APT攻击防护方案：构建堡垒网络升级安全防护

Size: px

Start display at page:

Download "APT攻击防护方案：构建堡垒网络升级安全防护"

枪段
5 years ago
Views:

APT 攻击防护方案 : 构建堡垒网络升级安全防护随着信息技术的高速发展, 人类的生活跟网络紧密地联系在了一块儿在电子商务, 网络支付极其发展的今天, 各种安全问题也随之而来网络安全, 已成为当今世界越来越关心的话题之一近年来,APT 高级持续性威胁便成为信息安全圈子人人皆知的 " 时髦名词 ".

1 APT 攻击防护方案 : 构建堡垒网络升级安全防护随着信息技术的高速发展, 人类的生活跟网络紧密地联系在了一块儿在电子商务, 网络支付极其发展的今天, 各种安全问题也随之而来网络安全, 已成为当今世界越来越关心的话题之一近年来,APT 高级持续性威胁便成为信息安全圈子人人皆知的 " 时髦名词 ". 对于像 Google Facebook Twitter Comodo 等深受其害的公司而言,APT 无疑是一场噩梦于是, 引发了行业以及安全从业者对现有安全防御体系的深入思考在 APT 攻击中, 攻击者会花几个月甚至更长的时间对 " 目标 " 网络进行踩点, 针对性地进行信息收集, 目标网络环境探测, 线上服务器分布情况, 应用程序的弱点分析, 了解业务状况, 员工信息等等当攻击者收集到足够的信息时, 就会对目标网络发起攻击, 我们需要了解的是, 这种攻击具有明确的目的性与针对性发起攻击前, 攻击者通常会精心设计攻击计划, 与此同时, 攻击者会根据收集到的信息对目标网络进行深入的分析与研究, 所以, 这种攻击的成功率很高当然, 它的危害也不言而喻要预防这种新型的, 攻击手法极其灵活的网络攻击, 首先, 应该对这种攻击进行深入的探讨研究, 分析 APT 攻击可能会发生的网络环节或者业务环节等 ; 其次要对我们自己的网络进行深入的分析, 了解网络环境中存在的安全隐患, 从而具有针对性地进行防护下图是个比较典型的网络拓扑简图 : ( 图一 ) 参照这个网络拓扑, 结合近几年发生的 APT 攻击, 我们来分析下 APT 攻击 1)2010 年,Google 被攻击事件 :

2 攻击者收集了 Google 员工的信息, 伪造了一封带有恶意链接的邮件, 以信任人的身份发给了 Google 员工, 致使该员工的浏览器被溢出, 接着, 攻击者获取了该员工主机的权限, 并持续监听该员工与 Google 服务器建立的连接, 最终导致服务器沦陷前不久发生的 Facebook 被攻击事件, 与这个极为相似 2)2011 年美国华尔街日报报道的一个安全事件 : 攻击者通过 SQL 注入漏洞, 入侵了外网边缘的 WEB 服务器, 然后以 WEB 服务器为跳板, 对内外进行嗅探扫描, 进而入侵了内外 AD 服务器攻击者在已拿到权限的主机里种了自己的木马, 以公司领导的名义给员工发送了一封带有恶意附件的邮件, 最终导致大量公司内网主机权限被攻击者所拥有 3)RSA SecurID 被窃取事件 : 2011 年 3 月,EMC 公司下属的 RSA 公司遭受入侵, 部分 SecurID 技术及客户资料被窃取其后果导致很多使用 SecurID 作为认证凭据建立 VPN 网络的公司受到攻击, 重要资料被窃取通过以往的 APT 攻击实例, 我们可以总结出, 通常, 典型的 APT 攻击会通过如下途径入侵到您的网络当中 : 1. 通过 WEB 漏洞突破面向外网的 Web Server. 2. 通过被入侵的 Web Server 做为跳板, 对内网的其他服务器或桌面终端进行嗅探扫描, 并为进一步入侵做准备 3. 通过密码爆破或者发送欺诈邮件, 获取管理员帐号, 并最终突破 AD 服务器或核心开发环境, 被攻击者的邮箱自动发送邮件副本给攻击者 4. 通过植入恶意软件, 如木马后门 Downloader 等, 回传大量的敏感文件 (WORD PPT PDF CAD 文件等 ) 5. 通过高层主管邮件, 发送带有恶意程序的附件, 诱骗员工点击, 入侵内网终端 6. 利用 0day. 例如 : 在邮件中添加恶意 URL, 被攻击者一点击 URL, 浏览器被溢出, 主机权限丢失 7. 夹杂着社会工程学的攻击结合图一, 我们可以清楚地看到网络中最有可能被攻击的环节很显然, 图一中的网络有很多问题所以, 我们应该对现有的网络进行调整 ( 网络结构 / 制度等 ), 下面的网络拓扑图是图一的改进版如下图所示 :

