终端安全

桌管，我们用准入，资产管理，远程协助，还有一些上网内容记录，其他的补丁不用

企业内网安全准入（尤其是终端的Wi-Fi接入认证授权）这块你们主要用哪家解决方案呢？

华为、华三，思科，阿鲁巴、深信服、802.1x、Cisco ISE、联软

## 0x01 #盖 提问：针对服务器和终端的日常运维及安全管理，有什么措施或好用的产品吗。（包括账号管理、策略管理、补丁管理之类的）目前采用域进行管理。

### 回答

你说的是uem的产品吧？我们公司测试过 vmvare 的 workspace one，国内腾讯有一款，企业版电脑管家

## 0x02 路路路飞 提问：良哥好，咨询下DLP运营方面的问题。

最近公司在推广DLP，老板让我制定一份办公网数据的安全规范。
就比如，哪些DLP应该对哪些文件进行监测，哪些文件不允许外发。文件密级分类。
还有如果员工触发了DLP告警规则，应该制定哪些惩处规则（绩效评级、通报批评、解除劳动合同等），蓝牌黄牌红牌或其他的一些升级告警规范，触发一次发送直属领导，两次就上上级领导之类。
因为这些规则影响每一位员工，制定的过宽无法达到保护公司数据的目的，制定的过严会引起员工极大反感、恐慌甚至影响工作效率。我整理了一些思路都不太满意。所以想问下良哥没有相关的资料可以参考？感谢~

### 回答

目前我们公司有专门的人负责数据安全相关的工作，已经对数据做了分类分级，我们目前也在采购终端DLP，还没落地，未来更多是跟数据安全组合作制定策略，跟安全管理组合作制定数据泄漏处罚规范，事情比较多，不是一个人能搞定的。

## 0x03 牛牛快跑 提问：有没有什么办法防止或监控存草稿箱泄密啊？

### 回答

终端数据防泄漏产品，可以做到终端防泄漏的，你遇到的场景可以描述的更详细一点

### 讨论

牛牛快跑：在终端里对于用户上传到邮件草稿箱属于正常操作，但用户在外网访问可以直接下载该附件
2020/2/19
myh0st 回复 牛牛快跑：上传附件这个行为，终端dlp没有审计到吗？
2020/2/19
myh0st：其实数据防泄漏这个东西，防君子不防小人，想要绕过泄漏数据有太多种方式，能做到预防员工无意中泄漏数据的情况已经可以了，对于恶意员工的有意操作，很难搞，因为都是个例。

## 桌面管理

联软的文件摆渡设备我们也测过，1.文件传输速率太慢 2.设备性能不稳定

文件交换产品最开始的版本没有关键字功能，标题都不行。但支持审批，文件全量留存。防病毒支持 clamav 和腾讯的引擎，但是扫描进程不常驻后台，导致每次启动进程耗时太长，基本能多出 3-5 秒。我们看中的有几点，相比 nas交换，一是文件可以备份和检索，二是支持多个网段与指定网段交换，尤其是测试环境数据审计需要。三是客户端体验更好。

这一代产品安全问题很多，我们发现的严重漏洞就有四个。但产品使用的虚拟化技术，有个兜底，host 部署在高安全区域，就算低安全区域的 web 被入侵，下一步攻击也有比较高的门槛。

不过我觉得联软的优势在于，桌管功能颗粒度比 360 细，不管加什么模块，前台保持一个客户端，后台也是一个服务器

一是不能审计内容，我们有 dlp 自己解决了。二是报表稀烂，我们接入 siem 自己做报表，也解决了。最近在我们要求下，加入了 Dlp 模块，可以审计内容了。支持关键字，关键字组合。

厂商的报表再好，也很难满足甲方的个性需求。所以我对这块一般不 care。只要保证给我输出接口，自己来做。第一版用 db 直接读。第二版用 syslog。日志格式我们作为需求提出。

