《网络安全攻防演练中的主动性防御与被动性防御》
一、网络安全主动攻击的类型
（一）网络扫描
图片来源于网络，如有侵权联系删除
1、端口扫描
- 攻击者通过发送各种类型的数据包到目标主机的一系列端口，以确定哪些端口是开放的，使用Nmap工具，它可以快速扫描目标主机的上千个端口，攻击者一旦发现开放的端口，就可以进一步分析该端口上运行的服务，如发现目标主机的22端口开放，可能存在SSH服务，这就为后续可能的暴力破解或利用SSH服务漏洞攻击提供了线索。
2、漏洞扫描
- 攻击者利用漏洞扫描工具，如OpenVAS等，对目标网络或系统进行全面的漏洞检测，这些工具可以检测操作系统漏洞、应用程序漏洞（如Web应用中的SQL注入漏洞、跨站脚本漏洞等）以及网络设备配置漏洞，如果发现目标网站存在SQL注入漏洞，攻击者就可以构造恶意的SQL语句，尝试获取数据库中的敏感信息，如用户账号密码、企业的核心业务数据等。
（二）社会工程学攻击
1、钓鱼攻击
- 攻击者通过伪造看似合法的电子邮件、即时通讯消息或网站来欺骗用户，制作一个与银行官方网站非常相似的钓鱼网站，通过发送伪装成银行官方邮件的链接给用户，诱导用户输入账号密码等敏感信息，这些邮件通常会使用紧急的事由，如声称用户的账户存在异常，需要立即登录验证，从而降低用户的警惕性。
2、伪装身份攻击
- 攻击者可能伪装成公司内部的技术支持人员、管理人员或者合作伙伴，他们通过电话、邮件或者面对面交流的方式，获取目标用户的信任，进而套取敏感信息，如网络拓扑结构、系统登录密码等，攻击者伪装成公司的IT运维人员，打电话给普通员工，以系统维护需要为由，询问员工的办公电脑登录密码。
（三）拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击
1、DoS攻击
- 攻击者通过向目标服务器发送大量的请求，使服务器资源耗尽，无法正常处理合法用户的请求，攻击者利用工具向目标Web服务器发送大量的HTTP请求，消耗服务器的CPU、内存和带宽等资源，如果服务器的处理能力有限，就会出现响应缓慢甚至瘫痪的情况，导致合法用户无法访问网站。
2、DDoS攻击
- 这是一种更为强大的攻击方式，攻击者利用多台被控制的僵尸主机（通常是通过恶意软件感染的大量计算机）同时向目标服务器发起攻击，这些僵尸主机组成的攻击网络可以产生巨大的流量，远远超出目标服务器的承受能力，攻击者控制了数千台僵尸主机，同时向一个电商网站的服务器发送海量的请求，导致在购物高峰期网站无法正常运行，给企业带来巨大的经济损失。
二、主动性防御措施
（一）入侵检测与预防系统（IDPS）
图片来源于网络，如有侵权联系删除
1、基于网络的IDPS
- 它部署在网络中，通过监控网络流量来检测和预防攻击，它可以识别异常的网络行为，如端口扫描活动，当检测到某个IP地址对目标网络进行频繁的端口扫描时，网络IDPS可以采取措施，如阻断该IP地址的连接，防止进一步的攻击，它能够实时分析网络数据包的内容和流向，对于发现的恶意流量，如包含恶意SQL注入语句的HTTP请求，可以及时拦截并发出警报。
2、基于主机的IDPS
- 安装在主机上，主要监测主机系统的活动，它可以检测主机上的文件变化、进程异常等情况，如果有恶意软件试图修改系统关键文件，基于主机的IDPS能够发现这种异常行为并阻止修改操作，它还可以检测主机上的用户登录行为，对于异常的登录尝试，如来自陌生IP地址的多次失败登录，能够进行封禁或提醒管理员。
（二）漏洞管理
1、定期漏洞扫描
- 企业应定期使用专业的漏洞扫描工具对内部网络和系统进行全面扫描，与攻击者的漏洞扫描不同，企业的漏洞扫描是为了发现自身的安全隐患并及时修复，企业可以每周或每月对所有的服务器、网络设备和应用程序进行一次漏洞扫描，扫描结果会详细列出存在的漏洞、漏洞的严重程度以及修复建议，对于高风险漏洞，如关键服务器上的远程代码执行漏洞，应立即采取措施进行修复。
2、漏洞修复与补丁管理
