前 言 认为好运青睐勇敢的人是一种错误的理念。事实上，好运总是青睐有准备的人。当公司经历严重的安全事故时，你所做的准备以及对这一事件必然性的理解决定了公司能否从事故中成功恢复。不论你是本地社区大学的安全负责人，还是国际银行的首席信息安全官(Chief Information Security Officer，CISO)，上述事实同样适用。 霍华德·拉夫曾说，“诺亚建造方舟时，天并未下雨。” 做好准备的第一步就是要树立意识。 攻击的相似性 我们总是认为自己必须为系统安装补丁程序并确保网络的安全，因为黑客会大范围扫描网络地址，寻找未执行上述操作的受害者，这些黑客会入侵他们遇到的任何脆弱的系统。从某种程度来说这种认知是对的——总有人喜欢攻击那些能被轻松入侵的系统。20世纪80年代也是如此——如果你清楚自己面临的攻击，防御公共交换电话网络(Public Switched Telephone Network，PSTN)上的战争拨号很容易。然而，如果你被某个既有时间又有资源的攻击者盯上，问题则变得截然不同。简单地说，无论是20世纪80年代还是现在，耐心地针对某些用户实施攻击以入侵目标公司的系统通常都是最好的方式。然而，与其他行业一样，安全公司也在不停地以不同的时髦名词销售“新的”产品和服务，这个新名词就是高级持续性威胁。 高级持续性威胁(Advanced Persistent Threat，APT) 与传统入侵不同，APT特别具有目标导向性。攻击者试图寻找一些内容(例如某些专用数据)并用足够的耐心去获取它们。虽然我不建议将复杂的流程分解成简单的列表或流程图，但所有APT通常具有以下特征： l 初始化攻击——通常借助社会工程学实现。针对某一终端的攻击通常包括某一核心技术组件(例如Java小程序)，但如果缺少令人信服的托词，攻击通常注定会失败。尽管可以自主地选择托词，但若想取得成功，你通常需要针对目标公司或其雇员定制托词。随意尝试不同的攻击传递方式然后攻击上钩的对象并不是合适的APT建模方式，攻击者通常不会这样做。 l 建立攻击的前沿阵地——确保不需要重复初始化攻击就能进一步访问被攻陷的网络资产。命令与控制(Command & Control，C2)可以实现这一功能，你最好创建自己能够完全理解并在必要时可根据需求定制的C2。《渗透测试高手打造固若金汤的安全网络》在介绍C2各方面时强调的一个关键点是在确保C2安全性的同时必须使其网络流量看上去合法。这个问题很容易解决。 l 权限提升——获取本地管理员和域管理员权限。实现这一目的的方法有很多，《渗透测试高手打造固若金汤的安全网络》将着重介绍一些最实用且可靠的方法以及一些关键概念。 l 内部侦察——从周边基础设施、信任的关系以及Windows域结构中收集信息。对任何APT活动来说，获得成功的一个关键因素是态势感知。 l 扩大控制的网络范围——借助收集到的管理员凭据或其他攻击扩大对其他网络设施的控制。这种方式又称为“内网漫游”，攻击者在目标网络内部创建稳定的操作平台后，通过这种方式扩大自己在基础设施中的影响力并利用其他主机。 l 持续性——确保能够通过命令与控制持续地控制目标。持续性主要意味着无论目标机器是否重新启动，你都能随时访问目标。 l 完成任务——渗漏窃取到的数据。这是APT中最重要的一部分。攻击者对破坏系统、篡改网页或窃取信用卡账号(除非这些内容对达成最终目标有所帮助)不感兴趣。一般来说，攻击者的目标非常明确——通常是专有数据——当他们定位并渗漏出这些数据后攻击就完成了。 我是一名职业渗透测试工程师(你也可以称我为专业“黑客”)，在过去二十年的大部分时间里，我为每一种可能的客户和市场工作。《渗透测试高手打造固若金汤的安全网络》介绍了这些工作经历。我想向读者介绍传统渗透测试在保护机构免受有针对性的APT攻击时几乎失效的原因。现代渗透测试的方法陷入了停滞，只有打破僵局才能实现对APT的防御。 下一代技术 有许多技术宣称自己能够防御APT攻击并阻止未知的恶意软件。其中一些产品表现尚可，它们的确通过提供某种程度的行为分析增强了安全性——例如，通过查看.exe文件的行为而不是易被绕过的反病毒特征来捕捉Metasploit回调函数。