红蓝攻防：构建实战化网络安全防御体系

🔴🔵 红蓝攻防：构建实战化网络安全防御体系

🌐 网络安全的背景
在信息技术快速发展的今天，数字化转型加速，网络安全成为技术创新和转型的重要基础保障。当前面临的网络安全威胁包括数据泄露、供应链攻击、勒索病毒和高级持续性威胁（APT）等。

网络安全的威胁
数据泄露：敏感信息被非法访问或公开。
供应链攻击：攻击者通过合作伙伴或供应商侵入目标网络。
勒索病毒：通过加密文件要求赎金。
APT（高级持续性威胁）：长期潜伏在系统内，进行定向攻击。
🔍 实战攻防演练

1. 实战攻防演练的意义
   实战攻防演练是检验网络安全防护能力的重要方式，能够发现安全隐患，提高团队的应对能力。

政策要求驱动：依据《网络安全法》，关键信息基础设施运营者需定期进行网络安全应急演练。
安全威胁驱动：针对当前复杂的网络安全形势，定期演练成为提升抵御能力的必要手段。
2. 实战攻防演练的目标
发现并修补安全隐患。
提升技术人员的监测、分析和响应能力。
加强各部门间的协同响应能力。
🛡️ 红队与蓝队

1. 红队（防守方）
   红队的主要任务是在演练中提高防御能力，包括：

演练前的安全检查和整改。
演练期间的安全监测和响应。
演练后的复盘和总结。
2. 蓝队（攻击方）
蓝队负责执行攻击，发现系统的安全隐患，目标是：

模拟真实攻击环境。
全面测试系统的防护能力。
队伍类型 主要任务
红队 提升防御能力，监测和响应安全事件
蓝队 执行攻击，发现安全漏洞
🚀 实战攻防演练的发展现状

1. 向规模化演变
   实战攻防演练从少量参与单位向大规模推广发展，演练数量逐年增加。

2. 演练规则向成熟化演变
   演练规则逐渐完善，更加贴合实战需求，覆盖范围更广。

3. 演练频度向常态化演变
   实战演练逐渐成为企业网络安全防御能力的常态化检查手段。
   🔑 攻防演练的技术演变

4. 攻击手段多样化
   随着技术的发展，攻击手段不断丰富，包含社工攻击、身份仿冒、钓鱼等。

5. 安全防御体系化
   网络安全防护需要从被动防御向主动防御转变，建立系统性的网络安全体系。

💡 结论
实战攻防演练不仅是网络安全的必要手段，更是提升整体防御能力和应对复杂威胁的有效途径。通过定期的演练，能够发现安全隐患，提升团队的专业能力和协同作战能力。

🛡️ 红队的角色与分工
红队组成及分工
团队角色 责任描述
目标系统运营单位 负责红队整体的指挥、组织和协调。
安全运营团队 负责整体防护和攻击监控工作。
攻防专家 分析安全监控中发现的可疑攻击，指导相关部门进行漏洞整改。
安全厂商 调整自身产品的可用性、可靠性和防护监控策略。
软件开发商 对自身系统进行安全加固，配合攻防专家整改安全问题。
网络运维队伍 配合攻防专家进行网络架构安全维护、网络出口优化、网络监控及溯源等工作。
云提供商 对自身云系统进行安全加固和监控，协助攻防专家整改发现的问题。
其他 根据实际情况分配具体工作，可能包括其他成员。
重要性：了解对手（蓝队）的情况对于红队至关重要，正如“知彼才能知己”的道理。制定相应的技术防御和响应机制，才能在防守过程中获得主动权。

红队演变趋势
发展阶段
2016-2017年：受监管单位推动，单位逐步参与实战攻防演练，主要作为防守方。
2018-2019年：演练规模和技术能力迅速增强，成为检验网络安全建设水平的重要手段。
2020年后：攻守双方在实战中取得快速发展，防守重心扩大，监测防护手段增强。
防守重心的变化
2020年之前：主要集中在靶标系统及相关路径资产的防守。
2020年以后：防守重心扩展到所有重要业务系统、设备及上下级单位。
监测防护手段的持续加强
防守队对新型攻击手段的感受促使其采购、部署先进的安全产品。
逐渐采用主机威胁检测、蜜罐及威胁情报服务来增强防护能力。
从被动防守到正面对抗
防守队从被动挨打转变为主动反制，需加强以下能力：
快速响应：确认攻击方式、定位受害主机、采取处置措施。
准确溯源：获取攻击队信息，制定反制策略。
精准反制：利用经验丰富的人员实施有效反击。
🔮 紫队的角色与演变
紫队定义
紫队是指网络实战攻防演练中的组织方，负责演练的整体组织、协调、技术指导等工作。

紫队的工作职责
组织蓝队实施攻击，组织红队实施防守，检验参演单位的安全应对能力。
进行沙盘推演，评估网络安全风险及可能的损失。
紫队演变趋势
演练规模逐年增加，实战化、体系化逐步形成。
2020年后，增加沙盘推演环节，评估攻击可能性及影响。
⚠️ 实战攻防演练中暴露的薄弱环节
主要薄弱环节
薄弱环节 描述
未知资产或服务 很多单位面临资产不清问题，老旧系统容易成为攻击者跳板。
网络隔离措施不到位 内部网络缺乏严格的访问控制，导致跨区攻击的可能性增加。
常规漏洞过多 应用系统和中间件的已知漏洞是主要攻击渠道。
敏感信息泄露明显 用户信息、登录凭证等敏感数据大量泄露，成为攻击突破点。
边界设备安全隐患 防护措施不均，VPN等开放设备成为攻击入口。
内部网络脆弱 内部网络主机和服务器补丁修复不及时，成为攻击的突破点。
安全设备自身安全风险 安全产品也可能存在漏洞，成为新的风险点。
供应链攻击 攻击者利用供应链中的薄弱环节实施攻击，给安全防护带来挑战。
员工安全意识淡薄 社会工程学攻击手段频繁，员工常成为攻击的突破口。
内部检测能力不足 监控设备和态势感知平台建设不足，难以发现内部攻击。
🔧 建立实战化的安全体系
关键措施
完善纵深防御体系：建立多层次的防护架构，提升网络安全防护能力。
动态防御能力：防守体系需具备适应性，能应对持续变化的攻击行为。
主动防御能力：持续检测内部安全事件，压缩攻击者在内部的停留时间。
精准防御能力：基于情报数据实施细粒度防御，减少对业务可用性的影响。
联防联控机制：各部门协同作战，共同提升防守效率，形成闭环管理。
注意：网络安全是一个动态的过程，需要不断积累和创新，才能有效应对各种攻击威胁。

🔐 网络安全攻防演练
演练要求与防守压力
“如果与报备目标系统同等重要的系统被攻陷，也要参照报备目标系统规则扣分。”

