重保究竟要注意啥？技术视角破解黑客攻击全过程

某网站某天遭受攻击类型统计

拿到了获取到的IP等信息，就可以用工具脚本对IP做口令暴力破解尝试登录，获取网站服务器后台目录或站点敏感信息如phpinfo，对获得的低版本组件存在的通用漏洞进行攻击。SQL注入或命令执行获取后台敏感文件或数据库的数据。上传一句话木马到后台目录，菜刀攻击连接shell，后面就可以接管文件管理、shell命令，进行提权和控制。控制了机器后就可以窃取数据、篡改网站、加密勒索、横向扩散等等为所欲为。

下图是信息安全人员必备知识OWASP十大应用安全风险（OWASP Top 10），可以看到现网中流行的攻击手段。

OWASP Top 10 2021年最新版

大多人所谓的创新，都是前人的重复。黑客并不一定都是大神，类似脚本小子的才是这些攻击人群的主流，使用的攻击手段都是别人制作好的工具脚本，也很容易被压制。但总有人会研究出新的攻击手段，尤其是当前网络环境中恶意程序数量呈指数增长，各类新型的攻击方式层出不穷，随着恶意代码技术的发展，传播过程中会进行多次变形躲避安全产品的追杀。0day（零日攻击）的出现更是突破了现有安全产品基于已知威胁的防护体系，攻击目标相当于裸奔，随时被攻陷。攻击者动用这些新型攻击和0day，在攻防作战中占据了主动地位。

如果以上攻击还不奏效，往往还有最后一个大杀器—流量型攻击。流量型攻击通常是DDoS（分布式拒绝服务），利用大量的请求占满攻击目标的出口带宽或服务器性能。现在更流行的是应用层的DDoS—CC攻击，这种攻击会模拟正常访问者的行为，对网站发起的应用层请求，缓慢而坚定的耗尽服务器的缓存和并发连接等，最终无法给正常的请求者提供服务。这种拒绝服务攻击除了能瘫痪业务，也可以用来明修栈道暗渡成仓。通过流量攻击让目标安全设备失效或迫使安全管理员关闭某些高级防护功能，可以将真正的攻击夹杂在海量请求中绕过防护直达目标。

尤其是当前网络中存在的攻击即服务（Attack as a Service ）甚至分布式拒绝攻击即服务（DDoS as a Service）变得越来越流行，这种服务的价格也非常低廉，按次计费和长期租用的形式，每小时攻击成本不到10美元，成本低很容易被使用。

当用尽以上所有攻击结果还不生效时，攻击者就要考虑行动的性价比，一般会及时止损寻找下一个受害者。但出于尊严也好或当前付出的沉没成本也罢，攻击者还有别的途径可用。有句话叫“硬的不行来软的”，既然攻击目标防护这么严密，那是不是可以绕过目标转而攻击同用户的其他资产。通常一个企业对外提供不止一个业务，不同业务安全水平也参差不齐，每一个暴露在互联网的业务都是潜在的攻击进入点。攻击者可以挑选防护能力较弱的资产重点攻破，然后作为跳板机在内部横向威胁最初的目标，而资产对内的暴露面远远大于对外网的，一些主机层的脆弱性对内暴露，使攻击难度大大降低。

当然除了通过各种技术直接攻击，社会工程学也是很有效的进攻手段。在信息安全这个链条中，人的因素是最薄弱的一环节。社会工程学就是利用人的薄弱点，通过欺骗手段而入侵计算机系统的一种攻击方法。这就涉及信息系统人员的安全意识和防范手段，本文不再详述。

还有一个大杀器——威胁情报。网上对威胁情报定义是：某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。

威胁情报最简单的功能是通过之前对发起过的攻击、现网正在发起的攻击、高级持续性威胁（APT）做跟踪，得到一系列的数据比如恶意IP、攻击样品信息等。广撒网的攻击方式，其攻击信息被设备收集到并上传给威胁情报，云端处理后将这些情报共享给给所有接入的设备。这样在攻击者刚连接上网络时，直接打断三次握手，或者刚提交一个本地设备无法识别的攻击样本就被云端检测出恶意代码给拦截，有点不讲道理但效果非常显著。

信息安全对技术、产品、人员能力和管理制度要求很高，最好的办法是将专业的事交给专业的人，重保期间将服务进行托管可以获全天候更安全的保护。

重保期间通过前期自检加固，调整优化安全设备策略，使用新技术搭配威胁情报应对攻击威胁，启用重保服务由安全人员7*24小时监测响应，可以安心放假重保无忧。

15年，百余场国家级安保活动，0安全事故——这是安恒信息递交的成绩单。安恒信息拥有丰富的重要时期保障实战经验，相继为2008年北京奥运会、新中国成立60周年、上海世博会、广州亚运会、历届世界互联网大会、抗战胜利70周年、G20杭州峰会、厦门金砖峰会、“一带一路”高峰论坛、新中国成立70周年、第七届世界军人运动会等国家级重大活动提供了安全保障服务，15年零事故。

重保服务选安恒信息就对了。