- 一旦发现漏洞，就需要及时进行修复，这包括安装操作系统、应用程序的安全补丁，企业应建立完善的补丁管理机制，确保补丁能够及时、准确地部署到相关的系统和设备上，对于微软发布的Windows操作系统补丁，企业的IT部门应在测试环境中先进行测试，确保补丁不会对业务系统造成影响后，再在生产环境中大规模部署，对于一些无法通过补丁修复的漏洞，如某些定制化应用程序的漏洞，企业应组织开发人员进行代码修复或者采取其他的安全防护措施。
（三）安全意识培训
1、针对社会工程学攻击的培训
- 企业应定期对员工进行安全意识培训，提高员工对社会工程学攻击的防范意识，培训内容包括如何识别钓鱼邮件，如注意邮件的发件人地址、邮件内容中的语法错误和链接的真实性等，员工应学会不轻易点击可疑邮件中的链接或下载附件，对于伪装身份的攻击者，员工应通过正规的渠道核实对方身份，如拨打公司内部的官方联系电话进行确认。
2、安全操作规范培训
- 培训员工遵循安全的操作规范，如设置强密码、定期更换密码、不随意共享账号密码等，员工应了解在日常工作中如何保护企业的敏感信息，如不将包含敏感信息的文件随意存储在公共文件夹或移动存储设备中。
三、被动性防御措施
（一）防火墙
图片来源于网络，如有侵权联系删除
1、网络防火墙
- 网络防火墙是网络安全的第一道防线，它可以根据预先定义的规则，允许或阻止网络流量的进出，企业可以设置防火墙规则，只允许特定的IP地址访问公司内部的某些服务器，如只允许公司内部办公网络的IP地址访问财务服务器，防火墙还可以阻止来自外部网络的恶意流量，如阻止来自互联网的未授权的端口访问请求，对于常见的攻击端口，如3389（远程桌面端口，如果不需要对外提供远程桌面服务，可以在防火墙中关闭该端口），防火墙可以防止外部攻击者利用这些端口进行入侵。
2、主机防火墙
- 主机防火墙安装在主机系统上，它主要保护主机免受来自网络的攻击，主机防火墙可以根据主机上运行的应用程序的需求，定制访问规则，对于一台Web服务器，主机防火墙可以允许HTTP和HTTPS流量通过，而阻止其他不必要的协议流量，如阻止FTP流量（如果该Web服务器不需要提供FTP服务），主机防火墙还可以防止恶意软件在主机上建立对外的连接，如阻止被感染的主机向攻击者控制的服务器发送窃取的敏感信息。
（二）加密技术
1、数据加密
- 在网络安全攻防演练中，数据加密是一种重要的被动性防御手段，对于企业的敏感数据，如用户账号密码、财务数据等，应进行加密存储，采用AES（高级加密标准）算法对数据库中的用户密码进行加密，这样，即使攻击者获取了数据库文件，如果没有解密密钥，也无法获取其中的明文密码，在数据传输过程中，也应采用加密协议，如使用SSL/TLS协议对Web应用中的数据传输进行加密，当用户登录网站输入账号密码时，密码在网络上是以加密的形式传输的，防止攻击者通过网络嗅探获取明文密码。
2、身份认证加密
- 身份认证过程也可以采用加密技术，使用数字证书进行身份认证，在企业内部网络中，员工可以使用数字证书登录公司的系统，数字证书包含了员工的身份信息，并且经过权威机构的认证，在认证过程中，通过加密算法确保身份信息的真实性和完整性，这种加密的身份认证方式可以防止攻击者伪造身份进行登录。
（三）备份与恢复策略
1、数据备份
- 企业应建立完善的数据备份策略，定期对重要的数据进行备份，备份数据应存储在安全的地方，如异地的数据中心或者专门的备份存储设备，对于企业的核心业务数据，每天进行全量备份或者增量备份，这样，在遭受攻击（如勒索软件攻击导致数据被加密无法使用）时，可以利用备份数据进行恢复，备份数据还应进行定期的完整性检查，确保备份数据的可用性。
2、系统恢复
- 企业应制定系统恢复计划，明确在遭受攻击后如何快速恢复系统的正常运行，这包括确定恢复的优先级，如首先恢复关键业务系统，然后再恢复非关键系统，在恢复系统时，应按照预先制定的流程进行操作，如先恢复操作系统，再安装应用程序，最后恢复数据，企业应定期进行系统恢复演练，确保在真正遭受攻击时能够高效、准确地恢复系统。
标签： #网络安全
评论列表