网络安全

## 0x01 blue 提问：师傅们，仅仅通过工具去验证，能否有为一家石化工厂绘制网络拓扑图得可能性呢？进而为这家工厂去安全建设规划方案？

囿于经验很有限，再加上刚来入职，我这样的主意对于领导肯定是喜闻乐见得，但是对于仅负责网络运维这块的老员工是很抵触得。涉及到了人情世故，所以才有这种做安全规划的一点想法，或天真了，不过怕出丑就不问了，哈哈。
起点就是我可以人和电脑是在网络里边连接的，全厂一共只有两台USG华为防火墙。一边上着工控系统，上私有云，一边网络安全几乎为0。

感谢ing…

### 回答：

网络拓扑内部没有资料吗？这个网络运维最为熟悉了

自己去做的话，可以通过内部收集网络信息，比如ip，dns，端口扫描，tracert，arp等工具来探测网络的连接和设备信息

### 讨论

blue：因为这会让网络运维老员工感觉不舒服，像是在抢位置，刚来这。撇嘴
2020/9/11
myh0st 回复 blue：不会呀，跟老哥搞好关系，一起去吃饭，聊天，像人家学习，并不是抢位置，安全跟网络还是不存在竞争的，安全只是让网络更安全，并不会抢网络的工作，重点是跟人取经学习，平常多勾搭勾搭
2020/9/11
blue 回复 myh0st：嗯。师傅。那我多准备点安全建设得内容，去和网络运维老哥再试试。谢谢你啦
2020/9/11
myh0st 回复 blue：你可以先不谈安全建设的东西，你先去了解了解当前的网络现状，然后了解清楚之后，再谈安全建设的事儿，最好做到双赢，而不是给他们增加负担让你受益
2020/9/11
blue 回复 myh0st：师傅，主要是他网络运维都没有一个网络拓扑图捂脸。网络区域划分几乎是胡乱弄的，据我观察都是大姑娘裸奔型得，数据库直接暴露公网，每天都被自动化扫描爆破，向日葵等等乱装，基础的一些主机数据库加固一点没得，就这样还在上着工控系统，还在规划着自己建openstack私有云…这都是雷
2020/9/11
myh0st 回复 blue：那你这个治理起来要废老大劲了，最好有高层支持，把现状梳理清楚，风险暴露出来，让高层支持，内部推动落地，不然不太会有人支持你做网络规划和隔离
2020/9/11
blue 回复 myh0st：石化企业，民营身子国企病

## 0x02 Yang 提问：现在针对设备私接wifi这种，有远程探测的方法吗？通过以太网。我看了有的公司支持这种探测，但是一直想不通原理。

### 回答

私接wif还是私建wifi？限制外人随便连接的话，可以人工绑定mac，然后不再允许范围的就都上不了网。私搭的话只能用一些wifi信号扫描的东西，监控有没有新出现的wifi信号，然后去排查。其他人有啥想法可以一起讨论

### 讨论

Reven：1.如果用不到USB口，就都禁用掉，我司就是这么干的，但并不是所有人的口都不能用，因因工作需要开usb权限的需要申请，然后备案。
2.在pc中植入一个程序，隔一段期间就将网卡信息发送到服务端，当检测到网卡信息中有多张物理网卡(或网卡名称带有明显的无线网卡特征)，则可进行排查。我没试过，不知实际使用是否可行。
2019/9/14
Icarsuyin：原理无非就是分析网络数据包，分析流量判断是否是外接设备，深信服的ac就是这样，比如你请求了移动网络的页面就会判定为外接设备
2019/9/14
网络安全等级保护：以前看别人演示过，假如你用手机开一个wifi热点，他用一个机器在一定的范围内可以检测到你的方位，逐步接近的话就可以定位准确位置了。如果范围比较大可以采用布设探针的方式来检测wifi信号源。不知道你找的是不是这样
2019/9/14
Yang 回复 网络安全等级保护：我见过有的厂商拿个扫描本就可以了，不用其他设备，而且没有距离限制
2019/9/14
书生：一些网络准入设备可以实现对这个问题的探测和阻断。

