蓝队知识浅谈（中）

声明：学习视频来自b站up主 泷羽sec，如涉及侵权马上删除文章

感谢泷羽sec 团队 的教学

视频地址：蓝队基础之网络七层杀伤链_哔哩哔哩_bilibili

本文主要分享一些蓝队相关的知识。

一、网络杀伤链

网络杀伤链（Cyber Kill Chain）是由洛克希德·马丁公司提出的一个模型，用于描述网络攻击从初始阶段到最终实现攻击目标的全过程。该模型分为七个主要阶段，每个阶段都有其特定的目标和行动，以下是每个阶段的详细描述：

1. 侦察（Reconnaissance）

• 定义：攻击者对目标进行信息收集和探测的阶段，旨在了解目标的网络架构、系统配置、潜在漏洞以及用户活动等相关信息。
• 目标：通过公开的网络信息（如WHOIS数据、社交媒体、搜索引擎、网络扫描等）来搜集目标的详细信息。
• 常见手段：
  • 网络扫描工具（如Nmap）发现开放端口和服务。
  • 针对目标进行社交工程，收集员工的背景信息。

2. 武器化（Weaponization）

• 定义：攻击者根据侦察阶段收集的信息，将恶意软件或攻击工具进行定制，使其能够利用目标系统的特定漏洞，并将其转化为具有攻击性的"武器"。
• 目标：创建能够在目标系统上成功执行的恶意代码。
• 常见手段：
  • 开发或修改恶意软件，如利用已知漏洞的木马、病毒或漏洞利用工具。
  • 将恶意代码嵌入到合法的文件或应用中，以规避安全防护。

3. 投送（Delivery）

• 定义：攻击者将经过武器化的恶意软件或攻击工具传送到目标系统或网络中。
• 目标：将恶意载荷送达目标计算机或网络，并使其能够在目标设备上执行。
• 常见手段：
  • 通过电子邮件附件发送恶意文件（如带有宏的Word文档、PDF）。
  • 利用恶意链接或钓鱼邮件进行攻击。
  • 利用USB设备或其他物理介质传播恶意软件。

4. 利用（Exploitation）

• 定义：一旦恶意软件成功传送至目标系统，攻击者利用目标系统存在的漏洞来执行恶意代码，获取对目标系统的初步访问权限。
• 目标：成功执行恶意软件并利用系统漏洞以获取目标系统的控制权。
• 常见手段：
  • 利用操作系统、应用程序或硬件设备中的漏洞执行代码（例如，缓冲区溢出）。
  • 动态链接库（DLL）注入或其他内存攻击技术。

5. 安装（Installation）

• 定义：在成功进入目标系统后，攻击者会进一步安装额外的恶意软件组件，如后门程序、远程控制工具等，以便长期控制目标系统。
• 目标：在目标系统中实现持久性和控制，确保攻击者能够长期存在。
• 常见手段 ：
  • 安装后门或Rootkit，使得攻击者能够在目标系统中保持隐蔽访问。
  • 利用自动化脚本或工具进行持续监控和控制。

6. 指挥与控制（Command & Control, C&C）

• 定义：攻击者通过指挥与控制（C&C）渠道与目标系统之间建立联系，使得攻击者能够远程操作目标系统，进行进一步的攻击或数据窃取。
• 目标：通过已安装的恶意软件，建立与外部控制服务器的通信，指挥目标系统执行攻击者的命令。
• 常见手段：
  • 利用加密通信通道与外部C&C服务器建立连接。
  • 通过HTTP、DNS或其他协议隐藏恶意通信。

7. 行动（Action）

• 定义：这是网络攻击的最终阶段，攻击者通过已建立的指挥与控制通道，在目标系统上执行其预期的恶意活动，如窃取敏感信息、篡改数据、发起拒绝服务攻击等，从而实现攻击目的。
• 目标：根据攻击者的目标，执行数据窃取、系统破坏、信息篡改、勒索等恶意活动。
• 常见手段：
  • 窃取敏感数据（如账户密码、知识产权、财务信息等）。
  • 利用勒索软件加密目标数据并索要赎金。
  • 执行大规模数据篡改或系统破坏，导致目标系统瘫痪。

网络杀伤链模型的意义

• 防御角度：通过了解和识别每个阶段，组织可以在攻击的早期阶段采取措施进行防御，从而降低攻击成功的概率。
• 响应角度：当攻击发生时，组织可以根据杀伤链模型来定位攻击的具体阶段，并采取相应的响应措施，及时遏制攻击，减少损失。
• 持续改进：杀伤链模型有助于持续改进网络安全防护，通过每个阶段的监控和防护来增强整体的安全防御能力。