防守压力的来源
大型机构防守队面临前所未有的压力
传统防守策略为重兵屯在总部，提升总部整体防御能力
变化的攻防演练规则
总部和分支机构同等重要
分支机构的安全能力通常弱于总部
网络层面相通，存在安全隐患
整体防御能力的构建
统一安全规划与管理
只有统一的安全规划和管理才能形成整体防御能力
建议的防守工作
工作内容 描述
互联网入口统一管理 集中防御、节约成本、降低风险
加强分支机构防御能力 分支机构参考总部安全体系建设，避免安全短板
全面统筹，协同防御 分支机构与总部协同开展风险排查与安全值守
蓝队视角下的防御体系
蓝队的作用
蓝队是实战攻防演练中的攻击方
根据队员不同能力特征组织攻击团队
蓝队攻击的四个阶段
攻击过程的系统性
整个攻击过程涵盖从准备到靶标控制的步骤
四个阶段
准备工作
目标网络情报收集
外网纵向突破
内网横向拓展
准备工作的重要性
准备的三个方面
工具
技能
队伍
工具准备
高质量工具提升攻击效率
准备包括信息收集、扫描探测、口令爆破等多种工具
工具类型 示例
信息收集工具 Whois, nslookup, DIG, OneForAll
扫描探测工具 Nmap, Nessus, AWVS, Dirsearch, Nikto
口令爆破工具 超级弱口令检查工具, Medusa, Hydra, Hashcat
漏洞利用工具 WebLogic, Struts2, sqlmap, vSphere Client
远程控制工具 Xshell, SecureCRT, PuTTY, Navicat
Webshell管理工具 冰蝎, 中国蚁剑, 哥斯拉
内网穿透工具 FRP, ngrok, reGeorg, SSH, Netsh
网络抓包分析工具 Wireshark, Fiddler, tcpdump
开源集成工具平台 Kali, Commando VM, Cobalt Strike, Burp Suite
各类工具的详细介绍
信息收集工具
Whois: 查询域名的IP及所有者信息。
nslookup: 用于连接DNS服务器、查询域名信息的命令工具。
DIG: Linux环境下的域名查询命令工具。
OneForAll: 功能强大的子域名收集工具。
扫描探测工具
Nmap: 开源的网络探测和安全审核工具。
Nessus: 功能强大的网络系统安全扫描工具。
AWVS: 知名的Web网络漏洞扫描工具。
Dirsearch: 用于扫描网站目录的工具。
Nikto: 开源Web安全扫描工具。
口令爆破工具
超级弱口令检查工具: 支持批量多线程检查弱密码。
Medusa: 针对登录服务进行暴力破解的工具。
Hydra: 自动化的爆破工具，支持多种协议。
Hashcat: 免费的密码破解工具，支持多种散列算法。
漏洞利用工具
WebLogic: 自动化检测和利用功能的工具。
Struts2: 集成漏洞检测和利用功能的工具。
sqlmap: 自动检测和利用SQL注入漏洞的工具。
远程控制工具
Xshell: 安全终端模拟软件。
SecureCRT: 远程登录Unix或Linux服务器的程序。
PuTTY: 远程登录控制的串行接口连接软件。
Webshell管理工具
冰蝎: 支持多种功能的动态二进制加密网站管理客户端。
中国蚁剑: 跨平台的Webshell管理工具。
哥斯拉: 新兴的Webshell管理工具，支持多种功能。
内网穿透工具
FRP: 支持多种协议的高性能反向代理工具。
ngrok: 开源的反向代理工具，用于安全通道建立。
reGeorg: 利用Web进行代理的工具。
网络抓包分析工具
Wireshark: 提供抓取网络封包的强大功能。
Fiddler: HTTP调试抓包工具。
tcpdump: 强大的网络抓包分析工具。
开源集成工具平台
Kali: 集成了超过300个渗透测试工具的Linux发行版。
Commando VM: 集成了140多个开源Windows工具的渗透测试虚拟机环境。
Cobalt Strike: 渗透测试GUI框架，支持多种功能。
Burp Suite: 集成了多种Web应用程序攻击工具的平台。
🛡️ 蓝队专业技能
蓝队在网络安全攻防中扮演着重要角色，具备多种专业技能以应对各种攻击任务。以下是蓝队需要掌握的四种主要技能。

1. 工具开发技能
   “工欲善其事，必先利其器。”对于蓝队来说，开发高效的攻击工具至关重要。

重要性: 优秀的攻击工具能够提高工作效率。
获取途径:
公开工具的收集
自主开发或开源工具改版
技能效果: 熟练的工具开发技能可以帮助蓝队快速进行工具的改进与新工具的开发。
2. 漏洞挖掘技能
漏洞是蓝队的“大杀器”，能带来关键的战斗优势。

技能描述: 利用动态或静态调试方法，进行程序代码的深入分析与调试。
重要性: 漏洞准备是实现外网突破和内网横向扩展的重要步骤。
技能储备: 需要掌握与蓝队攻击密切相关的网络设备、办公应用等方面的漏洞挖掘技能。
3. 代码调试技能
代码调试技能帮助蓝队在复杂情况下快速找到解决方案。

技能描述: 对各类系统、应用及工具的代码进行分析、解读和调试。
应用场景:
攻击过程中获取的程序源码的审计
漏洞挖掘过程中对未知程序的逆向分析
渗透工具的调试与免杀处理
4. 侦破拓展技能
侦破拓展技能是蓝队在实战中的综合能力体现。

技能描述: 在渗透攻击过程中，综合运用渗透技巧、关键节点研判等技能。
核心要素:
深刻理解攻防一体的理念
对目标网络的认识
高效运用渗透工具
技能类别 主要内容
工具开发技能 开发或改版高效的攻击工具
漏洞挖掘技能 动态/静态调试与代码审计，发现和利用漏洞
代码调试技能 分析、解读和调试系统及应用的代码
侦破拓展技能 结合实战经验进行渗透技巧的运用
🌐 人才队伍储备
蓝队不是单打独斗，而是由各类网络安全专家组成的团队。为了有效应对攻击任务，蓝队需要以下专业人才：

团队组成:
情报搜集专家
渗透拓展专家
工具开发人员
漏洞挖掘与免杀专家
人才队伍是各项技能的载体，只有拥有充足而全面的专业人员，蓝队才能从容应对各种攻击任务。

🌍 目标网络情报搜集

1. 何为网络情报搜集
   网络情报搜集是围绕攻击目标的网络架构、IT资产及敏感信息进行的情报准备。

目的: 帮助蓝队快速定位薄弱点和采取正确的攻击路径，提高攻击效率。
2. 网络情报搜集的主要工作内容
内容类别 说明
组织架构 单位部门划分、人员信息、工作职能
IT资产 域名、IP、开放端口、服务等
敏感信息 代码信息、文档信息、邮箱信息等
供应商信息 合同、系统、硬件等相关信息
3. 网络情报搜集的途径
专业网站
Shodan、Censys、ZoomEye、FOFA等搜索引擎
目标官网
发布网络建设相关的新闻消息
社会工程学
从目标系统内部人员入手获取信息
扫描探测
利用扫描工具对目标网络进行设备指纹、系统版本等信息的探测
🔍 外网纵向突破

1. 何为外网纵向突破
   外网纵向突破是蓝队在攻击目标网络时，通过寻找薄弱点进入目标网络的过程。

2. 外网纵向突破的主要工作
   目标: 通过渗透测试获取安全认证信息或漏洞利用控制权限。

3. 外网纵向突破的途径
   渠道 描述
   Web网站 针对门户网站、外部应用平台等进行漏洞利用
   外部邮件系统 控制外部邮件系统实现内网渗透
   边界网络设备 针对防火墙和路由器进行突破
   外部应用平台 针对业务系统等进行渗透
   🔄 内网横向拓展

4. 何为内网横向拓展
   内网横向拓展指的是蓝队在攻破某台内网设备后，对同一网络环境中其他设备的攻击活动。

5. 内网横向拓展的主要工作
   包括内网信息搜集、重要目标定位、内网渗透拓展等。

6. 内网横向拓展的途径
   渠道 描述
   内网漏洞利用 针对内网中存在的漏洞展开攻击
   口令复用或弱口令 利用内网中存在的口令复用或弱口令进行攻击
   安全认证信息利用 获取并利用内网安全认证信息实现控制权限
   内网钓鱼 通过内部邮件等方式进行针对性的钓鱼攻击
   🛡️ 内网攻击与钓鱼攻击

7. 内网水坑攻击
   “水坑攻击，顾名思义，是在受害者必经之路设置一个“水坑”（陷阱）。”

水坑攻击机制
定义：水坑攻击是通过在目标经常访问的网站植入恶意代码，诱使目标访问并中招。
策略：蓝队在实战攻防演练中使用的水坑攻击方式多样，包括：
内部网站恶意代码植入
内网文件服务器文件共享
软件服务器软件版本更新
杀毒软件服务器病毒库升级
内部业务OA自动化部署
第3章 蓝队常用的攻击手段
攻击手段概述
在实战中，蓝队专家总结出一套成熟的攻击策略，包括外网纵向突破和内网横向拓展。

攻击方式 说明
外网纵向突破 寻找薄弱点，围绕薄弱点进行攻击
内网横向拓展 以突破点为支点，进行全面攻击
3.1 漏洞利用
漏洞定义：漏洞是网络硬件、软件、协议的缺陷，漏洞利用是攻击者利用这些缺陷进行未授权访问和恶意操作的行为。

漏洞类型
0day漏洞：未知的安全缺陷，攻击者掌握并利用，没有可用补丁。
Nday漏洞：已知但未修复的安全缺陷。
3.1.1 SQL注入漏洞
“SQL注入是通过将SQL命令插入Web表单提交或请求查询字符串来欺骗服务器执行恶意SQL命令。”

SQL注入目的
获取后台数据库隐私信息
针对性钓鱼攻击
获取后台应用系统控制权限
示例
Apache SkyWalking SQL注入漏洞（CVE-2020-9483）
Django SQL注入漏洞（CVE-2021-35042）
3.1.2 跨站漏洞
“跨站漏洞是指在程序设计时未对用户提交的数据进行合规性判断，导致恶意代码得以执行。”

跨站漏洞目的
插入恶意代码
窃取用户安全认证信息
劫持用户会话
示例
DedeCMS跨站请求伪造漏洞（CVE-2021-32073）
Apache Tomcat跨站脚本漏洞（CVE-2019-0221）
3.1.3 文件上传或下载漏洞
“文件上传漏洞是由于未对文件类型进行严格验证，导致恶意脚本文件上传。”

文件上传目的
上传脚本文件获取控制权限
开展水坑攻击
示例
某NC系统任意文件上传漏洞
KindEditor任意文件上传漏洞
3.1.4 命令执行漏洞
“命令执行漏洞是由于代码过滤不严格导致用户提交的数据被解析执行。”

