tryhackme-Pre Security-Defensive Security Intro(防御安全简介)

任务一:Introduction to Defensive Security防御安全简介

ae0610cf7f8443bca96c7af2cfa6d624.png

此room的两个要点:

  1. Preventing intrusions from occurring
    防止入侵发生
  2. Detecting intrusions when they occur and responding properly
    检测发生的入侵并正确响应

823c01da3dc4468fa39c956ad92d3f09.png


防御安全还有更多内容。 除上述内容外,我们还将涵盖以下相关主题:

安全运营中心 (SOC)

威胁情报
数字取证和事件响应 (DFIR)

恶意软件分析

ad6f532a48654132a04409aa9875987f.png

任务二: Areas of Defensive Security(防御安全领域)

两个主题:  

Security Operations Center (SOC)安全运营中心:我们在此负责威胁情报

Digital Forensics and Incident Response (DFIR)数字取证和事件响应 :我们还涵盖恶意软件分析

(1)Security Operations Center (SOC):安全运营中心 (SOC)

简介:soc是一群网络安全专业人员组成的安全团队,负责监控网络及其系统以检测网络安全事件。

soc主要涉及的领域:

1.漏洞:每次发现漏洞的时候,必须通过安装适当的更新以及补丁修复他,当修复不可用时,需要采取必要的措施防止攻击者利用他。尽管修复漏洞对于soc至关重要,但也不一定会分配给他们。

2.策略违规:安全策略是保护网络和系统所需要的一组规则。例如,用户将公司的机密数据上传到在线的存储服务上,就可能违反策略。

3.未授权的活动:考虑用户的登录名和密码被盗用,攻击者使用他们登录网络。

4.网络入侵:当用户点击恶意链接或攻击这利用公共服务器,可能会发现入侵,我们需要尽快采取措施。

安全操作涵盖各种任务以确保保护;其中一项就是威胁情报(Threat Intelligence)

44e815109b2a428280946674c543290c.png

威胁情报

概念:

情报指的是你收集的实际和潜在敌人的信息。

威胁指可能破坏系统或对系统产生不利影响的任何操作。 

目的就是实现基于威胁的防御。

不同的公司有不同的对手。一些攻击者可能试图从移动运营商那里窃取客户数据;然而,其他对手也有兴趣停止炼油厂的生产。示例攻击者包括出于政治原因工作的民族国家网络军队和出于财务目的行事的勒索软件组织。根据公司(目标),我们可以预期对手。

情报需要数据

这里必须收集、处理和分析数据。

1.数据是从本地来源(如网络日志)和公共来源(如论坛)收集的

2. 数据处理将其排列成适合分析的格式

3.分析阶段旨在查找有关攻击者及其动机的更多信息

了解你的对手可以让你了解他们的策略、技术和程序。根据威胁情报,我们识别威胁行为者(对手)并预测其活动。因此,我们可以减轻他们的攻击并准备响应策略。

(2)Digital Forensics and Incident Response (DFIR):数字取证和事件响应 

1)Digital Forensics数字取证

2)Incident Response事件响应

3)Malware Analysis恶意软件分析

 1)Digital Forensics数字取证

由来: 法医是使用科学来调查犯罪和确定事实。随着计算机和智能手机等数字系统的使用和普及,法医的一个新分支诞生了,用于调查相关犯罪:计算机取证,后来演变为数字取证

在防御性安全方面,数字取证的重点转移到分析攻击及其肇事者的证据,以及其他领域,例如知识产权盗窃、网络间谍和拥有未经授权的内容。因此,数字取证将侧重于不同的领域,例如:

  • 文件系统:分析系统存储的数字取证图像(低级副本)可以揭示许多信息,例如已安装的程序、创建的文件、部分覆盖的文件和已删除的文件。
  • 系统内存:如果攻击者在内存中运行恶意程序,但未将其保存到磁盘,则获取系统内存的取证图像(低级副本)是分析其内容并了解攻击的最佳方式。
  • 系统日志:每个客户端和服务器计算机都维护着不同的日志文件,说明发生了什么。日志文件提供了有关系统上所发生情况的大量信息。即使攻击者试图清除他们的痕迹,一些痕迹也会保留下来。
  • 网络日志:遍历网络的网络数据包的日志将有助于回答有关是否发生攻击及其后果的更多问题。

2)Incident Response事件响应

事件通常是指数据泄露或网络攻击;但是,在某些情况下,它可能不太重要,例如配置错误、入侵尝试或违反策略。网络攻击的示例包括攻击者使我们的网络或系统无法访问、污损(更改)公共网站以及数据泄露(窃取公司数据)。

您将如何应对网络攻击?

