当前位置:首页 > 信息公开 > 正文内容

NTA在攻防演练中的实战与应用

xmd52年前 (2020-09-25)信息公开13633839

攻防演练中,不论攻击成功与否,攻击行为的载体只可能是网络流量。因此,网络流量监测与分析技术可以说是蓝军的一张王牌,通过对正常业务与威胁行为模式进行建模,能够在第一时间发现入侵事件,甚至还原整个攻击流程。

逻辑示意图如下:

NTA关键能力

实际应用场景中,流量获取、协议解析、流量还原、异常分析、联动处置等关键能力,决定了NTA/NDR能否为蓝军带来最大化的防御效益。

流量获取能力:

对于中小型企业来说,能够访问核心生产系统的一般有两个区域:外部客户访问的“互联网接入域”,开发运维人员所在的“运维接入域”。前者携带从类似门户网站正面攻击的入侵流量,后者夹杂社工拿下内部终端后发起的异常流量,所以,这两部分流量缺一不可。

具体部署 NTA 产品时,可采用旁路分光或交换机镜像获取流量,由于采用旁路方式,所以即便 NTA 产品自身出现故障,也不会影响到生产系统的高可用。接收镜像流量的设备叫着探针,探针从负载设备下挂的交换机上镜像流量。比如,某门户业务系统,用户访问流量从外往内,分别经过互联网边界的防火墙、WAF、负载均衡器、交换机,最后到达 web 节点集群,如下:

协议解析能力:

协议解析是后续异常流量分析的根基,NTA 产品应从 ISO 七层模型和应用领域两个维度支持尽可能全的通讯协议,而非单纯追求 L2 到 L7 的协议数量。

经验来看,NTA 至少应具备如下协议解析能力:

OSI相关:L7 支持 HTTP、FTP、SMTP、POP3、IMAP4、telnet,L6 支持 LPP、XDP,L5 支持 TLS、LDAP、RPC,L4 支持 TCP、UDP,L3 支持 EGP、RPL,L2 支持 XTP、PPTP、L2TP;

微软相关:L7 支持 SOAP、named pipes、MS-RAP、MS-RPC,L6 支持 MS-CIFS、MS-SMB,L5 支持 netBIOS;

VPN/加密传输相关:L7 支持 SCP、SSH、GPRS 隧道 GTP,L6 支持 AES、DES、3DES,L5 支持 kerberos、SSL/TLS,L3 支持通用路由封装协议 GRE。

据了解,某些 NTA 产品将协议解析作能力视为核心技术,雇佣行业专家攻坚克难,识别协议类型达 800+ 种,解析协议超过 50+ 种。

科来:网络通讯协议图谱

流量还原能力:

系统沦陷后,要想取证或溯源,必须借助流量还原,这种网络流量深度记忆力,能够将流量数据以不同的统计维度进行透视分析,将 HTTP、DNS、SMTP、POP3、邮件等等数据还原,重演攻击流程、勾勒攻击路径。

比如,针对 web 访问,NTA 产品能够对 HTTP 的请求和应答进行基于五元组的重构,实现会话还原,类似如下效果:

异常分析能力:

对原始流量标准化处理之后,通过多维度统计分析,进行告警、态势、趋势预警输出,用于支撑网络威胁态势、安全告警监控展示。一般来说,借助大数据、行为分析、机器学习/深度学习(如 HMM、XGBOOST、CNN、 LSTM)等技术刻画重要资产应用系统的流量基线,再通过网络流量变化的特征来确定流量异常行为发生的时间点,分析流量行为特征参数,以找出异常行为对应的源 IP 及目的 IP;最后,根据攻击日志和行为日志,判定资产是否失陷。

异常流量分析应覆盖密码猜测攻击、WEB攻击、恶意扫描、web 异常访问分析、D

本文标题:NTA在攻防演练中的实战与应用
本文链接:https://xmd5.pw/2020/09/71/
作者授权:除特别说明外,本文由 xmd5 原创编译并授权 中国黑色幽灵小组官网 刊载发布。
版权声明:本文不使用任何协议授权,您可以任何形式自由转载或使用。

扫描二维码推送至手机访问。

版权声明:本文由中国黑色幽灵小组官网发布,如需转载请注明出处。

本文链接:https://xmd5.pw/2020/09/71/

相关文章

我们这一代“黑客”

我们这一代“黑客”

(文章出自:越南邻国宰相 | 1937CN)我接触“黑客”这个圈的时间不算早,2002年末开始接触网吧(网吧的生涯应该很多人有所共鸣,具体网吧里发生的点点滴滴就不在这细说了,都是泪),起初就是玩CS,...