二、日志收集和分析

日志收集和分析是企业网络安全的重要组成部分，能够帮助检测并响应潜在的安全事件。以下是日志收集和分析的基本流程和关键技术：

1. 日志收集：

收集日志是网络安全中的第一步，能够为后续的事件检测和响应提供基础数据。关键日志来源包括：

• 代理服务器：记录所有用户和外部网站或服务之间的通信活动。
• 邮件服务器：记录发送和接收的电子邮件，可能包括恶意附件、垃圾邮件等。
• Web服务器：收集Web请求日志，监控网站访问、潜在的SQL注入攻击等。
• 数据库：记录数据库操作日志，如用户访问、查询执行、数据修改等。
• 身份认证服务器：记录用户登录、认证失败等安全事件。
• 防火墙、路由器和交换机：收集流量日志、连接请求、访问控制记录等。
• 应用程序服务器和工作站：记录应用和系统级事件、用户行为、操作异常等。

配置日志源：为了确保日志的有效收集和转发，所有相关设备和系统需要配置为生成日志并将日志数据发送到日志收集器。常见的日志传输方式包括：

• Windows事件日志收集与转发：Windows通过事件查看器收集系统日志，可以通过Sysmon等工具增强事件日志的功能，并将其转发到集中的SIEM系统。
• Linux系统日志收集与转发：Linux系统使用Syslog协议收集系统日志，并将其通过rsyslog或syslog-ng等工具转发到集中式日志服务器。
• 楼宇管理和工控网络日志：这些系统通常与企业网络连接，可能成为攻击目标，因此需要特别关注和监控它们的日志。

2. 日志搜索与分析：

收集的日志数据必须通过专业工具进行搜索、分析和可视化，以发现潜在的安全事件和异常行为。以下是常用的日志分析工具和技术：

• Splunk：Splunk是一款功能强大的日志收集、存储、搜索和分析平台。它支持高效地从多个数据源中提取、整理和分析日志，能够实时处理大量数据，并提供强大的查询和可视化功能。

• SIEM（Security Information and Event Management）：SIEM工具用于聚合和关联来自不同日志源的日志信息，以帮助识别可疑的活动和潜在的攻击。SIEM系统能够自动化日志分析、检测和响应，常见的SIEM解决方案包括Splunk、IBM QRadar、ArcSight等。

  • 关联日志与活动：SIEM通过分析各类日志，识别其中的模式和异常行为，例如多次失败的登录尝试、异常的网络流量等。
  • 实时警报：SIEM系统通常能够根据预定义的规则或机器学习算法检测潜在的安全事件，并发出警报，提醒安全团队进行响应。
  • 可视化：大多数SIEM解决方案提供图形化界面，以便用户能够以直观的方式查看和分析日志数据，例如生成趋势图、流量图、事件图等。

3. 日志数据的安全性和隐私：

由于日志可能包含敏感信息（如用户身份、访问历史、系统配置等），确保日志数据的安全性和隐私性至关重要。以下是保护日志的常见措施：

• 加密：确保在传输和存储过程中对日志数据进行加密，防止数据被非法访问。
• 日志完整性：使用哈希值或数字签名确保日志数据未被篡改。
• 访问控制：仅授权的人员可以访问和分析日志数据，减少潜在的内部威胁。

4. 日志的合规性要求：

不同的行业和地区对日志管理有不同的合规性要求。例如：

• GDPR（General Data Protection Regulation）：在欧洲，涉及个人数据的日志必须符合GDPR要求，确保数据保护和隐私。
• HIPAA（Health Insurance Portability and Accountability Act）：在美国，医疗行业的日志管理必须符合HIPAA要求，保护患者隐私信息。

5. 常见的日志分析技术：

• 日志聚合：将来自多个来源的日志汇聚在一起，形成一个统一的日志存储。
• 日志过滤与清理：去除无关或噪音数据，聚焦于重要事件。
• 事件关联：将相关的日志条目关联起来，以更清楚地理解潜在的攻击。
• 趋势分析与模式识别：通过对历史日志的分析，识别正常行为模式，从而检测到异常活动。

三、监控告警与事件响应

1. 告警来源与类型：

• SIEM告警：SIEM（Security Information and Event Management）系统能够聚合来自不同设备和系统的日志信息，通过日志关联分析和预定义规则触发告警。例如，当检测到异常的登录行为（如短时间内多次失败的登录尝试）时，SIEM系统会发出告警。
• 实时告警系统：如IDS（入侵检测系统）设备，这些设备能够实时监控网络流量或主机行为，检测潜在的攻击或异常活动，并立即触发告警。例如，IDS可以检测到恶意的网络扫描、端口扫描等行为，并通过告警通知安全团队。
• 事后告警系统：如AIDE（Advanced Intrusion Detection Environment）等系统，监控系统文件的完整性和变化。例如，AIDE可以监控关键系统文件是否发生未经授权的修改，一旦发现变化，会触发告警。