命令执行目的
获取敏感信息
执行任意系统命令
示例
GitLab远程命令执行漏洞（CVE-2021-22205）
3.1.5 敏感信息泄露漏洞
“敏感信息泄露漏洞是设计不当导致敏感信息被前端用户访问。”

敏感信息泄露目的
操作敏感目录文件
获取后台应用敏感信息
示例
VMware敏感信息泄露漏洞（CVE-2020-3952）
3.1.6 授权验证绕过漏洞
“授权验证绕过漏洞是指未经授权直接访问系统资源的安全缺陷。”

授权绕过目的
访问未授权资源
获取更高控制权限
示例
Apache Shiro权限绕过漏洞（CVE-2020-11989）
3.1.7 权限提升漏洞
“权限提升漏洞是指在低权限情况下被利用提升至高权限的安全缺陷。”

权限提升目的
获取本地系统管理员权限
访问更多信息资源
示例
Windows本地权限提升漏洞（CVE-2021-1732）
3.2 密码爆破
“密码爆破是通过尝试所有可能的“用户名+密码”组合来破解目标用户的密码。”

密码爆破方法
弱密码：容易被猜测或破解的密码。
密码复用：多个设备或系统使用相同密码的情况。
3.2.1 弱密码
“弱密码通常是简单的数字和字母组合，如123456、root等。”

弱密码特征
产品默认密码未修改
与用户名关联的密码
3.3 钓鱼攻击
“钓鱼攻击是通过伪装成可信角色，诱骗目标点击恶意链接或文档。”

钓鱼攻击目的
建立内部网络渗透点
收集敏感信息
外网钓鱼 vs 内网钓鱼
特点 外网钓鱼 内网钓鱼
目标选择 网络安全意识薄弱的员工 重要业务人员或领导
渠道 外网邮箱、客服平台 内网OA、邮件服务器
成功率 较低 较高
💻 内网钓鱼攻击
“内网钓鱼攻击利用信任关系进行诱骗，是一种通过内部人员获取敏感信息的攻击手段。”

1. 内网钓鱼素材选择
   内网钓鱼时，可以选择与业务系统相关的话题作为素材，尤其是员工关心的薪资、福利等问题。此外，以下内容也可作为钓鱼素材：

钓鱼素材类型 描述
定期业务报告 提供业务动态，吸引用户点击
应用软件升级包 通过更新软件诱导点击
业务动态 提供与业务相关的有趣信息
2. 内网钓鱼话术选择
内网钓鱼的话术相对灵活，利用内部信任关系，可以采用以下方式进行交流：

网络安全通知
内网软件更新提醒
同事问题求助
直接抛出话题诱饵，成功率更高，因为过多铺垫可能引起对方的怀疑。

3. 钓鱼实施策略
   3.1 直接抛出诱饵
   实施内网钓鱼时，不必像外网钓鱼那样需要把握心理和时机，而是可以直接抛出诱饵。直接与目标信息进行交流，能够提高成功率。

3.2 钓鱼应急措施
内网钓鱼攻击过程中，可能会遭遇质疑或被发现，因此需要准备应急预案：

应急措施 描述
掩饰诱骗成功 诱骗文档应包含正常内容，避免引起怀疑
钓鱼文档异常应对 假装不知或利用专业话题混淆，掩饰异常文档
反溯源处理 清除文档内部的敏感信息，增加逆向分析难度
4. 供应链攻击
供应链攻击是蓝队在实战攻防中采取的一种迂回攻击手段，常见途径包括：

攻击途径 描述
网络或平台提供商 利用网络提供商的信任关系进行渗透
安全服务提供商 针对外包的网络安全服务进行攻击
产品或应用提供商 利用第三方系统或应用的漏洞进行攻击
4.1 网络或平台提供商
通过渗透目标网络提供商，获取目标网络的边界路由权，进而向内网渗透。

4.2 安全服务提供商
针对外包的网络安全服务进行攻击，获取运维人员的管理权限，进而接入目标网络。

4.3 产品或应用提供商
通过获取第三方应用源码，寻找安全漏洞进行渗透。

5. VPN仿冒接入
   VPN（虚拟专用网络）通过加密技术提供安全的数据通信，蓝队可通过以下方式获取VPN接入权限：

获取途径 描述
获取VPN认证信息 针对具有VPN接入权限的用户进行钓鱼或渗透
控制VPN网关 针对暴露在互联网上的VPN网关设备开展攻击
6. 隐蔽隧道外连
隐蔽隧道是一种绕过目标边界防火墙的通信策略，主要通过加密通信和端口转发技术实现。在攻击过程中，蓝队可通过：

借助第三方工具：在攻击过程中建立安全通信通道。
借助目标边界设备：利用边界设备的功能实现隐蔽渗透。
7. 社会工程学攻击
社会工程学攻击是通过利用人性弱点实施网络攻击的手段，常见方式包括：

利用熟人关系进行信息套取
通过利益交换获取内部信息
伪装新员工潜入组织进行信息窃取
8. 近源攻击
近源攻击是通过物理接近、社会工程学攻击等手段进行渗透的方式。攻击者位于目标附近，利用内部的安全盲点进行攻击，常用方式包括：

攻击方式 描述
Wi-Fi边界突破 利用Wi-Fi网络抓取通信数据包，破解认证信息
乔装侵入 假冒内部人员进入办公区域，寻找暴露的网络接口
9. 蓝队攻击能力
蓝队成员需具备较高的攻防能力，主要包括：

针对业务系统的攻击
实战化能力的要求
动态攻防环境下的能力
能力分类
蓝队能力分为基础能力、进阶能力和高阶能力，具体技能包括Web漏洞利用、基础安全工具利用等。

🦈 基础安全工具的利用能力
工具利用能力
shark、MSF、Cobalt Strike 等基础安全工具的利用能力是高效开展渗透工作的保障。
进阶能力
进阶能力主要包括以下四类：

能力类别 描述
Web漏洞挖掘 对Web系统或软件进行漏洞挖掘的能力
Web开发与编程 掌握编程语言以分析Web应用漏洞的能力
编写PoC或EXP 自主编写概念验证（PoC）或漏洞利用代码（EXP）的能力
社工钓鱼 通过社交工程手段进行攻击的能力

1. Web漏洞挖掘
   Web漏洞挖掘能力主要针对Web应用中的常见漏洞，具体包括：

命令执行
代码执行
解析漏洞
跨站脚本（XSS）
弱口令
文件上传
SQL注入
逻辑漏洞
信息泄露
配置错误
反序列化
权限绕过
2. Web开发与编程
掌握一门或几门编程语言是深入挖掘Web应用漏洞的重要基础，常见的编程语言包括：

Java
PHP
Python
C/C++
Go
3. 编写PoC或EXP
PoC（概念验证）：用于验证漏洞存在的代码。
EXP（漏洞利用代码）：直接利用漏洞的代码。
区别：PoC用于验证，EXP用于直接利用。自主编写PoC或EXP在面对未知漏洞或0day漏洞时显得尤为重要。
4. 社工钓鱼
社工钓鱼是实战攻防演练中常用的作战手法，包括以下四种技能：

技能类别 描述
开源情报搜集 在公开平台上合法搜集目标机构的关键情报
社工库搜集 针对特定目标机构社工库信息的搜集
钓鱼邮件 通过发送钓鱼邮件欺骗特定人员
社交钓鱼 利用认知偏差进行网络诈骗活动
开源情报搜集
开源情报搜集能力是指在公开信息平台上合法搜集目标机构的关键信息，例如企业员工内部邮箱、联系方式等。

社工库搜集
社工库是指含有大量用户敏感信息的数据库或数据包，包括但不限于账号、密码、姓名等信息。

钓鱼邮件
钓鱼邮件是针对特定组织内部特定人员的定向邮件欺诈行为，目的是窃取机密数据或系统权限。

社交钓鱼
社交钓鱼建立在使人决策产生认知偏差的基础上，是一种网络诈骗活动的主要方法。

高阶能力
高阶能力主要包括系统层漏洞利用与防护、系统层漏洞挖掘、身份隐藏、内网渗透、掌握CPU指令集等。

1. 系统层漏洞利用与防护
   掌握底层的系统安全机制、发现程序或系统中安全机制设计的缺陷是实现高水平网络攻击的重要基础。常见的系统安全机制有：

SafeSEH：防止异常处理函数被篡改。
DEP（数据执行保护）：防止数据被当作可执行代码执行。
PIE（地址无关可执行文件）：实现动态链接库的技术。
NX（不可执行）：防止溢出攻击中溢出数据被执行。
ASLR（地址空间布局随机化）：抵御缓冲区溢出攻击的内存保护机制。
SEHOP：针对结构化异常处理链表的覆盖保护。
GS：缓冲区安全性检查，防止缓冲区溢出攻击。
2. 系统层漏洞挖掘
系统层漏洞的挖掘需要高阶的漏洞挖掘方法，包括：

