张梦瑾

又一个WordPress站点


主被动五要素 《主动防御的辨、证、辩证》(二)-大潘点点
关于“主动防御”的一些系列问题:
问题1: 主动防御到底是什么Gui?
问题2: 什么是真的主动防御?主动防御,主动在哪里?
问题3: 一个有主动防御味道的防御体系应当是什么样子?
问题4: “主动防御”能成为网络安全产业的一个推动力量吗?
《主动防御的辨、证、辩证》(二)
区分主动和被动的五要素,是此系列文章的核心思想。
防御的被动性是自然的
没有“攻击”的“防御”是不存在的。一个防御一定要对应一个攻击;防御在时间、空间、因果性、动机、技术方法等方面都相对后置于其对应的那个攻击。
相对于攻击来说,“防御”天然就是被动的;反过来说,攻击相对于防御天然就是主动的。主动攻击和被动防御是天然的自然。
防和御
Protection and Defense
(得自周勇林和井柯二位在【北向-茶-问】沙龙上的见解)
“防御”这个词可以被拆成两个词:
防 Protection,主要表达事先和事前的防守部署,比如隔离的划分、监控的部署、响应机制的设计等等。
御 Defense风之大陆,主要表达当攻击发生的时候,防御方作出的行动的反应。比如,访问策略调整、溯源定位、事故恢复等
防和御的这种划分,让防御的内涵更加丰富完整。
“防御之被动”体现在何处?
“防御之被动”也就是“攻击之主动”。张凤书主动体现在“选择在己”,被动体现在“选择在TA”而适配、调控在己。
“进攻之主动”最显然的体现就在攻击者可自主选择的五个基本因素,这同时也是防御之被动因素:(p1) 对象选择被攻击对象;不确定自己是否被选中(p2) 时间不确定的攻击时间(p3) 空间不确定的攻击点(p4) 多样性不确定的攻击方法、及其针对的主要漏洞或脆弱性(p5) 主体不确定的、未知的攻击者
防御方如果没有上面五个“被选择”,攻防对抗的“交锋面”就不存在,就无法展开具体的“御”。或者说预设的的“防”体系还只是在等待和空置。