然而，在这种情况下，APT建模依然很容易，因为理解上述工具的行为非常容易。真正的APT攻击由专业的攻击者实施，这些攻击者非常了解现代入侵检测和防御系统的工作原理，并能开发出自己的攻击工具。因此，我在介绍APT建模技术时主要使用SSH协议，因为该协议在解决许多问题的同时还能够使生成的流量看上去合法。我们有必要思考APT的本质及其原因。许多商业机构或其他组织错误地理解了高级持续性威胁，却仍在提供建议及销售服务。下面这篇发表在InfoWorld 上的文章恰好能够反驳我最近在网上看到的一些错误观念。 l 判断是否遭受APT攻击的特征一：夜间登录次数激增——纯属无稽之谈。攻击者在攻陷目标后(无论采用何种攻击方式)不会使用任何会被审计的登录方式，因为他们已经部署了自己的命令与控制基础设施。无论是深夜还是其他时间你都不会看到他们的登录记录。 当一个老练的攻击者创建自己的C2后，审计日志很有可能无法记录任何信息。攻击者很可能会绕开这些机制。 l 判断是否遭受APT攻击的特征二：查找被广泛部署的后门木马——我将在《渗透测试高手打造固若金汤的安全网络》中反复向读者灌输反病毒软件和其他恶意软件检测工具对APT无效的观念。“A”代表高级，攻击者不仅能够开发自己的工具，还可以伪装可用的公开工具。你所发现的后门木马(不管其是否被广泛部署)往往是外部攻击者事先部署的、故意让你发现的诱饵。 l 判断是否遭受APT攻击的特征三：意外信息流——“我希望所有的电子邮件客户端都能够显示用户最近一次登录、查收电子邮件的位置以及访问上一条信息的位置。Gmail和其他云电子邮件系统已经向用户提供此项功能。” 任何电子邮件系统(或其他系统)都可以记录远程IP地址并执行实时分析以检测异常行为。但是，如果攻击者在你的网络内部访问电子邮件，源IP地址将来自你自己的网络。随着浏览器攻击的频发，这种情况将变得更加常见。 l 判断是否遭受APT攻击的特征四：发现意外的数据压缩文件——寄希望于偶然发现包含有价值数据的ZIP文件(查找这些文件很方便)并不是实现信息安全的好方法。尽管此类文件的存在很可能是系统被入侵的标志(Indicator of Compromise, IoC)，但这种方法不可靠也无法重复。你应该认为，既然攻击者能够进入内部网络窃取宝贵的数据，他们就一定知道如何使用删除命令。 l 判断是否遭受APT攻击的特征五：检测哈希传递攻击工具——我并不清楚为何唯独关注“哈希传递攻击”——特别是它们应作为攻击框架的一部分，而不是单独存在。尽管如此，虽然此类工具的存在可以被认为是IoC，但你将在《渗透测试高手打造固若金汤的安全网络》中了解到APT攻击者不会以这种方式在被攻陷的主机上部署能够被检测到的攻击软件。隐蔽性和耐心是APT的标志。 “黑客” 我们对“黑客”的认知已经发生了翻天覆地的变化。“黑客”一词已经过时，其所呈现的内涵完全是错误的，我倾向于使用中性的术语，如：攻击者或外部活动者。你会了解到目前从事攻击活动的人比当年那些拥有大把时间的青少年无政府主义者要糟糕得多。在黑客活动的“黄金年代”，马克·阿贝尼 、凯文·普尔森 和凯文·米特尼克 等是典型的英雄人物，与今天相比那个年代竟然难以置信的纯真。当下的情形比20世纪80年代激励了许多黑客的计算机科幻小说中描述的场景还要光怪陆离。 这几年我异常忙碌。斯诺登的披露震惊了全世界，这直接导致科技行业对安全的态度发生了广泛变化。2013年，我与一家客户开展了一场在披露发生前无法想象的沟通——他们想要规避的对象是美国国家安全局(National Security Agency，NSA)。该客户并非暴民，而是一家具有良好口碑的世界500强公司。知识产权盗窃呈上升趋势且规模不断扩大。出于我的工作性质，我可以肯定地说读者所了解到的只是那些披露给媒体的攻击事件，与未被媒体报道的内容相比，它们仅是冰山一角。我每天都会接触到此类安全事件。不幸的是，对更广泛的科技行业来说，入侵目标系统(包括恰当执行的渗透测试)比保护其不受攻击要容易得多。系统从安全变得脆弱就像上千人中有人犯一个小错误那样简单。 忘记你对渗透测试的所有认知 没有什么是安全的。