跟著信息手藝的高速成長，人類的糊口跟收集慎密地聯(lián)系在了一路。在電子商務，收集付出極其成長的今天，各類安然標題問題也隨之而來。收集安然，已成為現(xiàn)當代界愈來愈關心的話題之一。比來幾年來，APT高級延續(xù)性威脅便成為信息安然圈子人人皆知的"時髦名詞"。對像Google、Facebook、Twitter、Comodo等深受其害的公司而言，APT無疑是一場惡夢。因而，激發(fā)了行業(yè)和安然從業(yè)者對現(xiàn)有安然防御系統(tǒng)的深進思慮。
在APT報復打擊中，報復打擊者會花幾個月乃至更長的時候對"方針"收集進行踩點，針對性地進行信息匯集，方針收集環(huán)境探測，線上辦事器漫衍環(huán)境，利用法度的弱點闡發(fā)，體味營業(yè)狀況，員工信息等等。當報復打擊者匯集到足夠的信息時，就會對方針收集倡議報復打擊，我們需要體味的是，這類報復打擊具有明白的目標性與針對性。倡議報復打擊前，報復打擊者凡是會精心設計報復打擊打算，與此同時，報復打擊者會按照匯集到的信息對方針收集進行深進的闡發(fā)與研究，所以，這類報復打擊的成功率很高。當然，它的風險也不言而喻。要預防這類新型的，報復打擊手法極其矯捷的收集報復打擊，起首，應當對這類報復打擊進行深進的切磋、研究，闡發(fā)APT報復打擊可能會產生的收集環(huán)節(jié)或營業(yè)環(huán)節(jié)等;其次要對我們本身的收集進行深進的闡發(fā)，體味收集環(huán)境中存在的安然隱患，從而具有針對性地進行防護。
下圖是個比較典型的收集拓撲簡圖：
(圖一)
參照這個收集拓撲，連絡近幾年產生的APT報復打擊，我們來闡發(fā)下APT報復打擊。
1)2010年，Google被報復打擊事務：
報復打擊者匯集了Google員工的信息，捏造了一封帶有歹意鏈接的郵件，以信賴人的身份發(fā)給了Google員工，導致該員工的瀏覽器被溢出，接著，報復打擊者獲得了該員工主機的權限，并延續(xù)監(jiān)聽該員工與Google辦事器成立的連接，最終導致辦事器淪亡。前不久產生的Facebook被報復打擊事務，與這個極其類似。
2)2011年美國《華爾街日報》報導的一個安然事務：
報復打擊者經由過程SQL注進縫隙，進侵了外網邊緣的WEB辦事器，然后以WEB辦事器為跳板，對表里進行嗅探、掃描，進而進侵了表里AD辦事器。報復打擊者在已拿到權限的主機里種了本身的木馬，以公司帶領的名義給員工發(fā)送了一封帶有歹意附件的郵件，最終導致大年夜量公司內網主機權限被報復打擊者所具有。
3)RSA SecurID被盜取事務：
2011年3月，EMC公司部屬的RSA公司蒙受進侵，部門SecurID手藝及客戶資料被盜取。厥后果導致良多利用SecurID作為認證根據(jù)成立VPN收集的公司遭到報復打擊，首要資料被盜取。
經由過程以往的APT報復打擊實例，我們可以總結出，凡是，典型的APT報復打擊會經由過程以下路子進侵到您的收集傍邊：
1.經由過程WEB縫隙沖破面向外網的Web Server。
2.經由過程被進侵的Web Server做為跳板，對內網的其他辦事器或桌面終端進行嗅探、掃描，并為進一步進侵做預備。
3.經由過程暗碼爆破或發(fā)送訛詐郵件，獲得治理員帳號，并最終沖破AD辦事器或核心開辟環(huán)境，被報復打擊者的郵箱主動發(fā)送郵件副本給報復打擊者。
4.經由過程植進歹意軟件，如木馬、后門、Downloader等，回傳大年夜量的敏感文件(WORD、PPT、PDF、CAD文件等)。
5.通太高層主管郵件，發(fā)送帶有歹意法度的附件，拐騙員工點擊，進侵內網終端。
6.操縱0day。例如：在郵件中添加歹意URL，被報復打擊者一點擊URL，瀏覽器被溢出，主機權限丟掉。
7.同化著社會工程學的報復打擊。
