读数据安全架构设计与实践13设备和主机层(下)

1. 运维审计与主机资产保护

1.1. 运维审计就是对运维操作进行记录、分析，从中找出恶意的行为或攻击线索

1.2. 运维审计不仅包含正常的运维操作，也包含各种通过脚本（含网页脚本）发起的命令执行操作，如服务器被植入Web Shell后，黑客通过网页脚本文件调用的系统命令，也应被记录下来并进行分析，可用于发现入侵行为

1.3. 主机资产保护，就是保护主机层面的数据和资源的安全

2. 打补丁与防病毒软件

2.1. 企业的安全建设，必须要避免这种情况，往往需要采取强制打补丁的策略，并可以结合NAC（网络准入控制）等技术手段来保障该策略的落地，让员工不打补丁就无法接入正式的办公网络，而只能接入降级了的修复区，修复之后才能接入办公网络

2.2. 生产环境的服务器而言，也需要基于威胁情报进行预警，建立对应的补丁修复机制，也就是在漏洞公布出来之后，需要尽快评估对生产环境的影响及在漏洞爆发之前采取相应的修复措施

2.3. 防病毒软件可以保护主机免遭常规的病毒、木马、蠕虫的感染，同时最大化降低内部IT的人力支持成本

2.4. 在办公网络，防病毒软件是必选的，而不是可有可无的选择

2.5. 需要保持病毒库的更新，旧的病毒库无法应对新的病毒威胁

2.6. 对于Linux来说，选择非常有限，这时就需要采取一些折中的措施，比如可以在HIDS中建立典型恶意软件的HASH值数据库，用于比对检测，第一时间发现恶意程序，然后通过人工或自动的方式进行清理

3. 母盘镜像与容器镜像

3.1. 高危功能裁剪，将一些不常用的高危服务或功能裁剪掉，避免业务误开或者被黑客利用

3.2. 安全配置，如内核安全配置、口令强度要求与锁定设置、日志开启等

3.3. 预置安全防御能力，如HIDS、性能监控组件等

4. 开源镜像与*软件供应链攻击防范

4.1. 第一种是不鼓励使用开源组件，只用少量几种开源组件，采用白名单式管理，并且需要有团队对其管理和维护

• 4.1.1. 一切尽在掌握中，黑客很难通过发布开源软件的方式进入企业的生产环境

4.2. 第二种是大量使用开源组件，并对使用开源组件的行为加以规范和引导

• 4.2.1. 通过一种称为“软件供应链攻击”的方式，进入企业的生产网络

4.3. 软件供应链攻击

• 4.3.1. ​就是在软件开发的各个环节，包括开发、编译、测试、发布部署等过程中污染软件的行为

• 4.3.2. 污染软件开发工具及编译过程，添加后门、捆绑恶意软件等

• 4.3.3. 直接污染代码，添加后门

• 4.3.4. 污染社区软件源，误导用户下载恶意的开源组件，并使用在生产环境

• 4.3.5. 入侵官方网站，替换官方软件或升级包

• 4.3.6. 黑客向正常的开源组件贡献恶意代码，寻求合入主分支，或者尝试向那些没有精力维护开源组件的原作者索取控制权

4.4. 建立经过过滤的企业内部的开源镜像

• 4.4.1. 提供各种官方开发工具、软件的下载，防止员工从外网任意下载来历不明的程

• 4.4.2. 提供经过过滤的各种开源组件，可以对组件的名称、版本，进行控制，最基本的功能是屏蔽有问题的组件

4.5. 建立内部的开源镜像，并加以管理维护，清理有问题的组件，可在很大程度上降低软件供应链对企业的影响

4.6. 为了发现已进入生产环境的威胁，我们可以开展恶意开源组件检测活动，或者在HIDS系统中包含针对恶意开源组件检测能力

• 4.6.1. 哪些开源组件出了高危漏洞

• 4.6.2. 哪个开源组件是黑客恶意上传的

5. 基于主机的入侵检测系统

5.1. 主机入侵检测就是在主机上检测入侵行为并告警，以便触发应急响应，对应的系统称为HIDS（Host-based Intrusion Detection System，基于主机的入侵检测系统）​，属于主机层可选的安全基础设施，构成安全防御体系的一部分

5.2. 运维审计日志作为入侵检测的输入之一，协同工作

• 5.2.1. 事前预防（提前发现主机层面的风险，比如在网页脚本中调用系统命令等高风险动作，在危害尚未发生时就发出告警，提醒业务团队修复）​

• 5.2.2. 事中控制（检测到高危行为时，可阻断该行为的执行）​

• 5.2.3. 事后溯源（在发现安全事件后，对入侵路径、手法、利用的弱点等进行溯源，找出问题点供改进使用）​

5.3. HIDS执行的是安全架构中的资产保护功能，并检测身份认证、授权、访问控制等各方面的风险，以及检测可能危害主机安全的开源组件漏洞、Web Shell文件、木马文件等，及时告警以便处理，维护主机计算资源的安全

5.4. 账号风险检测

• 5.4.1. 不符合规范的用户名就属于异常，黑客创建的账号就能很快地被发现

• 5.4.2. 要防止弱口令，首选是强制使用动态口令

• 5.4.2.1. 典型的弱口令TOP N（N根据实际调整，比如100个）​

• 5.4.2.2. 已经泄露的内部常用服务器口令

• 5.4.2.3. 空口令

• 5.4.3. 暴力破解的风险

• 5.4.3.1. 暴力破解，即黑客通过工具，反复尝试各种口令组合。如果真实口令的强度不够高，则可能被破解

5.5. 授权风险检测

• 5.5.1. 基于属性的访问控制（ABAC）​，即判断用户是否设备主机的责任人

• 5.5.2. 基于ACL的访问控制，即用户是否被授予了登录主机的权限

5.6. 访问控制风险检测

• 5.6.1. 访问控制风险检测首先是登录行为检测

5.7. 主机资源完整性检测

• 5.7.1. 服务器主机操作系统的相关资源，如系统文件、业务文件、进程等，也有可能受到外部恶意程序的侵害

• 5.7.2. WebShell文件，可以让黑客通过浏览器执行操作系统命令

• 5.7.3. 病毒、木马文件

• 5.7.4. 操作系统漏洞

• 5.7.5. HIDS需要针对以口风险具备或整合相应的检测能力

• 5.7.6. HIDS通过对风险的各个来源渠道进行检测、分析，判断是否存在风险，对已识别出来的典型风险触发告警