金融企业安全建设探索之异常访问检测系统

释放双眼,带上耳机,听听看~!

按:本文为热心读者xysky投稿,授权“君哥的体历”公众号转载。

一、前言

之前写了一篇关于APT防护的文章(注:本公众号前篇《金融企业安全建设探索之天眼系统》),基于终端层面的。这篇为大家带来的是基于网络上的一种发现APT攻击的思路。结合该思路,我们定制开发了一套系统并在办公网、业务网、互联网区域都进行了部署,在接近4年的实际运维过程中不断进行优化与改进,在内部多次红蓝对抗中发挥了很大的作用。

二、思路

设想一个场景:渗透人员通过分行A的一台机器访问了分行B的某台服务器的远程桌面,然后调出shift后门进一步控制系统。再设想一个场景:办公网与业务网通过防火墙进行了限制,但允许icmp协议通过。渗透测试人员为了在办公网直接控制业务网的机器,采用了一种pingtunnel的隧道技术来绕过防火墙。

以上的场景,依靠传统的IPS技术是发现不了这样的行为的,但往往真正的APT攻击就隐藏在这中间。有没有办法从网络访问异常上进行发现呢?什么算是异常?得有一定的模型和算法。

一个IT操作行为的属性包括:行为人身份(Identity)、发生时间(Time)、发生位置(Location)、行为方式(Means)、行为的类型(操作,Action)、行为对象(资源,Resource)。这些属性就构成了完整一个IT操作行为抽象模型(简称ITLMAR模型)。下面分别对每个属性作进一步的解释:

  • 行为人身份:在IT系统中,表述身份的就是系统账号。

  • 发生时间:时间属性中包含两层概念,一是个行为发生的时刻,另一个是行为发生的频率。但频率是一个间接属性,无法从单个行为日志中直接提取。

  • 发生位置:IT操作行为发生位置信息包括:IP地址、ATM终端号、POS终端号、业务终端编号等。

  • 行为方式:即以什么渠道完成的操作。例如在IT系统中,常见的访问方式有:专用客户端软件、中间件(对数据库访问通常采用中间件)、命令行(CLI)、远程桌面等。

  • 行为对象:即各种IT资源,如文件、数据库表、服务器主机、数据项等。

  • 行为操作:操作行为大体可以分为交易操作(转账、取现、存款、支付)、数据库操作(数据库)、文件操作三大类。

对异常行为的检测有两种方式,一种是基于行为的特征的检测,不针对特定的账号或账号群组。还有一种是面向特定用户的,即基于用户基本行为模式的检测。从前面的论述中,我们看到行为模型由6个元素构成。检测规则可以单独针对其中的某一个或某几个,这样通过组合计算,可以罗列出全部可能的规则模板,共63种(如下面的表格所示)。其中√符号表示该模板检测所对应的元素。∀符号表示任意,即该规则不检测所对应的元素。

规则模板

身份

时间

地点

方式

操作

资源

规则模板1

规则模板2

规则模板3

规则模板4

规则模板5

规则模板6

规则模板7

规则模板8

……

规则模板63

为了更好的说明检测规则模板的含义,这里用几个检测规则实例加以说明。

  • 规则模板1实例:除中间件和admin账户外,其它任何身份的对数据库的访问都是违规的。在很多IT系统中,只允许两个账号对数据库的访问,即中间件的账号和维护用账号admin。因此其它账号访问数据库,一律看作违规行为。这条检测规则只关注身份和资源两个因素。

  • 规则模板3实例:admin账户只能在系统维护时间段从IP地址是111.111.111.111的维护终端访问数据库,其他行为都是违规的。时间也是检测规则必须考虑的因素,有些操作一般只发生在特定时间段内发生,并且只能从某个特定的维护终端主机上进行操作。

  • 规则7实例:除了通过堡垒主机以远程桌面方式进行的更新操作,其它都是违规的。在某些IT系统的维护规定中,要求维护终端先登录到堡垒主机上,再用远程桌面的方式进行维护操作。

上述63种规则模板是数学组合的结果,并非都可以给出实例,原因是可能存在重复包含或无现实意义的情况。例如所有元素都检测这样的检测规则现实中就很少见。

基于账户基调(profile)的检查规则是面向特定账户(群组)的,因此检测规则只包含除身份以外的另外5个元素(见下表)。

基调

时间

位置

方式

操作

资源

账户A

[ ], 频率

{a,b,c}

{A,C}

{xx,xx}

{}[ ]

账户B

[ ], 频率

{a,b,c}

{A,C}

{xx,xxx}

{}[ ]

账户C

[ ], 频率

{a,b,c}

{A,C}

{}

{}[ ]

……

每个账户历史上的行为记录可以构造成一个行为基调。一旦某个行为特征远远偏离这个基调,则判断为异常。同前面一样,时间元素的取值有两种可能,一个是时段(用区间符号[]表示),一个是频率。

位置、方式、操作三个元素分别都可以有多个非数字取值,因此是个元素的集合。资源的取值可能是数值的,也可能非数值。这种检测规则通常用于检测外部用户的异常交易行为,因此这里用一个交易行为基调作为实例说明(账号A基调实例)。但是这个检测思想也可以应用与内部用户的访问行为监控(账号B基调实例)。

账号A基调实例:[12:00,13:00],[17:30,20:00];{超市A,支付宝,超市B}; {POS,onlinebank}; {支付,转账}; [0,500]

