OSG9第十七章 事件的预防和响应

CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第十七章 事件的预防和响应

• 17.1 实施事件管理
  • 事件管理的主要目标是将组织受到的影响降至最低
  • 17.1.1 事件的定义
    • 事件：一般是指会对组织资产的保密性、完整性或可用性产生负面影响的任何事情
    • 计算机安全事件（有时简称安全事件）：通常是指由攻击导致的事件，或由用户的恶意或蓄意行为导致的事件
    • 常见的安全事件
      • 任何未遂的网络入侵
      • 任何未遂的拒绝服务攻击。
      • 对恶意软件的任何检测。
      • 对数据的任何未经授权的访问。
      • 安全策略的任何违背行为。
  • 17.1.2 事件管理步骤
    • 事件管理的 7 个步骤
    • 必须强调的是，事件管理并不包含对攻击者的反击。若对他人发起攻击，结果会适得其 反，而且这往往是违法的
    • 1. 检测
      • IT 环境中有许多方法可用来检测潜在事件
      • 检测潜在事件的一些常用方法
        • 入侵检测和预防系统（本章后面将介绍）检测出潜在事件后向管理员发出警报。
        • 反恶意软件程序在检测到恶意软件时常常会弹出一个窗口以发出警告。
        • 许多自动化工具定期扫描审计日志，以找出预先定义好的事件，例如有人在使用特殊 权限。它们检测到特定事件后，通常会向管理员发出警报。
        • 最终用户有时会检测出非常规活动并向技术人员或管理员求助
    • 2. 响应
      • 检测并证实事件后，下一步是响应。响应因事件严重程度而各异
      • 许多组织设有专门的事件响应团队一一有时也叫计算机事件响应团队(CIRT) ，或计算机安全事件响应团队(CSIRT)
      • 团队成员通常对事件开展调查、评估损害、收集证据、报告事件和执行恢复程序
      • 组织对事件响应的速度越快，把损害控制在有限范围的机会越大
      • 调查结束后，管理层可能会决定起诉事件责任人。出于这一原因，务必在调查过程中保 护好可以充当证据的所有数据
    • 3. 抑制
      • 抑制措施旨在遏制事件的发展。有效事件管理的主要目的之一是限制事件的影响或范围。
      • 例如，如果一台受感染的计算机试图通过它的网络适配器向外发送数据，技术人员可以禁用 网络适配器或断开连接计算机的电缆，可以把问题遏制在一个网络内
      • 有时，响应人员会在不让攻击者知道攻击已被发现的情况下采取措施抑制事件
    • 4. 报告
      • 报告是指在组织内通报事件并将情况上报给组织外的相关部门和个人，组织高管需要对严重安全破坏事件知情。
      • 对于组织外发生的一些事件，组织往往也有合法的报告要求
      • 许多司法辖区为保护个人身份信息(PII)而制定了专门的法律。
      • 组织在响应严重安全事件的过程中应该考虑把事件报告给执法部门
    • 5. 恢复
      • 接下来的一步是恢复系统或使其返回正常运行状态。
      • 需要仔细检查的事项包括：
        • 访问控制列表（包括防火墙或路由器规则）
        • 服务和协议（确保禁用或移除不需要的服务和协议）＿
        • 补丁（确保打上了所有最新补丁）
        • 用户账号（确保账号更改了默认配置）
        • 破坏（确保遭到破坏的所有地方都得到了修复）
      • 如果训查人员怀疑攻击者篡改了系统代码，重建系统或许是一个不错的选择。
    • 6. 补救
      • 在补救阶段，安全人员首先查看事件，查明事件发生的原因，然后采取措施防止事件再次发生。此阶段需要进行一次根本原因分析。
      • 根本原因分析通过剖析事件来判断事件起因
      • 如果 Web 服务器没有打上最新补丁，使攻击者得以远程控制服务器，那么补救措施可包 括执行补丁管理方案
    • 7. 总结教训
      • 在总结教训阶段，安全人员查验事件发生和响应的整个过程以确定是否要总结经验教训
      • 安全人员在查验事件响应时寻找响应行动中需要改进的方面。例如，如果响应团队耗费 很长时间来遏制事件，则检查时要查明原因
      • 事件响应团队总结了经验教训后，通常要编写一份报告
• 17.2 实施检测和预防措施
  • 理想状况下，组织可通过预防措施完全避免事件的发生。然而，无论预防措施多么有效， 事件依然会发生。其他控制措施会帮助检测事件并对它们做出响应。
  • 预防性控制
    • 预防性控制(preventative control)： 力求阻碍或阻止不必要或未经授权的活动发生