2. 告警无法触发的情况：

有时，攻击者可能采取一些隐蔽的手段进行攻击，导致告警无法触发，例如：

• 密码更改：攻击者可能通过篡改用户密码来取得访问权限。这类事件可能无法通过常规的日志或网络告警系统检测到，除非用户报告或管理员注意到异常。
• 隐藏的恶意活动：攻击者可能使用加密或隐藏技术（如反病毒绕过、数据包加密）来掩盖其行为，使得监控系统难以识别。

3. 事件响应流程：

当SIEM或其他监控系统触发告警，安全团队需要快速响应。以下是典型的事件响应流程：

• L1分析师响应：L1级分析师收到告警后，首先评估告警的严重性和真实性。如果是低级别或误报，可能会将其关闭或做进一步排查。如果确认是潜在的安全事件，L1分析师会生成工单并将其转交给L2分析师。

• L2分析师响应：L2级分析师会对事件进行更深入的分析，调查潜在的攻击路径和攻击者行为。分析师将对相关日志、网络流量、主机状态等进行检查，判断攻击是否正在进行，并采取措施（如隔离受影响系统、阻止攻击路径）。

• 数字取证分析：如果攻击事件涉及严重的损失或敏感数据泄露，L3级分析师（或数字取证专家）将介入进行更深入的调查。数字取证分析是通过合法手段获取并保护存储在系统内的证据，以供后续调查和法律程序使用。常见的数字取证对象包括：

  • 内存取证：分析系统内存中的活动信息，识别恶意进程或注入的代码。
  • 硬盘取证：对硬盘上的文件、日志、操作系统活动进行深入分析，找出攻击者的操作痕迹。

4. 数字取证分析的关键步骤：

• 数据采集：取证分析师需保证所有数据的采集过程不影响证据的完整性。包括从内存、硬盘等设备中提取数据。
• 数据保护：在进行数据提取时，要确保数据未被篡改，并通过哈希值等方式确保完整性。保存所有原始数据的副本。
• 分析与报告：通过专业的数字取证工具对采集到的数据进行分析，生成证据链，并提供详细的报告。这些报告可以帮助确定攻击者的活动轨迹、利用的漏洞、泄露的数据等。

5. 告警管理与优化：

监控和告警不仅仅是为了响应事件，还涉及到长期的管理和优化：

• 误报与漏报管理：过多的误报或漏报可能导致安全团队忽略真正的威胁。定期审查告警规则，优化SIEM系统和IDS配置，减少误报，提高检测精度。
• 事件优先级：并非所有告警都需要立即响应。根据事件的严重性、潜在影响和紧急程度，确定响应优先级，合理分配安全资源。
• 后期复盘与改进：每次事件响应后，安全团队应进行复盘，分析响应过程中存在的问题，优化响应流程和工具，提高团队效率和事件处理能力。

四、网络狩猎（Cyber Hunting）

网络狩猎是一项积极主动的安全防御技术，旨在通过主动搜索网络中的潜在威胁，发现已经渗透的攻击活动，防止攻击造成更大的损失。与传统的基于告警的响应方法不同，网络狩猎假设攻击者已成功渗透到网络内，并主动寻找并分析网络中的可疑活动和恶意软件。

1. 网络狩猎的目标

• 主动发现：与被动依赖告警不同，网络狩猎专注于通过分析日志、流量和网络活动来寻找潜在的恶意活动，即使没有触发告警。
• 减少潜在损失：通过在攻击者造成实际损害之前发现其行为，网络狩猎有助于提前阻止攻击，减少数据泄露、系统损坏或其他安全事故的风险。
• 时间线还原：通过收集和分析攻击痕迹，网络猎人可以还原攻击的整个过程，包括攻击者的初步入侵、横向移动、数据窃取等活动，从而有助于深入了解攻击手法和攻击链。

2. MITRE ATT&CK框架的应用

MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）框架是网络威胁猎人的重要工具。它提供了攻击者可能采取的行为方式、使用的工具以及攻击阶段的信息，帮助网络狩猎人员识别攻击痕迹和异常活动。具体包括：

• 战术（Tactics）：攻击者的战略目标，例如获得初步访问、持续访问、横向移动等。
• 技术（Techniques）：攻击者实现这些战术的具体手段和方法，例如利用漏洞、恶意软件、钓鱼攻击等。
• 子技术（Sub-techniques）：更细化的攻击方法，提供攻击者的更具体行为和实施路径。