3 ( 图二 ) 网络拓扑说明 : 1. 在外部路由出口架设大流量吞吐量的防火墙, 可以有效地防御外部黑客对外部路由进行 DDoS 攻击, 又可以做访问控制策略, 实现初步的安全访问 2. 拓扑的审计系统 ( 堡垒机 ), 是为了保障网络和数据不受来自外部或者内部恶意攻击者的入侵和破坏, 它可以收集和监控网络环境中的每个节点的系统状态, 网络活动等这样就可以方便管理人员集中监控记录分析处理网络中的异常情况, 对整个网络的安全, 起到了不可忽视的作用 3. 核心层连的两台 IDS 设备, 可以有效地监测预警网络攻击当网络中出现异常时,IDS 会报警, 并记录异常状况可以帮助网络管理人员及时发现网络中存在的网络攻击, 做出相应的防护措施 4. 上图的网络拓扑中, 我们在核心 / 汇聚层与接入层之间部署了两台 iptables 防火墙, 是为了进一步控制网络的访问策略, 以保证接入层的安全控制隔离区的各种服务器是我们要重点防护的对象, 所以, 对接入层的访问控制策略, 显得尤为重要 5. 在文件 / 存储服务器区, 部署堡垒机数据库审计系统以保证数据 / 机密文件的安全 6. 也可以按照需求, 在内网部署上网行为管理系统 7. 核心区域可以多加几个防火墙, 按照安全等级的不同, 实行分层防护的策略, 做 1 级安全区域,2 级安全区域

4 当然, 也并不是说, 我们组建这样一个堡垒层层的网络就可以阻挡一切来自外部 / 内部的恶意攻击, 这只是防御攻击的一个必要条件其实, 网络攻防跟现实生活中的战争有很多相似之处, 如果 X 国王建造了一个极其坚固的城墙, 很宽很深的护城河, 而不派兵把守各个要塞, 也不站岗放哨, 那么他的城池被敌军攻破, 只是时间长短的问题! 我们的网络攻防也是如此! 针对图二中我们改进的网络, 要预防 APT 攻击, 笔者认为, 主要有以下十个方面 : 一 WEB 应用程序的安全防护 WEB 应用程序, 是整个网络的第一道防线, 也是整个网络中最容易被外部攻击者攻击的一个环节, 所以,W EB 应用程序的安全显得尤为重要图二拓扑中, 在服务器外部安装了防火墙跟 IDS 设备, 以确保服务器区 (WEB 程序 /Mail 程序 etc.) 的安全控制和监测 WEB 应用程序的安全, 需要注意以下几点 : 1)WEB 应用程序开发环节我们都知道,WEB 应用的开发环节直接影响 WEB 应用的安全所以, 在开发 WEB 应用程序时, 要有严格的安全编码规范标准 (JAVA/PHP/asp.net/asp/perl/python ) 应尽量避免可能会产生的安全问题, 如 : 注入上传文件包含远程/ 本地代码执行 XSS 等漏洞的产生在应用上线之前, 应严格地进行各种安全测试 / 加固 2)WEB 框架, 以及 web 服务器软件按照具体的业务需求, 应合理地选择相对稳定安全的 WEB 框架, 以及 web 服务器软件 (Apache/ Nginx/tomcat/IBM_http_Server.etc.) 选择好 WEB 运行程序之后, 也需要制定安全的配置方案加固方案, 以及维护方案, 以确保系统能够安全稳定地运行 3)WEB 应用防火墙 (WAF) 一个 WAF 是非常有必要的, 虽然它不可能解决所有的安全问题但是, 在一定程度上也可以提高 WEB 的安全系数! 4)WEB 应用后台的安全管理 WEB 应用后台, 也是不可忽视的一个方面我们需要制定一个统一的账户密码管理体系, 同时, 也要对后台的访问做一些控制, 以免恶意攻击者进行暴力猜解等 5) 挂马 /Webshell 检查定期对 WEB 系统进行 Webshell 检查 ( 扫描 ) 6)WEB 漏洞监测系统