    • 预防性控制的例子包括围栏、锁具、生物特征识别、职责分离策略、岗位轮换策略、数据分类、访问控制方法、加密、智能卡、回呼程序、安全策略、安全意识培训、杀毒软件、防火墙和入侵预防系统
  • 检测性控制
    • 检测性控制(detective control)：力求发现或检测不必要的或未经授权的活动
    • 检测性控制的例子包括：保安人员、运动检测器、对闭路电视监控系统捕捉的事件进行的记录和审查、岗位轮换策略、以及事件调查。强制休假策略、审计踪迹、蜜罐或蜜网、入侵检测系统、违规报告、对用户的监督和审查，
  • 17.2.1 基本预防措施
    • 尽管没有一种方法可以挡住所有攻击，但是一些基本措施可帮助你抵御一些类型的攻击。
    • 保持系统和应用程序即时更新：供应商会定期发布补丁以纠正错误和安全缺陷，但是这些补丁只有被用到系统和应用程序中后才会发挥作用。
    • 移除或禁用不需要的服务和协议：如果系统不需要某项服务或协议，该服务或协议就不 应该运行
    • 使用入侵检测和预防系统：入侵检渊和预防系统观察活动，尝试检测攻击并发出警报。
    • 使用最新版反恶意软件程序：第 21 章涵盖各种恶意代码攻击，例如病毒和蠕虫
    • 使用防火墙：防火墙可预防多种类型的攻击
    • 执行配置和系统管理流程：配置和系统管理流程有助于确保组织以某种安全方式部署系统，使系统在整个生命周期始终保持安全状态
  • 17.2.2 了解攻击
    • 安全专业人员需要了解常见的攻击方法，以便采取前摄性措施预防攻击；在遭受攻击时把它们识别出来并对攻击做出适当响应
    • 1. 僵尸网
      • 僵尸网如今已很常见。僵尸网中的计算机就像是机器人（阪称作愧偶，有时也叫僵尸）。
      • 僵尸牧人通常是一个犯罪分子，他通过一台或多台命令和控制(command-and-control, C&C 或 C2)服务器操控僵尸网中的所有计算机
      • 计算机往往会在感染了某种恶意代码或恶意软件之后被拉进僵尸网
    • 2. 拒绝服务攻击
      • 拒绝服务(denial-of-service, DoS)：攻击阻止系统处理或响应对资源和对象的合法访问或请求。
      • DoS 攻击的一种常见形式是向服务器传送大量数据包，致使服务器因不堪处理重负而瘫痪。
      • 分布式拒绝服务(distributed denial-of-service, DDoS)攻击：DoS 攻击的另一种形式。当多个系统同时攻击一个系统时，发生的就是 DDoS 攻击
      • 分布式反射型拒绝服务(distributed reflective denial-of-service, DRDoS)攻击：是 DoS 的一种变体。它将反射方法用于攻击。换旬话说，它并不直接攻击受害者，而是操纵通信流或网络服务，使攻击从其他来源反射回受害者。域名系统(DNS) 中毒攻击（详见第 12 章）、 smurf 攻击和 fraggle 攻击（稍后介绍）就是例子。
    • 3. SYN 洪水攻击
      • SYN 洪水攻击(SYN flood attack)：是一种常见的 DoS 攻击形式。它会中断被传输控制协议(TCP)用来发起通信会话的标准三次握手
      • 在 SYN 洪水攻击中，攻击者发出多个 SYN 包，但又绝不用 ACK 包完成连接，服务器在等待 ACK 包的过程中为每次清求都保留了系统资源。服务器通常最长等待 ACK包 3 分钟，然后才会放弃尝试中的会话 不过管理员可以调整这个时间。
      • 攻击者常常让每个 SYN 包都带一个不同的源地址，以这样的方式假造源地址。这种做法使系统很难通过源 IP 地址来阻止攻击者，攻击者还协调行动，从一个僵尸网同时对一个受害者发难，形成 DDoS 攻击
      • 预防措施
        • 阻止这种攻击的一种方法是利用 SYN cookie 。这些小记录只消耗极少的系统资源。系统 收到一个 ACK 时，会检查 SYN cookie 并建立一个会话
        • 阻止这种攻击的另一方法是缩短服务器等待 ACK 的时间。默认的等待时间通常是 3 分 钟，但在正常操作中，合法系统发送 ACK 包的时间通常在 3 分钟以内
    • 4. smurf 和 fraggle 攻击
      • smurf 和 fraggle 攻击都属于 DoS 攻击
      • Smurf
        • smurf 攻击是洪水攻击的另一种类型，但是被它用来淹没受害者的是互联网控制消息协议(ICMP) 回声包，而非 TCP SYN 包
        • ping 用 ICMP 检查与远程系统的连接。
        • smurf 攻击通过路由器发送定向广播，形成一个放大网（也叫 smurf 放大器）。放大网上的 所有系统随后都会攻击受害者。
      • fraggle
