戶(hù)對互聯(lián)網(wǎng)行為審計備案及安全保護措施的要求,提供完整的上網(wǎng)記錄,便于信息追蹤、系統安全管理和風(fēng)險防范。采用旁路部署模式,通過(guò)在核心交換機上設置鏡像口,將鏡像數據發(fā)送到審計設備。
? ? ? ? 數據庫安全審計:數據庫安全審計系統主要用于監視并記錄對數據庫服務(wù)器的各類(lèi)操作行為??删_到每一條SQL命令,并有強大的報表功能。采用旁路部署模式,通過(guò)在核心交換機上設置鏡像口,將鏡像數據發(fā)送到審計設備。
? ? ? ? 日志審計:通過(guò)對網(wǎng)絡(luò )設備、安全設備、主機和應用系統日志進(jìn)行全面的標準化處理,及時(shí)發(fā)現各種安全威脅、異常行為事件,為管理人員提供全局的視角,確??蛻?hù)業(yè)務(wù)的不間斷運營(yíng)安全。旁路模式部署。通常由設備發(fā)送日志到審計設備, 或在服務(wù)器中安裝代理,由代理發(fā)送日志到審計設備。
? ? ? ? WEB應用防護系統(WAF):WAF的防護對象是網(wǎng)站及B/S結構的各類(lèi)系統,針對HTTP/HTTPS協(xié)議進(jìn)行分析,對SQL注入攻擊、XSS攻擊、Web攻擊進(jìn)行防護,通常部署在web應用服務(wù)器前進(jìn)行防護。
參考資料:《e安在線(xiàn)》
? ? ? ? 3、起草調查報告及建議書(shū)
? ? ? ? 通過(guò)對勒索病毒攻擊事件的反思,小白起草了本次事件的匯報文件,詳細闡述了事件過(guò)程、處理結果、造成的損失以及暴露出來(lái)公司網(wǎng)絡(luò )安全意識薄弱,安全設備缺乏,無(wú)應急處理預案等問(wèn)題。同時(shí)根據自己近段時(shí)間的學(xué)習成果,針對公司所面臨的問(wèn)題提出了建議。
? ? ? ? 4、起草各類(lèi)網(wǎng)絡(luò )安全方面規章制度
? ? ? ? 在主管領(lǐng)導的授意下,小白根據現行法律及規章制度要求,結合公司實(shí)際情況,起草了包括《信息安全工作總體方針和安全策略》、《網(wǎng)絡(luò )安全保護管理制度》、《網(wǎng)絡(luò )安全應急處理預案》、《網(wǎng)絡(luò )安全保密制度》、《信息資產(chǎn)管理制度》、《數據安全及備份恢復管理制度》、《機房管理制度》等在內的一系列管理制度,經(jīng)過(guò)仔細修訂后,交予行政部審批。
第五章 尾聲
? ? ? ? 不久,小白起草的網(wǎng)絡(luò )安全方面的規章制度通過(guò)行政部審核,下發(fā)全集團執行。同時(shí),小白提交的調查報告及建議書(shū)得到公司管理層的高度重視,安排信息部門(mén)會(huì )同A公司制定詳細的網(wǎng)絡(luò )升級改造及安全防護方案并予以實(shí)施。
? ? ? ? 一個(gè)多月后,防護和審計等網(wǎng)絡(luò )安全設備全部上架調試完畢,正式投入使用。
? ? ? ? 小白按照機房管理制度嚴格執行著(zhù)日常巡檢工作,與之前不同的是,小白前往機房的腳步因為內心的從容與自信而變的堅實(shí)、穩定……
?
【返回首頁(yè)】 【關(guān)閉窗口】