5 WEB 漏洞监测 ( 扫描 ) 系统, 定期对 WEB 应用程序进行漏洞扫描, 或者弱点分析同时, 也要进行人工的漏洞挖掘从而发现系统存在 / 可能存在的漏洞 ( 弱点 ) 7) 安全评估与渗透测试定期对 WEB 系统进行安全评估, 以及渗透测试 8) 流量监测与 DDoS 流量监测系统可以清晰地看出进 / 出口的流量情况, 有助于管理员分析 WEB 的运行情况, 以及进 / 出流量是否有异常此外, 也需要有一个防 DDoS CC 系统, 以防备外部黑客的流量攻击 9) 日志管理日志管理方面, 需要部署一个统一的日志管理系统, 这样能够方便管理人员对各种日志进行管理分析并安排专人对每天的日志进行分析若发现异常情况, 应立即向上级领导报告, 分析被攻击因素, 并及时修复漏洞, 此外, 也要根据异常日志, 追踪攻击源 10) 蜜罐部署蜜罐系统, 诱捕恶意攻击者同时, 也可以通过蜜罐来了解对手, 追踪攻击源等二 WEB 服务器网络设备安全 1) 服务器与网络设备账户密码管理对服务器与网络设备账户密码要进行严格管理, 例如 : 密码修改策略, 账户添加 / 删除审批, 以及用户账户的权限管理 / 审批等并定期对服务器和网络设备的账户密码进行检查是否存在异常情况等 2) 服务器与网络设备的安全策略部署服务器与网络设备的时候, 要制定相应的安全部署策略安全加固策略以及访问策略 (ACL) 等, 并及时安装漏洞补丁等定期对安全策略补丁等情况进行检查 3) 日志管理对服务器日志进行统一管理, 并安排专人定期进行日志分析若发现异常, 立即向主管领导反映, 并分析追踪攻击行为! 4) 服务器网络设备漏洞扫描 ( 弱点分析 ) 系统

6 为服务器和网络设备部署漏洞扫描 ( 弱点分析 ) 系统, 定期进行漏洞扫描 ( 弱点分析 ), 同时, 安全人员也应该进行相应的手工漏洞挖掘 ( 分析 ) 工作并定期对服务器网络设备的安全情况进行评估, 审计三运维中心的安全问题运维中心是整个网络的权限 " 集中地 ", 所以, 它的安全关乎整个网络的安全 1) 运维中心员工制度运维中心是整个网络的权限 " 集中地 ", 所以, 必须有一个完善的制度来控制 ( 约束 ) 该部门所掌握的网络权限其中主要有 : 部门员工的保密问题 ; 管理规范问题 ; 核心设备账号密码权限操作的管理问题 ; 部门员工的安全意识问题等这些, 都需要制定相关制度进行约束, 实行责任到人制度! 2) 员工的上网行为约束在职 / 离职员工, 不能在网络上随意公布影响公司网络安全的信息如 : 泄露内部网络结构, 泄露内部员工邮箱等 3) 访问控制策略四内部文件服务器 / 存储服务器的安全此网络区域为 DMZ 区, 主要有公司内部的文件服务器内部存储服务器等本区域与外网隔离 1) 对此部门的网络进行严格的访问控制尤其是高度机密的文件 / 数据存储服务器 2) 服务器的配置加固补丁安装等必须要严格公司服务器安全配置方案, 加固方案, 管理方案进行 3) 严格管理该区服务器的账户密码权限操作等 4) 服务器漏洞扫描 ( 弱点分析 ) 为该区服务器定期进行漏洞扫描 ( 弱点分析 ), 同时, 安全人员也应该进行相应的手工漏洞挖掘 ( 分析 ) 工作并定期对服务器的安全情况进行评估, 审计 5) 日志管理对服务器日志进行统一管理, 并安排专人定期进行日志分析若发现异常, 立即向主管领导反映, 并分析追踪攻击行为!