代码跟踪：逐条检查程序源代码，发现安全隐患。
动态调试：使用动态调试器监测程序运行状态。
Fuzzing技术：自动生成测试用例触发程序异常。
补丁对比：通过对补丁文件的分析发现潜在漏洞。
程序逆向静态分析：通过逆向工程发现安全漏洞。
系统安全机制分析：对操作系统的各种安全机制进行分析。
3. 身份隐藏
攻击者利用各种方式进行身份隐藏，常见技术包括：

匿名网络：如Tor网络，隐藏信息发送者的身份和位置。
盗取他人ID/账号：获取与ID/账号相关的系统权限。
使用跳板机：通过中间主机进行攻击，隐藏身份。
他人身份冒用：欺骗身份识别系统，冒用他人身份进行攻击。
利用代理服务器：通过代理服务器隐藏IP地址和身份。
4. 内网渗透
内网渗透是指在成功入侵内部网络后，逐层突破内部安全防护机制。包括：

工作组、域环境渗透：掌握内网环境中工作组或域环境的运作机制。
内网权限维持/提权：利用安全缺陷提升系统权限。
横向拓展：在内网中逐步扩展攻击范围。
数据窃取：获取核心系统数据服务器的访问权限。
免杀技术：使恶意程序免于被杀毒软件查杀的技术。
5. 掌握CPU指令集
掌握CPU指令集是进行系统层漏洞挖掘与利用的重要能力，主要包括：

x86：英特尔为其CPU开发的指令集合。
MIPS：一种精简指令系统。
ARM：低功耗RISC微处理器的指令系统。
PowerPC：精简指令集架构的中央处理器。
6. 高级安全工具
工具名称 描述
IDA 专业反汇编工具，发现代码级别的高危安全漏洞
Ghidra 开源跨平台软件逆向工具，提供多种功能
Binwalk 文件扫描、提取、分析工具，识别文件内容和代码
OllyDbg 强大的反汇编工具，结合动态调试与静态分析功能
Peach Fuzzer 智能模糊测试工具，广泛用于发现软件中的缺陷和漏洞
7. 编写PoC或EXP等高级利用
相较于Web应用和智能硬件/IoT设备，针对操作系统和安全设备编写PoC或EXP更具挑战性，关注的操作系统包括：

Android平台代码能力：在Android操作系统上找到漏洞并编写利用代码的能力。
iOS平台代码能力：在iOS操作系统上进行漏洞利用的能力。
📱 操作系统与网络安全
iOS 操作系统
“iOS 是由苹果公司开发的移动操作系统，主要用于 iPhone、iPod touch、iPad 上。”

iOS平台代码能力：指在 iOS 操作系统上找到漏洞并利用漏洞编写 PoC（概念验证）或 EXP（利用代码）的能力。
Linux 操作系统
“Linux 主要用于服务器的操作系统，Ubuntu、CentOS 等均属基于 Linux 内核基础上开发的操作系统。”

Linux平台代码能力：指在 Linux 操作系统上找到漏洞并利用漏洞编写 PoC 或 EXP 的能力。
macOS 操作系统
“macOS 是由苹果公司开发的操作系统，主要用于 Macintosh 系列电脑上。”

macOS平台代码能力：指在 macOS 操作系统上找到漏洞并利用漏洞编写 PoC 或 EXP 的能力。macOS 的架构与 Windows 不同，很多针对 Windows 的电脑病毒在 macOS 上无法攻击成功。
网络安全设备与系统
在实战化环境中，常用的网络安全设备和系统包括：

设备/系统 描述
IP 密码机 管理和保护网络协议的数据传输。
安全路由器 控制和保护网络流量的设备。
线路密码机 保护线路传输的信息安全。
防火墙 监控和控制进入或离开网络的流量。
安全服务器 提供安全的存储和处理环境。
公开密钥基础设施（PKI）系统 管理数字证书和公钥的系统。
授权证书（CA）系统 颁发和管理数字证书的机构。
安全操作系统 专为安全目的设计的操作系统。
防病毒软件 检测和消除计算机病毒的软件。
网络/系统扫描系统 检测网络和系统中的安全漏洞。
入侵检测系统 监测网络或系统的恶意活动。
网络安全预警与审计系统 监控和记录网络活动，提供安全预警。
团队协作
“攻击队主要包含行动总指挥、情报搜集人员、武器装备制造人员、打点实施人员、社工钓鱼人员、内网渗透人员等角色。”

角色 描述
行动总指挥 攻击队中综合能力最强的人，负责策略制定、任务分发、进度把控等。
情报搜集人员 负责情报侦察和信息搜集，包括目标系统的组织架构、IT资产等。
武器装备制造人员 负责漏洞挖掘及工具编写，是攻击队的核心战斗力量。
打点实施人员 获取接入点，进行 Web 渗透等，建立据点。
社工钓鱼人员 实施社会工程学攻击，通过钓鱼邮件等诱骗目标。
内网渗透人员 负责进入内网后的横向拓展，获取核心数据。
蓝队经典攻击实例
5.1 正面突破：跨网段控制工控设备
某企业为一家大型制造业企业，攻击队目标是获取工控设备的控制权限。

突破办公内网：

利用 0day 漏洞获取门户网站的管理员权限，成功获得接入权限。
使用撞库攻击成功登录内网中的多台服务器。
定位运维人员：

通过已攻破服务器中的密码本，成功定位到工控系统的运维人员。
突破工控网：

利用运维人员的远程桌面连接，发现关键工控设备，实现操作权限的获取。
5.2 浑水摸鱼：社工钓鱼，突破系统
某大型国有企业，攻击队目标是获取财务系统的控制权限。

破解员工邮箱密码：利用弱口令字典成功破解邮箱。

改造和伪装钓鱼邮件：伪装成正常邮件，诱骗员工打开带有木马的附件。

根据身份精准钓鱼：群发邮件给财务部门，成功控制多个主机。

5.3 偷梁换柱：冒充客户，突破边界
通过社工方法，攻击队冒充客户与企业的微信客服沟通。

寻找社工突破口：确定社工对象为客服人员。

冒充客户反馈问题：请求接收带有木马的压缩包。

社工升级攻破心理防线：通过多次要求，最终成功诱骗客服人员。

5.4 声东击西：混淆流量，躲避侦察
在强大的网络安全防护下，攻击队通过声东击西的方式进行攻击。

激烈攻防：蓝队在外围打转，红队迅速反应。

分析系统，制定方案：找到多个直接获取权限的系统。

兵分两路，声东击西：通过分布式拒绝服务吸引注意，侧面进行攻击。

5.5 迂回曲折：供应链定点攻击
攻击队利用目标企业的供应链进行渗透。

寻找目标供应商：选择主要供应商作为攻击目标。

盗取管理员账号：利用已知漏洞获取服务器控制权。

定向恶意升级包：通过中间人攻击发送恶意包，成功攻击驻场人员。

5.6 李代桃僵：旁路攻击，搞定目标
通过攻击二级子公司，最终获取目标内部核心平台的控制权限。

外网关闭，无法下手：放弃常规网络突破手段。

改变策略，攻击分部：逐级攻击直到控制目标。

找准目标，获取权限：通过信息搜集，成功获取目标系统的管理员账号。

5.7 顺手牵羊：巧妙种马，实施控制
攻击队在发现红队的异常后，利用存留后门继续攻击。

攻击被发现，行动受阻：红队修复了漏洞。

利用存留后门脚本：成功重新获取服务器权限。

耐心等待时机，获取核心权限：通过键盘记录器获取关键系统账号。

5.8 暗度陈仓：迂回渗透，取得突破
在严密的防守下，蓝队选择从没有防守的地方进行攻击。

防守固若金汤，放弃正面突破：选择从其他业务切入。

调查公司业务，从薄弱环节入手：发现目标业务的弱点。

外围渗透，获取权限：成功控制目标系统。

5.9 短兵相接：近源渗透，直入内网
通过冒充内部人员，成功进入核心内网。

前期侦察发现无懈可击，放弃常规网络突破手段：蓝队选择近源攻击。

获取核心内网的接入权限：利用公共区的漏洞成功接入。

🌐 网络安全攻防
一、攻击策略与实施

1. 人员管理漏洞的利用
   蓝队通过侦察某子机构办公现场，发现该机构对进入办公区的人员管理较为松懈，只需佩戴单位工牌即可直接进入。因此，蓝队通过网络购买与目标机构同样样式的工牌，制作假身份信息，冒充内部工作人员成功进入办公区。

2. 无人值守主机的利用
   在进入目标子机构办公大楼后，蓝队发现各楼层楼梯可随意穿行，办公区有无人值守的计算机且有网络连接。蓝队利用U盘工具登录密码绕过，打开多台办公区电脑，发现这些机器均为生产机器，网络在生产区内，可以进行内部网络的横向扩展。