        • fraggle 攻击与 smurf 攻击相似。但 fraggle 攻击所利用的不是 ICMP, 而是在 UDP7 端口和 19 端口上使用 UDP 数据包
        • fraggle 攻击利用假受害者 IP 地址广播 UDP 数据包，结果造成网络上的所有系统都向受害者发送通信流，情形与 smurf 攻击一样。
    • 5. ping 洪水
      • ping 洪水攻击用 ping 请求淹没受害者。当攻击者以 DDoS 攻击形式通过一个僵尸网内的 僵尸发起这种攻击时，攻击会非常奏效
      • 上万个系统同时向一个系统发送 ping 请求，这个系统会在响应这些 ping 请求的过程中不堪重负。受害者将没有时间去响应合法请求
      • 应对这种攻击的一种常用办法是拦截 ICMP 回声请求包
      • 一些旧的攻击手段
        • 死亡之ping: 死亡之ping 攻击使用了超大ping 数据包，这超出了许多系统的处理能力。
        • 泪滴：泪滴攻击把数据包打碎，使系统接收数据片段后难以乃至根本无法把它们瘟新 组合成原始状态。这往往会造成系统崩溃。
        • land 攻击：在 land 攻击中，攻击者把受害者的 IP 地址同时用作源 IP 地址和目标 IP地址，以这种方式向受害者发送假SYN，有一个叫banana攻击的变体
    • 6. 零日利用
      • 零日利用(zero-day exploit)是指利用别人还不知道的漏洞的攻击
    • 7. 中间人攻击
      • 当一名恶意用户在进行通信的两个端点之间建立了一个位置，就意味若发生了中间人(man-in-the-middle,MITM)攻击（有时被称作路径攻击）
      • 中间人攻击分两种类型
        • 一种是复制或嗅探两个通信参与方之间的通信流这基本上属于第 14 章描述的嗅探攻击
        • 另一种是攻击者把自己定位在通信线路上，充当通信的存储转发或代理机制，如图 17.3 所示
        • 子主题
      • 许多用户经常借助虚拟专用网(VPN)来规避这些攻击
    • 8. 蓄意破坏
      • 员工蓄意破坏(sabotage)：是指员工对其组织实施破坏的一种犯罪行为
      • 这从另一个重要的角度解释了为什么组织解聘员工时不能拖泥带水，而应尽快在其离职 后禁用该员工账号的访问权。
  • 17.2.3 入侵检测和预防系统
    • 入侵检测系统(intrusion detection system，IDS)和入侵预防系统(IntrusionPreventionSystem，IPS)是常被组织用来检割和预防攻击的两种方法，件通篇都用 IDPS 来统称 IDS 和 IPS
    • 1. 基于知识检测和基于行为检测
      • IDS 通过监测网络通信流和检查日志来主动监视可疑活动。
      • 例如， IDS 可以让传感器或代理监测网络中的路由器和防火墙等重要设施。这些设施都设置了记录活动的日志，传感器可将这些日志条目转发给 IDS 进行分析
      • 基于知识检测
        • 基于知识检测(knowledge-based detection)： 也被称为基于签名检测(signature-based detection)或模式匹配检测，是最常用的检测方法
        • 使用了 IDS 供应商开发的已知攻击数据库
        • 该方法的主要缺点是它只对已知的攻击方法有效。对于新开发的攻击方式，或略有改动的已知攻击， IDS 往往识别不出来
      • 基于行为检测
        • 基于行为检测(behavior-based detection) ：也被称为统计入侵检测、异常检测或启发式检测
        • 首先会在系统上创建一个正常活动和事件的基线，一旦它积累了足够的基线数据来确定正常活动，便可检测出表朗可能出现恶意入侵或事件的异常活动。
        • 异常分析提升了 IDS 的能力，使其得以识别和响应通信流藏或活动的突然增加、多次失败登录尝试、正常工作时间以外的登录或程序活动，或者错误或故障消息的突然增加
        • 基于行为的 IDS 可贴上专家系统或伪人工智能系统的标签，因为它可学习事件并对事件做出假设
        • 基于行为的 IDS 的主要缺点在于它经常会发出一些假警报一也叫假阳性。
      • 假阳性还是真阴性
      • 许多 IDS 管理员都要面临一个挑战在允许 IDS 发出大量假警报与确保 IDS 报告真实攻击之间找到平衡点
    • 2. IDS 响应
      • 尽管基于知识的 IDS 和基于行为的 IDS 以不同方式检测事件，但它们都使用警报系统
      • IDS 检测到一个事件后会触发警报或发出警示
      • 被动响应
