概述:

企业的信息安全体系的建设都是大同小异,只有把握好了风险控制点,一个企业的信息安全完全可以做到相对安全,至少能够防止90%以上的网络攻击,其他的0day漏洞或者新型的攻击手法包括在10%以内,这10%就需要重点监控防御。

一般来说,一个企业想要防御好外部或者内部的攻击,首先企业是想要搞好安全的,否则就算是给了你最好的团队,那也是浪费资源。

安全在于意识和防御,有了出发点,那么一切都顺理成章。

安全这个行业待得久了,就会发现路越来越难走,曾经的技术氛围渐渐不在,搞安全的也渐渐转行,当激情不在,我们还剩下什么?到底我们在追寻什么?安全圈浮躁的人太多,愿初心不变吧。

写这篇文章呢,一是想把自己的经验做个总结,二是想用笔者的经验给企业一点建议和分享。安全不是盲目的,而是有计划,有手段的。

攻击者一般的手段也就那么几样,即使再怎么变,也是万变不离其中,至少这么多年没怎么变过,未来可能稍微会转变方向,但只要掌握了它其中的变化基础,就掌握了其攻击防御的命门。

由于笔者技术水平问题,可能文中会有遗漏或不正确地方,还望批评指出。

全文分5个篇,5个部分,详细的介绍了企业当前面临的各个风险点,从信息安全的几个大点重点描述企业安全体系建设,一个企业再大,只要规划合理,安全管理结构清晰,那么安全建设和保障就不会再是难事。文中有些部分可能不适用于较小企业,因为防御成本的问题嘛!其他国家级的等保体系不在讨论范围内,毕竟对于一般企业来说,也不适用。

目录:

系统安全建设篇

网络安全建设篇

产品安全建设篇

Web安全建设篇

人员安全建设篇

本文纯属个人经验和见解,如有语言不妥之处,还望批评指出。

一:系统安全建设篇

0x00 前言

系统的安全是在企业安全体系建设中的基础,只有系统的安全基线合规,才能够保证其部署在系统上的服务能够安全稳定的运行。

0x01 物理安全

首先,要提到的必须是物理上的安全。

一个安全性高的机房或者公司内部电脑环境保证了企业不被攻击,切实的保障了物理的安全。

当然,还有其他影响机房运行的因素,比如:温度、灰尘、湿度等等。

这里主要讨论,人对物理安全的影响。

从物理攻击的角度来讲,不外乎是与物理设备进行接触,主要有下面几种。

1.存储介质

攻击者可以用U盘来进行攻击,可以提到的是比较出名并且比较成功的就是美国的震网病毒。如果一个机房管理员或者一个员工捡到一个来路不明的U盘,由于人的好奇心驱使,难免会有偷窥他人隐私的心理,而如果恰巧U盘就是一个攻击工具,那么这就将会导致公司内部网络的沦陷。所以存储介质也是要分私用和公用的,不可混用。

2.身份伪造

一个攻击者要进入一家公司或者企业,肯定会经过身份验证。如果恰巧公司安保措施不严,就会让攻击者进入公司内部,获取有价值的信息,严重一点的通过各种社工手段物理接触公司内部网络服务器,盗取各种机密文件或者安装后门,长期实施信息盗取和监控。

3.网络窃听

攻击者通过搭线或者其他手段,在公司网络的出站口搭建监听设备,监控企业网络流量,达到窃取文件的目的。

4.AI攻击

随着时代的发展,人工智能将成为主流,攻击者可以通过自制机器人、无人机等设备绕过人为的监控,达到自身目的。它们可以使用干扰等手段来扰乱当前现状,它们隐蔽性较强,即使被发现,控制人员可以通过销毁程序进行销毁,从而减少背后操控人员风险。

5.硬件攻击

如果企业不小心买到了安装有后门的设备,那么企业所有的安全防护策略都会失效,这将导致企业在安全上的所有努力全部白费。所以一定要选择正规渠道购买设备,并且要在安装组网前进行相关安全检测,以防万一。

那么,企业应该如何防范呢?

