漏洞猎人白夜追凶记

admin 2022年12月21日12:35:28评论7 views字数 3498阅读11分39秒阅读模式

编者按

数字化浪潮蓬勃兴起,企业面临的安全挑战亦日益严峻。


腾讯安全近期将复盘2022年典型的攻击事件,帮助企业深入了解攻击手法和应对措施,完善自身安全防御体系。


本篇是第三期,用一个实际案例讲述了企业在面临攻击时,如何才能及时准确找到攻击源头,知晓“我被谁用什么漏洞攻击了”,及时封堵漏洞,避免重大安全事故的发生。

漏洞猎人白夜追凶记


“当你帮客户排掉这个‘雷’之后,23451他们发了感谢函或者邮件致谢吗?”小编。


“没有,但是他们发来了一个采购订单。”周工。


这是一个发生在今年4月初的安全应急响应故事。


异常告警


某天中午,某企业的安全值班员工进行着例行检查,发现安全运营中心SOC发出了告警,陆续有主机出现异常告警行为。凭经验判断,这应该是一个有目的的入侵行为,值班人员立即通知相关人员上机进行排查,并立即上报安全负责人刘总工。


时间一分一秒过去,入侵源迟迟没有封堵住,攻击者已经在进行内网横移尝试。安全负责人刘总工意识到了问题的严重性,如果不能及时溯源找到攻击入口并及时收敛漏洞,最终的结果无外乎三种:被“脱裤”,被加密勒索,或者更可怕——潜伏起来什么也不做,等待重要的业务节点再发出致命一击。


刘总工立即组织了安全运营团队进行紧急排查,但仍没有找到攻击源头,攻击还在继续,并且影响范围是未知的“黑盒”,眼前一抹黑的情况更加剧了事态严重性。4小时后,主机安全服务的厂商(客户使用的某老牌主机安全产品)负责应急响应的2位工程师也到了现场,他们和驻场的专家一起,加入了排查的队伍。


在一个空旷的被辟为“临时作战室”的会议室里,2位工程师打开电脑登陆了主机安全运营后台,根据攻击者留下的蛛丝马迹,顺藤摸瓜排查可疑的机器。他们在写脚本,十几个客户IT和业务部门的人时不时地踱到他们身后看看。


内网机器被攻陷之后,找出攻击路径通常需要一两天时间,没有什么别的捷径,就是一台机器一台机器地人工排查。但这一次,经历了整整5天,仍然没有找到攻击源,而攻击者已经拿到多台服务器权限,正在横向渗透到核心资产,眼看就要酿成重大事故。彼时,连续作战了5天的安全团队心态已经趋于崩溃,“作战室”里,十几只烟头被摁灭在一次性纸杯里,随处都是被捏扁的红牛和可乐空罐,无声诉说着无能为力。


“所有机器一台台上去看,从哪台打过来的,然后顺着这个IP走到另外一台机器,然后继续看、继续分析,看他从哪进来的,留下什么日志、做了些什么行为。但是有时候那些机器上面并没有那么完善的日志、记录,只能凭少数一些异常登录或者行为来定位它是怎么进来的,整个过程就会很复杂。”一位经验丰富的安全专家分析道。


漏洞猎人白夜追凶记

常见APT入侵路径,由于入侵者会删除日志,隐藏攻击路径,

造成安全溯源往往会费时费力)



“12号12:00之前,问题一定要得到妥善解决,源头一定要找到!”刘总工下出最后的军令状!


深夜的一条微信消息


“我们遭遇大量网络攻击,请支援我们。”11号晚上21点17分,腾讯安全主机安全团队的X被拉到一个微信群,收到一条@他的信息。


他询问了几个基础问题,心中有了大概,立马电话摇人,找到两位熟谙此类问题解决之道的专家周工和吴工进群。时间紧急,也没有寒暄,直接发了一个线上会议链接。20分钟后,他们已经了解了客户目前的IT环境和受攻击情况。


吴工和周工没有开口讲述之前,小编的脑海里出现的画面是一队人火急火燎赶高铁、飞机奔赴客户现场,一头扎进机房,甚至晚上在机房外面扎个行军床。今年疫情反复,到处都是异地来访隔离5+3天,他们能顺利赶到一线吗?


“客户是在哪个城市?是在北京吗?”小编。


“也许?不知道。”周工。


“你们都没有去客户现场吗?”小编。


“不需要啊,我们是云原生的漏洞分析引擎,只需要客户把基础信息提供给我们,我们就能分析出来。”周工。


预想中的这一切兵荒马乱都没有发生,从接到需求到找到攻击源,周工他们总共花费了不到1小时。这得益于一个叫WeDetect的自动化漏洞分析引擎,它一方面掌握了云上几乎所有公开已知的漏洞,客户如果存在这些已知漏洞,能很快被找出来;而对于那些未披露的0day漏洞,WeDetect则从其攻击行为上能判断出异常,并发出预警。


“一个算力远胜于人脑、7*24小时不眠不休的机器,查找起漏洞自然快很多。”吴工说。


数据排查完毕后,吴工把排查结果以及WeDetect如何发现这个攻击源的数据反馈给了客户,客户眼前一亮,当即下了一个对于SaaS服务来说数额很可观的订单。而对于该企业来说,这也许是他们采购流程里最快的项目之一,但肯定也是说服力最毋庸置疑的项目之一。


