HW攻击溯源技战法方向和思路以及案例

袁哥大话安全

已于 2023-09-15 09:11:11 修改

阅读量615

点赞数 1

分类专栏： HW 攻防演练文章标签：网络安全服务器

于 2023-08-25 19:05:25 首次发布

本文链接： https://blog.csdn.net/yuanlirong22/article/details/132501620

版权

HW 同时被 2 个专栏收录

5 篇文章 0 订阅

订阅专栏

攻防演练

5 篇文章 0 订阅

订阅专栏

本文结构如下：

第一章:技战法方向及参考思路

一、从以下技战法方向中任选

1、供应链（供应链的自查、风险规避）

2、威胁情报

3、0day防护

4、数据安全

5、应急处置（应急预案）

6、内部红蓝对抗

7、一体化指挥

8、重点防御

二、技战法文档内容框架案例

（一）背景介绍/概述

（二）技战法概述

（三）技战法介绍

（四）应用案例

（1）XXX技战法实例：

（2）XXX技战法实例：

（3）XXX技战法实例：

（五）技战法总结

（1）解决了XXX问题

（2）哪些方面有提升

（3）促成XXX

三、技战法要求

技战法要求通常包括以下：

（1）通常要求是两千左右。

（2）标题能够突出文章主旨、特色或成效。

（3）内容要求：

a.文章开头应结合实际业务，描述现状、痛点和需求；

b.技战法应为一套完整方法论或做法，并切实可行；

c.文章的主体应突出亮点，技战法核心思想清晰，具体做法明确有干货；

d.文章最后应包含具体成效，体现出对实际业务的帮助（可用案例或数字说明）；

e.字数介于1000-2000之间。

第二章:案例：IP溯源反制技战法

这里简单瞎几把编了一个案例，请勿对号入座。

一、背景介绍/概述

IT资产体量大，难免存在IT资产在公网暴露面，在HW过程中，攻击队会先踩点，然后查找机会进行入侵到内网，实施后渗透攻击。在HW值守的过程中，快速发现和溯源定位到攻击者的工作显得格外困难也尤为重要。

二、技战法概述

IP/域名作为能够收集到攻击信息中较为关键的一项，如何通过IP/域名回溯攻击源头成为了一件十分重要的技术，IP/域名溯源关系到是否能够从被动地防守转换成为主动的进攻。

在发现有入侵者后，快速由守转攻，进行精准地溯源反制，收集攻击路径和攻击者身份信息，勾勒出完整的攻击者画像。

三、技战法介绍

（1）攻击源捕获

首先通过安全设备的报警，如态势感知等系统进行判断，将扫描IP、木马、威胁阻断、入侵等事件的攻击IP获取出来，通过对日志流量分析，异常的通讯流量和攻击源目标进行筛选，对钓鱼右键，钓鱼网站URL进行分析，提取敏感IP，通过蜜罐捕获，获取攻击方IP。
定位到该IP地址所在的服务器信息，登陆服务器进行分析，对相关的攻击源进行相对应的捕获。
对捕获到的攻击源威胁系数进行划分，对攻击源溯源优先等级进行排序处理。

（2）溯源反制

首先排查服务器的应用及进程，定位外联进程及IP地址。排查配置文件，定位外联的IP地址和域名信息。对确认IP归属地和域名信息进行反查，收集基础信息。
通过对攻击源的相关日志信息，通过搜索引擎，社交平台和社工库对其进行查询，对特征进行匹配，利用ID从技术论坛溯源邮箱，继续通过邮箱反追踪真实姓名，找到攻击者姓名和简历等相关信息。
对域名WHOIS查询对注册人或注册组织查询，对IP历史解析记录和域名注册信息进行溯源分析。
对样本特征查询，如用户名、ID、C2服务器等信息进行同源分析，如若成功可以查询到攻击者的相关信息。

（3）攻击者画像描述