利用MITRE ATT&CK框架，网络狩猎人员可以根据已知的攻击模式来搜索和检测网络中的异常活动。例如，使用恶意软件植入后，攻击者可能会尝试使用"文件签名绕过"或"进程注入"等技术，这些可以在框架中找到并作为狩猎的目标。

3. 网络狩猎的关键活动

• 了解正常状态：网络狩猎人员需要深入了解企业网络和系统的正常运行状态，包括流量模式、用户行为、正常的系统操作等。只有在熟悉正常状态后，才能够准确地识别出异常活动。
• 日志分析：通过对网络、系统和安全设备（如防火墙、IDS/IPS、Web服务器等）生成的日志进行深入分析，猎人可以查找潜在的异常活动，如未经授权的访问、异常的流量模式等。
• 流量分析：通过对网络流量的监控，识别潜在的恶意行为。例如，通过分析DNS请求、HTTP请求等，可以发现攻击者的命令与控制（C2）通信。
• 恶意软件检测：查找系统中的恶意软件迹象，包括已知的恶意软件签名和未知的威胁（如零日攻击）。
• 横向移动监控：攻击者通常会在获得初步访问权限后进行横向移动，利用内部网络访问其他系统。通过分析网络流量和文件访问记录，可以检测到这种行为。

4. 如何进行有效的网络狩猎

• 收集和分析数据：通过从各种安全设备（如防火墙、IDS/IPS、代理服务器、操作系统日志等）收集数据，对其进行聚合和分析。可以使用SIEM系统来整合和分析这些日志数据，识别潜在的威胁。
• 定义猎杀场景：根据已知的攻击方式或攻击者行为，定义猎杀场景。例如，通过分析历史攻击事件，设定特定的攻击模式和行为作为搜索目标。
• 利用自动化工具：虽然网络狩猎需要人工分析，但也可以借助自动化工具来提高效率。例如，使用脚本和工具（如Kali Linux、Osquery等）快速搜索系统中的异常活动。
• 持续监控和改进：网络狩猎并非一次性活动，而是一个持续的过程。随着攻击技术的不断变化，网络猎人需要定期更新其知识和技能，持续进行网络监控，并根据新的威胁情报调整猎杀策略。

5. 网络狩猎的挑战

• 大量数据处理：现代企业网络产生的大量数据可能使得手动分析变得非常困难。如何有效地筛选和分析这些数据是网络狩猎的一大挑战。
• 误报问题：某些正常活动可能会被误判为攻击行为，导致误报。狩猎人员需要不断调整策略，以减少误报并确保准确性。
• 不断变化的攻击方式：攻击者不断创新，新的攻击方法可能无法被现有的防御措施轻易识别。因此，网络狩猎需要紧跟最新的攻击手法和工具，保持灵活性。

五、威胁情报

威胁情报（Threat Intelligence）是指通过收集、分析和理解外部或内部的攻击活动信息，从而识别、预防、应对潜在的网络威胁。随着攻击方法的不断演变，威胁情报帮助组织提前识别潜在的攻击者并做好防御准备。尤其在面对复杂的攻击和海量数据时，威胁情报成为了提升网络安全防护能力的关键。

1. 妥协指标（Indicators of Compromise, IOC）

妥协指标是用来识别恶意活动的具体证据或痕迹。常见的妥协指标包括：

• 文件哈希值：恶意软件文件的唯一标识符，常通过SHA256等哈希算法生成。
• 文件名：恶意软件文件的名称，攻击者可能使用特定文件名来进行隐藏。
• IP 地址：攻击者的命令和控制（C2）服务器的IP地址或受感染系统的IP。
• URL：恶意网站或服务器的地址，攻击者通常通过钓鱼网站或恶意链接诱导用户访问。
• 域名：攻击者用于控制受感染设备的域名，通常在钓鱼攻击或恶意软件传播过程中被使用。
• 注册表键值：恶意软件可能会修改Windows注册表来保持持久性。

妥协指标能够帮助安全人员快速识别和阻止恶意活动，通常这些指标以文件名、哈希值、IP地址等形式被提供，并用作防火墙、IDS/IPS和SIEM等工具中的阻断或警报规则。

2. 自动化威胁管理：STIX 和 TAXII

随着网络威胁的增加，手动获取、记录和更新威胁情报的方式已无法满足需求。为了提高威胁情报的获取和共享效率，MITRE开发了两个标准协议：STIX（Structured Threat Information Expression）和TAXII（Trusted Automated Exchange of Intelligence Information）。

• STIX：STIX是一种结构化的威胁信息表达格式，用于描述和交换网络安全威胁数据。它包括攻击者的战术、技术、恶意活动、攻击者使用的工具等信息，以便更系统地记录和传输威胁情报。
• TAXII：TAXII是用于传输STIX格式威胁情报的协议。它允许通过API自动交换威胁情报，并且支持安全、可靠的威胁信息流转。通过TAXII协议，安全系统（如SIEM和IDS）能够自动获取最新的威胁数据，并快速反应。

