来自五眼联盟的全球最佳网络安全指导意见 - 赛博攻防悟道
2022-7-8 21:38:41 Author: mp.weixin.qq.com(查看原文) 阅读量:4 收藏

背景

现代的网络攻击者经常利用糟糕的安全配置、薄弱的安全控制和脆弱的安全措施来获得受害者的初始访问权限,以NSA(美国国家安全局)为首的,来自美国、加拿大、新西兰、荷兰、英国的国家网络安全机构共同撰写了一份网络安全指导意见,这份指导意见报告指出了缓解这些安全问题的最佳做法。笔者针对这个意见报告,为粉丝们进行精读翻译。

参考:

https://media.defense.gov/2022/May/17/2002998718/-1/-1/0/CSA_WEAK_SECURITY_CONTROLS_PRACTICES_EXPLOITED_FOR_INITIAL_ACCESS.PDF

保护系统的最佳实践

  • Control access. (访问控制)

  • Harden credentials. (身份凭证加固)

  • Establish centralized log management. (建立集中化的日志管理)

  • Use antivirus. (使用杀毒软件)

  • Employ detection tools. (采用检测工具)

  • Operate services exposed on internet-accessible hosts with secure configurations. (对暴露在互联网上的主机服务进行安全配置操作)

  • Keep software updated.(保持软件系统的更新)

攻防技战术描述

恶意攻击者通常使用以下技术来获得对受害者网络的初始访问权限[TA0001]

  • Exploit Public-Facing Application [T1190](程序开放接口的漏洞利用)

  • External Remote Services [T1133](外部远程服务)

  • Phishing [T1566](钓鱼)

  • Trusted Relationship [T1199](信任关系)

  • Valid Accounts [T1078](有效账户)

那些糟糕的安全配置、薄弱的安全控制和脆弱的安全措施:

  • 多因素认证(MFA)没有被强制执行

  • 访问控制列表中存在不正确的权限配置和特权访问

  • 软件没有及时更新

  • 使用供应商提供的默认配置或默认登录用户名和密码

  • 远程服务,如虚拟专用网络(VPN),缺乏足够的控制,以防止未经授权的访问

  • 没有实施强有力的密码安全策略

  • 云服务不受保护,配置错误的云服务是网络攻击的常见目标

  • 开放端口和配置错误的服务被暴露在互联网上,这是最重要的问题之一

  • 未能发现或阻止网络钓鱼的企图

  • 终端安全检测和响应糟糕

防治措施

应用以下做法可以帮助组织机构加强其网络防御

访问控制

  • 采用零信任的安全模式

  • 多因素认证(MFA)没有被强制执行

  • 限制特权账户远程会话登录后的操作

  • 没有控制可以访问的数据和服务的角色

    • 确保对数据和服务的访问是专门为每个用户定制的,每个员工都有自己的用户账户

    • 只让员工访问执行任务所需的资源

    • 在安装或调试时改变设备和系统的默认密码

    •  确保员工进入、离开和内部活动的安全流程程序,清理非活动账号

  • 加固访问策略的安全条件

  • 确认所有机器没有开放远程桌面管理,例如基于云的虚拟机实例开放的RDP端口

实施凭证加固

  • 强制实施MFA(多因素认证)

  • 改变或停用供应商提供的默认用户名和密码

  • 设置监控,以检测在你的系统上失陷凭证的使用情况

建立集中化的日志管理

  • 确定需要哪些日志文件

  • 设置必要的告警

  • 确保你的系统是可用的文件格式存储日志文件,并确保记录的时间戳是准确的,并设置为正确的时区。

  • 将本地系统的日志转发到一个集中的存储库或安全信息事件管理(SIEM)工具

  • 确定日志的保留期和安全存储访问等

采用杀毒软件

  • 在工作站上部署杀毒软件解决方案

  • 定期监测杀毒软件扫描结果


使用安全检测工具和发现安全漏洞

  • 部署端点和检测响应工具(EDR),这些工具允许对端点的安全状态有高度的安全视野 

  • 采用IDS或IPS来保护网络和企业内部设备免受恶意活动的影响,使用签名规则来帮助检测与已知威胁活动相关的恶意网络活动

  • 进行渗透测试以识别错误的系统配置

  • 进行漏洞扫描,检测和解决应用程序的漏洞

  • 使用云服务提供商的工具来检测过度共享的云存储,并监测异常访问

保持严格的安全配置管理程序

  • 始终以安全的配置操作暴露在互联网上的主机的服务。不要在没有安全管控能力和措施的情况下启用外部访问,如没有网络边界防火墙和其他更安全的内部主机(如域控制器)网络分割策略。需要不断地评估面向互联网的服务业务和任务需求。遵循安全配置的最佳实践做法,例如微软的一系列攻击面缩减措施,如阻止来自互联网恶意文档中的宏。

启动软件的安全补丁管理计划

实施资产的安全补丁管理程序,以保持软件的更新。识别并通过执行漏洞扫描和打补丁活动,减少不支持的、已过期的和未打补丁的软件和固件。修复


文章来源: http://mp.weixin.qq.com/s?__biz=MzI1MDA1MjcxMw==&mid=2649907472&idx=2&sn=2c6a8a02c4e313ef3a8fa3f338e0dbf0&chksm=f18ee816c6f96100d88f280d883c8d73fc36186e60a4c299fee246ef4bdff459f1edf9c8f84b&scene=18&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh