【兵臨城下】系列公開課是盛邦安全基于多年攻防實戰經驗，針對重保及攻防演習等場景而推出的系列直播活動，將從資產暴露面梳理、攻擊面管理、脆弱性自查、安全防線加固、協同聯動防御以及攻擊溯源、應急響應等全流程進行梳理。

本期公開課的主題是“構建藍隊第二道防線——針對黑客行為的專項防護規則”，以下實錄文字供大家參考。

各位線上的朋友大家好，我是盛邦安全的聶曉磊，今天我們繼續來分享攻防實戰中的防守技巧。上一期我們講到，根據攻擊者的特點和路徑分析，在防守過程中需要建立三道防線：收斂攻擊面、守好關鍵點和內網防失陷。

假如攻擊者已經突破了第一道防線，開始尋找重點目標，那么接下來我們應該怎么做呢？首先還是要分析攻擊者的下一步動作，上一期我們提到過，攻擊者自己的資源也是有限的，因此他們不會輕易的暴露自己。所以，在重點突擊時，他們既不能大范圍的進行掃描，也不能使用特征過于明顯的攻擊，這些都很容易暴露而導致攻擊IP被封堵，當然也不能慢條斯理地做各種嘗試。

在有限的時間、有限的資源內，也就是說在有限的攻擊窗口期內，攻擊者會緊盯一些所謂的“高價值”目標采取行動。在這里我們列舉了三類典型的系統：

一、辦公系統，比如OA系統或者郵件服務器等。這類系統的特點是目標明顯、好找，但是承載的用戶信息卻很多，一旦被攻擊者控制就會泄露大量的情報信息，既可以被用來釣魚，又可以用來制作口令爆破的字典等等，是攻擊者喜歡的突破口之一。

二、遠控系統，比如一些遠程桌面的系統、VPN系統等等。很顯然，這類系統本身就是用來遠程辦公和協作的，所以天然具有直通內網的通道，一旦被控制就相當于暴露了內網環境。

三、集權系統，包括堡壘機、域控，各種管理平臺比如云管平臺等等，這類系統普遍具有更高的內網權限，并且與內網的其他系統交互較多，所以是攻擊者關注的重點，一旦被控制就直接威脅到核心系統的安全。

針對這些重點目標，攻擊者采用的突破方式有很多，但這幾年大家提及較多的還是0day漏洞。因為0day漏洞的特點是還未公開或剛剛公布，所以沒有提前檢測的POC用例，也沒有針對性很強的防護規則，所以對目標系統的威脅較大。

在這里我們列舉了幾類需要重點注意的漏洞類型，包括OA、項目管理等業務系統的漏洞；各類設備或產品的漏洞，比如VPN或者殺毒軟件的管理控制臺等；當然還有操作系統的漏洞，大家需要重點關注一些身份管理類、遠程控制類和遠程執行類的漏洞；最后就是熱度較高也是大家通常較頭疼的漏洞——中間件類的漏洞，這里列舉的都是容易出現的類型，比如S2的漏洞、WebLogic的漏洞、Shiro的反序列化漏洞等等。

這些系統或組件的利用率高，攻擊者的關注度也高，因此漏洞出現的也很頻繁，對于防守方而言必須要持續關注和反復檢查。

那么面對這些防不勝防的攻擊，防守方怎么做才能守住自己的關鍵系統呢？我們概括了重點目標防護的“三步走”：最小化權限控制、專項規則防護和白名單防護。

首先，要對系統自身加強安全控制，限制開放的權限，細化訪問控制策略并做好審計工作；然后針對攻擊者可能采用的手段建立專項的防護規則，針對性的進行攔截，收縮防守陣地；最后，對于核心保護對象，在靠近系統的位置建立白名單策略，采用嚴格的防護手段。這其實也是縱深的一種思路。

這就是我們今天要分享的第二道防線，針對黑客行為的專項防護規則。為了應對攻擊方在中期的定向突破行為，通過專項規則加白名單相結合的方式來構筑防線，一方面可以有針對性的攔截高危的攻擊，另一方面可以通過非白即黑的策略來屏蔽異常訪問，從而達到守好關鍵點的效果?？傊?，在第二道防線中我們要做到三點，嚴把關鍵位置、嚴防定向攻擊和嚴守關鍵系統。

從產品部署和技巧來看，第二道防線除了進行查漏補缺的部署之外，還需要靈活應用縱深防御的思想，在邊界部署準確率高的專項規則，在靠近目標服務器的位置則針對性的設置白名單策略，找到業務和安全的平衡點。

第二道防線中的幾個核心技術能力：

一、專項規則。我們根據攻擊者常采用的漏洞利用攻擊和后門工具攻擊，針對性建立了幾套專項檢測規則，包括熱門組件漏洞的規則、重點設備漏洞的規則，還有各種webshell和遠控工具的規則。這些規則覆蓋了近幾年各類實戰攻防場景中的攻擊手段，以及熱門高危漏洞，后續我們會持續更新，確保防守側能夠進行精準判斷；另外，除了專項規則的維護外，我們還通過語義分析和機器學習引擎來進行訓練以應對變種威脅。

二、口令爆破防護。針對重點目標的口令安全，我們利用口令字典、反向校驗與請求限制等方式來檢查和攔截，包括對默認口令的收集和各類簡單口令、重復口令的編制。概括而言，該技術的要點就是檢查口令的健壯性、訪問來源的真實性和請求行為的合法性。

三、內網防DDoS。在實戰中由于DDoS比較依賴資源支撐并且需要應對各種限制，因此在外網側相對較少。但攻擊者進入內網后，為了獲取目標系統的權限，則可能會采用DDoS攻擊消耗其系統資源，從而導致系統處理異常并暴露缺陷。因此，在內網，我們可以采用連接限制加DDoS識別清洗的方式來做綜合防護。

四、自學習白名單的能力。針對核心系統，我們在前面專項規則的防護下，還可以再加一道保險，那就是白名單。其實白名單是一種嚴格的安全策略，如果業務系統自身設計不規范，白名單策略很容易造成誤傷。但是在實戰化場景中，白名單的防護又是更可靠的，因此我們為了兼顧業務和安全，一方面需要將白名單策略建立在最貼近業務的位置，另一方面需要采用自學習的方式來建立白名單模型，兼顧業務的可用性。根據以往的經驗，通常會提前至少兩周進行業務學習和建模，保證系統搜集足夠的正常業務樣本，之后直接啟用白名單策略，這樣就能達到更好的防護效果。

概括而言，構筑第二道防線可總結為以下三點：

1、建立專項規則，應對0day威脅等高危攻擊，提高攻擊檢測精度；

2、建立白名單策略，提升對重點系統和關鍵業務的安全防護強度；

3、守好關鍵系統，整體上降低內網失陷風險。