3. 渗透核心业务系统
   蓝队通过无人值守的计算机接入生产网，进行内部网络扫描，发现目标业务生产内网网关管理系统。通过默认口令控制内网网关管理系统，并进一步控制生产区堡垒机，获得对堡垒机下所有核心业务系统的控制权。

二、红队的防御体系构建

1. 防御体系的挑战
   红队在实战环境中需要面对常态化的一般网络攻击以及有组织的高级攻击，必须建立一个有效的网络安全防御体系。

2. 防御工作阶段
   红队防守工作分为备战、临战、实战和总结四个阶段，采取信息清理、纵深防御、协同作战、溯源反制等策略。

防御阶段 主要内容
备战阶段 建立合理的安全组织架构，明确工作职责，制定工作计划和技术方案。
临战阶段 确保各小组能够按时到位，开展战前动员和工作流程宣贯。
实战阶段 全面监测和及时处置攻击行为，确保系统不破、数据不失。
总结阶段 对各阶段进行复盘分析，提出整改措施，优化防守策略。
三、备战阶段的组织架构

1. 组织架构及职责分工
   备战阶段组织架构包括领导小组、备战指挥组、网络工作组、安全工作组等，每个小组有明确的职责。

小组 职责
领导小组 负责统筹指挥，确认各工作组职责，审核防护范围。
备战指挥组 组织安全自查与整改，制定应急预案，协调各工作组。
网络工作组 负责网络架构及网络设备的梳理、加固，协助安全工作。
安全工作组 负责安全设备风险整改，新增安全设备部署等工作。
2. 备战阶段的工作要求
管理方面：明确工作小组的责任，制定工作计划和技术方案。
技术方面：实施资产梳理、网络架构梳理、安全检查和攻防演练。
四、实战阶段的实施

1. 监测与处置
   在实战阶段，监测人员需具备基本的安全数据分析能力，实时监测可疑攻击行为，确保能够及时发现和处置攻击。

2. 事件处置效率的提升
   确定攻击事件成功后，需在最短时间内采取技术手段遏制攻击，防止攻击蔓延，协同多岗位人员进行事件处置。

3. 溯源反制
   通过安全监测设备产生的告警信息和样本信息追踪溯源，必要时可部署诱捕系统反制攻击。

五、总结阶段的复盘分析
每次红蓝对抗演练结束后，应对各阶段进行充分的复盘分析，提出整改措施，持续优化防守策略，逐步提升防守水平。

🔐 红队防守工作复盘与改进措施
一、实战阶段存在的纰漏
本节讨论在实战阶段发现的多个方面的纰漏，具体包括：

领域 具体内容
工作方案 制定工作方案的完备性及实效
组织管理 组织架构及职责清晰度
工作启动会 启动会的召开情况及参与人员
系统资产梳理 系统资产的完整性与准确性
安全自查及优化 自查的全面性及问题整改情况
基础安全监测与防护设备的部署 部署的有效性与功能发挥
安全意识 全员安全意识的提升及培训
应急预案 应急预案的完备性及覆盖的场景
注意事项 注意事项的完备性
队伍协同 各部门协同工作的有效性
情报共享与使用 是否建立了有效的情报共享网络
反制战术 反制战术的总结与方案形成
二、复盘总结

1. 设定防守工作目标
   目标设定：结合单位实际情况设定合理目标，过高或过低的目标都会影响网络安全的检验与提升。
   复盘分析：演练后对目标是否达到进行分析，反思原因。
2. 制订工作方案
   方案完备性：复盘工作方案时需分析实施过程的完备性，识别缺失项。
3. 组织架构和分组职责
   架构健全性：确保防守工作小组结构健全，各小组职责清晰，避免因职责不明确导致的处理延误。
4. 防守靶标系统基本信息调研
   靶标系统调研：确认靶标系统的基本信息，包括网络环境、操作系统、数据库类型等。
5. 防守单位和人员确认
   排班表与能力画像：确保防守单位的排班表完整，技术人员的能力与岗位要求匹配。
6. 工作启动会
   启动会召开情况：复盘启动会的召开情况及参与人员是否具备足够的推动力。
7. 签署保密协议
   保密协议：确认所有参演单位的工作人员均签署了保密协议，并宣贯安全保密意识。
8. 沟通软件部署
   沟通软件使用情况：检查沟通软件的部署与使用效果，确保各小组熟练掌握软件功能。
9. 防守工作场地
   场地准备：根据红队人数准备适当的工作场地，考虑设施的舒适性与通畅性。
10. 制订应急预案和流程
    应急预案的完备性：确保应急预案覆盖不同场景，并设计符合单位实际的处置流程。
11. 防守规则调研
    规则理解与研讨：确保团队对防守规则有充分理解并制定规则解读表。
12. 系统资产梳理
    资产管理：检查资产梳理的完整性，确保台账准确无误。
13. 部署基础设备
    设备部署有效性：确认基础设备部署的正确性，避免因位置错误导致功能失效。
14. 网络架构
    网络隔离措施：检查网络架构的隔离措施，确保具备必要的安全防护设备。
15. 主机安全
    主机台账与漏洞修复：确保主机操作系统无漏洞，存在的弱口令需及时修复。
16. 数据库安全
    数据库补丁流程：建立有效的补丁升级流程，确保不被弱口令影响。
17. 应用安全
    攻击路径记录：记录所有被攻击应用的攻击路径，进行漏洞管理与修复。
18. 安全和网络设备
    设备漏洞修复：确保安全网络设备对新漏洞进行及时修复，避免配置问题。
19. 身份安全
    身份鉴别与权限管理：确认所有设备和应用都有身份鉴别功能，权限划分合理。
20. 安全自查及优化
    自查措施有效性：确保发现的问题均已整改，并评价整改措施的有效性。
21. 注意事项
    全面提示：确保向全员提示完备的注意事项，补充合理的要求。
22. 应急演练
    演练覆盖性：复查应急演练的全面性，确保各阶段设计合理。
23. 安全意识培训
    培训有效性：评估培训方式的有效性与频度，确保培训内容完备。
24. 红队防守期间每日常规动作
    常规动作标准化：确保所有干系人的动作标准化，包括技术与管理行为。
25. 队伍协同
    协同工作的有效性：复查各部门是否有效履行职责，确保协同工作顺畅。
26. 防守作战指挥策略
    指挥策略总结：总结不同攻击场景下的指挥策略。
27. 攻击队攻击方式总结
    各类攻击方式的研究与应对：包括互联网突破、旁站攻击、传统渗透攻击等。
    三、改进措施
    根据复盘总结中发现的问题，制定改进计划并提出解决方案，涵盖管理、技术、运维三个方面的完善与优化措施。

应用系统安全运营管理

1. 应用系统生命周期管理
   安全管理机制：在设计阶段引入安全审核，确保系统安全。
2. 漏洞管理
   漏洞发现与修复流程：建立漏洞管理流程，确保所有漏洞得到有效处理。
3. 其他关键点管理
   安全检测与整改：上线前进行安全检测，及时整改，减少安全风险。
   四、总结
   通过以上措施和机制的实施，可以有效提升红队防守工作的整体安全水平，确保在实际攻防演练中能够更加高效地应对各种网络安全威胁。

🔒 对抗防守的保障演练活动
演练目的
对抗防守的保障演练活动旨在通过对抗活动发现网络安全建设中的不足，进而改进和提升整体安全防御能力。主要包括：

发现不足：通过实战演练发现当前网络安全措施的漏洞。
提升能力：以数据为中心建立整体网络安全防护体系，最大化安全能力。
安全运营机制
在总结实战攻防演练经验时，需沿用演练期间形成的安全运营机制、安全监测技术和应急响应策略，以持续提供安全运营能力，确保网络安全防护措施有效。

网络安全体系建设
防守方需加快改进演练过程中发现的网络安全体系建设不足，构建具备以下能力的安全防护体系：

多道防线：建立多层次的安全防护。
纵深防御：实现多层次防护，增加攻击者的突破难度。
网络与内部防护：确保内外部网络的安全防护有效。
红队常用的防守策略
防守认知与策略
由于攻防两端的不对称性，防守方的认知普遍落后于攻击队。攻击队通过正规化、规模化、流程化的方式进行攻击。防守方需建立全方位的纵深安全监控和防护体系，以实现从被动防御到主动反制的转变。

攻击队的攻击模式
攻击队通常经历以下阶段：

信息搜集：寻找突破口，建立攻击据点。
横向扩展：攻击内网，控制服务器或目标系统。
后期处理：删除日志、清理工具、写入后门。
红队应对策略
红队的应对策略包括：

收缩战线：减少互联网上的暴露面。
纵深防御：多层次防护，确保安全。
守护核心：集中力量防守重要系统。
协同作战：利用团队力量进行防守。
主动防御：前瞻性地识别和阻止攻击。
应急处突：快速响应安全事件。
溯源反制：追踪攻击源并进行反制。
信息清理与防护措施
互联网上的敏感信息清理
防守队需定期对全员进行安全意识培训，避免敏感信息泄露。可通过以下措施减少信息暴露风险：