連絡圖一，我們可以清晰地看到收集中最有可能被報復打擊的環(huán)節(jié)。很明顯，圖一中的收集有良多標題問題。所以，我們應當對現(xiàn)有的收集進行調劑(收集布局/軌制等),下面的收集拓撲圖是圖一的改進版。以下圖所示：
(圖二)
收集拓撲申明：
1.在外部路由出口架設大年夜流量吞吐量的防火墻，可以有效地防御外部黑客對外部路由進行DDoS報復打擊，又可以做拜候節(jié)制策略，實現(xiàn)初步的安然拜候。
2.拓撲的審計系統(tǒng)(碉堡機)，是為了保障收集和數(shù)據(jù)不受來自外部或內部歹意報復打擊者的進侵和粉碎，它可以匯集和監(jiān)控收集環(huán)境中的每個節(jié)點的系統(tǒng)狀況，收集勾當?shù)?。如許便可以便利治理人員集中監(jiān)控、記實、闡發(fā)、措置收集中的異常環(huán)境，對全部收集的安然，起到了不成忽視的感化。
3.核心層連的兩臺IDS設備，可以有效地監(jiān)測、預警收集報復打擊。當收集中呈現(xiàn)異常時，IDS會報警，并記實異常狀況?？梢詭兔κ占卫砣藛T及時發(fā)現(xiàn)收集中存在的收集報復打擊，做出響應的防護辦法。
4.上圖的收集拓撲中，我們在核心/會聚層與接進層之間擺設了兩臺iptables防火墻，是為了進一步節(jié)制收集的拜候策略，以包管接進層的安然節(jié)制。隔離區(qū)的各類辦事器是我們要重點防護的對象，所以,對接進層的拜候節(jié)制策略，顯得尤其首要。
5.在文件/存儲辦事器區(qū)，擺設碉堡機、數(shù)據(jù)庫審計系統(tǒng)。以包管數(shù)據(jù)/奧秘文件的安然。
6.也能夠遵循需求，在內網擺設上彀行動治理系統(tǒng)。
7.核心區(qū)域可以多加幾個防火墻，遵循安然等第的不合，實施分層防護的策略，做 1級安然區(qū)域，2級安然區(qū)域。
當然，也其實不是說，我們組建如許一個碉堡層層的收集便可以反對一切來自外部/內部的歹意報復打擊，這只是防御報復打擊的一個需要前提。其實，收集攻防跟實際糊口中的戰(zhàn)爭有良多類似的地方，假定X國王建造了一個極其堅毅的城墻，很寬很深的護城河，而不派兵據(jù)守各個要塞，也不站崗放哨，那么他的城池被敵軍攻破，只是時候長短的標題問題!我們的收集攻防也是如斯!
針對圖二中我們改進的收集，要預防APT報復打擊，筆者覺得，首要有以下十個方面：
一. WEB利用法度的安然防護
WEB利用法度，是全部收集的第一道防地，也是全部收集中最等閑被外部報復打擊者報復打擊的一個環(huán)節(jié)，所以，WEB利用法度的安然顯得尤其首要。圖二拓撲中，在辦事器外部安裝了防火墻跟IDS設備，以確保辦事器區(qū)(WEB法度/Mail法度etc.)的安然節(jié)制和監(jiān)測。WEB利用法度的安然，需要寄望以下幾點：
1)WEB利用法度開辟環(huán)節(jié)
我們都知道，WEB利用的開辟環(huán)節(jié)直接影響WEB利用的安然。所以，在開辟WEB利用法度時，要有嚴格的安然編碼規(guī)范尺度(JAVA/PHP/asp.net/asp/perl/python…)應盡可能避免可能會產生的安然標題問題，如：注進、上傳、文件包含、長途/本地代碼履行、XSS等縫隙的產生。在利用上線之前，應嚴格地進行各類安然測試/加固。
2)WEB框架，和web辦事器軟件
遵循具體的營業(yè)需求，應合理地選擇相對不變、安然的WEB框架，和web辦事器軟件(Apache/ Nginx/tomcat/IBM_http_Server.etc.)。選擇好WEB運行法度以后，也需要擬定安然的建設方案、加固方案，和保護方案，以確保系統(tǒng)可以或許安然、不變地運行。
3)WEB利用防火墻(WAF)
一個WAF是很是有需要的，當然它不成能解決所有的安然標題問題。可是，在必然程度上也能夠進步WEB的安然系數(shù)!