首先,企业内外部监控是必不可少的,确保各个重要角落能够无死角监控,进入核心设备需要加强安保,不是加一把锁就能锁住一切,要多重验证,比如多因子验证,要打开或进入一个核心机房需要两个人或者多个人的授权,要多个人的钥匙或者身份验证才能进入。

进入或者登录核心设备需要登记身份信息,对信息进行备案。

落实责任人制度,确保发生安全事件能够找到责任人,这样能够提高安保人员的责任意识,对物理安全的管控也会更深。

相对于物理安全,重要的就是安保,身份验证是重点。

0x02 系统安全

现代社会,一个公司还没有不用计算机的,所以使用计算机就会产生各种各样的问题。

一台不联网的计算机也会受到攻击,大多是物理层面的,如存储介质的交互。对于联网的设备也时时刻刻受到网络木马病毒的攻击威胁,虽然安装有杀毒软件,能够防住大部分攻击,但是少部分木马病毒和高级的攻击手法杀毒软件是防不住的,所以就需要使用者有安全意识来进规避了。

一般做法

1.时常更新杀毒软件版本

2.不允许混用私用和公司计算机

3.不打开来路不明软件和文件

4.勤打补丁

5.配置好计算机自身防火墙

6.对计算机进行安全基线合规配置

攻击者如果要攻击一台服务器一般步骤就是端口扫描、C段、系统漏洞、0Day等手段。下面说一说一般的防护手段。

1.端口

对于企业级服务器设备来说,配置好防火墙是必要的。以前一个案例就是,笔者还在一家公司实习时,每天不断面临外部IP对服务器进行端口扫描,于是想到了一个做法,就是常用的封IP手段,那么我们又要思考,如果对方是一个正常访问者呢?这样会不会对用户造成不好的用户体验,我们也知道,通常一个网站也就开个web端口与用户进行交互,一般的用户访问网站,是不会去尝试访问其他端口的,所以笔者的做法是,如果一个IP扫描5个端口,直接封IP一天。那么这个地方又会有个问题,如果对方使用代理,不就可以全端口扫描了吗?没错,所以在防火墙里配置个策略来欺骗攻击者,无论攻击者扫描那个端口,端口都是开放的,如果效果不好,封住其他端口不会对服务器造成问题的话,那么就直接封死相关端口,不对外开放。

其实这里比较好的做法就是,把设备放到内网,需要哪个端口对外开放就映射哪个端口出去,中间加上防火墙,这样的话,就不怕端口扫描了。

2.日志

系统日志是必不可少的,它能够详细的记录端口扫描、用户登录登出、操作等信息,一旦发生信息安全事件,我们能够第一时间进行攻击溯源。

不过需要记录的是日志的记录最好不要放到同一服务器上,要记录在专门的日志文件系统上,当然日志服务器的安全也要有所保证,日志服务器只接收信息存储,不处理日志信息,处理日志就需要专门的分析工具。这样可以保证日志服务器的安全。

3.C段

外网的C段如同内网的C段,在同一C段意味着他们有相同的网关,一般攻击者在无法攻破C段中的一台机器时,就需要寻找一台C段中安全防护比较薄弱的设备,在这台设备被攻破后,攻击者就能对C段进行信息嗅探,网关挟持等内网能做的一切操作。

防止C段相关攻击最有效的方法就是绑定网关MAC地址或者双重绑定,如果攻击者劫持了网关,而你又不能操控网关的话,可以向网关所有者(运营商)求助,或者自求多福吧。

4.安全基线

基线在系统安全里面也是比较重要的,基线主要包括了漏洞补丁、计算机系统安全配置、防火墙安全配置、数据库安全配置等,配置合规率能够很大程度上提高了系统的安全防御性能。

相关具体的安全配置可以查看各厂家安全配置手册,在网上也是可以找相关基线合规资料的。

0x03 运维安全

运维安全作为企业安全保障的基石,因为运维安全位于最底层,或涉及到服务器、网络设备。基础应用等,一旦出现安全问题,会直接威胁到服务器的安全。而在企业日常运营中,运维安全事件的出现通常预示着这个企业的安全规范、流程有问题,这种情况下就会不止一台机器有同样的漏洞,会是一大片,甚至波及整个公司的核心业务。