定期搜集泄露的敏感信息，及时发现并清理。
严禁将敏感信息上传至公共平台。
收缩战线
收缩互联网上的暴露面，确保防守队了解自己的系统和网络路径，以减少攻击面。

攻击路径梳理
定期梳理网络边界和可能的攻击路径。
外部接入网络梳理
对未经过安全防护设备的外部接入进行梳理。
纵深防御
在收缩战线后，进行全面的安全检查，考虑以下层次的防护：

资产动态梳理：建立信息资产列表。
互联网上的防护：部署网络安全防护设备。
访问控制策略：严格控制访问权限，避免私自开放。
主机加固防护：定期进行漏洞扫描并加固主机。
供应链安全：与供应商建立安全应对机制。
协同作战
在面对大规模、有组织的攻击时，防守队需借助后端技术资源，建立协同作战机制，以提高应对能力。

关键点防护
应根据系统的重要性划分防守重点，集中力量防守靶标系统、集权系统和重要业务系统。

主动防御
建立全方位的安全监控体系，特别关注以下方面：

自动化的IP封禁：及时阻断攻击来源。
全流量网络监控：捕获攻击行为。
主机监控：监测主机权限和异常活动。
日志监控：分析攻击路径。
蜜罐诱捕：吸引攻击者并监控其行为。
应急处突
在应急处置中，需完善各级组织结构，明确各人员职责，制定可能出现的攻击场景及其处置流程，以提高响应效率。

溯源反制
防守队需具备溯源能力，通过分析攻击行为、追踪攻击源，实现反制。反制工作是防守队从被动转变为主动的重要环节，需有经验丰富的人员进行处理。

🛡️ 防止社工攻击
冒充攻击
攻击者通过冒充上级单位、监管机构或供应商，以电话、短信等方式获取重要信息。近年来，多个单位已发现此类钓鱼事件。

防御措施
防御措施 具体建议
建立沟通机制 建立上级单位、监管机构、供应商的沟通机制和联系人名单，通过正常沟通流程进行沟通。
身份确认 对接收到的询问进行人员身份确认，若无法确认则不提供任何信息。
反向社工
攻击者利用时事热点发布并扩散故障公告，等用户主动联系时进行钓鱼。

防御措施
防御措施 具体建议
正规联系 通过正规方式联系消息发布人。
不泄露敏感信息 如对方询问敏感信息，不要泄露。
身份验证 对现场维护要求，须让对方出具证明，待身份确认后方可允许对方进入，内部人员须全程陪同。
📦 防供应链攻击
供应商可能成为攻击者的目标，攻击者通过供应商获取敏感信息。

供应商安全防护

1. 维护问题
   供应商在本地维护时，可能存在安全意识不足等问题。

防护措施
防护措施 具体建议
制定管理规范 制定供应商安全维护管理规范。
禁止远程维护 禁止供应商进行远程维护。
陪同维护 本地维护时，未经许可不得将自带设备接入内网，维护时必须有参演单位人员陪同。
监控登录 维护时必须通过堡垒机登录，以便审计和监控是否出现其他违规维护行为。
密码管理 供应商不得记录参演单位除堡垒机维护密码以外的密码。
2. 测试系统问题
部分供应商会将测试系统发布在互联网上。

防护措施
防护措施 具体建议
密码管理 测试系统所采用的密码不得在正式环境中出现。
数据管理 禁止供应商将目标单位真实数据放在商业测试系统上。
路径管理 安装路径尽量不要采用默认路径，关闭不必要的功能和目录。
🛠️ 防物理攻击
物理安全防护
物理攻击主要包括Wi-Fi破解、冒充上门维护和历史后门利用。

1. Wi-Fi破解
   攻击者可能在单位附近通过Wi-Fi破解进入内网。

防护措施
防护措施 具体建议
人员确认 对进入接待区的人员进行确认，防止闲散人员进入。
验证机制 对无线接入采用严格的验证机制和准入控制。
权限控制 对无线接入后的权限进行控制，公共无线接入最好和办公内网隔离。
2. 冒充上门维护
冒充供应商要求进入机房检查设备。

防护措施
防护措施 具体建议
验证身份 对上门维护的人员进行身份验证。
确认事项 对上门维护的事项进行确认。
行为监视 对物理接触设备的人员行为进行跟踪和监视。
3. 历史后门利用
攻击者通过扫描检测目标单位网站是否存在后门。

防护措施
防护措施 具体建议
系统检测 对所有互联网开放的Web系统进行失陷检测。
代码扫描 扫描和检测网站代码是否存在后门木马文件。
定期检查 定期查看安全检测设备报警，是否有后门链接报警。
🏗️ 防护架构加强
互联网暴露面收敛

1. 控制出入口
   大型单位往往有多个互联网出口，为了阻止攻击，需要在每个出口部署监测设备。

防护措施
防护措施 具体建议
合并出口 尽量合并减少互联网出口。
功能规划 进行互联网出口功能规划，划分正式Web发布出口、互联网测试系统出口等。
2. VPN接入控制
VPN为攻击者提供了攻击路径。

防护措施
防护措施 具体建议
合并处理 对存在多套VPN的，尽量进行合并处理。
双层认证 采用VPN+准入认证双层认证，加强安全防护。
权限清理 对VPN账号进行梳理和清理，定期修改密码。
3. 系统资产排查
IT部门存在资产管理缺陷，导致一些不需要开放的系统依然发布在互联网上。

防护措施
防护措施 具体建议
梳理域名 各业务处室自行梳理需要开放的系统域名和端口并上报。
测试系统分区 测试系统和正式上线系统不得部署在同一区域内。
4. API排查
不安全的API可能被攻击者利用。

防护措施
防护措施 具体建议
认证任务 每次API请求需带上身份认证信息，通常使用API key。
加密和签名 使用SSL/TLS加密通信消息，确保信息保密性和完整性。
关闭不必要功能 关闭不需要的API功能，如文件上传功能。
5. 管理后台排查
攻击者常通过管理后台进行渗透。

防护措施
防护措施 具体建议
安全约束 禁止将任何互联网系统后台发布在互联网上。
定期扫描 定期扫描互联网上发布系统后台的管理路径。
👨‍💻 主机侧防御
做好主机侧的安全防御是防止攻击者提权和横向渗透的有效手段。

及时安装漏洞补丁
建立定期和紧急针对系统或相关软件打补丁的机制。

防护措施
防护措施 具体建议
高危漏洞通报机制 建立高危漏洞通报机制，定期进行漏洞扫描。
安全加固 安装加固防护软件，并定期更新相关规则库。
安全加固
建立系统和软件的安全配置基线，并定期检查和更新。

防护措施
防护措施 具体建议
最小权限原则 仅安装需要的服务或功能，其他服务关闭。
关闭不安全协议 关闭不安全的登录或传输协议，如Telnet登录。
其他加固项

1. 弱密码
   弱密码可能导致攻击者的入侵。

防护措施
防护措施 具体建议
密码管理 禁止使用常见密码、默认密码和相同密码。
2. 中间件防御
Web中间件存在安全漏洞的风险。

防护措施
防护措施 具体建议
定期打补丁 定期对中间件进行安全补丁更新。
禁用不必要组件 禁用不使用的有安全问题的组件。
🌐 Web侧防御
Web应用常常成为攻击者的目标。

Web安全漏洞
防护措施
防护措施 具体建议
开发框架管理 跟踪漏洞平台和安全厂商披露的开发框架漏洞，进行加固或升级。
CMS管理 禁止将CMS暴露在互联网上，尽量隐藏CMS名称和版本。
编辑器漏洞管理 跟踪编辑器漏洞，进行加固或升级。
管理后台及弱密码
防护措施
防护措施 具体建议
禁止后台地址开放 限制访问后台的IP地址，增加验证码功能以防止暴力破解。
🛡️ 网络防护措施

1. 访问控制列表（ACL）配置
   定义: 访问控制列表（Access Control List，ACL）用于在网络内部对区域进行划分，并明确各区域间的功能以及允许/拒绝的访问控制。
   “ACL通过实现严格的访问控制，能有效限制攻击者横向扩展的范围。”

2. 黑名单配置
   功能: 部署在网络外层的防火墙可以通过将攻击者或可疑攻击者的IP地址加入黑名单，从网络层阻止可疑攻击流量。
   “黑名单配置能够迫使攻击者变更攻击IP地址，从而延缓他们的进攻节奏。”

3. 实时联动
   概述: 根据实际部署环境，与流量感知及威胁感知类产品进行联动处置，能够对分析出的恶意IP进行封禁。

4. 自动化封禁
   目的: 利用编程等方式实现自动化封禁，提高封禁效率，减缓处置人员的工作压力。

5. 防火墙部署
   在网络接入区、对外接入区、内部各安全域间部署防火墙，并按照最小授权原则做好控制策略，以有效给攻击方造成困扰。
   🚨 入侵防御系统（IPS）

