安全小课堂第135期【RedTeam攻击技巧和安全防御】

ATTCKWing：

其实一开始我觉得渗透和红队好像没什么区别，不就都是为了拿下目标然后写报告么？现在我觉得最大的一个区别就是渗透的范围是有限的，而且大多数情况下基本商业扫描器一把梭就完事，因为你拿到的可能是一大堆目标，但只是单纯的website。红队需要对目标进行尽可能全面的情报收集，要配合蓝队的计划执行，比如：虽然我发给对方的邮件被对方识别到了，也就是说这个行动失败，触发了警报，这里就可以记录下来，它证明了蓝队的防御是有效的。分享一下今天面试官问我的问题：你怎么保证你的邮件能够被对方收到？我说了以下几点：远离黑名单、域名可信度、ip  （一个ip发100封邮件很大几率会被系统拦截的）、域名是否有302、 域名是否有有效证书等。

渗透一般是定期的，红队活动有时候几周，有时候几个月，时间不固定。红队的活动是不规律的，有时候可能专注于社工，模拟窃取内部人员信息，在攻击方面对于渗透的话，可能我们去针对内网的时候，想着的时候怎么拿下DC，但是对于红队来说，除非必要，一般不去碰，因为这个动作有点大，除非能保证自己能够不被发现，因为活动中每一步都需要隐藏好自己，不去触发警报，否则SOC或者IDS发现了，就可能功亏一篑。也很少有入侵者直接发动大规模扫描，嗅探等等。我们的目的是什么？  制造出更完善的安全方案，而不是无意义的攻击。        

有时候目标就只是域内的某个开发人员，那么，怎么去判断呢？——DC里面的日志中去寻找，寻找命名规则， zhangsan.pentestlab.com类似这种，至关重要的Email系统，里面可能有大量内部人员信息，内部邮件钓鱼的几率成功率会很高。总之，需要红蓝双方共同配合，一起行动。

隐藏自己主要其实就是攻击者本身和我们的C2服务器。前者的话可以通过各种代理来实现，tor，vpn，等后者的话就有很多细节，我只列举我自己用过的技术，其余还有很多。Faction，最近出的，基于web的多人协作平台，dnscat2，支持win和linux，pentestlab的博客有很多，包括以下，ICMP、POWERSHELL、JAVASCRIPT、HTTP、HTTPS、DNS、GMAIL、TWITTER、COM、OFFICE、IMAGES、WMIAND SO ON。还有就是Domain Fronting技术。红队基础建设:隐藏你的C2server，但是蓝队一般会直接禁止合一开始Domain通信，虽然木马还在活动，但是CNAME失败就GG了。以及修改自己的c2工具特征，msf，empire，cs都被安排了。

ATTCKWing：

这个是蓝队用来模拟红队攻击的系统。下面就是熟悉的ATT&CK矩阵图。就是当蓝队捕捉到相关的活动时，可以对比图中的技术，并进行标记。有三个平台的矩阵图Windows、Mac、Linux。我们将捕捉到的日志全部发送到splunk，在里面进行特征分析，提取，最后规划防御方案。像powershell有时候直接是被禁用的，你执行我就报警。可以通过.net去调用、跟进最新威胁情报，比如empire，cs，msf等工具的特征都有人公开了，就需要自己去更改相应的特征，防止被追查。TTP的手段是多样化的，需要红蓝双方共同合作才能找出不足，最后完善报告。蓝队需要进行安全审核、风险情报分析、DDOS测试、制定风险方案、PCAP、记录分析。跳跃性思维，红队的主要特点是跳出局限性思考，不断寻求新的工具和技术。深入了解系统，知己知彼，百战不殆。有组织，注重细节。在评估公司或组织的安全性时，你需要创建风险或威胁配置方案。牛x的威胁配置方案包含所有可能包含潜在威胁攻击者和现实威胁情景的数据，通过在前面的准备工作，为未来的任何攻击做好充分准备。强化系统，要真正为即将到来的攻击或破坏做好准备，需要对所有系统进行强化，减少黑客可能利用的攻击面。绝对必要的是强化DNS，因为它是强化策略中最容易被忽视的一个。了解入侵检测系统，熟悉网络方便查找任何异常和可能具有恶意活动的软件应用程序。过滤所有网络流量包，将更好地控制公司系统中的所有网络活动。