tryhackme-Pre Security-Defensive Security Intro(防御安全简介)

任务一:Introduction to Defensive Security防御安全简介

ae0610cf7f8443bca96c7af2cfa6d624.png

此room的两个要点:

  1. Preventing intrusions from occurring
    防止入侵发生
  2. Detecting intrusions when they occur and responding properly
    检测发生的入侵并正确响应

823c01da3dc4468fa39c956ad92d3f09.png


防御安全还有更多内容。 除上述内容外,我们还将涵盖以下相关主题:

安全运营中心 (SOC)

威胁情报
数字取证和事件响应 (DFIR)

恶意软件分析

ad6f532a48654132a04409aa9875987f.png

任务二: Areas of Defensive Security(防御安全领域)

两个主题:  

Security Operations Center (SOC)安全运营中心:我们在此负责威胁情报

Digital Forensics and Incident Response (DFIR)数字取证和事件响应 :我们还涵盖恶意软件分析

(1)Security Operations Center (SOC):安全运营中心 (SOC)

简介:soc是一群网络安全专业人员组成的安全团队,负责监控网络及其系统以检测网络安全事件。

soc主要涉及的领域:

1.漏洞:每次发现漏洞的时候,必须通过安装适当的更新以及补丁修复他,当修复不可用时,需要采取必要的措施防止攻击者利用他。尽管修复漏洞对于soc至关重要,但也不一定会分配给他们。

2.策略违规:安全策略是保护网络和系统所需要的一组规则。例如,用户将公司的机密数据上传到在线的存储服务上,就可能违反策略。

3.未授权的活动:考虑用户的登录名和密码被盗用,攻击者使用他们登录网络。

4.网络入侵:当用户点击恶意链接或攻击这利用公共服务器,可能会发现入侵,我们需要尽快采取措施。

安全操作涵盖各种任务以确保保护;其中一项就是威胁情报(Threat Intelligence)

44e815109b2a428280946674c543290c.png

威胁情报

概念:

情报指的是你收集的实际和潜在敌人的信息。

威胁指可能破坏系统或对系统产生不利影响的任何操作。 

目的就是实现基于威胁的防御。

不同的公司有不同的对手。一些攻击者可能试图从移动运营商那里窃取客户数据;然而,其他对手也有兴趣停止炼油厂的生产。示例攻击者包括出于政治原因工作的民族国家网络军队和出于财务目的行事的勒索软件组织。根据公司(目标),我们可以预期对手。

情报需要数据

这里必须收集、处理和分析数据。

1.数据是从本地来源(如网络日志)和公共来源(如论坛)收集的

2. 数据处理将其排列成适合分析的格式

3.分析阶段旨在查找有关攻击者及其动机的更多信息

了解你的对手可以让你了解他们的策略、技术和程序。根据威胁情报,我们识别威胁行为者(对手)并预测其活动。因此,我们可以减轻他们的攻击并准备响应策略。

(2)Digital Forensics and Incident Response (DFIR):数字取证和事件响应 

1)Digital Forensics数字取证

2)Incident Response事件响应

3)Malware Analysis恶意软件分析

 1)Digital Forensics数字取证

由来: 法医是使用科学来调查犯罪和确定事实。随着计算机和智能手机等数字系统的使用和普及,法医的一个新分支诞生了,用于调查相关犯罪:计算机取证,后来演变为数字取证

在防御性安全方面,数字取证的重点转移到分析攻击及其肇事者的证据,以及其他领域,例如知识产权盗窃、网络间谍和拥有未经授权的内容。因此,数字取证将侧重于不同的领域,例如:

  • 文件系统:分析系统存储的数字取证图像(低级副本)可以揭示许多信息,例如已安装的程序、创建的文件、部分覆盖的文件和已删除的文件。
  • 系统内存:如果攻击者在内存中运行恶意程序,但未将其保存到磁盘,则获取系统内存的取证图像(低级副本)是分析其内容并了解攻击的最佳方式。
  • 系统日志:每个客户端和服务器计算机都维护着不同的日志文件,说明发生了什么。日志文件提供了有关系统上所发生情况的大量信息。即使攻击者试图清除他们的痕迹,一些痕迹也会保留下来。
  • 网络日志:遍历网络的网络数据包的日志将有助于回答有关是否发生攻击及其后果的更多问题。

2)Incident Response事件响应

事件通常是指数据泄露或网络攻击;但是,在某些情况下,它可能不太重要,例如配置错误、入侵尝试或违反策略。网络攻击的示例包括攻击者使我们的网络或系统无法访问、污损(更改)公共网站以及数据泄露(窃取公司数据)。

您将如何应对网络攻击?