6. 定义与功能
   定义: 入侵防御系统（Intrusion Prevention System，IPS）是一种能够监视网络或网络设备的网络安全设备。
   “IPS具有即时中断、调整或隔离不正常或有害的网络传输行为的能力。”

核心功能
功能 描述
攻击检测能力 内置特征条目，可以防范各类网络威胁，如扫描、可疑代码、蠕虫等。
抗DoS/DDoS能力 提供DoS/DDoS检测及预防机制，确保合法数据包的使用。
弹性管理能力 提供虚拟化、弹性化管理方式，支持不同规则集配置。
异常流量管理 针对通信协议异常、IP/端口扫描等进行动态管理。
管理能力 强大的管理能力，提供友好的管理接口和实时信息展示。
🌐 Web应用防火墙

1. 定义与功能
   定义: Web应用防火墙是以网站或应用系统为核心的安全产品，能够对HTTP或HTTPS的Web行为进行分析并拦截攻击。
   核心功能
   功能 描述
   串联透明部署 可在Web服务器前端串联透明部署，不改变网络拓扑结构。
   细粒度特征库 支持对多种攻击特征的检测，包括OWASP TOP 10标准。
   日志追溯 提供详细的数据分析与统计功能，为攻击溯源提供技术依据。
   ☁️ Web应用安全云防护系统
2. 功能概述
   定义: 为云端网站提供安全防护的系统，集成多种安全服务。
   核心功能
   功能 描述
   云WAF 防护常见Web攻击，使网站免遭恶意篡改和信息泄露。
   云抗D 防御各类大流量网络层DDoS攻击。
   云加速 提高用户访问效率，降低源站负载。
   CC攻击防护 针对应用层CC攻击进行智能识别和快速拦截。
   反爬虫 针对爬虫攻击进行有针对性的防护配置。
   实时监控告警 对网站的访问攻击数据进行持续监控，及时响应。
   📧 邮件威胁感知系统
3. 定义与功能
   定义: 邮件威胁检测系统用于识别和阻止钓鱼邮件及其他邮件攻击。
   核心功能
   功能 描述
   威胁情报 结合威胁情报数据，提高邮件威胁的检测能力。
   沙箱分析 采用多层次手法进行文件深度检测。
   邮件异常场景检测 自定义异常场景检测条件，分析仿冒邮件场景。
   🔍 安全检测设备
4. 互联网资产发现系统
   功能概述: 用于识别暴露在互联网上的IT资产，确保防御边界的完整性。
   核心功能
   功能 描述
   资产及应用发现 通过多种探测技术主动发现信息系统内的资产。
   信息安全资产画像 结合业务特点构建专属的资产画像。
   🛠️ 自动化渗透测试系统
5. 功能概述
   定义: 提供渗透测试全过程的技术支持，提高渗透测试效果。
   核心功能
   功能 描述
   漏洞探测功能 自动化检测渗透目标的漏洞。
   漏洞利用功能 简化复杂的漏洞利用过程，提高效率。
   反弹交互式Shell 支持所有Unix操作系统的远程控制。
   🌐 开源组件检测系统
6. 功能概述
   定义: 对应用系统中的开源组件进行安全漏洞识别与分析。
   核心功能
   功能 描述
   开源检测 精确识别开源组件的安全漏洞，并提供整改建议。
   🔒 运维安全管理与审计系统（堡垒机）
7. 功能概述
   定义: 对IT资源进行统一运维管理与审计，确保安全性。
   核心功能
   功能 描述
   身份认证 支持多种多因素认证方式。
   账号管理 支持特权账号的密码管理。
   🌐 流量威胁感知系统
8. 功能概述
   定义: 基于网络流量和终端日志，实现对网络攻击的精准发现。
   核心功能
   功能 描述
   高级威胁检测 检测并发现高级网络攻击与新型网络攻击。
   异常行为检测 建立网络异常行为检测模型，实现对内部违规的检测与发现。
   🚦 网络流量威胁感知系统
   流量威胁感知系统的部署
   流量威胁感知系统采用旁路部署的模式，将设备部署于安全管理区，通过镜像的方式将流量镜像给探针。其主要步骤包括：

流量汇聚：务必将需要监测区域的流量汇聚到探针，以实现对用户网络中流量的全量检测和记录。
数据存储：所有网络行为将以标准化的格式保存于系统中，结合云端威胁情报与本地分析平台进行对接，以提供发现本地威胁的渠道。
态势感知与安全运营平台
态势感知与安全运营平台以大数据平台为基础，通过收集多元、异构的海量日志，利用关联分析、机器学习、威胁情报等技术，帮助企业实现从被动防御向积极防御的转变。

核心功能
核心功能 具体描述
海量数据采集与存储 支持多种设备的自动解析、过滤、富化等，支持通过Syslog、DB、SNMP等进行数据采集。
威胁情报 与高质量的威胁情报进行关联，用于关联分析、日志匹配等场景。
机器学习 提升对未知恶意软件的检测能力。
威胁建模 提供多元异构数据的关联分析与灵活的威胁建模。
全流量检测 可还原多种网络协议，对网络病毒、异常流量、DDoS攻击等进行精准检测。
态势感知 提供多种安全态势的感知界面，从不同的安全运营角度对网络安全态势进行呈现。
威胁预警 在出现重大网络安全事件时，及时掌握是否遭受攻击及影响范围。
资产风险管理 结合资产价值及脆弱性信息对全网资产进行风险评估，量化风险指标。
异常行为分析 通过分析模型辅助安全运营人员进行综合判断，提高处置效率。
攻击回溯 实现在海量数据中对重点攻击和事件的回溯。
调查取证 通过调查分析工具整合安全人员能力与数据，完成事件分析和判定。
攻击链分析 将不同告警自动判断其对应的攻击阶段，帮助理解事件发生过程。
攻防演练 提供多个阶段的攻防演练模拟，提升企业的安全防护能力。
响应处置 通过配置策略将安全事件、动作和处置指令有机结合，实现灵活通知。
💻 蜜罐系统
蜜罐技术概述
蜜罐技术是一种对攻击方进行欺骗的技术，通过布置诱饵主机或网络服务，诱使攻击者实施攻击，从而捕获和分析其行为。

核心功能
核心功能 具体描述
主动诱捕 通过实时流量牵引，将指向诱饵的流量牵引到集中式诱饵资源。
多设备仿真 模仿多种网络设备或服务，提升对攻击者工具探测的欺骗能力。
资产高仿 尽可能与真实资产接近，增强蜜罐的诱捕效果。
溯源取证 通过主动跟踪机制对攻击链进行溯源，形成完整的攻击画像。
主动反制 针对攻击者进行一定程度的反制，获取攻击者信息。
产品在实战中的应用
高仿资产的自动生成：根据业务系统的调研，自动化构建服务。
协同防御：蜜罐系统与未知威胁感知系统的联动，提升诱捕效果。
🛡️ 终端安全响应系统
终端安全响应系统（Endpoint Detection and Response，EDR）是传统终端安全产品在高级威胁检测和响应方面的扩展，它通过多种技术评估企业网络中的未知风险。

核心功能
核心功能 具体描述
全面监控与数据采集 包括终端进程、IP访问、DNS访问等。
异常检测能力 针对不同攻击路径提供深度自动化异常检测能力。
高可视化溯源分析 对可疑进程行为的攻击链进行完整溯源。
威胁情报IOC导入 提供IOC检测告警能力，关联CVE信息。
自定义异常行为检测条件 支持根据业务场景需求创建自定义检测条。
产品在实战中的应用
通过对终端安全数据进行采集和检测，结合云端威胁情报与本地分析平台，快速定位并评估终端威胁，提升响应效率。

🖥️ 服务器安全管理系统
服务器安全管理系统通过兼容多种虚拟化架构和操作系统，帮助企业实现服务器安全。

核心功能
核心功能 具体描述
资产清点 细粒度清点主机、网站、账户等服务器信息。
基线检查 支持多维度安全基线，及时发现业务风险和合规风险。
安全加固 通过内核探针对服务器进行安全加固，禁止非法提权等。
网络攻击防御 高效检测恶意网络流量，抵御常规网络攻击。
运行为应用自我防护 监控应用流量，检测并防御已知和未知安全威胁。
产品在实战中的应用
通过服务行为识别和分析技术，监控服务器的网络外连、命令执行、文件创建等行为。

🔗 虚拟化安全管理系统
虚拟化安全管理系统是面向云计算或虚拟化环境的一站式安全产品，支持多种虚拟化平台。

核心功能
核心功能 具体描述
恶意软件防护 提供实时扫描、预设扫描等恶意软件防护措施。
虚拟防火墙 企业级防火墙模块，降低服务器未授权访问的风险。
入侵防御 检测和拦截暴力破解、缓冲溢出等网络攻击行为。
安全基线 对宿主机及虚拟机展开安全检查，实施安全措施。
产品在实战中的应用
可部署在物理服务器、虚拟化等环境，为云工作负载和物理服务器提供统一的安全防护。

