攻击者如何在组织的网络中从一台计算机移动到另一台计算机。许多人认为攻击者使用零日攻击但事实并非如此。攻击者可能不希望或不能这样做。
攻击者如何使用零日攻击？
良好的零日漏洞可以在各种不同的操作系统上运行，有效地执行代码，窃取特权凭证以及获得对关键系统和应用程序的访问需要相当多的技能和时间。它们需要大量工作才能有效实施和执行。
假设攻击者确实利用了零日攻击，那个人用它做了什么？每次攻击者使用漏洞利用程序时，都存在找到零补丁然后修补它的风险。知道暴露最终是不可避免的，合乎逻辑的举措是在特定场合使用零天来获得最少的关注，例如最初的网络损坏或消除其存在的痕迹。秘密使用的一个例子是网络的初始渗透，在此期间他们建立了后门。安装后门后，将删除零日攻击的代码。如果后门不包含任何漏洞利用代码的痕迹，那么安全团队将无法找到他们手上的零日漏洞。然而，
在侦察阶段会发生什么？
组织良好且仔细考虑如何渗透网络的攻击者将花时间了解可以利用的所有潜在弱点。经验丰富的攻击者在启动利用整个网络的活动之前，花时间从一台机器收集信息。与此同时，攻击者将耐心地学习如何横向移动网络以查找对关键系统和应用程序的访问。耐心是侦察阶段的关键；普通攻击者在被发现之前会在网络上停留256天。
在发现之前，攻击者希望能够安静地访问关键计算机和帐户，一种方法是监视他们希望控制的人员的登录。
当您登录到计算机时，通过网络的域控制器（DC）进行身份验证，它将授予您允许您访问网络服务的票证（文件服务器，共享点，其他计算机）。在Windows计算机上，这些凭据与每次身份验证过程发生时创建的令牌绑定。因此，令牌是用于验证请求特定操作的用户的凭据的抽象（您可以在此处阅读有关这些令牌的更多信息）。
对于攻击者，控制关键计算机意味着控制在网络上执行某些操作的所有权限 - 更改访问权限，访问敏感数据等。如果攻击者具有系统级权限，则计算机可以通过每次轻松提取身份验证令牌来执行操作。一旦他们有权访问令牌，他们就可以请求机器充当合法用户。这些新请求似乎源自在Active Directory中具有正确管理权限的合法用户凭据，这使得安全团队很难发现恶意内部人员。攻击者如何寻找特权凭证？
患者攻击者知道特权用户可能会在侦察阶段的某个时间点登录，因为他们通常是网络上的高级用户。然后，可以在登录过程中提取来自特权用户的令牌，并用于访问其权限内的任何内容。特权用户凭据是水平移动网络的最有效方式。例如，如果特权用户恰好是域管理员，则攻击者现在可以访问域中的所有计算机以及域中的所有服务器和端点！
特权用户多久登录一次计算机？它因公司而异。根据部署和IT需求，攻击者可能潜伏在阴影中很长一段时间。在此期间，攻击者可以控制网络上的多台计算机，以便他或她可以增加从特权用户查找登录的机会。但是，他们仍然希望不要暴露太多的足迹，因为他们越是在网络中移动，他们找到的机会就越多。在大多数网络中，很难理解特权用户在环境中的位置，更不用说他们登录特定计算机的频率。
扰乱攻击者
我们如何应对此类威胁并防止潜在的攻击者获得对关键系统和应用程序的访问权限？第一道防线是加强外围：试图阻止攻击者在网络中获得立足点。不同的防御机制是更新操作系统，设置防火墙和代理，使用端点保护软件等。但是，如果一个细心的攻击者使用零日攻击，那么这场战斗可能是徒劳的。
另一种选择是跟踪网络上的用户活动。不寻常的活动（例如IT专业人员从财务部门当前使用的计算机安装新的Sharepoint服务器）应该触发警报。虽然这种方法有助于防止横向移动，但建立和维持动态可能非常复杂。管理员需要缩小攻击者可以使用的机器范围，然后在用户操作，关联计算机，公司策略，特权用户等方面投入大量精力。
更好的方法是验证用户的异常操作实际上是由人而不是机器执行的。验证由实际人员发起的操作使得几乎不可能自动重新使用凭证。原因如下：攻击者将使用计算机扫描网络以获取特权用户凭据。当他们从特权用户访问令牌时，他们将使用他们控制的计算机重用其他关键计算机或应用程序上的凭据。当他们发现他们可以访问更多的网络资源时，他们将扩大他们的立足点并完成他们的使命。通过识别访问尝试是来自手动帐户还是来自计算机，它将有助于限制攻击者重新使用合法用户凭据的尝试。
在与试图利用网络凭据的攻击者打交道时，修补漏洞通常是降低风险的不良策略。试图跟上并修补网络弱点不会阻止攻击者，因为他们只会耐心地等待下一个攻击点。我们应该通过真正了解他们如何操作和使用他们的攻击技术来对抗攻击者。一种方法是区分执行身份验证请求的人员或计算机。我们需要更多地了解攻击者的解剖结构，并确保将策略放在一起以保护我们免受攻击。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 400G OTN网络技术探讨

• 分享到：