HVV技战法 | HW行动之防守方策略

大家好，我是紫队安全研究。建议大家把公众号“紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号现在只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。

一、备战阶段

备战阶段是对安全现状的全面排查，通过数据资产梳理、安全风险评估、自查自纠和安全培训，建立起完善的安全防护体系。

主要策略：

1. 数据资产梳理：全面了解现有的数据资产和网络结构。

2. 安全风险评估：识别潜在的安全风险和漏洞。

3. 自查自纠：针对已发现的问题进行修复和优化。

4. 安全培训：提高全体员工的安全意识和应急处理能力。

二、临战阶段

临战阶段按照HW行动的整体模式，开展资产巡查、渗透测试，制定应急预案并进行实战应急演练。依据内外网检测结果进行系统安全加固及应急处置优化。

主要策略：

1. 资产巡查：定期检查关键资产的安全状况。

2. 渗透测试：模拟攻击者行为，发现系统漏洞。

3. 应急预案制定：针对可能的安全事件制定详细的应急预案。

4. 实战应急演练：通过模拟演练，提高应急响应能力。

三、决战阶段

决战阶段是整个HW行动的关键时期，主要进行7*24小时现场值守，实时监控安全态势，确保整个重大活动期间的安全保障。

主要策略：

1. 实时监控：根据安全审计告警信息进行实时监控与上报。

2. 应急响应：快速处理安全事件，确保第一时间应急处置。

3. 溯源分析：现场进行突发事件处理和安全事件的溯源分析。

四、总结阶段

总结阶段对HW行动的工作及经验不足进行总结，并根据总结结果持续改进、优化网络安全整体建设水平。

主要策略：

1. 总结分析：评估HW行动的效果，找出不足之处。

2. 优化改进：根据总结结果，持续改进防护措施。

0day漏洞防护

一、漏洞情报

订阅多个安全厂商、漏洞信息共享平台和邮件列表，获取最新的漏洞情报。及时传达关键漏洞信息，确保安全团队能够做出相应的补救措施。

二、威胁建模

分析系统和网络拓扑，制定威胁模型，评估攻击者可能采取的行为和路径，确定最重要的资产和潜在攻击点。

三、补丁管理

建立完善的补丁管理流程，采用自动化工具跟踪和应用安全更新。创建测试环境，确保补丁不会引入新的问题。

四、漏洞扫描和渗透测试

定期进行漏洞扫描和渗透测试，发现系统中的漏洞并评估潜在威胁。制定修复计划并追踪漏洞修复进度。

五、应用白名单和沙箱环境

使用应用白名单技术限制只允许运行授权的可信软件。在沙箱环境中运行潜在有风险的应用程序，以检测和拦截可能的恶意行为。

六、网络分段

通过网络划分，限制内部系统之间的直接通信。使用防火墙和网络访问控制列表（ACL）监控和限制不同子网之间的流量。

七、强化主机安全防护

部署终端防护系统，监控非白名单地址的运维操作和敏感操作命令，及时发现异常命令执行行为。

八、布置蜜罐

在边界区域和核心计算区域部署蜜罐，混淆攻击者并捕获零日漏洞。

0day攻击应急响应流程

一、情报收集与分析

收集关于0day漏洞的情报，分析漏洞利用方式和攻击者可能采取的行动，评估威胁程度和潜在风险。

二、验证与确认

确认系统是否受到0day攻击，验证攻击范围和受影响的系统。

三、划定边界与隔离

通过防火墙、入侵检测系统（IDS/IPS）等安全设备，将受感染的主机或网络隔离起来，限制攻击扩散。

四、收集证据

收集攻击相关的所有证据，确保正确保留和存档。

五、应急修复与缓解措施

采取紧急措施阻止攻击，尝试应用临时修复方案或补丁，确保不会引入其他问题。

六、深度分析与恶意代码清除

对受感染系统进行深度分析，使用专业工具和反恶意软件清除潜在的恶意代码。

七、系统恢复与完善防护

确认系统已清理并修复后，开始系统恢复过程，升级受影响的系统和软件，增强防护措施。

八、事后分析与总结

进行事后分析，评估攻击影响和应对措施的有效性，撰写详细报告并分享相关信息。

实战阶段防守技战法

一、日志设备监测

监控各设备的登录日志，重点关注管理员权限账号的登录和使用情况，通过分析日志发现密码暴力破解和非法用户登录行为。

二、网络流量监测

通过日志异常请求抓取网络包回溯，使用Wireshark等工具进行离线分析。建议使用流量回溯系统和WAF等产品。

三、内网访问关系监测

重点关注内网扫描探测、异常网络连接和非法外联事件，进一步证实前面的判断。

四、情报收集与分析

收集并分析情报，确认威胁程度和潜在风险，采取相应措施应对。

欢迎喜欢文章的朋友点赞、转发、赞赏，你的每一次鼓励，都是我继续前进的动力。

原文始发于微信公众号（紫队安全研究）：HVV技战法 | HW行动之“防守方”策略