🛡️ 终端安全准入系统
终端安全准入系统（Networks Access Control，NAC）用于设备接入的安全防护与合规性检查。

核心功能
核心功能 具体描述
核心资源访问控制 支持多种入网控制策略，防止非法终端访问核心业务资源。
网络边界接入控制 支持标准802.1x认证，确保终端的网络访问权限。
入网安全检查 支持多种合规检查策略，全面隔离“危险”终端。
产品在实战中的应用
准入系统通过身份验证确保符合安全标准的设备才能接入网络，有效避免网络资源的非法接入。

🔍 威胁情报系统
威胁情报系统通过分析威胁情报，帮助快速发现攻击事件并采取应对措施。

核心功能
核心功能 具体描述
报警研判 通过集成多方威胁情报和基础网络数据，帮助安全人员做出明确判断。
攻击定性 获得与攻击相关的目的、危害、技战术等信息。
关联分析 通过关联分析把握攻击者手中的其他IT资源，了解攻击目的。
产品在实战中的应用
威胁情报系统平台基于云端大数据提供SaaS服务，帮助用户对情报进行查询和使用。

🛡️ 网络安全情报与红队防守实例
网络安全情报的重要性
“网络安全情报是保护网络安全的重要手段，通过分析各种情报帮助安全运营人员进行有效的防护和应急处理。”

1. APT情报
   **APT（高级持续性威胁）**情报通过监控第三方APT事件和持续跟踪已有APT团伙，帮助组织确定是否受到APT攻击影响，并识别内部受控主机，以防止重大损失的发生。
2. 失陷情报
   通过检测僵尸网络、蠕虫、后门软件和黑客工具等恶意事件，发现被黑客控制的主机，防止个人或组织信息泄露或成为攻击跳板。
3. 文件信誉情报
   利用本地查杀和云查杀，结合主动防御和沙箱技术，提供可靠的文件信誉判定结果，以增强网络防护效果。
4. IP信誉情报
   通过分析IP的历史攻击行为（如暴力破解、DDoS攻击、扫描等），过滤出高优先级的攻击事件，并了解攻击者的背景信息。
5. URL信誉情报
   基于行业信息、地理位置、在线状态等多维度情报，对出站流量进行检测，帮助用户自动化分析URL的风险。
   红队经典防守实例
   10.1 某金融单位的防守实例
   10.1.1 领导挂帅，高度重视
   红队的防守工作需要全公司多部门协同作战，成立由总裁担任组长的网络安全领导小组，确保工作的稳步开展。
   10.1.2 职责明确，全员参战
   召开全系统动员会，签订网络安全责任书，落实安全责任，成立多个工作组进行安全监测和应急处置，并实行24小时值班制。
   10.1.3 全面自查，管控风险
   工作内容 具体措施
   资产摸查 全面开展网络资产排查，建立资产台账。
   责任落实 制定详细的方案计划，责任到人，及时更新进度。
   漏洞修复 开展漏洞扫描和渗透测试，整改完成率高达90%。
   监控措施 部署防火墙、云防护及全流量威胁感知系统，确保监控无死角。
   攻防预演 进行模拟演练，检验安全防护效果和应急处置机制。
   提升意识 结合管理和技术手段，开展员工培训，降低社会工程攻击的风险。
   10.1.4 顽强作战，联防联控
   制定“防守为主”的作战方针，设立指挥部统一指挥各小组，确保事件的快速发现和处理。
   10.2 某集团公司的防守实例
   10.2.1 明确核心，总结经验
   确认本次演练的防护核心为集团的目标系统，实施分级防护策略。
   10.2.2 合理规划，全面自查
   成立领导小组，负责整体工作部署，并开展全面的安全检查，发现并修复安全隐患。
   10.2.3 纵深防御，全面监控
   在所有网络边界部署云WAF和防火墙，实施严格的访问控制。
   10.2.4 联动处置，及时整改
   监控小组和应急小组协同作战，确保每个事件有专人跟进并完成整改。
   10.3 某政府单位的防守实例
   10.3.1 三项措施，演练前期充分备战
   制定“1个组织，2个机制，3个任务”的工作实施措施，确保演练的有效性。
   10.3.2 三段作战，破解演练防守困境
   演练分为体力战、心理战和死拼战三个阶段，分别应对不同的攻击模式和情境。
   战斗阶段 描述
   体力战 防守人员依靠监控发现并阻断攻击源头。
   心理战 防守队需及时处置告警，影响攻击者的信心。
   死拼战 攻防双方在最后阶段激烈对抗，确保目标系统安全。
   紫队视角下的实战攻防演练组织
   实战攻防演练的组织要素
   包括组织单位、技术支撑单位、攻击队和防守队，各部分需高效协调以确保演练顺利进行。
   实战攻防演练的组织关键
   关键包括确定演练范围、周期、场地和设备，明确攻击和防守规则，保障演练的有效性和安全性。
   实战攻防演练的风险规避措施
   限定攻击目标系统，不限制攻击路径，确保演练不影响业务的正常运作。
   🛡️ 组织攻防演练的目的与方法
   “置禁区的目的在于确保通过演练发现的信息系统安全问题真实有效。”

禁止攻击方式
在攻防演练中，主要禁止的攻击方式包括：

禁止方式 说明
收买防守人员 禁止通过贿赂手段进行攻击
物理入侵 禁止通过物理方式如截断监听外部光纤进行攻击
无线电干扰 禁止使用无线电干扰设备直接影响目标系统运行
攻击方式要求
木马控制端：必须使用由演练指挥部统一提供的软件，禁止具有破坏性功能的软件，如自动删除目标系统文件、损坏引导扇区等。
非法攻击阻断及通报
为加强对各攻击队的监测，演练指挥部应组织技术支撑单位进行全流量记录与分析，发现不合规行为时需及时阻断并进行通报。

📅 组织攻防演练的五个阶段

1. 组织策划阶段
   在此阶段，需要明确演练目标并形成可落地的方案。

建立演练组织：包含演练指挥小组与演练工作小组。
确定演练目标：选择关键信息基础设施与重要业务系统作为演练目标。
制定演练规则：确保攻击方式受限，以避免对业务系统的影响。
制定评分规则：确立攻防双方的评分标准。
确定演练流程：确认演练各步骤的顺序与内容。
搭建演练平台：为攻防演练提供必要的技术支持。
应急保障措施：制定应对突发事件的预案。
2. 前期准备阶段
确保演练的顺利进行，需提前做好以下准备：

准备内容 说明
演练场地布置 确保演练现场设施完善
演练平台搭建 确保技术平台正常运行
演练人员专用电脑 配备必要的软件与监控工具
演练备案 向上级主管单位进行备案
人员选拔与审核 确保攻击队与防守队人员的能力
3. 实战攻防演练阶段
此阶段是整个演练的核心，主要步骤包括：

确认人员与环境就位。
演练正式开始，攻击组实施攻击。
防守组进行监测与响应。
提交攻防成果并进行评分。
4. 应急演练阶段
针对演练中出现的突发事件，组织应急响应，迅速恢复业务。

检测阶段：确认是否发生信息安全事件。
抑制阶段：采取措施控制事件扩散。
根除阶段：分析事件根源并采取补救措施。
恢复阶段：确保系统恢复到正常状态。
5. 演练总结阶段
演练结束后，需进行成果汇总与问题整改。

收集报告：汇总各方提交的总结报告。
清除后门：根除攻击过程中留下的后门。
总结会议：各参演单位进行经验分享与总结。
🧩 沙盘推演的组织与实施
沙盘推演是在实战攻防演练的基础上，评估真实网络攻击对机构及公共安全的影响，包括经济损失、声誉损失等。

沙盘推演的四个阶段

1. 组织策划阶段
   建立推演组织：组建推演工作小组，明确各组职责。
   明确攻击目标：选择关键业务系统作为模拟攻击目标。
   搭建推演平台：为攻防双方提供展示与评分的环境。
   确定推演流程：设计多轮推演的具体流程。
2. 推演准备阶段
   攻击方案筛选：评审并优化攻击方案。
   推演平台搭建：确保推演环境的技术准备。
   现场保障准备：确保推演现场的顺利运行。
3. 沙盘推演阶段
   推演过程实施：双方根据方案展开论证与对峙。
   评估影响与专家评分：对推演结果进行评估与打分。
4. 总结评估阶段
   收集材料：提交推演相关材料进行评审。
   开展总结：对推演过程进行全面复盘与总结，提出改进建议。
   此演练方案旨在全面提升机构的网络安全防护能力，确保在真实攻击发生时能够有效应对。