        • 被动响应：通知可通过电子邮件或短信等不同方式发送给管理员
        • 许多 24 小时运行的网络运行中心(NOC)设有中央监控屏，供主控室内的所有人员进行观察
        • 例如，一面墙上有多个大屏幕监视器，分别提供 NOC 不同元素的数据。 IDS 警报可显示在其中一个屏幕上，确保人员知晓事件
      • 主动响应
        • 主动响应可通过几种不同方法修改环境，使用主动响应的IDS有时被称为IPS（入侵防御系统）
        • 典型的响应包括修改 ACL 以拦截基于端口、协议和源地址的通信流，甚至包括切断特定电缆线段的所有通信
        • 例如，如果 IDS检测到来自一个 IP 地址的 SYN 洪水攻击， IDS 可通过更改 ACL 来拦截源自该 IP 地址的所有通信流
      • NIST SP 800-94 建议把所有主动 IDS 都安放在承栽通信流的线路上，让它们发挥 IPS 的作用。
    • 3. 基于主机的 IDS 和基于网络的 IDS
      • IDS 通常分为基于主机和基于网络两类
      • 基于主机的 IDS
        • 基于主机的 IDS(host-based IDS, HIDS)：监测一 台计算机或主机
        • HIDS 监测一台计算机上的活动，包括进程调用以及系统、应用程序、安全措施和基于主机防火墙日志记录的信息
        • 它检查事件的详细程度往往超过 NIDS, 并能精确定位被攻击破坏的具体文件。它还可以跟踪攻击者所用的进程
        • HIDS 优于 NIDS 的一点是， HIDS 能检测到 NIDS 检测不出来的主机系统异常情况。
        • HIDS的部分不足涉及成本和易用性
          • 与 NIDS相比， HIDS 的管理成本更高
          • HIDS 不能检测其他系统受到的网络攻击。
          • 它往往需要消耗大量系统资源，因此会降低主机系统的性能
          • HIDS 更容易被入侵者发现和禁用
          • 日志是保留在系统上的，使日志很容易被成功的攻击篡改
      • 基于网络的 IDS
        • 基于网络的 IDS(network-based IDS, NIDS)：通过观察网络通信流模式监测网络
        • NIDS 监测并评估网络活动，以找出攻击或异常事件
        • 它使用传感器在关键网络位置收集数据，然后把数据发送给中央管理控制台，例如安全信息和事件管理(SIEM)系统
        • 这些传感器可对路由器、防火墙、支持端口映射的网络交换机及其他类型的网络分流器实施监测。
        • NIDS的中央控制台往往安装在一台经过加固的专用计算机上。这减少了 NIDS 的漏洞，可令NIDS 在几乎不可见的状态下运行，使攻击者更难发现和禁用它，可以增加 NIDS 来平衡负载。
        • NIDS 往往可以通过执行反向地址解析协议(RARP)或反向域名系统(DNS)查找来发现攻击源
        • NIDS 通常能够检刻到刚刚发起或正在进行的攻击，但它不能总是提供有关攻击得逞的信息
        • NIDS 不知道攻击是否影响了具体系统、用户账号、文件或应用程序。
    • 4. 入侵预防系统
      • 入侵预防系统(intrusion prevention system, IPS)：是一种特殊类型的主动响应 IDS, 可赶在攻击到达目标系统之前将其检测出来并加以拦截。
      • NIPS 是安放在承载通信流的内联线路上的，如图 17.4 所示，换句话说，所有通信流都必须从NIPS 经过，而 NIPS 可以选择转发哪些通信流，以及经分析后拦截哪些通信流。
      • 和其他任何 IDS 一样， NIPS 可以使用基于知识检测和I或基于行为检测。此外，它还可 以像 IDS 一样用日志祀录活动并向管理员发出通知
    • 当前的趋势是NIPS取代NIDS
  • 17.2.4 具体预防措施
    • 尽管入侵检测和预防系统对于保护网络大有助益，管理员还是会用额外的安全控制来保 护网络。以下各节将介绍几种额外的预防措施。
    • 1. 蜜罐／蜜网
      • 蜜罐(honeypot)：是为充当引诱入侵者或内部人员威胁的陷阱而创建的单个计算机
      • 蜜网(honeynet)：则是两个或多个连接在一起以冒充网络的蜜罐
      • 蜜罐和蜜网可安放在网络上的任何地方，但管理员经常把它们配备在虚拟系统中，因为这样更容易在它们遭受攻击后对其进行重建
      • 管理员常常给蜜罐配上伪缺陷(pseudo-flaw) ，以模拟众所周知的操作系统漏洞
      • 诱惑与诱捕
        • 在互联网上设置一个系统，让它的安全漏洞全部敞开并使其具有便于已知攻击恶意利用的活跃的服务，这便是一种诱惑
