安全服務(wù)的一些思考

總結(jié)一些安服遇到的問題及思考

（一）安全服務(wù)小組的主要工作

（1）應(yīng)急響應(yīng)和取證溯源。
（2）對客戶中出現(xiàn)的網(wǎng)絡(luò)威脅進(jìn)行分析和處置。
（3）配合公司自有產(chǎn)品發(fā)現(xiàn)威脅和解決網(wǎng)絡(luò)安全問題。
（4）關(guān)注重大威脅事件，跟蹤并能及時將解決方案同步到客戶側(cè)。

（二）安全服務(wù)小組在現(xiàn)實中的任務(wù)

1）網(wǎng)絡(luò)安保 ：在國家重大活動中提供的安保服務(wù)，分兩種；
由公安部牽頭，支撐單位配合的無償安保任務(wù)。在活動期間派駐一名工程師7*24小時駐守，不需要主動接管安保單位的網(wǎng)絡(luò)安全。發(fā)生安全事件，而安保單位自己的安全團(tuán)隊不能解決時，我方需介入并上報CNCERT；
另一種為甲方購買了重大活動安保服務(wù)。我方將按合同派1到2名工程師到現(xiàn)場值守，需要主動利用網(wǎng)絡(luò)安全設(shè)備來發(fā)現(xiàn)問題，解決問題。

2）會議交流：為宣傳文化或由主管部門組織的行業(yè)專題交流。

3）應(yīng)急響應(yīng)：客戶網(wǎng)絡(luò)遭受***，派工程師前往阻止網(wǎng)絡(luò)***，恢復(fù)系統(tǒng)正常運(yùn)行，完成后期加固溯源。

4）項目支撐：支持其他部門項目，主要為銷售、售前、售后、研發(fā)。

5）威脅分析：樣本、流量，安全日志等分析工作。

6）產(chǎn)品巡檢：按合同，依據(jù)公司產(chǎn)品提供安全檢查服務(wù)，完成巡檢報告，配合客戶處理威脅。

7）培訓(xùn)項目：主要為惡意代碼分析方向、安全意識、***、加固等培訓(xùn)。

8）技術(shù)研究：個人技術(shù)提升或項目技術(shù)研究。

9）研發(fā)項目：平臺搭建，工具編寫等研發(fā)。

10）其他項目： 不在以上9類的。

（三）按照任務(wù)和規(guī)劃要求小組具備以下能力

（1）樣本分析能力，主要是快速鑒別的能力。
（2）網(wǎng)絡(luò)流量分析能力
（3）綜合***場景認(rèn)知能力
（4）網(wǎng)絡(luò)安全設(shè)備日志分析能力
（5）客戶有效溝通能力。
（6）重大項目交付能力
（7）態(tài)勢感知平臺化服務(wù)能力

以下是面對各任務(wù)下的思考

（一）應(yīng)急響應(yīng)思考（描述問題比解決問題重要）

1、負(fù)責(zé)人接聽客戶應(yīng)急電話，詢問情況，初步判定事態(tài)，組建應(yīng)急團(tuán)隊。
      詢問的問題包括：
      發(fā)現(xiàn)問題的現(xiàn)象是什么樣的？
      出現(xiàn)問題的時間？
      做了什么處理？
      是否影響業(yè)務(wù)、能否斷網(wǎng)？
      問題機(jī)器是什么系統(tǒng)？
      能否遠(yuǎn)程？
 遠(yuǎn)程指導(dǎo)客戶意見：不影響業(yè)務(wù)的情況下斷網(wǎng)，啟用備份；不影響業(yè)務(wù)情況下，安裝殺毒軟件全盤查殺；保留現(xiàn)場，等待工程師取證。

2 、現(xiàn)場
要求管理員陪同全程參與、以將業(yè)務(wù)恢復(fù)正常為主要目的、充分了解網(wǎng)絡(luò)架構(gòu)完 成溯源和加固。

目前在實施過程中較為突出的問題有：安服人員對linux服務(wù)器應(yīng)急經(jīng)驗薄弱、網(wǎng)絡(luò)設(shè)備日志沒有重點。

（二）樣本分析思考
1、查看md5值，將ms5值或文件名在威脅情報平臺檢索或google。
2、動態(tài)監(jiān)控，查看文件行為，網(wǎng)絡(luò)行為。將監(jiān)控到的文件路徑、注冊表、網(wǎng)絡(luò)地址等在威脅平臺關(guān)聯(lián)。
3、脫殼后，靜態(tài)查看字符串，在威脅平臺關(guān)聯(lián)字符串。
4、調(diào)試分析。
注意關(guān)鍵點的截圖。

目前問題：漏洞利用類樣本分析難度較大，感染式病毒修復(fù)、批量樣本分析，勒索解密。

（三）基于公司安全產(chǎn)品的巡檢工作思考

了解客戶的關(guān)注點，有些客戶關(guān)注威脅，有些希望大事化小。

客戶關(guān)注重點及有價值的威脅：

（1）監(jiān)管部門事件通報。
（2）網(wǎng)頁篡改
（3）服務(wù)器故障
（4）數(shù)據(jù)泄露

甲方可能面臨的高級威脅場景：
（1）個人U盤帶到內(nèi)網(wǎng)的高級***。
（2）以員工個人PC作為跳板的橫向***。
（3）員工點擊網(wǎng)絡(luò)鏈接，利用瀏覽器0day的***。
（4）員工郵件附件文檔或可執(zhí)行程序的***。
（5）員工賬號信息獲取轉(zhuǎn)入下一環(huán)節(jié)的***。
（6）服務(wù)器弱口令用戶賬戶爆破***。
（7）服務(wù)器組件0day漏洞利用***。

某些高級威脅場景現(xiàn)象：

（1）深夜時段連接通信。
（2）服務(wù)器主動外聯(lián)IP。
（3）文件傳輸量大，數(shù)據(jù)包大，引發(fā)的威脅場景。
（4）ddos拒絕服務(wù)***。
（5）主動防御攔截的威脅
（6）沙箱前置檢出的未知威脅的威脅場景。

（四）小組其它規(guī)劃

（1）在遇到疑難安全事件，無法判定時，組織其它安全小組一起參與威脅研判，這一環(huán)節(jié)可以理解為：專家會診  
（2）召開安全例會，每周一次，或每日早晨開始，對工作進(jìn)行安排，對自己處置的威脅在會議中通報審核。
（3）案例分享，面對較為重要的事件，比如新出現(xiàn)的一些***手法，做報告分享。

（五）企業(yè)應(yīng)該做的

  （1）做好郵件防護(hù)
    （2）做好U盤防護(hù)
（3）安裝最新漏洞補(bǔ)丁
    （4）終端殺毒，主動防御