7 五办公网络的安全 1) 网络访问控制办公网络访问控制, 可以按照各个部门对信息安全等级要求, 来做相应访问控制策略, 如,A 部门对信息安全等级的要求特别高, 那么, 网络管理人员应该对该部门的访问策略严格控制 2) 入侵检测系统可以依靠 IDS 等入侵检测系统来监测网络的安全情况, 网络安全部门工作人员定期对网络进行模拟渗透, 并做相应的安全评估 3) 流量监测系统在办公网络部署一个流量检测系统, 有助于网络管理人员了解网络进 / 出口流量的异常情况, 等等所以, 流量检测系统是非常有必要的, 4)PC 统一补丁管理服务器 (WSUS) WSUS 是微软公司推出的网络化的补丁分发方案, 支持微软的全部产品的更新, 以及补丁程序通过部署 WS US 服务器, 内部网络的客户机可以及时快速地更新 / 升级 windows, 这样就能防止网内用户不打漏洞补丁的问题, 从而提高了办公网络的 PC 安全系数 5) 病毒 / 木马防御系统统一为网内所有主机 ( 包括服务器 ) 安装杀毒软件, 选择杀软的时候, 最好选择国际上比较知名的杀软, 如 : 诺顿, 赛门铁克, 安全部队等 6) 无线网络安全办公网络中, 应尽可能地避免使用无线网络众所周知, 无线网络目前存在诸多安全隐患, 再加上不方便集中管理上网用户, 为了避免外部人员通过无线网络渗透进内网或者机密资料被窃取, 笔者建议, 应谨慎在办公网络部署无线 7)Mail 安全在前面我们提到的 APT 攻击事件中, 我们不止一次看到了因 mail 所引发的攻击事件信息技术高度发展的今天, 是我们生活工作中必不可少的东西, 而我们的普通员工, 很难想象一封 E- mail 中所隐藏的安全隐患, 所以, 一个邮件过滤系统, 是非常有必要的当然, 邮件过滤系统很难完全消

8 除邮件中的安全隐患这方面, 需要制定一些制度, 如 : 规定员工发邮件时不能带链接附件等 ( 如果遇到迫不得已的情况, 可由安全研究检测 / 分析之后再进行浏览 ) 8) 日志管理日志进行统一管理, 并安排专人定期进行日志分析若发现异常, 立即向主管领导反映, 并分析追踪攻击行为! 9) 终端安全制定终端加固管理方案确保每个终端都安全地运行 ( 市面上, 有许多内网管理软件, 可以有选择性地采用 ) 10) 子公司间的策略控制六内网安全 1) 员工上网行为准则规范员工的上网, 可以引导员工去安全地上网, 必要的时候, 可以用制度去约束以确保内网环境安全稳定 2) 员工的安全意识培养安全加固防御做的再好, 如果, 员工没有良好的安全意识, 也不行所以, 应定期对员工进行网络安全方面知识的普及培训等 3) 便携设备带来的安全问题便携设备, 如 U 盘, 移动硬盘, 手机等, 很有可能会把病毒带到我们精心建造的网络中, 或者其他一些问题, 如 :" 泄密 " 等 4) 划分 VLAN 为了网络能够高效, 稳定, 安全地运行, 为各个部门划分 VLAN 是很有必要的 5) 预防 ARP 攻击 ARP 曾经让众多网络管理员苦不堪言,ARP 是内网极其常见的攻击手段, 预防 ARP 攻击比较有效的方法,mac 绑定 (mac 双向绑定 )