        • 而诱捕则是非法的，当蜜罐主人主动诱导访客进入网站，然后指控他们未经授权入侵时，便是在诱捕
    • 2. 警示
      • 警示告知用户和入侵者基本的安全方针策略。警示通常指出，任何在线活动都会被审计和监测；警示通常会提醒人们注意受限制的活动。
      • 以某种方式登录系统的未经授权者也会看到警示。对于这种情况，警示就是电子版的 “禁止入内“标志
    • 3. 反恶意软件
      • 反恶意软件程序供应商寻找这些变化并开发新的签名文件，以检测新的和经过修改的恶意软件
      • 在每个系统上安装反恶意软件程序的多管齐下方式除了过滤互联网内容以外，还有助于 使系统免受任何来源的感染
    • 4. 白名单和黑名单
      • 用于控制哪些应用程序可以运行以及哪些应用程序不能运行的方法之一是白名单和黑名 单，尽管这两个词正在被弃用
      • 如今，被使用得更普遍的是“允许列表”（用于取代白名单）和“拒绝列表”或“拦截列表”（用于取代黑名单）这些更直观的词
      • iPhone 和ipad上运行的苹果 iOS 是允许列表的一种极端体现。用户只能安装苹果应用商 店里的应用
      • 如果管理员知道需要阻止哪些应用程序，拒绝列表是一个不错的选择
    • 5. 防火墙
      • 防火墙属于预防和技术控制。它们力求通过技术手段来防止安全事件发生
      • 以下基本原则可以提供抵御攻击的保护
        • 拦截路由器上的定向广播：定向广播充当单播包的角色，直至到达目的网络
        • 在边界拦截私网 IP 地址：内部网纥使用私网 IP 地址范围（详见第 12 章），而互联网使用公网 IP 地址范围
      • 基本防火墙根据 IP 地址、端口和一些带协议编号的协议过滤通信流。防火墙通常被安放在网络的边界或边缘（互联网与内部网络之间）。这样能使防火墙监视所有进出通信流。
    • 6. 沙箱
      • 沙箱(sandboxing)：为应用程序提供安全边界，可防止应用程序和其他应用程序交互
      • 沙箱技术可防止该应用程序感染其他应用程序或操作系统
      • 应用程序开发人员常常用虚拟化技术测试应用程序。他们首先创建一个虚拟机，将其与主机和网络隔离开来。
    • 7. 第三方安全服务
      • 有些组织将安全服务外包给第三方，即本组织以外的个人或组织
      • 一些软件即服务(SaaS)供应商通过云提供安全服务，其中包含各种基于云的解决方案，如下一代防火墙、 UTM 设备以及过滤垃圾邮件和恶意软件的电子邮件网关。
• 17.4 自动事件晌应
  • 以下各节将描述其中的一些改进，如安全编排、自动化和响应(SOAR) ，人工智能(Al)和威胁情报收集技术。
  • 17.4.1 了解 SOAR
    • 安全编排、自动化和响应(security orchestration, automation, and response, SOAR)：是指可使组织自动响应某些事件的一组技术。
    • 目前组织可采用各种各样的工具就潜在事件发出警报
    • 例如，假设有攻击者对屏蔽子网（有时也叫非军事区）中的服务器发起 SYN 洪水攻击。网络工具检测出攻击并发出警报
    • SOAR 可根据事件的不同向管理员发出警报或采取其他行动
    • SOAR 允许安全管理员定义这些事件以及对事件的响应，他们通常使用剧本和运行脚本
    • 剧本：是定义了应该怎样核实事件的一份文件或检查列表。
    • 运行脚本：贯彻实施剧本数据，使它们成为一神自动化工具。
  • 17.4.2 机器学习和 Al 工具
    • 机器学习：是人工智能的一部分，是指可以通过经验自动改进的系统。机器学习赋予计算机系统学习的能力。
    • 人工智能：是一个广泛的领域，其中包含了机器学习
    • 机器学习系统会把这个基线用作起点。正常运行期间，它检测并报告异常。如果管理员 进行调查并将其报告为假阳性，机器学习系统将会根据这个反馈总结经验。
    • 人工智能系统开始时没有基线。相反，它监测通信流，并根据自己观察到的通信流慢慢 创建自己的基线
  • 17.4.3 威胁情报
    • 威胁情报(threat intelligence)：是指收集有关潜在威胁的数据，包括利用各种来源及时获得 有关当前威胁的信息。许多组织借助威胁情报来搜寻威肋。
    • 1. 了解杀伤链
      • 军用模型
        • 军方既将这个模型用于进攻，也将其用于防守
        • (1) 通过侦察寻找或识别目标
        • (2) 确定目标的位置。
        • (3) 跟踪目标的移动。
        • (4) 挑选打击目标的武器
        • (5) 用选定的武器打击目标。