事件响应 指定了处理此类情况应遵循的方法。目的是在尽可能短的时间内减少损害和恢复。理想情况下,您将制定一个为事件响应做好准备的计划。

dd82d9b3996749f5bed44372b86d3e32.png

  1. 准备:这需要一支经过培训并准备好处理事件的团队。理想情况下,采取各种措施来从一开始就防止事件发生。
  2. 检测和分析: 团队拥有检测任何事件所需的资源;此外,必须进一步分析检测到的任何事件以了解其严重性。
  3. 遏制、根除和恢复:一旦检测到事件,就必须阻止它影响其他系统,消除它并恢复受影响的系统。例如,当我们注意到某个系统感染了计算机病毒时,我们希望阻止(遏制)病毒传播到其他系统,清理(根除)病毒,并确保系统正确恢复。
  4. 事件后活动:成功恢复后,将生成报告,并分享经验教训,以防止将来发生类似的事件。

3)Malware Analysis恶意软件分析

恶意软件代表恶意软件。软件是指可以保存在磁盘上或通过网络发送的程序、文档和文件。恶意软件包括多种类型,例如:

  • 病毒是将自身附加到程序上的一段代码(程序的一部分)。它旨在从一台计算机传播到另一台计算机,其工作原理是在感染计算机后更改、覆盖和删除文件。结果范围从计算机变慢到无法使用。
  • 特洛伊木马是一种程序,它显示一个理想的功能,但在下面隐藏了一个恶意功能。例如,受害者可能会从可疑网站下载视频播放器,从而使攻击者能够完全控制其系统,进行监视。
  • 勒索软件是一种加密用户文件的恶意程序。加密会使文件在不知道加密密码的情况下无法读取。如果用户愿意支付 “赎金”,攻击者会向用户提供加密密码。(比特币)

木马和病毒的相同点和不同点

相同点:木马和病毒都是人为编写的而已代码,都会对用户造成危害。

不同点:病毒是具有传染性的,能偶自我复制,感染文件,拖慢计算机的速度,造成破环,而木马是不具备传染性的,它的主要怕目的是监视,获取用户相关的信息和隐蔽控制为主。

恶意软件分析旨在通过各种方式了解此类恶意程序:

  1. 静态分析的工作原理是检查恶意程序而不运行它。这通常需要扎实的汇编语言(处理器的指令集,即计算机的基本指令)的知识。
  2. 动态分析的工作原理是在受控环境中运行恶意软件并监控其活动。它允许您观察恶意软件在运行时的行为方式。

0b356e6943e8472b9ca07dc6ae4bd36e.png 任务三:Practical Example of Defensive Security(防御安全的实例)

 让我们假设您是负责保护银行的安全运营中心 (SOC) 分析师。该银行的 SOC 使用安全信息和事件管理(SIEM)工具,该工具从各种来源收集与安全相关的信息和事件,并将其呈现在一个仪表板中。如果 SIEM 发现可疑情况,就会生成警报。

74fbb74ab0fe4c07bcda090e2e4c0d34.png

但是,并非所有警报都是恶意警报。分析师可以利用他们在网络安全方面的专业知识来调查哪些是有害的。

例如,您可能会遇到用户多次登录尝试失败的警报。虽然可疑,但这种事情会发生,尤其是当用户忘记了密码并继续尝试登录时。

此外,可能会有与来自未知 IP 地址的连接相关的警报。IP 地址类似于计算机在 Internet 上的家庭地址,它告诉其他计算机将您请求的信息发送到何处。当这些地址未知时,可能意味着有新人正在尝试连接或有人试图进行未经授权的访问。

模拟 SIEM

我们准备了 SIEM 系统的简化交互式模拟,为您提供类似于网络安全分析师所遇到的实践经验。

要开始此模拟,请单击下面的“查看站点”按钮。

4948e74fd3d64821aa21112bcf1c3d9d.png

952454906a7d4322a30defc39fab46f5.png

6213e9a81c624f9da5ae28ab9e5d0a27.png 检查 SIEM 控制面板中的警报。从警报中找到恶意 IP 地址,记下它,然后单击警报以继续。

6a136fcc98794158a05ba47d370f051f.png成功尝试从 IP 地址 143.110.250.149 对端口 22 进行 SSH 身份验证 

b7dff8dec8ff4545a34aef4635d1f6cc.png 检测到从 lP 地址进行未经授权的连接尝试143.110.250.149 到端口 22

a13026a08f3b427dbaca1267bbc12ada.png 用户 John Doe 成功登录(事件 ID 4624)

a5cf2fd6896f421498a5e5456e10ae79.png

John Doe 多次登录尝试失败

45f15c7fbd5b4e6d8dc1a15ffc5a86b1.png

登录失败:指定帐户的密码已过期(事件 ID 535) 

