HW防守锦囊信息安全资料.pdfVIP

HW防守锦囊

事前方案建设,事中阻断反击,

事后溯源归因

目录

01

开篇寄语

02

提高攻击队信息收集难度的方法

05

自动化发现攻击队攻击并阻断的方法

09

从流量中检测webshell的方法

14

自动化发现攻击队攻击并阻断的方法

19

实现半自动化应急响应的方法

22

快速鉴别关键样本并提取高价值数据的方法

26

提高HW攻击IP溯源效率的方法

29

攻击者信息溯源（归因）的方法

开篇寄语

2020，是魔幻的一年。新冠疫情席卷全球，黑客趁机不断发动网络攻击，全球网络安全态

势越发严峻。面对日益多样化、复杂化的攻击手段，企业和机构攻防实战能力的提升迫

在眉睫。随着HW行动的开展，越来越多的企业和机构开始加入攻防演练，以提升自身

安全防护实战能力。

2020HW攻防演练行动中，微步在线专门成立了HW重保团队，包括由各业务负责人组

成的HW专项组、一线值守的安全工程师、专家巡检小组、客戶成功支持团队、后端的

24小时溯源分析支持组、HW情报分析组和应急响应支撑组、产品实施技术支持团队

等，圆满完成100+家单位的防守工作。在此期间，微步累计支持100+次溯源分析事件，

50+样本分析需求以及20余次钓鱼邮件攻击分析，共上交百余份溯源分析报告和应急

响应报告，共帮助防守方加了数万分。

“网络安全的本质是对抗，对抗的关键在于攻防两端的能力较量”。在2020HW中，我们

看到很多有经验的企业单位，在安全建设、人员技术和防守布局等方面都展现了很不错

的能力，也看到部分企业还处在摸索前行的阶段。众所周知，安全能力的提升是一个逐

步积累的过程。通过对攻防过程不同场景下的战术分析，我们总结出一些不错的防守技

战法，希望可以抛砖引玉，引导防守方对攻防对抗有更深入的思考，并制定适合自身情

况的应对策略。

微步在线从成立之初便致力于成为企业客戶的威胁发现和响应专家，至此已过五余载，

我们持续不断的深耕技术，提高威胁分析能力和威胁情报数据能力，同时将数据赋能到

产品。此外，为了更好地帮助客戶解决问题，我们十分重视“客戶成功”和安全服务。希望

我们产品、技术和服务能够为我们的客戶、我们的国家贡献真正有价值的一份力量。

01

提高攻击队信息收集难度的方法

背景

在攻防演练过程中，攻击队在攻击之前首先要做的就是信息收集。信息收集的程度直接可

以决定攻防两方的成绩好坏。因此，尽量增加攻击队信息收集成本是非常必要的。

难点

防守方暴露资产过多，在HW过程中，很容易被攻击队收集资产并针对暴露资产发起攻击。

在资产收集过程中大多数安全设备难以发现，在不知不觉中就被攻击队收集到大量的资产。

目标

通过攻防演练的实践，我们需要总结出一套能有效增加攻击队信息收集成本的方法，并

有效解决暴露攻击面过大的问题，预期目标包括：

减少暴露在外的端口。

削弱关键服务的辨识度，如CMS，中间件，框架等。

隐藏后台地址及敏感目录。

快速感知攻击队的信息收集并及时阻断。

方法论

DNS域传送漏洞

信息收集手段

子域名收集子域名挖掘机Layer

搜索引擎

nmap

主动收集端口信