        • (6) 评估攻击的效果
      • 洛马七步杀（Cyber KillChain®）框架
        • 为了优化军用模型，洛克希德·马丁公司创建了一个网络杀伤链框架，其中包含 7 个有序的攻击阶段。
        • (1) 侦察攻击者收集有关目标的信息
        • (2) 武器化 攻击者识别目标可供利用的漏洞，以及发送漏洞利用点的方法。
        • (3) 交付 攻击者通过网络钓鱼攻击、恶意电子邮件附件、被操纵的网站或其他常用社 会工程伎俩向目标发送武器。
        • (4) 利用 武器利用目标系统的漏洞。
        • (5) 安装 开发可以利用漏洞并安装恶意软件的代码。恶意软件通常包含后门，允许目 标远程访问系统。
        • (6) 指挥和控制 攻击者维护一个指挥和控制系统，以控制目标和其他被操纵的系统。
        • (7) 目标行动 攻击者达成自己的最初目标，如偷盗钱财、盗窃数据、破坏数据或安装 额外的恶意代码（如勒索软件）等。
    • 2. 了解 MITRE ATT&CK
      • MITRE ATT&CK 矩阵：（由 MITRE 创建）是内含已被识别的战术、技术和规程(TTP) 的知识库，可供攻击者在各种攻击中使用。
      • 是网络杀伤链等模型的补充，不同的是，这些战术并不是一组有序的攻击手段。相反， ATT&CK 把 TTP 列在一个矩阵中。
      • 攻击者还在不断修改他们的攻击方法，因此 ATT&CK 矩阵是一个活文档，每年至少更新两次
      • 矩阵包含以下战术：
        • 侦察
        • 资源开发
        • 初始访问
        • 执行
        • 持续存在
        • 特权提升
        • 防御规避
        • 凭证访问
        • 发现
        • 横向移动
        • 收集
        • 指挥和控制
        • 外泄
        • 影响
      • 每种战术都包含攻击者使用的技术手段。例如，侦察战术由多项技术组成。单击其中任何一项技术，你都将进入另一个描述这项技术及其相关抑制和检测技术的页面
    • 3.威胁馈送
      • 在互联网上，馈送(feed)是一种可供用户滚动浏览的稳定内容流。
      • 如新闻报道、天气预报、博客内容等。
      • 威胁馈送(threat feed)：是关于当前和潜在威胁的一种稳定原始数据流
      • 以下是一份威胁情报馈送包含的部分信息
        • 可疑域
        • 已知恶意软件哈希值
        • 互联网网站共享的代码
        • 与恶意活动关联的 IP 地址
      • 安全专家通过将威胁馈送中的数据与进出互联网的数据进行比较，可以从中识别出潜在的恶意通信流
    • 4. 威胁搜寻
      • 威胁搜寻(threat hunting)：是指在网络中主动查找网络威胁的过程
      • 威胁搜寻假定攻击者已经潜藏在网络中 即便还没有预防和检测性控制检测到他们并发出警报
      • 许多年前，攻击者往往一进网络就立即造成破坏。现如今，许多攻击者试图尽可能长时 间地留在网络中。例如，高级持续威胁(APT)常常会在网络中潜伏数月而不被发现。
  • 17.4.4 SOAR、机器学习、人工智能和威胁馈送的交叉融汇
    • 这些技术都在快速发展，而且会持续改进。而在这个过程中，重要的是了解这些概念是怎样相互交织的
    • 下面先从 SOAR 技术讲起。 SOAR 技术首先要有剧本，即被管理员用来验证和响应事件的书面指南。然后由人员执行贯彻这些指南的运行脚本
    • IDPS 经常发出假阳性报告（即发出表明出现问题的警报但问题其实并不存在）。在采用SOAR 技术后，这些技术会依照剧本所含指南自动处理这些假阳性报告
    • 接下来讨论威胁馈送。如果 SOAR 技术能够接收和处理威胁馈送，它们就能确保所有的预防和检测系统都知晓新威胁并自动对它们做出响应。
• 17.3 日志记录和监测
  • 日志记录机制把事件记录到各种日志中并对这些事件进行监测。通过将日志记录与监测结合起来使用，组织可跟踪、记录和审查活动，这样就有了一个全面的问责体系。
  • 这有助于组织检测可能会对系统的保密性、完整性或可用性产生负面影响的不良事件。
  • 17.3.1 日志记录技术
    • 日志记录(logging)：是将有关事件的信息写进日志文件或数据库的过程。
    • 日志通常会记录一些细节，比如何时、何地、何人、发生了何事以及如何发生的
    • 日志往往指审计日志，日志记录往往指审计日志记录
    • 1. 常见日志类型
      • 安全日志：安全日志记录对文件、文件夹、打印机等资源的访问，例如，它们可以记录 用户访问、修改或删除文件的时间