4)WEB利用后臺的安然治理
WEB利用后臺，也是不成忽視的一個方面。我們需要擬定一個統(tǒng)一的賬戶、暗碼治理系統(tǒng)，同時，也要對后臺的拜候做一些節(jié)制，以避免歹意報復打擊者進行暴力猜解等。
5)掛馬/Webshell查抄
按期對WEB系統(tǒng)進行Webshell查抄(掃描)。
6)WEB縫隙監(jiān)測系統(tǒng)
WEB縫隙監(jiān)測(掃描)系統(tǒng)，按期對WEB利用法度進行縫隙掃描，或弱點闡發(fā)。同時，也要進行人工的縫隙發(fā)掘。從而發(fā)現(xiàn)系統(tǒng)存在/可能存在的縫隙(弱點)。
7)安然評估與滲入測試
按期對WEB系統(tǒng)進行安然評估，和滲入測試。
8)流量監(jiān)測與DDoS
流量監(jiān)測系統(tǒng)可以清晰地看出進/出口的流量環(huán)境，有助于治理員闡發(fā)WEB的運行環(huán)境，和進/出流量是不是有異常。別的，也需要有一個防DDoS、CC系統(tǒng)，以防御外部黑客的流量報復打擊。
9)日記治理
日記治理方面，需要擺設一個統(tǒng)一的日記治理系統(tǒng)，如許可以或許便利治理人員對各類日記進行治理、闡發(fā)。并放置專人對每天的日記進行闡發(fā)。若發(fā)現(xiàn)異常環(huán)境，該當即向上級帶領陳述，闡發(fā)被報復打擊身分，并及時修復縫隙，別的，也要按照異常日記，追蹤報復打擊源。
10)蜜罐
擺設蜜罐系統(tǒng)，誘捕歹意報復打擊者。同時，也能夠經由過程蜜罐來體味敵手，追蹤報復打擊源等。
2、WEB辦事器、收集設備安然
1)辦事器與收集設備賬戶、暗碼治理
對辦事器與收集設備賬戶、暗碼要進行嚴格治理，例如：暗碼點竄策略，賬戶添加/刪除審批，和用戶賬戶的權限治理/審批等。并按期對辦事器和收集設備的賬戶、暗碼進行查抄是不是存在異常環(huán)境等。
2)辦事器與收集設備的安然策略
擺設辦事器與收集設備的時辰，要擬定響應的安然擺設策略、安然加固策略、和拜候策略(ACL)等，并及時安裝縫隙補丁等。按期對安然策略、補丁等環(huán)境進行查抄。
3)日記治理
對辦事器日記進行統(tǒng)一治理，并放置專人按期進行日記闡發(fā)。若發(fā)現(xiàn)異常，當即向主管帶領反應，并闡發(fā)、追蹤報復打擊行動!
4)辦事器、收集設備縫隙掃描(弱點闡發(fā))系統(tǒng)
為辦事器和收集設備擺設縫隙掃描(弱點闡發(fā))系統(tǒng)，按期進行縫隙掃描(弱點闡發(fā))，同時，安然人員也應當進行響應的手工縫隙發(fā)掘(闡發(fā))工作。并按期對辦事器、收集設備的安然環(huán)境進行評估，審計。
3、運維中間的安然標題問題
運維中間是全部收集的權限"集中地"，所以，它的安然關乎全部收集的安然。
1)運維中間員工軌制
運維中間是全部收集的權限"集中地"，所以，必需有一個完美的軌制來節(jié)制(束縛)該部門所掌控的收集權限。此中首要有：部門員工的保密標題問題;治理規(guī)范標題問題;核心設備、賬號暗碼、權限、把持的治理標題問題;部門員工的安然意識標題問題等。這些，都需要擬定相干軌制進行束縛，實施責任到人軌制!
