1. 运维审计与主机资产保护1.1. 运维审计就是对运维操作进行记录、分析从中找出恶意的行为或攻击线索1.2. 运维审计不仅包含正常的运维操作也包含各种通过脚本含网页脚本发起的命令执行操作如服务器被植入Web Shell后黑客通过网页脚本文件调用的系统命令也应被记录下来并进行分析可用于发现入侵行为1.3. 主机资产保护就是保护主机层面的数据和资源的安全2. 打补丁与防病毒软件2.1. 企业的安全建设必须要避免这种情况往往需要采取强制打补丁的策略并可以结合NAC网络准入控制等技术手段来保障该策略的落地让员工不打补丁就无法接入正式的办公网络而只能接入降级了的修复区修复之后才能接入办公网络2.2. 生产环境的服务器而言也需要基于威胁情报进行预警建立对应的补丁修复机制也就是在漏洞公布出来之后需要尽快评估对生产环境的影响及在漏洞爆发之前采取相应的修复措施2.3. 防病毒软件可以保护主机免遭常规的病毒、木马、蠕虫的感染同时最大化降低内部IT的人力支持成本2.4. 在办公网络防病毒软件是必选的而不是可有可无的选择2.5. 需要保持病毒库的更新旧的病毒库无法应对新的病毒威胁2.6. 对于Linux来说选择非常有限这时就需要采取一些折中的措施比如可以在HIDS中建立典型恶意软件的HASH值数据库用于比对检测第一时间发现恶意程序然后通过人工或自动的方式进行清理3. 母盘镜像与容器镜像3.1. 高危功能裁剪将一些不常用的高危服务或功能裁剪掉避免业务误开或者被黑客利用3.2. 安全配置如内核安全配置、口令强度要求与锁定设置、日志开启等3.3. 预置安全防御能力如HIDS、性能监控组件等4. 开源镜像与*软件供应链攻击防范4.1. 第一种是不鼓励使用开源组件只用少量几种开源组件采用白名单式管理并且需要有团队对其管理和维护4.1.1. 一切尽在掌握中黑客很难通过发布开源软件的方式进入企业的生产环境4.2. 第二种是大量使用开源组件并对使用开源组件的行为加以规范和引导4.2.1. 通过一种称为“软件供应链攻击”的方式进入企业的生产网络4.3. 软件供应链攻击4.3.1. ​就是在软件开发的各个环节包括开发、编译、测试、发布部署等过程中污染软件的行为4.3.2. 污染软件开发工具及编译过程添加后门、捆绑恶意软件等4.3.3. 直接污染代码添加后门4.3.4. 污染社区软件源误导用户下载恶意的开源组件并使用在生产环境4.3.5. 入侵官方网站替换官方软件或升级包4.3.6. 黑客向正常的开源组件贡献恶意代码寻求合入主分支或者尝试向那些没有精力维护开源组件的原作者索取控制权4.4. 建立经过过滤的企业内部的开源镜像4.4.1. 提供各种官方开发工具、软件的下载防止员工从外网任意下载来历不明的程4.4.2. 提供经过过滤的各种开源组件可以对组件的名称、版本进行控制最基本的功能是屏蔽有问题的组件4.5. 建立内部的开源镜像并加以管理维护清理有问题的组件可在很大程度上降低软件供应链对企业的影响4.6. 为了发现已进入生产环境的威胁我们可以开展恶意开源组件检测活动或者在HIDS系统中包含针对恶意开源组件检测能力4.6.1. 哪些开源组件出了高危漏洞4.6.2. 哪个开源组件是黑客恶意上传的5. 基于主机的入侵检测系统5.1. 主机入侵检测就是在主机上检测入侵行为并告警以便触发应急响应对应的系统称为HIDSHost-based Intrusion Detection System基于主机的入侵检测系统​属于主机层可选的安全基础设施构成安全防御体系的一部分5.2. 运维审计日志作为入侵检测的输入之一协同工作5.2.1. 事前预防提前发现主机层面的风险比如在网页脚本中调用系统命令等高风险动作在危害尚未发生时就发出告警提醒业务团队修复​5.2.2. 事中控制检测到高危行为时可阻断该行为的执行​5.2.3. 事后溯源在发现安全事件后对入侵路径、手法、利用的弱点等进行溯源找出问题点供改进使用​5.3. HIDS执行的是安全架构中的资产保护功能并检测身份认证、授权、访问控制等各方面的风险以及检测可能危害主机安全的开源组件漏洞、Web Shell文件、木马文件等及时告警以便处理维护主机计算资源的安全5.4. 账号风险检测5.4.1. 不符合规范的用户名就属于异常黑客创建的账号就能很快地被发现5.4.2. 要防止弱口令首选是强制使用动态口令5.4.2.1. 典型的弱口令TOP NN根据实际调整比如100个​5.4.2.2. 已经泄露的内部常用服务器口令5.4.2.3. 空口令5.4.3. 暴力破解的风险5.4.3.1. 暴力破解即黑客通过工具反复尝试各种口令组合。如果真实口令的强度不够高则可能被破解5.5. 授权风险检测5.5.1. 基于属性的访问控制ABAC​即判断用户是否设备主机的责任人5.5.2. 基于ACL的访问控制即用户是否被授予了登录主机的权限5.6. 访问控制风险检测5.6.1. 访问控制风险检测首先是登录行为检测5.7. 主机资源完整性检测5.7.1. 服务器主机操作系统的相关资源如系统文件、业务文件、进程等也有可能受到外部恶意程序的侵害5.7.2. WebShell文件可以让黑客通过浏览器执行操作系统命令5.7.3. 病毒、木马文件5.7.4. 操作系统漏洞5.7.5. HIDS需要针对以口风险具备或整合相应的检测能力5.7.6. HIDS通过对风险的各个来源渠道进行检测、分析判断是否存在风险对已识别出来的典型风险触发告警