      • 系统日志 ：系统日志记录系统事件，例如系统何时启动或关闭，服务何时启动或关闭， 或服务属性何时被修改
      • 应用日志： 这些日志记录有关具体应用程序的信息，例如，数据库开发人员可选择记录任何人访问具体数据对象（如表格或视图）的时间
      • 防火墙日志 ：防火墙日志可以记录与到达防火墙的任何通信流相关的事件，这些日志通常记录关键数据包信息，例如源和目标IP 地址，以及源和目标端口，但不记录数据包的实际内容。
      • 代理日志：代理服务器可以提高用户访问互联网的效率，此外还能控制允许用户访问哪些网站，代理日志具备记录详细信息的能力，比如具体用户访问了哪些网站以及他们在这些网站逗留了多长时间。代理日志还可以记录用户何时试图访问已被禁止访问的站点
      • 变更日志 ：变更日志记录系统的变更请求、批准和实际变更，这是变更管理总流程的一部分，如，灾难发生后，管理员和技术人员可根据变更日志把系统诙复到最后的已知状态，其中包括所有已经实施的变更。
    • 日志记录通常是操作系统以及大多数应用程序和服务本身就具备的一个性能
    • 2. 保护日志数据
      • 如果攻击者可以篡改日志，他们会抹掉自己的活动，让数据变得毫无价值。
      • 通常的做法是将日志文件复制到一个中央系统（例如一个安全信息和事件管理系统）中保护起来。中央日志服务器
      • 组织往往有严格策略，强制要求备份日 志文件，组织可能会将归档日志文件保留 1 年、 3 年或其他任何长度的时间
      • 日志保护
        • 强制要求备份B 志文件
        • 组织可能会将归档日志文件保留 1 年、 3 年或其他任何长度的时间，有些组织要求无限期保留
        • 将日志设置为只读、分配许可权和执行物理安全控制等安全控制可以使归档日志不被未经授权者访问和修改。
        • 不再需要日志时，必须将其销毁。
      • FIPS 200 《联邦信息和信息系统最低安全要求》为审计数据规定了以下最低安全要求
  • 17.3.2 监测的作用
    • 监测可令组织受益良多，其中包括加强问责制的实施、帮助开展调查和排除基本故障。
    • 1. 审计踪迹
      • 审计踪迹(audit trail) ：是在将有关事件和事发情况的信息保存到一个或多个数据库或 日志文件中时创建的记录
      • 它们提供系统活动的记录，可重建安全事件发生之前和事件 发展过程中的活动。
      • 审计踪迹允许安全专业人员按正序或倒序检查和跟踪事件
      • 使用审计踪迹是执行检测性安全控制的一种被动形式。它们有点儿像闭路电视监控系 统或保安人员，起着威慑作用
      • 审计踪迹还是用于起诉犯罪分子的必不可少的证据。
    • 2. 监测和问责
      • 可通过监测和检查审计踪迹日志来追究这些用户的责任
      • 法律往往会对监测和问责的实施提出具体要求，其中包括 2002 年的萨班斯－奥克斯利法 案、健康保险流通与责任法案(HIPAA)和许多组织都必须遵守的欧盟隐私法律。
      • 子主题
    • 3. 监测和调查
      • 审计踪迹可使调查人员能在事件发生很久以后重建事件。审计踪迹可记录访问权滥用、 特权违规、未遂入侵和许多不同的攻击类型
      • 一个重要的考虑因素是确保给日志打上准确的时间戳并确保这些时间戳在整个环境中保持一致
      • 一种常见方法是建立一台内部网络时间协议(NTP)服务器，由该服务器与一个可信时间源（如一个公共 NTP 服务器）同步
    • 4. 监测和问题识别
      • 审计踪迹可就所记录的事件为管理员提供有用的细节。
      • 恶意攻击外，审计踪迹还记录系统故障、操作系统漏洞和软件错误。有些日志文件甚至可以在应用程序或系统崩溃时捕获内存内容
  • 17.3.3 监测技术
    • 监测(monitoring)：是指检查日志信息以找出特定内容的过程
    • 这个过程可人工进行，也可利用工具自动实现，监测是一个持续的过程
    • 日志分析(log analysis)：是一种详细而系统化的监测形式。这种监测形式通过分析日志信息 找出趋势和模式以及异常、未经授权、非法和违反策略的活动
    • 管理员会经常使用自动化工具来分析日志数据。例如，入侵检测系统(IDS)主动监测多个日志，以实时检测和响应恶意入侵行为。
    • 1. 安全信息和事件管理
      • 许多组织用一种中央应用程序来自动监测网络上的系统。
      • 其中包括安全信息和事件管理(SIEM) 、安全事件管理(SEM)和安全信息管理(SIM)
      • SIEM
        • 许多入侵检测系统和入侵预防系统将已收集的数据发送到 SIEM 系统