76eb134371234ed9964cdbe2f8404218.png

输入相应ip地址

139bf9790c12465dbfa0e2c2d5323cae.png

beb90bf855644ddc90d92dd50ebcb6c4.png市面上有许多开源数据库,例如 AbuseIPDB 和 Cisco Talos Intelligence,您可以在其中对 IP 地址执行声誉和位置检查。大多数安全分析师使用这些工具来帮助他们进行警报调查。您还可以通过报告 AbuseIPDB 等恶意 IP 来使 Internet 更安全。

现在我们知道 IP 地址是恶意的,我们需要将其上报给工作人员!

2e22e06e3610490397f0b78a3dbdf5b0.png 如果这是一次失败的身份验证尝试,我们不应该太担心,但您可能注意到来自恶意 IP 地址的成功身份验证尝试。让我们声明一个小事件事件并上报它。公司有一些很棒的员工,但您不想将此事上报给不负责您的团队或部门的错误人员。

选择要将此事件上报的对象

Sales Executive :销售主管

Security Consultant:安全顾问 

Information Security Architect:信息安全架构师

SOC Team Lead:SOC 团队负责人

5568aa72582f412cb52904e1b17668a2.png 您已获得阻止恶意 IP 地址的权限,现在可以继续并实施阻止规则。阻止防火墙上的恶意 IP 地址,并找出他们给您留下的消息。

030ca2ef47964b799170be2e6db04535.png

完成房间。 

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/937566.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

linux网络编程 | c | 多进程并发服务器实现

多进程并发服务器 基于该视频完成 11-多进程并发服务器思路分析_哔哩哔哩_bilibili 通过的是非阻塞忙轮询的方式实现的 和阻塞等待的区别就是,阻塞是真的阻塞了,而这个方式是一直在问有没有请求有没有请求 文章目录 多进程并发服务器1.核心思路&…

Jlink调试找出程序隐藏BUG

有时候某些设备会在特定的情况卡死,而我们又不容易复现,这时候就需要使用JLink查看卡死设备PC寄存器的值,来定位程序卡死位置 1、第一步 连接好卡死设备,千万不要断电 2、打开JLink Commander 根据芯片型号和连接方式输入连接…

【小白包会的】使用supervisor 管理docker内多进程

使用supervisor 管理docker内多进程 一般情况下,一个docker是仅仅运行一个服务的 但是有的情况中,希望一个docker中运行多个进程,运行多个服务,也就是一个docker容器执行多个服务。 调研了一下,发现可以通过**super…

关系识别分类任务的评估指标: precision、recall、f1-score. 理解混淆矩阵

理解TP/FP/FN TP: 真实关系为A,预测关系也为A。FP: 预测为关系A,但真实关系不为AFN: 真实关系为A,但预测关系为其他关系。 代码 import matplotlib matplotlib.use(Agg) import matplotlib.pyplot as plt from sklearn.metrics import conf…

若依实现图片上传时自动添加水印

文章目录 总体思路1. 修改通用上传方法2. 去除文件路径前两级目录3. 添加水印方法运行效果总结 为了解决图盗用,并有效保护图片版权,若依项目需要实现一个功能:上传图片时,自动在图片上添加水印。这不仅可以有效防止盗用&#xff…

Python:基于PyCharm的简单程序创建及运行-HelloWorld

1. 新建项目 2. 设置文件位置,并创建项目 文件位置由“目录项目名称”组成,如:D:\PycharmProjects\HelloWorld,“HelloWorld”则是项目名称。 3. 创建Python文件 4. 定义文件名称,如HelloWorld。双击【Python 文件】完…

数字IC后端零基础入门基础理论(Day1)

数字IC后端设计导入需要用到的input数据如下图所示。 数字后端零基础入门系列 | Innovus零基础LAB学习Day9 Netlist: 设计的Gate level(门级)网表。下图所示为一个计数器设计综合后的门级netlist。 从这个netlist中我们看到这个设计顶层的名字叫counte…

【python虚拟环境安装】linux centos 下的python虚拟环境配置

linux centos 下的python虚拟环境配置 在 CentOS 环境中处理 pip 安装警告的方法1. 创建并使用虚拟环境2. 忽略警告并继续使用 root 用户安装(不推荐)报错问题处理 在 CentOS 环境中处理 pip 安装警告的方法 当在 CentOS 环境中遇到 pip 安装警告时&…

