網(wǎng)站滲透測試安全團隊組建重點介紹

時間：2022-07-02 14:42:01 | 來源：建站知識

時間：2022-07-02 14:42:01 來源：建站知識

越來越多的網(wǎng)站和app的上線,導致安全問題日益增加,漏洞問題也非常多,大公司急需組建專業(yè)的滲透測試團隊來保障新項目的安全穩(wěn)定，防止被入侵被黑，對此我們Sinesafe給大家講解下組建安全團隊的重要幾點，來達到各個項目的安全滲透工作的分工執(zhí)行能力。

滲透測試安全團隊建設

紅藍軍簡介

在隊伍的對抗演習中，藍軍通常是指在部隊模擬對抗演習專門扮演假想敵的部隊，與紅軍（代表我方正面部隊）進行針對性的訓練。

網(wǎng)絡安全紅藍對抗的概念就源自于此。紅軍作為企業(yè)防守方，通過安全加固、攻擊監(jiān)測、應急處置等手段來保障企業(yè)安全。而藍軍作為攻擊方，以發(fā)現(xiàn)安全漏洞，獲取業(yè)務權限或數(shù)據(jù)為目標，利用各種攻擊手段，試圖繞過紅軍層層防護，達成既定目標?？赡軙斐苫煜氖牵跉W美一般采用紅隊代表攻擊方，藍隊代表防守方，顏色代表正好相反。

企業(yè)網(wǎng)絡藍軍工作內(nèi)容主要包括滲透測試和紅藍對抗（Red Teaming），這兩種方式所使用的技術基本相同，但是側重點不同。

滲透測試側重用較短的時間去挖掘更多的安全漏洞，一般不太關注攻擊行為是否被監(jiān)測發(fā)現(xiàn)，目的是幫助業(yè)務系統(tǒng)暴露和收斂更多風險。

紅藍對抗更接近真實場景，側重繞過防御體系，毫無聲息達成獲取業(yè)務權限或數(shù)據(jù)的目標，不求發(fā)現(xiàn)全部風險點，因為攻擊動作越多被發(fā)現(xiàn)的概率越大，一旦被發(fā)現(xiàn)，紅軍就會把藍軍踢出戰(zhàn)場。紅藍對抗的目的是檢驗在真實攻擊中縱深防御能力、告警運營質量、應急處置能力。

人員分工

部門負責人

負責組織整體的信息安全規(guī)劃

負責向高層溝通申請資源

負責與組織其他部門的協(xié)調溝通

共同推進信息安全工作

負責信息安全團隊建設

負責安全事件應急工作處置

負責推動組織安全規(guī)劃的落實

合規(guī)管理員

負責安全相關管理制度、管理流程的制定，監(jiān)督實施情況，修改和改進相關的制度和流程

負責合規(guī)性迎檢準備工作，包括聯(lián)絡、迎檢工作推動，迎檢結果匯報等所有相關工作

負責與外部安全相關單位聯(lián)絡

負責安全意識培訓、宣傳和推廣

安全技術負責人

業(yè)務安全防護整體技術規(guī)劃和計劃

了解組織安全技術缺陷，并能找到方法進行防御

安全設備運維

服務器與網(wǎng)絡基礎設備的安全加固推進工作

安全事件排查與分析，配合定期編寫安全分析報告

關注注業(yè)內(nèi)安全事件， 跟蹤最新漏洞信息，進行業(yè)務產(chǎn)品的安全檢查

負責漏洞修復工作推進，跟蹤解決情況，問題收集

了解最新安全技術趨勢

滲透/代碼審計人員

對組織業(yè)務網(wǎng)站、業(yè)務系統(tǒng)進行安全評估測試

對漏洞結果提供解決方案和修復建議

安全設備運維人員

負責設備配置和策略的修改

負責協(xié)助其他部門的變更導致的安全策略修改的實現(xiàn)

安全開發(fā)

根據(jù)組織安全的需要開發(fā)安全輔助工具或平臺

參與安全系統(tǒng)的需求分析、設計、編碼等開發(fā)工作

維護公司現(xiàn)有的安全程序與系統(tǒng)

5.5. 內(nèi)網(wǎng)滲透補充操作

5.5.1. 端口轉發(fā)

windows

lcx

netsh

linux

portmap

iptables

socket代理

Win: xsocks

Linux: proxychains

基于http的轉發(fā)與socket代理(低權限下的滲透)

端口轉發(fā): tunna

socks代理: reGeorg

ssh通道

端口轉發(fā)

socks

5.5.2. 獲取shell

常規(guī)shell反彈

突破防火墻的imcp_shell反彈

正向shell

nc -e /bin/sh -lp 1234

nc.exe -e cmd.exe -lp 1234

5.5.3. 內(nèi)網(wǎng)文件傳輸

windows下文件傳輸

powershell

vbs腳本文件

bitsadmin

文件共享

使用telnet接收數(shù)據(jù)

hta

linux下文件傳輸

python

wget

tar + ssh

利用dns傳輸數(shù)據(jù)

文件編譯

powershell將exe轉為txt，再txt轉為exe

5.5.4. 遠程連接 && 執(zhí)行程序

at&schtasks

psexec

wmic

wmiexec.vbs

smbexec

powershell remoting

SC創(chuàng)建服務執(zhí)行

schtasks

SMB+MOF || DLL Hijacks

PTH + compmgmt.msc

Windows系統(tǒng)持久化

6.1. 總體思路

5.2. 持久化 – Windows

Web應用需要限制用戶對應用程序的數(shù)據(jù)和功能的訪問，以防止用戶未經(jīng)授權訪問。訪問控制的過程可以分為驗證、會話管理和訪問控制三個地方。

6.1.1.1. 驗證機制

驗證機制在一個應用程序的用戶訪問處理中是一個最基本的部分，驗證就是確定該用戶的有效性。大多數(shù)的web應用都采用使用的驗證模型，即用戶提交一個用戶名和密碼，應用檢查它的有效性。在銀行等安全性很重要的應用程序中，基本的驗證模型通常需要增加額外的證書和多級登錄過程，比如客戶端證書、硬件等。

6.1.1.2. 會話管理

為了實施有效的訪問控制，應用程序需要一個方法來識別和處理這一系列來自每個不同用戶的請求。大部分程序會為每個會話創(chuàng)建一個唯一性的token來識別。

對攻擊者來說，會話管理機制高度地依賴于token的安全性。在部分情況下，一個攻擊者可以偽裝成受害的授權用戶來使用Web應用程序。這種情況可能有幾種原因，其一是token生成的算法的缺陷，使得攻擊者能夠猜測到其他用戶的token；其二是token后續(xù)處理的方法的缺陷，使得攻擊者能夠獲得其他用戶的token。

6.1.1.3. 訪問控制

處理用戶訪問的最后一步是正確決定對于每個獨立的請求是允許還是拒絕。如果前面的機制都工作正常，那么應用程序就知道每個被接受到的請求所來自的用戶的id，并據(jù)此決定用戶對所請求要執(zhí)行的動作或要訪問的數(shù)據(jù)是否得到了授權。

由于訪問控制本身的復雜性，這使得它成為攻擊者的常用目標。開發(fā)者經(jīng)常對用戶會如何與應用程序交互作出有缺陷的假設，也經(jīng)常省略了對某些應用程序功能的訪問控制檢查。

6.1.2. 輸入處理

很多對Web應用的攻擊都涉及到提交未預期的輸入，它導致了該應用程序設計者沒有料到的行為。因此，對于應用程序安全性防護的一個關鍵的要求是它必須以一個安全的方式處理用戶的輸入。

基于輸入的漏洞可能出現(xiàn)在一個應用程序的功能的任何地方，并與其使用的技術類型相關。對于這種攻擊，輸入驗證是 常用的必要防護。不存在通用的單一的防護機制。常用的防護機制有如下幾種：

6.1.2.1. 黑名單

黑名單包含已知的被用在攻擊方面的一套字面上的字符串或模式，驗證機制阻擋任何匹配黑名單的數(shù)據(jù)。

一般來說,這種方式是被認為是輸入效果較差的一種方式。主要有兩個原因，其一Web應用中的一個典型的漏洞可以使用很多種不同的輸入來被利用，輸入可以是被加密的或以各種不同的方法表示。

其二，漏洞利用的技術是在不斷地改進的，有關利用已存在的漏洞類型的新的方法不可能被當前黑名單阻擋。

6.1.2.2. 白名單

白名單包含一系列的字符串、模式或一套標準來匹配符合要求的輸入。這種檢查機制允許匹配白名單的數(shù)據(jù),阻止之外的任何數(shù)據(jù)。這種方式相對比較有效，但需要比較好的設計。

6.1.2.3. 過濾

過濾會刪除潛在的惡意字符并留下安全的字符，基于數(shù)據(jù)過濾的方式通常是有效的，并且在許多情形中，可作為處理惡意輸入的通用解決方案。

6.1.2.4. 安全地處理數(shù)據(jù)

非常多的web應用程序漏洞的出現(xiàn)是因為用戶提供的數(shù)據(jù)是以不安全的方法被處理的。在一些情況下，存在安全的編程方法能夠避免通常的問題。例如，SQL注入攻擊能夠通過預編譯的方式組織，XSS在大部分情況下能夠被轉義所防御,如果對以上滲透測試團隊建設或新項目有安全測試的需求想要了解更詳細的話可以咨詢專業(yè)的網(wǎng)站安全公司來測試并處理解決,過內(nèi)做的比較全面的網(wǎng)站安全維護公司推薦Sine安全,啟明星辰,綠盟等等都是比較不錯的。