事件响应 指定了处理此类情况应遵循的方法。目的是在尽可能短的时间内减少损害和恢复。理想情况下,您将制定一个为事件响应做好准备的计划。

dd82d9b3996749f5bed44372b86d3e32.png

  1. 准备:这需要一支经过培训并准备好处理事件的团队。理想情况下,采取各种措施来从一开始就防止事件发生。
  2. 检测和分析: 团队拥有检测任何事件所需的资源;此外,必须进一步分析检测到的任何事件以了解其严重性。
  3. 遏制、根除和恢复:一旦检测到事件,就必须阻止它影响其他系统,消除它并恢复受影响的系统。例如,当我们注意到某个系统感染了计算机病毒时,我们希望阻止(遏制)病毒传播到其他系统,清理(根除)病毒,并确保系统正确恢复。
  4. 事件后活动:成功恢复后,将生成报告,并分享经验教训,以防止将来发生类似的事件。

3)Malware Analysis恶意软件分析

恶意软件代表恶意软件。软件是指可以保存在磁盘上或通过网络发送的程序、文档和文件。恶意软件包括多种类型,例如:

  • 病毒是将自身附加到程序上的一段代码(程序的一部分)。它旨在从一台计算机传播到另一台计算机,其工作原理是在感染计算机后更改、覆盖和删除文件。结果范围从计算机变慢到无法使用。
  • 特洛伊木马是一种程序,它显示一个理想的功能,但在下面隐藏了一个恶意功能。例如,受害者可能会从可疑网站下载视频播放器,从而使攻击者能够完全控制其系统,进行监视。
  • 勒索软件是一种加密用户文件的恶意程序。加密会使文件在不知道加密密码的情况下无法读取。如果用户愿意支付 “赎金”,攻击者会向用户提供加密密码。(比特币)

木马和病毒的相同点和不同点

相同点:木马和病毒都是人为编写的而已代码,都会对用户造成危害。

不同点:病毒是具有传染性的,能偶自我复制,感染文件,拖慢计算机的速度,造成破环,而木马是不具备传染性的,它的主要怕目的是监视,获取用户相关的信息和隐蔽控制为主。

恶意软件分析旨在通过各种方式了解此类恶意程序:

  1. 静态分析的工作原理是检查恶意程序而不运行它。这通常需要扎实的汇编语言(处理器的指令集,即计算机的基本指令)的知识。
  2. 动态分析的工作原理是在受控环境中运行恶意软件并监控其活动。它允许您观察恶意软件在运行时的行为方式。

0b356e6943e8472b9ca07dc6ae4bd36e.png 任务三:Practical Example of Defensive Security(防御安全的实例)

 让我们假设您是负责保护银行的安全运营中心 (SOC) 分析师。该银行的 SOC 使用安全信息和事件管理(SIEM)工具,该工具从各种来源收集与安全相关的信息和事件,并将其呈现在一个仪表板中。如果 SIEM 发现可疑情况,就会生成警报。

74fbb74ab0fe4c07bcda090e2e4c0d34.png

但是,并非所有警报都是恶意警报。分析师可以利用他们在网络安全方面的专业知识来调查哪些是有害的。

例如,您可能会遇到用户多次登录尝试失败的警报。虽然可疑,但这种事情会发生,尤其是当用户忘记了密码并继续尝试登录时。

此外,可能会有与来自未知 IP 地址的连接相关的警报。IP 地址类似于计算机在 Internet 上的家庭地址,它告诉其他计算机将您请求的信息发送到何处。当这些地址未知时,可能意味着有新人正在尝试连接或有人试图进行未经授权的访问。

模拟 SIEM

我们准备了 SIEM 系统的简化交互式模拟,为您提供类似于网络安全分析师所遇到的实践经验。

要开始此模拟,请单击下面的“查看站点”按钮。

4948e74fd3d64821aa21112bcf1c3d9d.png

952454906a7d4322a30defc39fab46f5.png

6213e9a81c624f9da5ae28ab9e5d0a27.png 检查 SIEM 控制面板中的警报。从警报中找到恶意 IP 地址,记下它,然后单击警报以继续。

6a136fcc98794158a05ba47d370f051f.png成功尝试从 IP 地址 143.110.250.149 对端口 22 进行 SSH 身份验证 

b7dff8dec8ff4545a34aef4635d1f6cc.png 检测到从 lP 地址进行未经授权的连接尝试143.110.250.149 到端口 22

a13026a08f3b427dbaca1267bbc12ada.png 用户 John Doe 成功登录(事件 ID 4624)

a5cf2fd6896f421498a5e5456e10ae79.png

John Doe 多次登录尝试失败

45f15c7fbd5b4e6d8dc1a15ffc5a86b1.png

登录失败:指定帐户的密码已过期(事件 ID 535) 

76eb134371234ed9964cdbe2f8404218.png

输入相应ip地址

139bf9790c12465dbfa0e2c2d5323cae.png

beb90bf855644ddc90d92dd50ebcb6c4.png市面上有许多开源数据库,例如 AbuseIPDB 和 Cisco Talos Intelligence,您可以在其中对 IP 地址执行声誉和位置检查。大多数安全分析师使用这些工具来帮助他们进行警报调查。您还可以通过报告 AbuseIPDB 等恶意 IP 来使 Internet 更安全。

现在我们知道 IP 地址是恶意的,我们需要将其上报给工作人员!