关于 winrar 等压缩软件远程执行漏洞，我们自己编写了脚本，删除 unacev2.dll，随便放在哪里都可以执行，作用就是找到和删除所有的 unacev2.dll 文件，静默，不会有交互。可以通过桌管工具推送执行

通过桌管下发文件执行 会不会成为大马，文件的安全性、操作策略、终端被控协议... 如果协议bug，会不会变成百千万个肉鸡

没关系啊，你可以在桌管里设置三权分立，创建策略是一个帐号，创建后并不生效，进入审核员帐号对策略内容和分配范围进行审核后再启用。起到双人复核的硬控制，分配范围可以按照组织架构或者IP网段分批次推，将推送操作风险降到最低，还有兼容性风险都可以控制住的。从低重要性到高重要性环境分批次走，分支机构试点一下，再全国推广，我感觉流程设计的合理给力就可以规避大部分操作风险或者隐藏的兼容性风险

## 补丁管理

量少还好，量多就工作量比较大了。 现在想把终端的防病毒软件、桌面管理软件、DLP软件都做个统一管理

终端上的客户端越来越多了，不好管理。某些软件版本经常升，管起来太难了

防病毒软件异常的情况可以通过巡检防病毒服务器来发现，管理手段可以解决，不经常出现的，而且管理成本也不高

如果防病毒客户端异常导致无法自动更新病毒定义超过30天了，准入就禁止其连网了

也就被动发现了，主动和被动发现相结合，可以很好解决这个问题

网络准入802.1x实施起来难度有点大，退而求其次采用网关流量准入，甚至没准入采用人肉的。

封U盘没那么简单。 我们是在上DLP，U盘不封，往外拷贝直接加密。

每个支行网点都有需求，单独开IP和策略维护难度也很大，最后妥协了就是每个支行都开注册u盘。就这样维护难度也很大

服务器加域了吗？如果没有域环境，只能要么在WSUS里看统计的安装率，要么通过漏扫工具扫扫重要漏洞的补丁有没有装，要么人工检查。

如果有域环境，知道被检查服务器的超级管理员口令的话，我这里有微软为我们做的批量检查脚本，输入KB号和被检查主机IP就可以返回安装情况

那个我们用的安全U盘，做的也不是很好，建议做个SFTP中转服务器来实现代发工资文件中转

没有域环境，WSUS的数据从来都不准（总部的情况也验证了这一点），准备采取通过漏扫工具扫扫重要漏洞，把补丁管理转化成漏洞管理，但是漏扫能远程扫的就几个经典远程系统漏洞，其实也是降低了分支机构的补丁安装要求

我们现在两种方式都在用。ftp需要网点有接入终端上传文件，弄来弄去也还是受控u盘。

能把漏扫工具指出的问题补齐了已经不容易了，这个我们分行好像最近没什么意见了，听不到意见，说明他们已经找到满足需求的途径了，如果HIDS能在扫出漏洞后直接安装相关补丁就好了，其实厂商能做到，他们就是不做不知道为什么

直接安装补丁，可能存在着对业务的风险，厂商不想承担责任。

漏扫的误报也不少，大面积扫描和保证终端在线，这个工作也很难做。还得避开营业时间。

感觉域+wsus真是很方便  特别是域ou设置到位了 补丁管理很省事

我们总部使用自动化平台下发脚本统计安装率，人工筛选KB做统计报表，麻烦但也算弥补了安装率检测的空白，最近上了nessus agent，补丁安装统计确实方便，但是agent覆盖面有限，很多核心系统还是不敢上

分组审批补丁 也能避免新补丁推出不稳定的问题

补丁的安装问题本质是重启问题，瓶颈不是工具，其实各类产品也是爱莫能助

分组审批补丁这个我们之前也是这样玩，后面玩不下去了，维护成本太高，几千台机器几百个应用系统，还有各组件，分不动

控制好粒度，开发测试、生产、办公分批次推 不用那么细

办公环境补丁我这边是先互联网测、装，再办公网测、装，跟着微软月度走，生产季度，给出足够时间验证

对 肯定得运维人员去手动打生产 安全负责补丁审核

VDI、开发测试服务器有一些是自动打

生产服务器的补丁一般都比较谨慎，而且很忌讳在服务器装agent

## 域安全

黄金，krbtgt 的hash ticket是本地生成，没有kerberos ticket request，会缺一条日志，银票缺了两个ticket request

