SOTI_应用程序安全2025_防御者指南_55页_23mb

2025 防御者指南总结

核心内容

2025年《防御者指南》是《互联网现状》(SOTI)报告的特别篇，聚焦于网络安全的现实挑战与防御策略。该报告通过多个研究调查，提供了关于恶意软件、网络架构和主机安全方面的深入洞察。其核心内容包括：

• 安全纵深防御框架：基于传统的纵深防御模型，加入了数据科学和分析功能，用于识别隐藏的威胁并评估防御措施的有效性。
• 风险管理：通过风险评分系统，量化内外部风险，识别高风险资产，并据此制定优先响应策略。
• 网络架构：重点研究了VPN滥用和跨站点脚本攻击（XSS），提出了针对这些风险的防御策略。
• 主机安全：介绍了Kubernetes等技术的安全挑战，并强调了系统更新、防病毒和访问控制的重要性。

主要观点

风险管理

• 风险评分是识别和优先处理网络威胁的重要工具，但其实施面临挑战，包括如何界定风险、确定应用程序重要性以及选择有效的防御措施。
• 风险评分系统通过分析暴露程度和网络流量，帮助防御者识别高风险服务器。
• 暴露比率分析表明，大多数服务仅通过极小部分网络进行通信，而极少数服务器则暴露在较大范围的网络中，因此需要特别关注。

恶意软件

• NoaBot：基于SSH的僵尸网络，利用了多种技术，包括静态编译、字符串混淆、无文件恶意软件和点对点架构，其传播方式与Mirai类似，但更加隐蔽。
• FritzFrog：基于Golang的复杂僵尸网络，利用Log4Shell等漏洞进行攻击，对内部主机造成风险。
• RedTail：利用多个CVE漏洞，包括Palo Alto PAN-OS的CVE-2024-3400，进行加密挖矿攻击，且攻击者通过自定义编译方式规避检测。

防御策略

• 企业应采用网络分段策略，以限制恶意软件的横向移动。
• 安装最新的安全补丁，保持所有系统和软件的更新，是减少漏洞风险的重要措施。
• 定期进行离线备份，确保在发生攻击时能够快速恢复。
• 强化网络安全意识培训，以减少人为因素导致的漏洞。

防御工具与技术

• 使用Zero Trust网络访问技术，以基于身份、设备和位置的策略限制用户访问权限。
• 对于XSS攻击，建议采用输出编码方法，以防止恶意脚本执行。
• 检测和防止XSS攻击的关键在于识别并阻止注入点，尤其是反射型XSS，攻击者常利用JavaScript字符串混淆、eval函数和CSP绕过技术。

关键信息

常见攻击媒介

• SSH服务器：是攻击者常用的入口点，2025年初的数据显示，超过2,000万台SSH服务器对互联网开放。
• SMB、RDP和SSH：是2024年最常见的攻击协议，因为它们易于横向移动。
• Log4Shell：这一漏洞被多个僵尸网络利用，包括FritzFrog，对系统造成严重威胁。

恶意软件传播

• 僵尸网络利用撞库、自动化的攻击方式，对网络造成持续性威胁。
• 某些僵尸网络使用自定义编译方式，以规避防病毒检测，如NoaBot和RedTail。

配置文件与凭据管理

• 配置文件中存储了大量机密信息，包括本地用户密码、SSH密钥、证书和第三方服务凭据。
• 部分设备使用硬编码密钥进行加密，如FortiGate和Ivanti Connect Secure，攻击者可以利用此漏洞解密配置信息。
• 通过RADIUS、LDAP等身份验证方式，攻击者可以窃取用户凭据，并利用其入侵其他资产。

XSS攻击

• XSS攻击仍然广泛存在，攻击者利用JavaScript注入、反射和混淆技术绕过检测。
• 输出编码是防御XSS攻击最有效的方式，但需要正确实施，以确保其有效性。
• 漏洞赏金猎人常利用XSS漏洞进行测试，包括盲打测试和绕过CSP策略。

结论

2025年的网络安全形势更加复杂，攻击手段更加多样和隐蔽。防御者需要采用纵深防御策略，结合风险管理、网络架构优化和主机安全措施，以应对这些威胁。同时，企业应加强身份验证机制的安全性，限制服务账户权限，并采用Zero Trust原则，以确保用户只能访问必要的资源。通过持续的监控、更新和培训，可以有效降低网络攻击的风险。