9 6) 内网文件传输内网进行文件传输共享的时候, 按照文件 / 资料的安全等级要求, 进行加密传输 7) 打印机扫描仪等设备的安全七 0day 0day, 被誉为网络中的杀器, 它的危害更具杀伤力 ( 如 : 浏览器 0day office 0day 操作系统 0day 等 ) 对于 0day 漏洞的攻击, 一直以来都让人头疼的问题为了 0day 危害减到最小, 应该研究 \ 开发一个监测系统, 如沙盒行为分析, 特征分析等用于对恶意代码的监测 / 拦截若截获到恶意代码片, 研究人员应立即进行深入的分析此外, 也应该关注国内外安全动向 ( 包括民间组织 / 个人 ), 以及类似国外的一些 0day 交易网站等八社会工程学社会工程学, 已不再是一个多么新鲜的话题了但, 我们不得不承认的是, 不管是在普通的网络攻击, 还是我们今天所谈的 APT 攻击中, 它都扮演着非常重要的角色了解社会工程学的人都知道, 社会工程学的攻击, 是从 " 人 " 开始的然而, 我们的网络防御, 其中很重要的一环也是人这正符合社会工程学的攻击思想 0day 漏洞可怕, 但出现在网络攻击中的社会工程学同样很可怕! 所以, 我们应该对社工有个比较全面的认识, 从而, 去理智地分辨我们身边存在 / 可能存在的 " 社工 " 行为以及 " 社工 " 因素, 进而避免我们自己被 " 社工 ". 社会工程学是一个很泛的东西, 跟技术性的防范不同, 它有很多不确定的因素在里边, 这就使得防范社会工程学攻击的难度增加对于社会工程学的防范, 我有这么几点建议 : 1) 防范来自企业内部的主动 / 被动的社会工程学攻击来自企业内部 " 主动 " 的社会工程学攻击, 指来自企业内部 " 不安分 " 员工的攻击 " 被动 " 社会工程学攻击, 内部员工因为信息泄露等因素, 被外部攻击者所利用而引发的攻击 2) 防范邮件 /IM 中的社会工程学在之前的 APT 攻击实例中, 我们不止一次看到了因为邮件所带来的攻击所以, 对这方面, 应该要特别注意 3) 来自下属公司以及合作伙伴的攻击下属公司合作伙伴等都是企业比较 " 信任 " 的一些对象由于 " 信任 ", 所以, 在展开业务合作的时候, 由于各方面原因所导致的泄密事件等就像我们看过的港片那样, 或许另一种无间道就会在你身边上演 4) 由第三方公司引发的攻击事件

10 由第三方公司引发的攻击事件, 如 :DNS 提供商域名提供商服务器托管商等国内也常有此类攻击事件发生 5) 管理方面的疏漏 6) 业务层方面的疏漏九信息安全防御体系的建设信息安全体系的建设是整个企业网络安全工作中的重中之重, 有完整规范科学的安全防御体系, 才能保证各项信息安全防御工作顺利有序地进行信息安全防御体系的建设主要有 : 1) 信息安全监测系统 2) 信息安全防御系统 3) 安全评估体系 4) 安全审计体系 5) 安全预警体系 6) 规范严谨科学的制度 / 流程 7) 安全研究团队的建设十网络安全应急响应企业内部网络安全研究团队应积极响应安全事件, 攻击事件同时, 要密切关注国内外网络安全动向, 通过外部报道的攻击事件, 从中吸取吸取经验教训, 不断完善改进工作中的不足总结 : 网络攻防将长期存在, 我们都知道, 没有绝对安全的系统所以, 网络防御, 是一项持久繁琐的工作, 当然,APT 防御也是如此

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON

APT攻击防护方案：构建堡垒网络 升级安全防护

APT攻击防护方案：构建堡垒网络升级安全防护