“进攻之主动”除了上述五个基本因素之外,还有下面几个高级的“进阶因素”,都可进一步增强攻击者的主动优势:(s1) 对象
被攻击对象是有结构的;有内部结构和外部结构。
攻击可以选择内部结构的薄弱环节;还可选择攻击关联方、供应链等达成间接攻击。(s2) 时间
对于时间参数的选择不仅仅是攻击开始时间,而是包括:时机、开始、时长、结束、频度、速度等多种时间因素姜兴琦。
比如DDoS和APT在时间模式上就是两个极端。(s3) 空间攻击点、攻击路径、局部还是整体;(s4) 多样性采用什么攻击工具、调动多少资源;暴力攻击的烈度、渗透攻击的锐度和隐蔽度等等程度的选择。(s5) 主体对于被攻击者损失和自己获利的诉求目标、攻击者的意愿动机和触发因素、攻击者愿意承担的风险等等。
可以看到,上述五类基本因素和五类进阶因素加起来,基本上可以完整描述一个攻击。必须充分了解攻击者所掌握的主动因素(同时也是防御者的被动因素),才能有效地组织防御。
被动因素的主动化
不动防御、被动防御、主动防御
一个好的防御体系,就是要尽量通过不动防御、被动防御和主动防御的有机结合,达成有效果、有效益的防御。
不动防御对常规的攻击选择进行布置;被动防御根据具体攻击者的特定选择和选择变化进行动态调整;主动防御则力图去改变和破坏攻击方的主动因素。
时间上的前序-后序关系(因果)
从被动到主动,牵扯的因素很多,但最终都可归结为“因果关系”。而因果关系则紧密关联着时间上的“前序-后序关系”。秉持这个观念,就能抓住“主动防御”的精髓。
要实现主动防御的“主动”,须先搞清“防御之被动”,并确定在怎么达成错位。
一个防御动作是被一个攻击动作触发的,从这个“攻防配对儿”来看,后序的防御是不可能主动于前序的配对攻击康掌柜体检网。那么我们常常所说的“主动防御”其实都是一种错位主动。
每一个“主动防御”设计,都是对某一个防御被动因素的错位乱序狄仁杰前传。
后文就是对这些“被动因素的主动化”条分缕析地展开分析建议千龙湖。
(键人建议读者可找个实例来一起思辨这个问题。也许你会觉得一些声称的“主动防御”,是不是有点似是而非,指东打西了。)
对象因素p1/s1的防御主动化
对象因素,也就是被攻击对象。这个因素,在实际分析中与空间因素的重合度较高。
对象因素上从不动、被动到主动
不动防御
知道自己会成为被攻击目标。
被动防御
知道作为被攻击目标是有结构的。通过感知和检测来发现到底是哪部分在遭到攻击。
主动防御
虽然我们不知道攻击者会不会选择我们作为攻击对象(相对于总攻击集合);但是和我们相关的攻击和攻击集合,李冠廷其攻击对象总是围绕着我们业务和资产的价值。也就是对于攻击目的地是能够预判的理想的风筝。
并且攻击会与我们的业务和系统结构密切相关。因此,可以通过对象机构(系统结构)的布置,再加上蜜罐技术的采用,就可以掌握一定主动。
时间因素p2/s2的防御主动化
时间是最难抓住的一个因素类型。而且就像前面的论述,所谓“主动”和“被动”的差别就在于主客体之间的前序后序因果关系,就是时间概念为基础的储兰兰。
攻击时间因素上的不动、被动和主动
不动防御
复杂的防御纵深能够达到空间换时间的效果。
被动防御
所有的空间纵深和防御手法多样性,最终都能够换成时间缓冲。而在这个时间缓冲内,防御者必须能够检测发现攻击并予以处置(甚至反击)才能达成防御目的。
数据也许是唯一一个能够穿越时间的要素。不过也只能穿越回到过去的时间。存储的数据能够在进行播放和分析的时候,把观看人和分析者带回到数据所发生的那个时间翟寇。
历史总在重复。过去发生过的事情会一再发生。因此,分析数据(过去)能够让防御者在面对未来可能发生的重复时,获得一定先序优势。所以,大规模多维度的数据采集和存储、大数据分析等用于安全分析和决策黑白大搏斗,也就是第四范式安全(数据密集型)会带来“被动防御”的极致“感-动”能力,甚至达成一定的主动防御效果。
主动防御
如何才能穿越到“未来时间”?如何才能将未来的场景呈现到现在?这就必须通过模拟仿真这样的第三范式安全来达成,典型的技术形态就是靶场。通过第三范式的模拟仿真可以对未来的可能性进行推演和仿真展现。当然,这样的仿真预测可能会有错有漏,不过毕竟让我们touch到了可能的未来没落英雄。
【论】靶场的精髓——“让错发生在靶场”。用在本文的话题就是“让被动充分发生在靶场,换取在真实环境中的一些主动”。
空间因素p3/s3的防御主动化
空间因素是五类因素中最容易控制的一类。
空间因素上从不动、被动到主动
不动防御
有效的防御纵深是缓解防御方被动的重要手段。防御纵深可以有效地延长攻击者的过程时间。
被动防御
要在攻击者可能的攻击路径上,建立感应机制、监测手段。从而能够及时发现进攻行动并作出反应王志千。
在系统中建立必要的重复冗余和备份;比如灾备系统、双链路等。使得在遇到攻击的时候,有空间替代措施。
主动防御
在进攻者进入防御者的空间范围之前,就能感知到攻击者及其特性,从而作出必要的反应——大规模态势感知、威胁情报共享。
在防御者的范围内外建立伪装和诱骗的空间环境——蜜罐技术。
【证】蜜罐技术
蜜罐技术能够诱骗攻击者总裁你好毒,在蜜罐环境中耗费大量的时间,暴露自己的行踪、来源、攻击手法等信息。蜜罐是能获得主被动转换的少有的单体装备,必然成为未来关键基础信息系统的必备曲京远。
多样性因素p4/s4的防御主动化
手法因素上的不动、被动和主动
不动防御
在典型的安全解决方案中,针对常规攻击的阻断、检测等防御方式都以产品和服务的形式组合起来了。当然,这种组合是否有机地整合起来,是否有效,常常难于确保。
不动防御是能够防御到大部分的基本攻击的。不能因为不动防御不能抵御所有的攻击,就认为不动防御没有价值。
被动防御
一般来说,必须有了一种攻击手段,才能有针对性的检测手段。
不管是有特征检测还是所谓的“无特征检测”,都是先有攻击类型,才有检测手段。先有了检测者对于攻击所表现出特征的预判,才能够据此设计研判模式。
主动防御
在攻击者发现或者利用漏洞之前,防御者组织力量进行漏洞挖掘和脆弱性检测评估生死寻人,力图抢先——众测、渗透测试、风险评估等。
具有普遍性的攻击者手法,可以通过防御对抗手段的“不动化”(固化),转化为效果明显且耗费低的不动防御。比如:操作系统地址随机化机制、手机操作系统的TrustZone机制等。
主体因素p5/s5的防御主动化
攻击主体因素上的不动、被动和主动
不动防御
不动防御基于两种假设:
一种是不知道攻击者是谁,极少了解其特征,因此防御模式是泛泛的,针对性不足;
另一个极端就是认定攻击者是一个确定的主体,或者一个很小的主体群阿拉贡王国,因此防御的针对性极高,导致对于其他可能的攻击者无用或失效。
被动防御
要能够发现攻击,并且能够分析和识别攻击者的类别。如果能够成功溯源到攻击者,则是被动防御的最高境界了。
主动防御
对于自己认定的可能攻击者,先发制人发起攻击。
打击攻击者的供应链和能力源泉。比如,黑产的技术交换机制是有迹可循的,可以通过破坏、潜伏、感染等手段予以打击。
通过防御和打击措施,让攻击者感到自己的风险在加大,阻呵攻击(达成不战而屈人之兵)。
所有的“真”主动防御,一定是在对象、时间、空间、多样性、主体等五要素中的一个或几个要素上,有独到的错位和乱序措施,从而达成化被动为主动的效果。
没有绝对主动的主动防御。
——就像没有绝对安全一样;同样没有绝对主动菲承。
主动防御不是银弹。
——就像没有万能药一样;主动防御也不能解决所有问题。
主动防御 系列文章:
《主动防御的辨、证、辩证》(一) 主被动四象限
《主动防御的辨、证、辩证》(二) 主被动五要素
《主动防御的辨、证、辩证》(三) 化被动为主动的典型错位乱序方法
... ...