论道攻防|大型企业攻防演练之主防守分秘籍揭晓

↑ 点击上方“安全狗”关注我们

该客户是国有大型企业，信息IT架构复杂度高，对网络安全整体保障建设高度重视。

按照 “大型攻防演练行动”网络安全保障工作要求，切实做好“大型攻防演练行动”期间网络安全监测和应急保障工作，及时发现安全事件并向各防护单位预警和确认，确保企业各系统安全稳定运行。该客户高度重视“大型攻防演练行动”期间网络安全保障工作，召开动员部署会明确人员保障工作职责和任务，编写大型攻防演练行动保障方案。

在原有基础上新增部署了WAF、IPS、蜜罐、流量分析等网络安全设备，搭建了云眼（主机防护）、云御（软WAF）、云隙（微隔离）、云固（防篡改）、态势感知等安全防护系统，基本完成了边界防护加内网防护的纵深防御体系搭建。

为保障项目顺利进行，项目团队主要分为：

在准备期花费了两个月的时间，进行现状分析、风险排查、风险整改、风险加固、内部红蓝演练、安全意识宣贯培训等工作。

 图2-整体进度表

在与客户花费近一周的时间，通过台账梳理、网络扫描、现场摸排等方式对信息系统、硬件设备、网络IP等多个维度的信息化资产记录进行比对，对客户总部进行了全面的资产梳理，确保无资产遗漏。

内部演练：主要分为两次

第一次一支攻击队为期7天，主要攻击目标为客户总部基础网络，其目的是为发现安全隐患，防守队采取监控不做任何防御措施的方式，在前5天发现攻击队以为进入集团内网，实际还是在互联网DMZ区，故拿出网络拓扑与攻击队交流，希望能发现更多安全风险，最终攻击队通过一台双网卡设备穿透进入集团内网，拿下更多服务器。

经过为期两周的整改，第二次的演练四支攻击队为期7天，攻击目标为全集团成员单位。此次按照正式演练规则，防守人员各小组现场值守，开启监控与防御手段，在前5天各安全平台未检测到有被攻破的系统或者主机，在指挥部的协调下，解除攻击队被屏蔽的IP，改为监控、人工不防守的模式，第六天开始检测到攻击队通过VPN进入内容扫描，随后通过未整改的0day漏洞，获取服务器权限、获取数据库权限。

安全意识宣贯：通过钓鱼邮件，发现发送1500邮件，有10%用户打开邮件链接，安全意识非常薄弱。为加强安全意识，通过全员邮件通知钓鱼邮件的统计数据与提醒安全注意事项，同时召集全集团信息负责人开展安全座谈分享日常安全事项，并且通过域控发送终端屏保提醒日常安装措施。

图3-小组架构说明

图4

正式演习期间，累计拦截各类攻击259670次，排查处置安全威胁3639次，应急处置安全事件0次，封禁攻击IP数量5994个，向集团指挥部提交防守报告28份。

演习期间，发现的攻击类型主要包括：

无

通过集团总部部署的网络安全防护平台，防守团队第一时间发现多家成员企业被入侵迹象，攻击队通过其所属设备为跳板探测攻击集团内网。防守团队发现后果断决策，应急处置，保证集团内网不被攻陷，同时第一时间上报集团指挥部，并发挥协同作用，组织专家调查溯源，提供技术支持。事件具体情况如下：

所防守的部分无任何扣分！

攻防对抗，目前基本处于防守方被动挨打，需要研究更多的防守反制手段。目前常用的只有蜜罐，防守方是否也可以有攻击团队，起到主动下饵，反制攻击方跳板机、溯源攻击队等作用？