通过STIX和TAXII协议，威胁情报可以实现自动化更新，威胁信息可以即时提供给安全防护系统，帮助检测并响应新的攻击活动。

3. 实时威胁情报更新

由于威胁情报具有时效性，保持威胁情报的实时更新对于防止新型攻击至关重要。通过自动化威胁管理机制，如STIX/TAXII，威胁情报的提供和摄取可以几乎实时地完成。安全防护工具（如IDS、SIEM等）会定期从威胁情报源获取更新，确保它们始终能够识别和阻止最新的威胁。

• IDS/IPS（入侵检测/防御系统）：能够实时分析网络流量，并根据威胁情报中的IOC规则识别潜在的恶意活动。
• SIEM（安全信息与事件管理）：将来自各种安全设备（如防火墙、IDS、操作系统等）的数据集中，并通过威胁情报进行关联分析，以帮助发现和响应攻击。

4. AlienVault OTX（Open Threat Exchange）

AlienVault OTX是一个开放的威胁情报共享平台，提供威胁指标（包括IOC）的实时更新。用户可以注册并获得OTX密钥，通过该密钥访问OTX平台，获取最新的威胁数据。

• 注册和密钥获取：在AlienVault OTX网站上注册并获取API密钥后，用户可以从该平台下载最新的威胁情报数据。
• 手动访问：用户可以手动查看OXT数据库中的威胁情报，或者将这些情报集成到自己的安全设备中，如IDS/IPS、SIEM系统。

AlienVault OTX还提供了与其他威胁情报源共享和交换数据的功能，使其成为一个协作性的威胁情报平台。

5. 威胁情报的使用

威胁情报的主要使用场景包括：

• 攻击检测：通过利用威胁情报中的IOC，可以帮助安全系统实时检测到攻击活动并发出警报。
• 攻击响应：威胁情报可以提供关于攻击者的详细信息，帮助安全团队更有效地应对攻击，例如定位攻击源、分析攻击工具和手法。
• 网络防御优化：通过学习最新的攻击趋势，企业可以提前做好防御准备，配置防火墙、入侵检测系统等，避免已知的攻击。
• 情报共享与合作：通过与外部威胁情报共享平台（如OTX、STIX/TAXII等）互通信息，提升组织的防御能力。

六、安全管理

安全管理是企业确保其信息和业务安全的一系列策略和流程。它涉及组织的各个方面，从身份和访问管理到特权管理，再到数据销毁和人员安全等，旨在识别和防范各类安全风险。以下是常见的安全管理领域：

1. 身份管理（Identity Access Management, IAM）

• 定义：身份和访问管理（IAM）是信息安全的基础，确保只有经过授权的用户能够访问系统资源。它通过集中管理用户身份、认证和权限来控制访问，防止未授权访问。
• 核心功能：
  • 身份认证：确保用户在访问系统时提供正确的身份凭证（如密码、多因素认证）。
  • 权限管理：为用户分配访问权限，确保用户只能访问其工作所需的资源。
  • 单点登录（SSO）：简化用户认证过程，允许用户通过一次登录访问多个应用。
• 黑客攻击目标：IAM系统常成为黑客攻击的目标，因其包含了系统访问权限，控制了企业的信息安全。

2. 访问控制（Access Control）

• 定义：访问控制是通过配置和验证用户访问系统的权限，确保只有授权用户才能访问特定的资源。
• 常见访问控制模型：
  • 基于角色的访问控制（RBAC）：根据用户的角色分配权限，例如管理员、普通用户等。
  • 基于属性的访问控制（ABAC）：根据用户的属性（如部门、职位）来决定访问权限。
• 审计规则：制定访问控制的审计规则，记录和分析访问日志，确保合规并发现异常行为。

3. 特权管理（Privileged Access Management, PAM）

• 定义：特权管理（PAM）系统使得非特权用户可以请求并获得特权访问权限，如管理员权限。这种权限通常用于系统配置、管理和维护，但如果没有妥善管理，容易成为攻击的突破口。
• 功能：
  • 会话监控：监控特权用户的操作，确保其活动合规。
  • 密码管理：为特权账户分配动态密码或一次性密码，减少密码泄露的风险。
  • 最小权限原则：只授予必要的权限，避免过度授权。

4. 媒体消毒（Media Sanitization）

• 定义：媒体消毒指的是在设备生命周期结束时，确保敏感数据被彻底清除或销毁，以防止数据泄露。
• 消毒方法：
  • 数据擦除：通过特定工具覆盖存储设备上的数据，确保无法恢复。
  • 物理销毁：例如硬盘的物理粉碎或焚烧，确保无法恢复数据。
• 重要性：生命周期结束后的敏感数据如果未被妥善销毁，可能被攻击者恢复并利用。

5. 人事安全（Personnel Security）

• 定义：人员安全关注的是通过背景调查、培训和监控等手段，确保企业内的员工不会成为安全漏洞。
• 关键措施：
  • 背景调查：对员工进行安全背景审查，防止潜在威胁。
  • 离职管理：员工离职时，确保所有权限被撤销，设备被回收，敏感信息被清理。
  • 安全培训：定期对员工进行安全意识培训，提高其对网络安全威胁的认识。

6. 证书管理（Certificate Management）

• 定义：证书管理是指管理公钥基础设施（PKI）中使用的数字证书，确保证书的有效性和安全性。证书的过期、泄露或被滥用可能会导致PKI架构的崩溃。
• 关键任务：
  • 证书颁发：为用户和设备颁发数字证书，验证身份。
  • 证书更新：定期更新证书，避免证书过期导致的安全风险。
  • 证书吊销：在证书泄露或不再有效时，吊销证书并通知受影响方。

7. 远程访问（Remote Access）

• 定义：远程访问是指用户从企业外部连接到内部网络的过程，通常通过VPN、远程桌面等方式进行。
• 后疫情时代的变化：随着远程办公的普及，远程访问成为网络攻击的重点。攻击者可能利用不安全的远程访问渠道，获取企业网络的未授权访问权限。
• 安全措施：
  • 多因素认证（MFA）：确保远程用户的身份通过多种方式进行验证。
  • 虚拟专用网络（VPN）：为远程用户提供加密连接，保护数据在公共网络中的传输。
  • 零信任架构：对每个访问请求进行严格验证，不信任任何内外部的请求，确保远程访问的安全性。

七、零信任网络架构

零信任网络的核心理念是：永远不信任任何访问请求，无论它来自网络内部还是外部，始终进行身份验证和授权。这个理念起源于2010年谷歌遭受的极光行动网络攻击（Operation Aurora），该事件促使谷歌重新审视其网络安全模型，并首次提出了"零信任"概念，旨在保护企业网络免受内外部威胁。

零信任架构在2018年被NIST（美国国家标准与技术研究院）通过SP 800-207正式确立，并在美国政府机构中强制实施。零信任模型的核心假设是：传统的基于边界的安全模型已经不再适用，外部边界随时可能被突破，网络内外部的访问请求都应当被视为不可信，只有经过验证的访问才是被允许的。

零信任架构的四个关键特征

1. 即时访问（Just-In-Time Access, JITA）

   • 零信任架构要求用户访问权限应仅在实际需要时提供。即时访问控制通过严格的权限控制，确保用户只能在授权的时间段内访问资源。这样，即使攻击者获得了临时的访问权限，他们也无法进行长时间的未授权操作。

2. 只需足够的访问权限（Just-Enough Access, JEA）

   • 用户和设备只能获得执行其任务所需的最低权限。这种最小权限原则能有效降低攻击面，避免过度授权。即使某个账户被攻击者控制，权限也受到严格限制，降低了潜在损害的范围。

3. 动态访问策略

   • 零信任架构中的访问策略是动态的，基于实时分析和风险评估来决定是否授予访问权限。访问策略可以根据用户身份、设备健康状况、网络位置等因素进行调整，从而确保安全性。例如，访问请求可能根据用户的行为模式、时间、地理位置等进行动态授权。

4. 微分段（Micro-Segmentation）

   • 微分段是零信任的一个重要实施手段，指将网络划分为更小的、独立的区域，每个区域都具有严格的访问控制。通过这种方式，即使攻击者突破了某一部分的安全防线，也难以横向扩展到其他区域。微分段增强了网络的可控性，使每个资源的访问都受到独立的监控和管理。