2e22e06e3610490397f0b78a3dbdf5b0.png 如果这是一次失败的身份验证尝试,我们不应该太担心,但您可能注意到来自恶意 IP 地址的成功身份验证尝试。让我们声明一个小事件事件并上报它。公司有一些很棒的员工,但您不想将此事上报给不负责您的团队或部门的错误人员。

选择要将此事件上报的对象

Sales Executive :销售主管

Security Consultant:安全顾问 

Information Security Architect:信息安全架构师

SOC Team Lead:SOC 团队负责人

5568aa72582f412cb52904e1b17668a2.png 您已获得阻止恶意 IP 地址的权限,现在可以继续并实施阻止规则。阻止防火墙上的恶意 IP 地址,并找出他们给您留下的消息。

030ca2ef47964b799170be2e6db04535.png

完成房间。 

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/492217.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

[Unity] Text文本首行缩进两个字符

Text文本首行缩进两个字符的方法比较简单。通过代码把"\u3000\u3000"加到文本字符串前面即可。 比如: 效果: 代码: TMPtext1.text "\u3000\u3000" "选择动作类型:";

Python:Matplotlib详细使用

1.Matplotlib简介 Matplotlib是python数据分析三剑客之一,是一个功能强大且非常流行的Python数据可视化库。Matplotlib可用于绘制折线图(line plot)、散点图(scatter plot)、条形图(bar plot)、直方图(histogram plot)、饼图(pie plot)等,同时也支持部分…

MIT S6081 2024 Lab 1 | Operating System | Notes

目录 安装与下载 实验1 开始我们的实验 sleep(简单) pingpong(简单) primes (中等)/(困难) find(中等) xargs(中等) finally Reference I. Tools Debian 或 Ubuntu Arch…

【Java】mac安装Java17(JDK17)

文章目录 下载java17一、安装二、环境变量 下载java17 官网下载:https://www.oracle.com/java/technologies/downloads 提示:以下是本篇文章正文内容,下面案例可供参考 一、安装 直接安装后,安装完后目录会存放在下面目录下 /…

【USB-HID】“自动化键盘“

这里写目录标题 【USB-HID】"自动化键盘"1. 前言2. 框架3. 实现3.1 模拟键盘按键输入 【USB-HID】“自动化键盘” 1. 前言 最近从朋友那了解了一种"自动化键盘",能够通过上位机录制按键脚本,然后执行脚本,实现物理键盘…

XXE靶机漏洞复现通关

1.扫描XXE靶机的ip地址 将kali虚拟机和XXE靶机部署在同一局域网中,都采用NAT网络模式 搭建好后在kali终端中进行扫描XXE靶机的ip arp-scan -l 根据常识我们可以推断192.168.27.153为靶机的ip地址 2.访问靶机页面并扫描附录 进入页面后我们可以打开御剑扫描网页中…

leetcode 36.有效的数独

1.题目要求: 2.题目步骤: 写好判断函数 3.题目代码: class Solution { public:bool isvalid(vector<vector<char>>& board,char num,int row,int col){//先找左下标int leftrow row - 1;while(leftrow > 0){if(board[leftrow][col] num){return fals…

在C#中测试比较目录的不同方法以查看它们有哪些共同的文件

C# 中的示例“比较目录以查看它们有哪些共同的文件”使用Directory.GetFiles获取两个目录中的文件。它对文件进行排序&#xff0c;并比较两个排序后的列表以查看哪些文件位于第一个目录中、第二个目录中或两个目录中。有关其工作原理的详细信息&#xff0c;请参阅该示例。 Kur…

【Java基础面试题019】什么是Java中的不可变类?