运维这个点不是几句话就能说的清楚的,其最核心的问题还是那么几个。

1.弱口令

弱口令是运维安全中的核心问题,比如一台主机被攻陷,由于设备密码大多数都是相同的,很少有运维人员会每个设备都设置不同的密码。所以,一个弱口令就足以导致整个内网服务器的沦陷。

攻击者一般会使用密码字典、拿到密码加密文件、网络嗅探等手段进行攻击,在拿到相关信息时,他们会分析加密的算法,再针对性的进行攻击。

再一个就是口令的防御,都知道,加密只是用于防破解,而密码猜解是不需要知道你的密码是什么算法的,直接用字典穷举。那么这里就会有一个怎么防止这类问题的要求。

首先,密码的设置必须符合密码安全策略,大小写字母数字加特殊字符的组合,长度不低于8位,口令要定期更换,使用随机密码、使用强加密算法,至少不是像base64那样的弱加密算法。至于口令认证的话,需要根据公司自身情况进行而定。

防御只要企业有自己的一套规范,运维有自己的良好安全意识,那么这类攻击成功率是不大的。

2.信息泄漏

结合今年来一些运维相关的信息泄漏事件来看,大多数都是运维不小心把帐号密码上传到网上,如github(代码泄漏)、blog(敏感信息截图),还有的就是被攻击,企业数据库被拖库、企业帐号密码规律性、各种被钓鱼等。

对于这些,企业一定要制定一些规范,建立一个审核机制或者安全操作手册,来减轻或规避一些可能导致信息泄漏的风险点。

3.系统权限

一般来讲,如果不是必须要最高权限启动的服务或应用,最好设置一个普通权限来管理系统,以此来减轻权限所带来的安全风险。

4.系统补丁

时常关注网络安全状态是必要的,最近出了什么漏洞,自身在用设备是否受此漏洞影响,要自身知道。关注自身在用的相关版本,出了漏洞补丁马上进行处理并跟进最新漏洞相关进展。

5.网络攻击

运维人员关注最新的网络攻击时态也是很有必要的,这样可以根据具体的攻击手法来对企业进行防御体系的调整。

6.虚拟化

当前网络安全现状不容乐观,很多的企业选择了虚拟化来管理自身设备,这样的好处是,当设备被攻击后,如果系统或数据被破坏并无法修复时,企业可以选择之前新建的快照进行恢复,进而避免损失。如果换了物理机的话,而企业又没有进行系统的备份,对于企业有可能就是灾难性的。

7.安全域

域的安全在运维里算是重要的了,域的安全性就是内网的安全,这么说一点也不为过。

域最重要的也是弱口令的问题,其次就是域系统的相关配置。域是个很复杂的环境,因为涉及到的范围太广,涉及成员太多,所以就简单的描述一下。

计算机的策略大体上分为四类,他们分别是本地策略,域策略,站点策略以及ou策略。起作用的先后顺序为local policy(本地)——〉site policy(站点)——〉domain policy(域)——〉ou policy。

一般来讲,域主机控制了整个域环境的其他域设备,它还负责整个域的用户权限分配。域的安全主要在配置,严格执行分权策略,相关设备的关联性尽量低权限,只要策略得当,就算其中一台设备被攻陷,那么也是很难拿到域控权限的。

0x04 应用安全

一台计算机肯定是会跑应用的,要不然拿来干嘛。

应用安全,顾名思义就是保障应用程序使用过程和结果的安全。简言之,就是针对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃,通过其他安全工具或策略来消除隐患,一般软件为了增加用户体验,可能会要求收集用户的一些信息,我们可以关闭这个选项。

应用一般来说是属于第三方的,所以,这里就有一个安全应用临界点问题的产生。

许多运维人员认为他们的网络是安全的,因为他们部署了有防火墙,但是,攻击者很有可能攻击应用层,因为在应用层存在更大的漏洞。

比如配置不当、弱口令、软件漏洞等等。举个例子,FTP的远程溢出漏洞,有很多FTP的应用都在早年的版本中存在这个问题,以至于我们向FTP端口发送超过一定字节数将导致FTP崩溃,从而构造EXP攻陷服务器。