漏洞猎人白夜追凶记

wedetect入侵漏洞溯源示意图)


千里眼和顺风耳


仅仅是2两年前,遇上这样的应急响应事件,吴工也需要去客户现场,手动一台台搜查问题。他记忆最深的一个案例,是某一次客户被勒索,勒索软件把一些有用的日志也加密了,导致关键溯源数据丢失,客户用了各种方式都无法找到入口。他早上11点赶到广州客户现场,凌晨3点才找到攻击源,结束工作后打开滴滴准备打车去酒店,发现忘了订酒店。站在除了保安之外几乎空无一人的工业园区大门口,他有一瞬间感到很茫然。


另外一次是某个关基企业被勒索,他们被叫到现场时,很多老牌安全厂商的专家团队都已经在待命了,场面堪称中国网络安全的“梦之队”。梦之队花费了数个小时终于还原了攻击路径,但对于已经加密的数据是无计可施的,所幸他们从一台机器上找到一个多月前的备份数据进行了手动恢复。


从Solarwinds事件以来,这两年密集地涌现了Log4j、Springboots、node-ipc包供应链投毒等各种现象级的安全事件,在官方发布漏洞公告到国内外安全厂商推出响应措施之前,中间有一段“真空时间”是黑产作案的黄金时期,但却是企业的噩梦期,很多客户不知道机器为什么被攻陷、攻击者打到了哪里,腾讯安全的专家服务团队一次又一次次接到客户的应急诉求。


在这样的事情重复发生多次,以及2020年以来疫情防控导致出差的不便利之后,周工、吴工团队开始琢磨:如何才能摆脱被动应急的局面,提升威胁的主动发现能力?


要解决这个问题,腾讯安全有几个天然的便利:依托腾讯云和丰富的云原生产品,联合云上各安全产品日志、主机异常行为数据、攻击流量数据,腾讯能更全面地掌握云上的最新攻击态势;其次,腾讯拥有丰富的实战攻防经验,无论是内部例行的攻防演练,还是各类重保项目中历练出来的蓝军攻击手法,能够实现知己知彼。“自己就是攻击队,我平时攻击会怎么打,就把这些经验转换成对应的模型落地到引擎里面去。”


前后历时半年,WeDetect 逐渐成形。腾讯 WeDetect 云上威胁狩猎引擎,是腾讯安全基于云原生的自动化漏洞攻击事件检测、关联、响应引擎。结合入侵事件中产生的多维度数据,实时自动化对攻击事件的关联、分析、定性。目前 WeDetect 已捕获到造成云上机器失陷的数百个已公开漏洞,以及数十个未公开漏洞的利用。wedetect能力已经赋能到云镜攻击检测模块,在实锤漏洞入侵的同时,也展示给客户尝试入侵的攻击,弥补了东西向流量入侵检测的能力。


漏洞猎人白夜追凶记


经过一年的运营,截至目前,WeDetect 已经在重大漏洞响应中帮助腾讯安全团队发现了多起高危漏洞利用,帮助物流企业、游戏厂商、电商企业、交通企业等发现并及时终止了很多棘手的攻击。


“这个感知是很强烈的,就好像经历过高考的每个人都知道670分是什么价值,够上个985还是211。客户多数对于漏洞排查有切身经验,在经历了那么长时间手工时代,他们看到我们不用去现场也能很快地通过自动化地分析出问题所在,对他们的触动是很大的。这也直接促成了我们一些商机转化。”吴工说道。


就在我们发稿时,WeDetect这个不眠不休的千里眼和顺风耳,也正在持续侦查着云上的漏洞利用情况“风声”。


- END -

漏洞猎人白夜追凶记

腾讯安全正在护航产业安全


漏洞猎人白夜追凶记

金融行业

中国银行 | 招商银行 | 华夏银行 | 中国建设银行 | 江苏银行 | 光大银行 | 微众银行 | 交通银行 | 富途 ……

漏洞猎人白夜追凶记

交通行业

中国航空 | 南方航空 | 海航集团 | 中国航信 | 国铁吉讯 | 中远海运 | 广汽集团 | 上汽集团 | 如祺出行 ……

漏洞猎人白夜追凶记


零售行业

五粮液 | 张裕集团 | 东鹏特饮 | 可口可乐 | 雅诗兰黛 | 永辉超市 | 多点新鲜 | 优衣库 | 名创优品 | 孩子王 | 金拱门 | 中免集团……

漏洞猎人白夜追凶记


互联网

同程艺龙 | 虎牙直播 | 唯品会 | 哔哩哔哩 | 快手 | 知乎 | 京东 | 顺丰 | 蘑菇街 | 三七互娱 | 完美世界 ……

漏洞猎人白夜追凶记


智能制造

三一重工 | 宁德时代 | 富士康 | 中铁集团 | 中粮集团 | 华为 | 荣耀 | 小米 | OPPO | VIVO | 海尔 | 美的……


漏洞猎人白夜追凶记

原文始发于微信公众号(腾讯安全):漏洞猎人白夜追凶记

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月21日12:35:28
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   漏洞猎人白夜追凶记https://cn-sec.com/archives/1475358.html

发表评论

匿名网友 填写信息