在pycharm2024.3.1中配置anaconda3-2024-06环境

version: anaconda3-2024.06-1 pycharm-community-2024.3.1 1、安装anaconda和pycharm 最新版最详细Anaconda新手安装配置环境创建教程_anaconda配置-CSDN博客 【2024最新版】超详细Pycharm安装保姆级教程,Pycharm环境配置和使用指南,看完这一篇就够了…

输入IP地址拒绝访问:问题解析与应对策略‌

输入IP地址拒绝访问什么问题?在浏览网页或进行网络访问时,有时我们会遇到输入IP地址后被拒绝访问的情况。这种问题可能由多种原因引起,不仅影响用户的网络体验,还可能对业务运营造成不利影响。本文将深入探讨输入IP地址拒绝访问的…

VR虚拟展厅的实时互动是如何实现的?

VR虚拟展厅的实时互动是通过一系列技术和流程实现的,这些技术和流程共同确保了用户在虚拟环境中的互动体验能够及时响应和更新。 接下来,由专业从事VR虚拟展厅制作的圆桌3D云展厅平台为大家介绍一下实现VR虚拟展厅实时互动的几个关键要素: 高…

【落羽的落羽 C语言篇】一些常见的字符函数、字符串函数、内存函数

文章目录 一、字符函数1. 字符分类函数2. 字符转换函数 二、字符串函数1. strlen的使用和模拟实现使用模拟实现 2. strcpy的使用和模拟实现使用模拟实现 3. strcat的使用和模拟实现使用模拟实现 4. strcmp的使用和模拟实现使用模拟实现 5. strncpy的使用6. strncat的使用7. str…

网络安全概论——网络安全基础

一、网络安全引言 信息安全的四个属性(信息安全的基本目标 ) 保密性:信息不会被泄露给非授权用户完整性:保证数据的一致性可用性:合法用户不会被拒绝服务合法使用:不会被非授权用户或以非授权的方式使用 二、网络安…

IDEA中解决Edit Configurations中没有tomcat Server选项的问题

今天使用IDEA2024专业版的时候,发现Edit Configurations里面没有tomcat Server,最终找到解决方案。 一、解决办法 1、打开Settings 2、搜索tomcat插件 搜索tomcat插件之后,找到tomcat 发现tomcat插件处于未勾选状态,然后我们将其勾选保存即可。 二、结果展示 最后,再次编…

聚观早报 | 小米汽车加速出海;越南关闭2G服务

聚观早报每日整理最值得关注的行业重点事件,帮助大家及时了解最新行业动态,每日读报,就读聚观365资讯简报。 整理丨Cutie 12月16日消息 小米汽车加速出海 越南关闭2G服务 余承东正式入驻抖音 铁路12306 APP上线新服务 谷歌NotebookLM新…

RK3568平台(内存篇)内存管理架构

一.内存管理架构 内核管理内存的基本单位page页: 物理内存被分割成相同大小的组,内核用页来表示这个组,页是内核管理内存的基本单位,尽管处理器的最小可寻址单位通常是字, 但是, 内存管理单元MMU通常以页为单位进行处理. 因此,从虚拟内存的上来看,页就是最小单位. 页帧…

JS设计模式之访问者模式

前言 访问者模式(Visitor Pattern)是一种 行为设计模式,它允许在不改变对象结构的情况下,定义新的操作。 这种模式通过将操作封装在访问者对象中,使得可以在不修改被访问对象的情况下,增加新的功能。 本…

使用skywalking,grafana实现从请求跟踪、 指标收集和日志记录的完整信息记录

Skywalking是由国内开源爱好者吴晟开源并提交到Apache孵化器的开源项目, 2017年12月SkyWalking成为Apache国内首个个人孵化项目, 2019年4月17日SkyWalking从Apache基金会的孵化器毕业成为顶级项目, 目前SkyWalking支持Java、 .Net、 Node.js、…

虚拟机如何使用物理机的公私钥

一、生成公私钥(如果没有的话) 使用如下指令生成 生成RSA公私钥 ssh-keygen 生成EdDSA公私钥 ssh-keygen -t ed25519 Windows目录 linux会直接生成在当前目录下。 二、导出 一般都是从windows系统导入到linux系统。 可以直接将公私钥文件复制到虚拟机…

【C++】10___文件操作

目录 一、文本文件---写文件 二、文本文件---读文件 三、二进制文件---写文件 四、二进制文件---读文件 一、文本文件---写文件 通过文件操作可以将数据持久化 对文件操作需要包含头文件<fstream> 文件类型分两类&#xff1a; 文本文件&#xff1a;文件以文本的ASCII码形…