2)員工的上彀行動束縛
在職/離人員工，不克不及在收集上隨便發(fā)布影響公司收集安然的信息。如：泄漏內部收集布局，泄漏內部員工郵箱等。
3) 拜候節(jié)制策略
4、內部文件辦事器/存儲辦事器的安然
此收集區(qū)域為DMZ區(qū)，首要有公司內部的文件辦事器、內部存儲辦事器等。本區(qū)域與外網隔離。
1)對此部門的收集進行嚴格的拜候節(jié)制。特別是高度奧秘的文件/數(shù)據(jù)存儲辦事器。
2)辦事器的建設、加固、補丁安裝等。必需要嚴格公司辦事器安然建設方案，加固方案，治理方案進行。
3)嚴格治理該區(qū)辦事器的賬戶暗碼、權限、把持等。
4)辦事器縫隙掃描(弱點闡發(fā))
為該區(qū)辦事器按期進行縫隙掃描(弱點闡發(fā))，同時，安然人員也應當進行響應的手工縫隙發(fā)掘(闡發(fā))工作。并按期對辦事器的安然環(huán)境進行評估，審計。
5)日記治理
對辦事器日記進行統(tǒng)一治理，并放置專人按期進行日記闡發(fā)。若發(fā)現(xiàn)異常，當即向主管帶領反應，并闡發(fā)、追蹤報復打擊行動!
5、辦公收集的安然
1)收集拜候節(jié)制
辦公收集拜候節(jié)制，可以遵循各個部門對信息安然等第要求，來做響應拜候節(jié)制策略，如，A部門對信息安然等第的要求出格高，那么，收集治理人員應當對該部門的拜候策略嚴格節(jié)制。
2)進侵檢測系統(tǒng)
可以依托IDS等進侵檢測系統(tǒng)來監(jiān)測收集的安然環(huán)境，收集安然部門工作人員按期對收集進行摹擬滲入，并做響應的安然評估。
3)流量監(jiān)測系統(tǒng)
在辦公收集擺設一個流量檢測系統(tǒng)，有助于收集治理人員體味收集進/出口流量的異常環(huán)境，等等。所以，流量檢測系統(tǒng)是很是有需要的，
4)PC統(tǒng)一補丁治理辦事器(WSUS)
WSUS是微軟公司推出的收集化的補丁分發(fā)方案，撐持微軟的全數(shù)產品的更新，和補丁法度。經由過程擺設WSUS辦事器，內部收集的客戶機可和時、快速地更新/進級windows，如許就可以避免網內用戶不打縫隙補丁的標題問題，從而進步了辦公收集的PC安然系數(shù)。
5)病毒/木馬防御系統(tǒng)
統(tǒng)一為網內所有主機(包含辦事器)安裝殺毒軟件，選擇殺軟的時辰，最好選擇國際上比較馳名的殺軟，如：諾頓，賽門鐵克，安然戎行等…
6)無線收集安然
辦公收集中，應盡可能地避免利用無線收集。盡人皆知，無線收集今朝存在諸多安然隱患，再加上不便利集中治理上彀用戶，為了不外部人員經由過程無線收集滲入進內網或奧秘資料被盜取，筆者建議，應謹嚴在辦公收集擺設無線。
7)Mail安然
在前面我們提到的APT報復打擊事務中，我們不止一次看到了因mail所激發(fā)的報復打擊事務。信息手藝高度成長的今天，E-mail是我們糊口、工作中必不成少的東西，而我們的通俗員工，很難想象一封E-mail中所隱躲的安然隱患，所以，一個郵件過濾系統(tǒng)，是很是有需要的。當然，郵件過濾系統(tǒng)很難完全消弭郵件中的安然隱患。這方面，需要擬定一些軌制，如：劃定員工發(fā)郵件時不克不及帶鏈接、附件等(假定碰著必不得已的環(huán)境，可由安然研究檢測/闡發(fā)以后再進行瀏覽)。
8)日記治理
日記進行統(tǒng)一治理，并放置專人按期進行日記闡發(fā)。若發(fā)現(xiàn)異常，當即向主管帶領反應，并闡發(fā)、追蹤報復打擊行動!