        • 该系统也从网络内的许多其他来源收集数据，实时监控通信流，分析潜在攻击并发出通知
        • 此外还提供数据长期存储，以便安全专业人员稍后分析数据
        • 例如， SIEM 可以监测一组电子邮件服务器。每当一台电子邮件服务器记录一个事件时， SIEM 代理将检查这个事件，以确定它是否值得关注。
        • 大多数 SIEM 都是可配置的，允许组织内部人员规定值得关注并需要转发给 SIEM 服务 器的项目。
        • 有些监割工具还可用于库存和状态目的。例如，工具可以查询现有的所有系统并记下详 细信息，如系统名称、 IP 地址、操作系统、己打的补丁、更新和已安装的软件
    • 2. syslog
      • RFC 5424 syslog 协议：描述了用于发送事件通知消息的 syslog 协议。一台中央 syslog 服务器接收来自网络设备的 syslog 消息，协议规定了应该怎样格式化消息和怎样将它们发送给syslog 服务器，但没有规定应该怎样处理它们
      • syslog 以往曾被用在 UNIX 和 Linux 系统上
    • 3. 抽样
      • 抽样(sampling)也叫数据提取(data extraction) ：是指从庞大数据体中提取特定元素以构建 有意义的概述或摘要的过程
      • 统计抽样利用精确的数学函数从大量数据中提取有意义的信息
      • 抽样始终存在着一个风险一抽样数据可能并不是整体数据的准确体现，但统计抽样可以标明误差范围
      • 统计抽样比非统计抽样更可靠，在数学上更具有说服力
    • 4. 剪切级
      • 剪切：是一种非统计抽样。它只选择超过剪切级(clipping level) 的事件，而剪切级是预先定 义好的一个事件阙值
      • 在事件达到这个阑值之前，系统忽略事件。
      • 例如，失败的登录尝试在任何系统中都是常事，因为用户很容易输错一两次口令。剪切级不会在每次遇到失败的登录尝试时都发出警报，相反，可设置成：若 30 分钟内检测到 5次失败的登录尝试，便发出警报
      • 剪切级广泛用于审计事件的过程，为常规系统或用户活动创建一条基线。监测系统只在基线被超出时才发出异常事件警报
    • 5. 其他监测工具
      • 闭路电视监控系统(CCTV)：可以自动将事件记录到磁带上以供日后查看
      • 击键监测(keystroke monitoring)：是记录用户实体键盘击键动作的行为。这种监 测通常通过技术手段（例如一种硬件设备或一种名为键盘记录器的软件程序）完成
      • 通信流分析(tra:ffic analysis)和趋势分析(trend analysis)：是检查数据包流动而非数据包实际内容的监测形式也叫网流监测(network flowmonitoring) ，可以推断出大最信息，例如主通信路由、备份通信路由、主服务器的位置、加密通信流的来源、网络支待的通信流流量、通信流的典型流向、通信频率等。比如当一名员工的账号向他人发送了大量电子邮件时。这可能表明，该员工的系统已成为被攻击者远程控制的僵尸网的一部分
  • 17.3.4 日志管理
    • 日志管理是指用来收集、处理和保护日志条目的所有方法。如前所述， SIEM 系统收集和聚合来自多个系统的日志条目，然后分析这些条目并报告任何可疑事件。
    • 在系统把日志项转发给 SIEM 系统后， 日志条目是可以删除的
    • 系统往往还会使用滚动日志(rollover logging)（有时也被称为循环日志或日志循环）。滚动日志允许管理员为日志设置一个最大容量阙值。当日志容量达到这个阙值时，系统开始覆盖日志中最早的事件
    • Windows 系统允许管理员把日志归档保存，这在遇到 SIEM 系统不可用的情况时会非常有用
    • 另外一个选择是创建和调度一个PowerShell 脚本，以便定期归档日志文件并将其复制到 另一个位置，例如使用 UNC 路径的备份服务器
  • 17.3.5 出口监测
    • 监测离开网络流向互联网的通信流，也就是所谓出口监测
    • 出口监测可以检测数据未经授权的向外传输，也就是人们常说的数据外泄
    • 数据丢失预防(DLP)技术和隐写术监测是用来检测或预防数据外泄的两种常见方法。
    • 组织可以定期捕捉很少有改动的内部文件的哈希值。
    • 水印现在有了一种先进的实现技术：数字水印(digital watermark) 。数字水印是隐秘镶嵌 在数字文件中的标记。
    • DLP 系统可以检测未加密文件中的水印。 DLP 系统从这些水印中识别出敏感数据后，会 阻止传输并向安全人员发出警报，从而防止文件传出组织
    • DLP 系统不能检查加密数据的内容，但是它可以监测流出网络的加密数据鼠、数据流向以及发送数据的系统