知道创宇云安全|防DDoS攻击_防CC攻击_免费CDN加速_网站加速_高防DNS

攻防对抗+溯源反制，创宇蜜罐实战分享实录（附PPT+直播回放）

来源：知道创宇2020.11.27

立即试用创宇蜜罐

一、实战对抗中的攻击套路

实战对抗的典型场景——攻防演练，有两个显著特点：

1）短期的高强度网络对抗

2）有条件限定的模拟攻防演练

虽然只是模拟的攻防演练，但也是在一定条件下无限接近于真实的攻击场景。

这种实战对抗有三个突出特征：高烈度、不对等和受控。

1、侦察阶段

攻击者在做攻击事前准备时，无可避免地会对想攻击的企业或单位所拥有的资产进行目标信息收集；并对搜集到的信息尝试去拿入口权限；拿到权限取得初步成果后再进行深入攻击，然后扩大攻击战果。

在此阶段，攻击手法不限于寻找防守方的真实IP以及一些目标子域名，由于想要攻击的目标信息量非常大，时间和人力的限制便成为了攻击方的操作局限。

因此在众多目标中，攻击者会由易到难地进行尝试；或找准某个目标，直奔其进行尝试；也可能会在互联网公开的平台，如网盘等网站上寻找目标单位遗漏的企业信息或文档等内容。

2、武器构建

根据第一步侦察阶段获取到的系统信息后，攻击者通常会大量收集相关的0day、nday漏洞，并将其内置到已经准备好的攻击工具中，进行一些小范围的尝试性攻击。

在此阶段，部分IDS中可能会记录这些尝试性的攻击，外网应用、邮箱等帐号可能会记录口令爆破甚至小规模DDoS的攻击类型。一些攻击者也可能会使用公开的攻击工具，而公开的工具会带有一定的已知特征。

3、攻击投送/利用/安装

在经历了侦察和武器准备后，攻击者便会开始尝试发动攻击。通过对目标业务系统进行攻击武器的投递、漏洞的利用以及程序安装，对防守方的基础服务端口尝试各种getshell利用。

在此阶段，攻击者很可能会用到大量钓鱼攻击尝试拿到企业内部账号、身份信息；当攻击者进入内网后，会搜集和窃取企业内各种敏感凭证；当攻击者拿下了内网某一设备时，一定会尝试横向渗透，并尝试对内网主机进行远程命令执行。

以上攻击套路不仅存在于攻防演练中，更存在于日常安全运维中。在日常运维中，攻击方发起攻击的时间不确定、方式不确定、攻击者身份不确定。我们需时刻警惕，做好预防措施及安全应急方案。

二、全方位的主动防御体系

针对以上攻击方式，我们也需要具有一定套路的防御方式去尽可能消耗掉有限的攻击资源，逼迫攻击者使用真实IP，方便我们对业务进行防御，并追溯到攻击者的身份。

基于此，我们提出了基于蜜罐建立的防御方案——主动防御体系。这套方案的主旨是：消灭防守方在攻防对抗中信息不对称劣势，制造针对攻击方信息不对称的优势。

1、防守方案的绘制

通过蜜罐部署防守方案，其目的是层层设防、层层迷惑，延长攻击时间，增加攻击成本。

感知、诱捕和溯源便是蜜罐在攻击过程中最重要的三大功能。

1）攻击事前：信息收集、踩点

这一步，我们的任务是扰乱攻击者。

针对蜜罐的数据维护，一方面可以对蜜罐内部的仿真数据进行日常更新和维护；另一方面，对蜜罐系统制造一些访问记录，增加数据仿真性。通过这些方式，蜜罐的“甜度”会比较高，诱骗性也会更好。

并且，在外网部署蜜罐时应该尽量模拟一些第三方系统或开源系统，诱导攻击者在外网花费时间进行攻击目标的熟悉以及脆弱点的发现，以此给防守方争取更多的机会获取攻击者信息，以达到提前识别黑客威胁，提前做好防御手段的目的。

2）攻击事中：内网横向渗透

这一步，我们应考虑如何诱骗攻击者。

3）攻击事后：溯源分析

在攻击事后，我们需要应对的是如何溯源分析攻击人员、攻击流量。

创宇蜜罐会记录下攻击者所有的攻击行为、攻击流量，分析出黑客在蜜罐中尝试攻击所用的攻击路径以及攻击手法。事后将威胁日志提供给客户，客户可以有针对性的比对资产，进行针对性的安全加固工作。

通过蜜罐内集成的溯源插件，可全面绘制黑客的身份画像，通过联动创宇的安全服务和安全能力，为客户提供攻击流量的全网溯源。在绘制黑客画像时，可获取其真实的IP地址、MAC地址，以及所用设备，如浏览器、电脑设备上的一些特定指纹信息。通过溯源插件能够尽可能获取到黑客在社交网站上的账号，从而确定其在网络上的虚拟身份，为之后定位自然人提供更多的信息依据。