朝鲜DNS数据泄露:“互联网”规模极小,居然只有28个可访问网站…

朝鲜DNS数据泄露:“互联网”规模极小,居然只有28个可访问网站…

和其它国家一样,朝鲜也正在加强网络基础能力建设,据说,还有一支强大的网络部队。由于担心来自外国政府的网络攻击,朝鲜长期的网络封锁让人们难得窥见其互联网状况。9月20日上午,Uber安全工程师Matth...

希拉里团队邮箱是如何被黑客入侵的

希拉里团队邮箱是如何被黑客入侵的

3月19日,希拉里竞选团队主席约翰·波德斯塔(John Podesta)收到了一封貌似来自Google的警告邮件,然而,该邮件却是一封窃取个人信息的钓鱼邮件,幕后攻击者被认为是俄罗斯国家黑客。Pode...

德国电信遭黑客攻击:90万路由器下线 大量用户无法访问互联网

德国电信遭黑客攻击:90万路由器下线 大量用户无法访问互联网

德国电信近日遭遇网络攻击,超90万路由器无法联网,德国电信方面已经确认了此事。断网事故始于当地时间11月27日(周日)17:00左右,持续数个小时。周一上午08:00,再次出现断网问题。除了联网服务外...

FBI和DHS发布联合报告,奥巴马对俄罗斯涉嫌干预美国大选进行制裁!

FBI和DHS发布联合报告,奥巴马对俄罗斯涉嫌干预美国大选进行制裁!

美国联邦调查局(FBI)和国土安全部(DHS)于12月29日发布了一份解密报告,报告中详细分析了俄罗斯如何干预美国大选。报告中分析了两起独立的入侵事件,这两起有俄罗斯背景的黑客事件分别发生在2015年...

Anonymous攻陷暗网服务提供商Freedom Hosting II,约1/5暗网网站下线

Anonymous攻陷暗网服务提供商Freedom Hosting II,约1/5暗网网站下线

Freedom Hosting II(以下简称FH II)是现今最大的暗网服务提供商之一。据Mascherari.press的安全专家Sarah Jamie Lewis估算,FH II约为15%-20...

只需要不到20分钟,报告显示俄罗斯黑客是全球最快的入侵者

只需要不到20分钟,报告显示俄罗斯黑客是全球最快的入侵者

天下武功,唯快不破。速度,在众多武侠剧中都被刻画成武学精髓之一。而在网络安全领域,无论作为防御者还是攻击者,速度很大程度上也能够决定攻防一方的胜负。2019年2月19日,美国网络安全技术公司 Crow...

维基解密创始人阿桑奇被捕:世界将再次失去一名说真话的男人

维基解密创始人阿桑奇被捕:世界将再次失去一名说真话的男人

世界将再次失去一名说真话的男人。据BBC网站报道,维基解密(Wikileaks)联合创始人朱利安·阿桑奇(Julian Assange)在厄瓜多尔驻伦敦大使馆被捕。维基解密(WikiLeaks),是通...

黑客泄露APT 34组织工具、成员信息,扬言更多秘密将持续曝光

黑客泄露APT 34组织工具、成员信息,扬言更多秘密将持续曝光

网络安全世界,黑吃黑的情况并不少见。2017年,Shadow Brokers入侵了美国NSA下属黑客组织Equation Group,下载了大量工具在网上售卖,永恒之蓝工具包就是其中之一,这也直接导致...

网络安全等级保护工作流程

网络安全等级保护工作流程

2017年6月1日《网络安全法》正式实施,网络安全等级保护进入有法可依的2.0时代,网路安全等级保护系列标准于2019年5月陆续发布,12月1日起正式实施,标志着等级保护正式迈入2.0时代。网络安全等...