## CC 防御

如果大家感兴趣的话，下周专门讨论下 CC 的防御 我们这边是主要从系统层、web代理层进行优化防御，想听听大佬们的方案。我们还遇到一种针对游戏的cc，就是模拟游戏协议来打，跟 http cc原理一样

cc的核心就是不对称的资源消耗，想办法把资源代价提上去就好了，http cc利用的是squid不会主动关闭链接，会完成请求的cache动作这个特性，那么客户端只要做一件事，就是发包，客户端的流量，缓存，交互都是借squid去做了，那么增加客户端的交互，例如https，就没有人借。。。那么cc就少很多，因为效率下降太快了。。。攻击者为达到同样目的，需要的资源急剧增加，这个时候squid不会去handle，connect方法需要客户端自己handle，换到游戏上，只要自己在协议上提升客户端计算量就可以。。。

游戏服务器对抗算力其实也很简单，用一个我称为（Pad Hash）的算法（源于antispam算法）。在现有的协议包最后加个PH位，假定是3位，那么强制客户端在发包时必须找到一个组合，使得SHA1（原始包+PH位）的头三位是000

那么服务器对所有的包做个简单的Sha1运算就可以检验合法性，而客户端平均需要Sha 2048次，对于正常用户，这种计算对体验可以忽略，但是对于高并发的攻击者，效率就很敏感了

印象很深刻，我给产品提了个需求，客服查数和导数最好要做分割和控制，现在人少可控，但是是个点，产品在跟我说排期优先级，好多改造还在排队，然后ceo冒出来说这个必须做，事关生死存亡，卧槽

都说不给钱不给人不是真的重视，不过那会儿公司盈利很薄，能在做事上重视能给一个人能给外部支持已经很不错了

## IP 封禁

互联网业务每天都有大量的恶意扫描攻击，针对这样明显的恶意IP，大家怎么处理？直接封禁？

糙快猛取决会团队是否强势；取决于团队是否有快速解决问题的能力；取决于风险是否很紧急，紧急到了没得商量的余地。

我现在正在往糙快猛过度，直接拿着监管文件或者网安通知这种，效果还不错

我这边一般都是被被封后一周或者更长时间没有恶意访问，就解封。当然这个没有具体时间，IP太多手工维护很累。

各位大佬有没有遇到过防火墙增加黑名单地址太多，导致防火墙功能异常的情况

可以做个分类操作：1、有些IP是统一出口IP，这类IP过来的可能有正常业务请求，可以对比正常业务访问IP，对于属于正常业务访问操作中存在的IP可以先观察，2、除开第一类的其他IP可以先封

我想知道，安全怎样才能纳入到合规层面的？有啥好建议不？常规的安全多在运维部门

确实很多情况下，尤其业务规模不大的情况下，安全很难独立运营，因此从安全角度抡起合规大锤行使标准要求，确实难为情。但可以从这几个角度：1、建立运维内部的安全基线或标准要求，比如:主机线条、应用线条、物理环境的合规要求等等，目的就一个，运维部门本着不断完善的视角去做。2、若公司有专门的合规部门（专注法律、合同的事务），可以联合合规部门或稽核部门确立公司信息化层（基础架构、核心业务系统、信誉风控等）面信息安全评价机制或考核机制，自然就引入合规的要求。当然，安全是双刃剑，没有绝对方案，依然需要因地制宜，我一直认为安全建设永远是动态的。

这个和每个公司的实际职责划分相关，运维部门所负责的安全内容，一般会偏向IT系统及物理环境的安全，但是在业务安全，办公安全、数据安全，帐号权限安全等其它方向，往往还是有专职的安全团队来负责。我的建议是，如果之前已经有历史上的分工，可以联合运维一起成为信息安全委员的成员，安全和合规一起制定公司级的制度框架（一二级），其它各个业务部门和职能部门来落实归属到自己工作范围内的制度，形成规范和流程（三四级）。相当于安全和合规做为体系制定和监督者来整体推进，各个部门（包括运维）做为实际落地实施方进行配合。