在这个实例中,账户1银行卡交易行为基调是:通常在中午休息或晚上下班以后购物,购物方式基本是在超市A(工作单位附近)和超市B(住家附近)POS机刷卡,或是通过支付宝网络购物,还有在网上支付一些账单,通常单次交易金额一般都不超过500元。

账号B基调实例:[9:00,17:00];{IP:222.222.222.222}; {CLI, 远程桌面}; {下载,上传,打开创建}; {文件,数据库表},[0,50M][0,0.5M]

套用交易行为基调的方法进行内部行为检测时,有时需要对某些操作赋予两个资源取值,例如下载操作,不仅要检测下载对象,还要包括下载数量。在这个实例中,下载量是50MB, 上传量是0.5MB。

该类技术模型相关的发展趋势主要在于更加丰富的增加IT操作行为的属性、系统输入数据的类型及关联分析,目前主要通过流量日志数据及6元组元素来定义异常行为访问规则,后续增加IT操作行为属性及更丰富的输入数据类型,将更好从3到7层监控异常访问行为。

三、设计与实现

在实际的实现过程中,基于6元组来定义异常有两个切入点,一个是基于访问路径的异常,一个是基于访问频率的异常。基于访问路径的异常,很好理解,比如说历史上A和B经常访问C的1433端口,突然有一天D也来访问C的1433端口,这在历史记录中是从来没有的,就算一个访问路径上的异常;基于频率的异常也很好理解,比如加入域的办公电脑每天访问域进行认证的次数也就几次,突然有一天一个IP不断的向域进行认证尝试,超过我们系统设置或者学习到的阈值,也算异常。

如何实现这套系统?得先拿到流量进行分析,按时间、源IP、源端口、目标IP、目标端口、应用协议这六个元素来标识访问关系及统计访问频率,通过自学习模式生成白名单和profile规则,按照我们的管控规则自定义黑名单,对后续流量按照白名单、黑名单、profile规则的顺序进行匹配,对高风险事件进行实时告警。整个系统的处理逻辑如下图:

看起来比较简单,真正实现并纳入日常运维,中间的工作量还是蛮大的。结合我们实际的运维经验,有几个功能点需要考虑加入到系统中:

  • 资产与业务的导入:在系统上线前,企业肯定已有大量的信息资产,需要支持批量导入功能,否则工作量巨大;

  • 协议识别:包括常见的远程桌面、SSH、FTP等,还要能识别一些远程管理类工具包括pcanywhere、vnc等,甚至还需要结合客户网络环境定制一些特征识别一些应用;

  • 自我学习:系统在线上可以进行自我学习,通过一段时间的积累可以生成一些规则供安全人员参考;

  • 入侵防护功能:常见的扫描行为、流行的ms08067类漏洞利用、常见的sql注入、XSS攻击,传统的IPS都已经具备了,但针对我们提到的隐蔽隧道(ping tunnel、dns tunnel等)的发现,还是要依赖于入侵防护模块进行定制开发;

  • SOC集成:发现的异常或可疑事件,需要与SOC对集,纳入日常安全运维进行跟踪与优化;

  • Sniffer联动:对于产生的异常或可疑事件,可以自动或手动将对应的原始包抓回来以便进行更深入的分析;

  • 处理性能:系统镜像的流量越多,对系统本身的性能要求就越高,处理延时可能会导致今天的事件明天才能看到,这样是无法满足要求的。

四、实际效果

该系统从2011年开始开发上线,截止到现在已经运行4年之久,这中间我们的红蓝对抗是在不断的进行中,我们的系统功能也是在不断的改进中。

增加协议识别后,基于协议与端口做一些规则,即可以发现一些可疑的行为,比如远程桌面运行在非3389端口,SSH运行在非22端口,如下图:

还可以识别到一些管理类协议比如pcanywhere、vnc,以及为了绕过我们检测的vpn等,如下图:

增加隐蔽隧道识别后,可以发现渗透测试人员的ptunnel行为,如下图:

以上截图都是内部真实渗透产生,所以隐去了一些IP相关信息。最后,还是想说的是,APT防护比拼的还是资源,投入大量人力物力财力去建设这些基础的安全系统,不见得适合所有的企业,请各位自行参考。

下篇预告:

金融企业安全建设探索之安全合规之路

—————————————-

想加入金融业企业信息安全群请联系微信公众号“君哥的体历”,后台留言,微信号+公司名称,验证身份后入群。

 

人生最美好的莫过于各种经历和难忘的体验,过程比较痛苦的,结果都还比较好。如果大家和我一样,在企业做安全中遇到各种颇为“痛苦”的体历,过后你一定会感谢和怀念这份体历的。

 

 

附注:

  • 聂君,信息安全从业人员,十余年金融行业信息安全从业经历,默默无闻。好读书,不求甚解。性格开朗,爱好足球。

  • 本订阅号文章是个人对工作生活的一些体验和经历分享,站在不同角度和立场解读会有偏差,见仁见智,不求正确统一,但求真、善、美。


图片说明:深圳市花—-三角梅  (簕杜鹃)

                                                                                                        

长按识别二维码,和我交流。

本文源自微信公众号:君哥的体历

人已赞赏
安全工具

漏洞扫描的一些运营常识

2019-10-16 13:54:18

安全工具

金融企业数据安全建设实践系列(一)

2019-10-16 13:54:25

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索