先列几个坏人如何改日志的场景，再找特征，比如改Windows日志，还是改什么access log，还是改啥的，为什么强调落盘啊，举出一个具体的例子，是不是需要一个第三方程序来操作目标进程，目标日志文件

本地落盘还是远程落盘？落盘之前，有日志产生、传输等阶段，这每个阶段是不是防护都不一样吧，目前的监控手段，应该无法发现落盘之前的修改

如果自己人有这个水平，那有很多其它手段发现，如果是攻击者有这能力，那他想干啥就干啥了

这种就不要试图去发现日志被改了，而是去发现谁在内存改日志吧？

都能修改内存了，木马肯定上线了，控制权丧失后就别挣扎了，可以看一下ATEAM的项目 关于日志定点清除

如果换大的来说，犹如数据全生命安全管控，产生-传输-存储-流转等。。。。。主机产生的日志也按这波来6

sysmon 各位在业务环境中用的多么？最近做了点测试，powershell. exe，改名之后 mse 就傻逼了，或者用 sqlps. exe 执行，会被 sysmon 放过。主要是状态和进程类监控

windows 系统有两个证书管理工具 certlm.msc 和 certmgr.msc，前者是本地计算机的证书管理工具，而后者是当前用户的证书管理工具

## 打印安全

这个问题好。我们遇到过一次问题，有几个打印机每天固定时间自动打印

首先打印机是数据输出设备：1、针对普通用户可以加水印；2、针对特殊文件打印，对发送指令做审核、授权；

网路打印机要安全加固一下，hp打印的管理后台默认不需要密码就可以进去。有些不必要的端口也关了。

有点网络打印机是共享打印，别人也能看到你发送的打印任务，一定要好好看看配置

一是加固打印机，二是定期审计打印扫描内容，三是多场地办公扫码打印，需要 APP 配合。四是物理上，打印场所加摄像头监视，用机刷卡对应到工号

只要刷卡，大家就知道打印不是匿名的了,其实网络打印都是有日志可查的，但不是每个人都知道。刷卡可以提供这么一个仪式感。

我们之前用的是打印机自带刷卡功能，现在改良了一下结合内部准入工具，扫码打印~

我们也是扫描，pc打印手机扫，手机也可直接打印文件，没带工卡也方便。

身份控制打印，大部分公司关注的是公司资源被私用问题，其实最可怕的是敏感数据泄露，比如经常看到打印机上遗留的合同，协议，个人信息等打印件和复印件。

## 漏洞处置

1、在服务器端安装前，第一步先检查一下服务器上的浏览器版本是否匹配通知中的操作系统与浏览器组合。

受影响的系统版本包括：Windows 10、Windows 8.1、Windows 7、Windows Server 2012/R2、Windows Server 2008/R2、Windows Server 2016、Windows Server 2019的IE11版本，Windows Server 2012的IE10版本以及Windows Server 2008的IE9版本。

2、第二步备份。如果是涉及的，不建议卸载存在问题的浏览器，因为以后可能因其他原因又被装回去。如果需要安装补丁，先做系统备份，虚拟机做快照，物理机用GHOST，同时备份RAID驱动。

3、第三步，打前置补丁，两个前置补丁是4516655和4474419，重启后再打本次IE漏洞的补丁。优先在面向互联网、DMZ区、外联的服务器打。

4、PC机可以后打，按照手册把补丁导入可以连接微软的WSUS后正常分发就行。在线导入如果失败，需要在外网WSUS服务器上取消IE增强设置，将微软Catalog站点加信任，删除浏览器缓存cookie，还原高级设置，关闭浏览器再打开。如果客户端没安装IE11，就不会安装补丁，win10默认安装的IE11。