系统的相对安全不代表没有办法攻陷系统。

1.应用部署

我们在部署一个应用时,应该考虑到应用场景的方方面面,首先这个产品是否是成熟的,安全性在业界是什么水平,我们都需要知道,从近年来曝光的应用后门来讲,数不胜数,其中包括非常出名的厂商在内。虽然不是他们的刻意为之,但是对于我们用户来讲还是个安全隐患。

应用在部署前,应该做好权限的划分,比如启动apache这类应用,我们应该单独设置一个账户来启动这类应用,而且权限只能限制在服务的范围内。如果条件允许,我们可以考虑用虚拟镜像(如docker)来部署这类应用。

2.沙盒

沙盒是在受限的安全环境中运行应用程序的一种做法,这种做法是要限制授予应用程序的代码访问权限。例如,下载到 Internet Explorer 的控件使用 Internet 权限集运行。驻留在局域网共享上的应用程序在计算机上使用 LocalIntranet 权限集运行-百度百科。

有些时候,我们运行一些应用时,它可能会存在风险,那么在沙盒里运行它可以减少系统风险,纵使有沙盒逃逸这个技术。

在沙盒里运行软件在一些环境下应该还是必要的。

3.未知软件

未知的软件也是威胁应用安全的一部分,比如常见的钓鱼软件,某些攻击者利用受害者心里,通过播放器、外挂等进行木马病毒传播,如果企业员工在家用电脑使用了感染了病毒木马的U盘到企业电脑上使用,那么就会导致企业内网的感染,从而导致一个点全盘扩大的一个过程。

所以,还是那句话,企业制度很重要,私用和公司电脑包括存储介质不可混用,未知软件不可随意点开,一定要先杀毒(尽管杀毒软件并不那么可靠),如果不确定那就不要点开。

4.软件渠道

软件的下载一定要到公司官网里去下载,不要去第三方下载。一个公司应该还是有买一个正版软件的钱,不要用盗版软件,这和安全风险相比还是值得的。购买正版软件还是是对安全的一种投资。

0x05 杀毒安全

有句话怎么说来着:杀毒软件就是最大的病毒软件。

其实,话也不能这么说的这么狠,杀毒软件是我们的安全防卫者,时时刻刻都保护着我们的计算机安全不被入侵,但是呢,杀毒软件开发者为了有更好的杀毒效果和能够防御新型病毒木马,通常他们是会收集一些病毒样本来分析,比如我们常看到的云端杀毒。做的流氓点的就是不通知用户直接上传用户文件样本。

那么在这个上传过程中就出现了信息泄漏的问题。

尽管这些问题杀软厂商是不会承认的,但是事实各人都心知肚明。

那么这里又会有个需求,怎么样来防止此类事情的发生呢?答案是,如果企业自身有条件的话,可以和杀软厂商合作,特别定制版杀软。据笔者了解这方面做的比较好的就是赛门铁克,企业版本可以放到自身内网中,升级操作都是由总服务器代替的下发的,所以可以减少这类问题的产生。

下面画一个草图,大概就是这么个样子。

图1-1

如果公司条件不允许的话,但是又不能电脑裸奔,只能是关闭杀软的上传功能,虽然这会影响到杀毒效果,但是能避免上传敏感信息到杀软厂商那去(虽然说这话连我都不信,不过我们还是要抱点希望),再一个,可能杀软也会像其他应用软件一样,为了增加用户体验,会收集用户的一些信息,我们一样可以关闭这个。

还有杀毒软件一定要在正规渠道下载,比如官网,否则会有什么事情就不可预知了,笔者曾经就遇到过修改过的杀毒软件,引以为鉴。

总之,选择一款好的杀毒软件是很有必要的,杀毒软件用的好,那叫防御,用的不好,那叫后门。

点击收藏 | 0 关注 | 2
登录 后跟帖