零信任的实施策略

1. 持续身份验证和授权

   • 零信任架构要求在每次访问请求时都进行身份验证，确保访问者身份的合法性。即使用户处于企业内部网络中，访问也需持续验证，防止内部威胁。

2. 强大的身份管理和多因素认证（MFA）

   • 零信任网络强调使用强身份验证方法，尤其是多因素认证（MFA），确保只有通过多重验证的用户才能访问敏感资源。

3. 加密通信

   • 所有内部和外部的通信都应加密，避免在数据传输过程中被截获或篡改。

4. 全面的日志和监控

零信任架构要求对所有访问和操作进行详细的日志记录，并通过安全信息与事件管理（SIEM）系统进行持续监控，及时发现潜在的异常活动。

零信任的优势

• 更高的安全性：由于每次访问都需要进行验证，攻击者即使突破了外部边界，也很难在网络内部横向移动。

• 降低攻击面：通过最小权限和微分段，零信任架构减少了潜在的攻击路径。

• 应对复杂的威胁环境：随着云计算、移动办公、远程工作等新型工作方式的普及，传统的边界防御模型不再有效，零信任提供了应对这些新威胁的安全框架。

• 符合合规要求：零信任架构帮助组织更容易遵守严格的合规要求，特别是在数据保护和隐私方面（如GDPR、HIPAA等）。

零信任的挑战

• 复杂的实施：零信任架构的实施需要重构现有的安全基础设施，涉及身份管理、访问控制、网络架构等多个方面，过程复杂且耗时。

• 技术要求高：零信任架构依赖于先进的技术，如自动化的身份验证、行为分析、微分段等，这对企业的技术能力提出了较高要求。

• 成本问题：实施零信任需要投资在新技术和系统上，如身份管理平台、加密技术、访问控制系统等，可能会增加企业的成本。

八、安全和基础设施

在企业信息安全管理中，基础设施的管理和维护是至关重要的，因为它们是支撑业务连续性和保障数据安全的关键组成部分。以下是一些关键的安全和基础设施管理领域：

1. 数据备份与恢复

数据备份和恢复是确保企业在遭遇灾难或攻击（如勒索病毒、系统崩溃等）后仍能恢复正常运营的关键部分。备份策略不仅仅是对数据的简单复制，它还包括备份的频率、存储位置、恢复时间目标（RTO）和恢复点目标（RPO）。

• 关键措施：
  • 定期备份：确保关键数据定期进行备份，并存储在多个位置（如本地备份和云备份）。
  • 测试恢复：定期进行数据恢复演练，以确保恢复过程有效、快速。
  • 加密备份：确保备份数据的安全性，避免泄露或遭到篡改。
  • 灾难恢复（DR）计划：建立灾难恢复流程，包括备份数据的安全存储、恢复时间及应急响应计划。

2. 变更管理

在信息技术和网络安全环境中，变更管理是防止未经授权的变更或误操作影响安全性和业务运营的关键措施。变更管理确保所有变更（无论是硬件、软件还是配置变更）都经过适当评估、审批并正确实施。

• 关键措施：
  • 变更管理计划：变更管理流程应包括变更请求、风险评估、审批流程、实施计划、测试计划、回滚计划以及变更后的验证。
  • 评估和审批：在提交变更之前，必须进行全面的风险评估，确保该变更不会引入安全漏洞或影响系统稳定性。
  • 变更监控与审计：跟踪所有变更的实施情况，确保变更得到正确执行，并在出现问题时能快速回滚。

3. 管理物理环境

管理物理环境对于保障数据中心的安全性至关重要。除了需要保护数据和信息的网络安全外，物理安全措施也能防止设备被篡改或遭到破坏。

• 关键措施：
  • 物理访问控制：通过使用门禁系统、视频监控和生物识别技术，限制对数据中心和服务器的物理访问。确保只有授权人员才能进入关键区域。
  • 环境监控：定期监控数据中心的环境参数（如温度、湿度、气压等），避免由于环境因素导致的设备故障或损坏。可使用自动化监控系统来及时报警。
  • 电力管理：为数据中心提供冗余电源（如UPS电池、发电机等）以防止停电对系统造成影响，确保持续运营。
  • 灾难恢复准备：物理安全不仅仅是防止入侵，还包括自然灾害（如洪水、地震等）的应对措施。应确保数据中心具备应对自然灾害的防护措施。

4. 合规与审计

在实施基础设施和安全管理过程中，合规性和审计也是必须考虑的关键因素。确保所有操作符合法律法规、行业标准（如ISO 27001、GDPR等）以及企业的内部政策。

• 关键措施：
  • 合规检查：定期评估系统、网络和应用的合规性，确保符合相关的安全法规和标准。
  • 日志记录和审计：所有的操作和访问应记录详细的审计日志，便于追踪操作历史，及时发现潜在的安全问题。
  • 安全评估和漏洞扫描：通过定期的漏洞扫描、渗透测试等手段，识别并修复安全漏洞，确保系统和网络处于安全状态。

5. 网络与系统监控

持续监控网络和系统的运行状况，可以帮助及时发现安全事件和潜在威胁。通过有效的监控和告警机制，能够提前应对异常行为并减轻风险。

• 关键措施：
  • 实时监控：监控所有网络设备、服务器和应用程序的性能及安全状态，确保及时发现安全事件（如未经授权的访问、系统异常等）。
  • SIEM（安全信息与事件管理）：通过SIEM系统收集和分析日志数据，识别异常模式和潜在攻击，及时发出告警。
  • 入侵检测和防御：部署IDS/IPS（入侵检测/防御系统）监控网络流量，检测潜在的恶意活动并采取防护措施。