读者至少应该收获这样一条经验——一个坚定的攻击者总是处于优势地位，并且(极少数除外)企业越大，不安全因素越多。因为大企业意味着更多的待监控对象、更多的网络出站和入站点、业务单元间的边界模糊不清以及更多的用户。当然，这并不意味着大型企业应该放弃希望，但仅“遵照安全程序”是不够的。 尽管这种全面的或开放范围的测试的好处显而易见，但至少与传统的渗透测试相比，APT建模在现实中极少执行。其原因有二：人们认为APT建模收费更高(事实并非如此)以及企业极少想做这一等级的审查。企业只想遵从他们的安全政策和法定要求。你一定听到过遵从HIPAA 、SOX 或PCI 标准之类的术语，供应商将他们打包在一起就好像它们有什么具体含义似的，但它们的存在只是让律师们开心并获得高薪，而且该产品包很容易销售。即使你的企业遵从PCI标准，但仍可能极度脆弱。读者可以去了解一下T.J.Maxx 或索尼公司，T.J.Maxx花费多年才恢复人们对其品牌的信心，而大量的数据泄露意味着索尼公司所受的损害目前仍在评估中。这足以说明以追求合规的心态看待安全性是有害的。我在此反复强调这一点，因为我想确保读者彻底理解遵从安全策略和安全并不是一回事。 《渗透测试高手打造固若金汤的安全网络》组织架构 如前所述，我将在《渗透测试高手打造固若金汤的安全网络》中探讨在现实世界中执行APT建模，但《渗透测试高手打造固若金汤的安全网络》的内容并不完全拘泥于此。我将介绍一个可行的APT测试框架，并在每章中添加一些解决不同问题所需的功能，并将结果应用于所讨论的目标环境。在介绍时，我将尽可能做到与源代码无关，但由于你需要开发自己的工具——有时需要使用不熟悉的编程语言——因此，坚实的编程知识是必不可少的。 《渗透测试高手打造固若金汤的安全网络》每一章都介绍了我对某特定行业的APT建模经验。因此，每一章都会引入新的概念、思想并启发读者。我认为从不同的行业背景、对安全的态度以及能力差异巨大的网络防御人员等角度来介绍APT建模很有价值。如果你是一名渗透测试工程师，你会有所收获。如果你的职责是防止攻击者入侵所在单位的系统，你会了解到一些让你半夜睡不着的内容，但《渗透测试高手打造固若金汤的安全网络》也会告诉你如何构建更具弹性的防御措施。 我无意写作一本枯燥乏味的技术手册，《渗透测试高手打造固若金汤的安全网络》的每个章节都采用了类似的格式——以不同的行业作为背景，我们在其上探究新的技术、攻击方式及主题。这不仅包括成功的攻击向量，还包括权限提升、规避恶意软件检测、态势感知、内网漫游以及多种能够帮助读者深入理解高级可持续威胁和APT建模的关键技术。虽然我给出了许多示例，但《渗透测试高手打造固若金汤的安全网络》的目标并不是简单地提供一些代码和脚本，而是鼓励读者更宽泛地、从根本上理解这些问题，从而能够以新的方式思考并开发自己的工具。 l 第1章“医疗记录的安全性”讨论针对医院基础设施的攻击，阐述宏攻击和浏览器攻击等概念，并初步介绍C2。 l 第2章“数据窃取研究”以一所研究型大学遭受的攻击为背景探讨使用Java小程序作为攻击向量，并讨论更高级的C2。 l 第3章“21世纪的抢劫”讨论如何针对银行等高安全性目标执行渗透测试和采用了DNS协议的高级C2技术。 l 第4章“制药业”介绍一场针对制药公司的攻击，并以此为背景介绍客户端利用及将Metasploit等第三方框架集成到C2。 l 第5章“枪支弹药”介绍勒索软件仿真以及使用洋葱路由(The Onion Router，Tor)隐蔽服务来掩盖C2基础设施的物理地址。 l 第6章“犯罪情报”以入侵某警察总部为背景描述，当能够短暂访问攻击目标时使用“爬虫盒”实现长期的攻击活动。此外，该章还将介绍权限提升和通过HTML应用程序部署攻击等概念。 l 第7章“战争游戏”探讨针对保密网络的攻击，并阐释公开资源情报收集和命令与控制中的高级概念。 l 第8章“攻击出版社”展示了如何利用出版社采用的技术和工作流程来攻击。本章探讨新兴的多元媒体及实验性的C2方法，并介绍社会工程学中的高级概念。 现在，让我们一同开启高级渗透测试之旅。

• 暂无课件
• 暂无样章
• 暂无网络资源

扫描二维码
下载APP了解更多

版权图片链接