当然还有一些软性的事情，比如看安全老大和运维老大私人关系怎么样，双方历史合作是否顺畅，是否有利益纷争等，也得根据实际情况去调整

赞成有问题再解封   封的前提一定是有相关级别告警   如果告警有联动   在防火墙或其他设备封禁后   还需设置规则解封或人工解封吗  莫不如反馈有问题再解封

## SMB 协议封禁

调研下大家有在办公网网关层禁用高危端口（比如 139、445）流量么？客户端加了域后可能无法禁用，办公网的木有强制，我的做法是给 shell 给他们自己执行，禁用这些端口的。多数漏洞和攻击基本都是利用高危端口，在考虑要不要直接在网络层封禁了，我们有，在网络边界有禁用 445 等高危端口，特别是和合作行接入的边界。

一般网络按功能划分，为生产网、测试网、办公网，生产网和测试网里面搞个网络安全域，里面划分 4-5 个左右子域，可控制在不同子域间边界隔离和访问控制。

我们也没域，交换机，防火墙，全部禁用 445，135，139，只要跟业务不冲突的，全部干掉。

域方案确实有点尴尬，不过不用域，终端系统的权限是怎么管的，各位大佬请赐教

ladp 没有  sso 没有  域控也没有的话，不好管理账号吧，

sso就自己搞一个，然后让大家接入呗，我们的sso是web + sdk（php、java、python、nodejs）方式实现

## 零信任

大佬们又在讨论零信任的东西，先看文章：https://mp.weixin.qq.com/s/Kgm0wuPeQHX7fJoUondz4Q

下面来看看大家的讨论吧：

何艺总，请教一下，你们判断客户端的可信任度，是怎么计算的？

目前有几个维度

1. 客户端是否与被授权用户绑定过，绑定关系是否对；

2. 客户端安全基线是否达标；

3. 动态安全检测，检测客户端是否有异常安全事件

agent是 零信任这个功能单独的agent, 还是使用现有的安全终端 进行信息的整合啊？独立开发的

搞了很多年了，15年的时候研究的beyondcorp，16年开始开发，19年才闭环，应该是比VPN要安全，VPN只对用户账号鉴权，VPN自身也是暴露在外

有几个问题请教一下何总：

1、目前安全网关主要支持哪些协议？

2、PC邮件客户端和安全网关的通信，是使用标准邮件客户端，还是定制的邮件客户端？

3、Agent如何管控终端和安全网关的通信？不同协议的请求如何筛选？

答：

1. http协议

2. 邮件客户端现在不支持，改造成本太大，目前是OWA方式

3. 只有访问内部应用http协议时请求才会到网关上

零信任架构在安全上的控制主要有下面几点：

1、不再仅基于账号进行鉴权，而是账号、设备、应用三者的权限关系；

2、每次对资源的访问都是重新鉴权的过程，即零信任；

3、用户终端纳入安全评估中，终端安全风险可以被控制；

4、保障会话过程中的加密安全；

5、基于应用权限进行控制，可以实现更低颗粒度度控制；

零信任不是万能的，包括我文章里面说的，甚至想取代VPN都要付出很大成本。安全方案是要结合业务场景。

这个我觉得和微服务网关鉴权一样，如果每次都去做中心做鉴权，性能和并发的确较严重的问题。

如果在牺牲部分安全性的情况下，采用短时间的缓存来鉴权，性能上会提高一些。

另外采用分级鉴权机制，安全网关只做对目标资源域名、IP级别的鉴权；具体访问目标的功能、数据鉴权还是在该目标系统内自己实现，也可以缓解网关的压力。

1. VPN最大的问题是边界只在VPN，即便VPN客户端加了一些本地安全规则，但还是很弱，如果VPN账号安全出了问题，VPN就进去了，包括VPN设备自身安全问题，都是风险；

2. VPN+云桌面，也可以零信任+云桌面，云桌面的优势并非VPN的优势，两者不应该混淆。

你刚才所说的优势，比如数据不落盘，隔离内网，其实都是云桌面的优势，而非VPN的优势