回答重点 不可变类是指在创建后无法被修改的类。一旦对象被创建&#xff0c;它的所有属性都不能被更改。这种类的实例在整个生命周期内保持不变。 关键特征&#xff1a; 声明类为final&#xff0c;防止子类继承类的所有字段都是private和final&#xff0c;确保它们在初始化后…

【论文笔记】Editing Models with Task Arithmetic

&#x1f34e;个人主页&#xff1a;小嗷犬的个人主页 &#x1f34a;个人网站&#xff1a;小嗷犬的技术小站 &#x1f96d;个人信条&#xff1a;为天地立心&#xff0c;为生民立命&#xff0c;为往圣继绝学&#xff0c;为万世开太平。 基本信息 标题: Editing Models with Task…

HarmonyOS(71) 自定义事件分发之TouchTestStrategy使用说明

TouchTestStrategy 1、前言2、TouchTestStrategy简介2.1、TouchTestStrategy枚举类型简介2.2、TouchTestStrategy.DEFAULT效果1.3、TouchTestStrategy.FORWARD_COMPETITION效果2.3、TouchTestStrategy.FORWARD效果3、参考资料1、前言 本文根据官方文档自定义事件分发整理而来,…

【附源码】Electron Windows桌面壁纸开发中的 CommonJS 和 ES Module 引入问题以及 Webpack 如何处理这种兼容

背景 在尝试让 ChatGPT 自动开发一个桌面壁纸更改的功能时&#xff0c;发现引入了一个 wallpaper 库&#xff0c;这个库的入口文件是 index.js&#xff0c;但是 package.json 文件下的 type:"module"&#xff0c;这样造成了无论你使用 import from 还是 require&…

WebGIS城市停水及影响范围可视化实践

目录 前言 一、相关信息介绍 1、停水信息的来源 2、停水包含的相关信息 二、功能简介 1、基础小区的整理 2、停水计划的管理 三、WebGIS空间可视化 1、使用到的组件 2、停水计划的展示 3、影响小区的展示 4、实际效果 四、总结 前言 城市停水&#xff0c;一个看似…

群落生态学研究进展】Hmsc包开展单物种和多物种分析的技术细节及Hmsc包的实际应用

联合物种分布模型&#xff08;Joint Species Distribution Modelling&#xff0c;JSDM&#xff09;在生态学领域&#xff0c;特别是群落生态学中发展最为迅速&#xff0c;它在分析和解读群落生态数据的革命性和独特视角使其受到广大国内外学者的关注。在学界不同研究团队研发出…

docker 部署 redis

docker 部署 redis 1. 下载 redis 镜像 # docker images | grep redis bitnami/redis 7.2.4-debian-11-r5 45de196aef7e 10 months ago 95.2MB2. docker-compose 部署 version: "3" services:redis:image: bitnami/redis:7.2.4-debian-11-…

Windows环境 (Ubuntu 24.04.1 LTS ) 国内镜像,用apt-get命令安装RabbitMQ,java代码样例

一、环境 Windows11 WSL(Ubuntu 24.04.1) 二、思路 1 用Windows中的Ubuntu安装RabbitMQ&#xff0c;贴近Linux的线上环境&#xff1b; 2 RabbitMQ用erlang语言编写的&#xff0c;先安装erlang的运行环境&#xff1b; 2 用Linux的apt-get命令安装&#xff0c;解决软件依赖…

Linux网络应用——高级IO

目录 1. I/O 的重新理解 2. 五种 I/O 模型 ① 阻塞 && 非阻塞 ② 同步 I/O && 异步 I/O 3. select 模型 ① 非阻塞 I/O ② select 接口介绍 ③ 代码实现 ④ select 模型的优缺点 4. poll 模型 ① poll 接口介绍 ② 代码实现 ③ 与 select 模型的…

Dcoker Redis哨兵模式集群介绍与搭建 故障转移 分布式 Java客户端连接

介绍 Redis 哨兵模式&#xff08;Sentinel&#xff09;是 Redis 集群的高可用解决方案&#xff0c;它主要用于监控 Redis 主从复制架构中的主节点和从节点的状态&#xff0c;并提供故障转移和通知功能。通过 Redis 哨兵模式&#xff0c;可以保证 Redis 服务的高可用性和自动故…

使用 Wireshark 和 Lua 脚本解析通讯报文

在复杂的网络环境中&#xff0c;Wireshark 凭借其强大的捕获和显示功能&#xff0c;成为协议分析不可或缺的工具。然而&#xff0c;面对众多未被内置支持的协议或需要扩展解析的场景&#xff0c;Lua 脚本的引入为Wireshark 提供了极大的灵活性和可扩展性。本文将详细介绍如何使…

宝塔SSL证书申请失败,报错:申请SSL证书错误 module ‘OpenSSL.crypto‘ has no attribute ‘sign‘(已解决)

刚安装宝塔申请SSL就报错&#xff1a;申请SSL证书错误 module OpenSSL.crypto has no attribute sign 面板、插件版本&#xff1a;9.2.0 系统版本&#xff1a;Alibaba Cloud Linux 3.2104 LTS 问题&#xff1a;申请SSL证书错误 module OpenSSL.crypto has no attribute sign…