九、事件响应

演练与沟通

事件响应不仅依赖于理论，还需要通过定期的演练与沟通来确保团队能够快速有效地应对实际事件。常见的演练形式包括：

• 红蓝对抗演练：模拟真实的攻击场景，红队模拟攻击者，蓝队负责防御。
• 总结经验：在演练结束后总结经验，发现问题并更新应急响应计划。
• 信息沟通：确保事件响应过程中的信息流畅，及时准确地向相关人员（如内部员工、外部合作伙伴、客户、媒体等）传达事件的处理进展。

事件响应管理

事件响应是网络安全管理中的核心环节，旨在快速识别、分析并应对安全事件，以最小化损失并恢复正常操作。高效的事件响应能够有效减轻攻击影响、保护系统资产并增强未来的防御能力。

1. 事件管理生命周期

事件响应的生命周期通常包括以下几个阶段，旨在确保企业能够快速而有效地应对各类安全事件。

• 准备阶段：包括了解系统架构、现有的安全控制措施以及组织的响应能力。此阶段还包括员工培训、演练及准备应急响应资源。
• 响应阶段：主要包括识别安全事件、对事件进行详细调查并采取相应的应对措施，努力恢复业务服务。
• 后续阶段：事后进一步调查事件的根本原因，总结经验教训，改进应急响应流程，并形成事件报告，以便为未来做准备。

2. CREST 事件管理模型

CREST事件管理模型强调通过以下几个步骤应对安全事件：

• 准备（Preparation）：确保组织在安全事件发生时能够快速反应。包括培训、资源配置、演练等。
• 响应（Response）：通过监控、检测、调查及恢复业务服务。
• 后续（Post-Incident）：对事件进行事后分析，总结经验，并更新应急响应计划。

3. NIST 事件响应框架

NIST SP 800-61 计算机安全事件处理指南强调以下四个关键阶段：

• 检测与分析：识别事件发生，收集相关日志、数据并进行分析，确认是否为安全事件。
• 遏制：采取必要的措施来防止事件蔓延，隔离受影响系统。
• 根除与恢复：清除所有恶意活动及残留的恶意软件，修复受影响的系统并恢复正常运营。
• 事后活动：对事件进行总结、报告及持续改进。

应急响应准备

成功的事件响应始于有效的准备工作，这包括以下方面：

• 风险评估：了解技术资产、系统和数据，评估它们对业务的影响。
• 威胁分析：识别可能面临的威胁及脆弱点，评估并实施防护措施。
• 人员、流程和技术：建立专门的事件响应团队，配置适当的工具和流程，并进行定期演练。
• 成熟度评估：通过使用工具（如CREST提供的成熟度评估工具）评估组织的事件响应能力。

应急响应手册

应急响应手册是事件响应的核心文件之一，详细规定了不同安全事件发生时的处理流程。常见的安全事件分类包括：

• 扫描类事件：如IP地址扫描、端口扫描等。
• 托管威胁：如病毒隔离、登录失败尝试等。
• 入侵事件：如检测到入侵迹象、非特权帐户泄露、恶意员工活动等。
• 可用性攻击：如DDoS攻击、系统破坏等。
• 信息泄露：如未经授权访问、数据泄露等。
• 欺诈类事件：如未经授权使用资源、侵犯版权等。
• 恶意内容：如网络钓鱼电子邮件、恶意网站等。
• 恶意软件检测：如病毒、蠕虫、勒索软件等。
• 技术诚信问题：如网站污损、DNS重定向等。
• 盗窃事件：如资产盗窃等。

事件检测与响应流程

1. 安全事件的发生与报告：

   • 事件通过系统监控、日志告警、用户报告等方式被识别并上报。
   • 根据事件类型和影响评估确定事件级别。

2. 调查与遏制：

   • 对事件进行详细调查，确认攻击手段、受影响系统及数据。
   • 采取遏制措施，防止事件蔓延或进一步损害。

3. 溯源与取证：

   • 对事件进行溯源，收集证据并确保数据的完整性，为后续法律或内部审计提供依据。

事件报告与总结

每次事件响应完成后，必须编写应急响应报告，报告内容应包括：

• 事件概述：标题、编号、事件归类级别等。
• 事件详细过程：受影响的系统、账号及事件的时间线。
• 调查计划：进一步调查的步骤及预期成果。
• 经验总结与改进建议：基于事件处理过程中的经验教训，提出改进应急响应流程的建议。

这些报告不仅帮助组织总结经验，还为未来类似事件的应对提供参考。