9)終端安然
擬定終端加固、治理方案。確保每個終端都安然地運行。(市道上，有良多內網治理軟件，可以有選擇性地采取)
10)子公司間的策略節(jié)制
6、內網安然
1)員工上彀行動準則
規(guī)范員工的上彀，可以指導員工往安然地上彀，需要的時辰，可以用軌制往束縛。以確保內網環(huán)境安然、不變。
2)員工的安然意識培養(yǎng)
安然加固、防御做的再好，假定，員工沒有杰出的安然意識，也不可。所以，應按期對員工進行收集安然方面常識的普及、培訓等。
3)便攜設備帶來的安然標題問題
便攜設備，如U盤，移動硬盤，手機等，很有可能會把病毒帶到我們精心建造的收集中，或其他一些標題問題，如："泄密"等…
4)劃分VLAN
為了收集可以或許高效，不變，安然地運行，為各個部門劃分VLAN是很有需要的。
5)預防ARP報復打擊
ARP曾讓浩繁收集治理員苦不堪言，ARP是內網極其常見的報復打擊手段，預防ARP報復打擊比較有效的編制，mac綁定(mac雙向綁定)。
6)內網文件傳輸
內網進行文件傳輸、共享的時辰，遵循文件/資料的安然等第要求，進行加密傳輸。
7)打印機、掃描儀等設備的安然。
7、0day
0day，被譽為收集中的殺器，它的風險更具殺傷力(如：瀏覽器0day、office 0day、把持系統(tǒng)0day等)。對0day縫隙的報復打擊，一向以來都讓人頭疼的標題問題。為了0day風險減到最小，應當研究\開辟一個監(jiān)測系統(tǒng)，如沙盒行動闡發(fā)，特點闡發(fā)等…用于對歹意代碼的監(jiān)測/反對。若截獲到歹意代碼片，研究人員該當即進行深進的闡發(fā)。別的，也應當存眷國表里安然動向(包含平易近間組織/小我)，和近似國外的一些0day生意網站等…
8、社會工程學
社會工程學，已不再是一個多么新穎的話題了。但，我們不克不及不承認的是，非論是在通俗的收集報復打擊，仍是我們今天所談的APT報復打擊中，它都扮演著很是首要的角色。體味社會工程學的人都知道，社會工程學的報復打擊，是從"人"開端的。但是，我們的收集防御，此中很首要的一環(huán)也是人。這正合適社會工程學的報復打擊思惟。0day縫隙可駭，但呈此刻收集報復打擊中的社會工程學一樣很可駭!所以，我們應當對社工有個比較周全的熟諳，從而，往理智地辯白我們身邊存在/可能存在的"社工"行動和"社工"身分，進而避免我們本身被"社工"。社會工程學是一個很泛的東西，跟手藝性的防備不合，它有良多不肯定的身分在里邊，這就使得防備社會工程學報復打擊的難度增加。對社會工程學的防備，我有這么幾點建議：
1)防備來自企業(yè)內部的主動/被動的社會工程學報復打擊
來自企業(yè)內部"主動"的社會工程學報復打擊，指來自企業(yè)內部"不安分"員工的報復打擊。"被動"社會工程學報復打擊，內部員工因為信息泄漏等身分，被外部報復打擊者所操縱而激發(fā)的報復打擊。
2)防備郵件/IM中的社會工程學
在之前的APT報復打擊實例中，我們不止一次看到了因為郵件所帶來的報復打擊。所以，對這方面，應當要出格寄望。
3)來自部屬公司和合作火伴的報復打擊
部屬公司、合作火伴等…都是企業(yè)比較"信賴"的一些對象。因為"信賴"，所以，在展開營業(yè)合作的時辰，因為各方面啟事此至使的泄密事務等…就像我們看過的港片那樣，或許另外一種《無間道》就會在你身邊上演。
4)由第三方公司激發(fā)的報復打擊事務
由第三方公司激發(fā)的報復打擊事務，如：DNS供給商、域名供給商、辦事器托管商等。國內也常有此類報復打擊事務產生。
5)治理方面的疏漏
6)營業(yè)層方面的疏漏
9、信息安然防御系統(tǒng)的扶植
信息安然系統(tǒng)的扶植是全部企業(yè)收集安然工作中的重中之重，有完全、規(guī)范、科學的安然防御系統(tǒng)，才能包管各項信息安然防御工作順利、有序地進行。信息安然防御系統(tǒng)的扶植首要有：
1)信息安然監(jiān)測系統(tǒng)
2)信息安然防御系統(tǒng)
3)安然評估系統(tǒng)
4)安然審計系統(tǒng)
5)安然預警系統(tǒng)
6)規(guī)范、嚴謹、科學的軌制/流程
7)安然研究團隊的扶植
10、收集安然應急響應
企業(yè)內部收集安然研究團隊應積極響應安然事務，報復打擊事務。同時，要緊密密切存眷國表里收集安然動向，經由過程外部報導的報復打擊事務，從中接收接收經驗教訓，不竭完美、改進工作中的不足。
總結：收集攻防將持久存在，我們都知道，沒有盡對安然的系統(tǒng)。所以，收集防御，是一項持久、繁瑣的工作，當然，APT防御也是如斯。