rapid7 攻防演練方案 - sent

Rapid7攻防演練平臺沒有功防，有效的IT安全?安全永不為過?2一次對2011年發(fā)生的855次數(shù)據(jù)入侵案例的調(diào)查96%的攻擊都不需要高難度技術97%的入侵并不是需要高難度、高成本的措施才能避免Verizon

2012數(shù)據(jù)入侵調(diào)查報告?399%-初次攻擊的難度都不高.在2012年，入侵用戶的比例已經(jīng)超過服務器惡意軟件及黑客活動仍然是主流，但互聯(lián)網(wǎng)社交攻擊從2011年的7%上升到2012年的29%。Verizon

2013數(shù)據(jù)入侵調(diào)查報告IDC:全面布局對信息技術安全預算的影響全球統(tǒng)計中，攻防演練于所有安全產(chǎn)品方案花費所占的百分比，2011-2016來源:IDC,2012終端:28%,網(wǎng)絡安全:26%,攻防演練:<2%到2016年，全面布局利用攻防演練的百分比只有6.3%/security-assessment-with-idc-on-demand.html?LS=1675498&CS=webRapid7的攻防方案?6Rapid7’s

NeXpose

and

Metasploit

products

provide

an

automated

and

integrated

approach

to

vulnerability

management

and

pen

testing.Our

integrated

approach

is

unique

in

that

by

allowing

you

to

test

and

validate

vulnerabilities

with

pen-testing,

you

canvalidate

exploitable

vulnerabilities

and

identifying

other

mitigating

controls

suchas

a

firewall

or

IDS

system

that

prioritizes

the

vulnerabilities.Your

IT

ops

teamwill

appreciate

having

a

shorter

listof

vulnerabilities

to

fix.Rapid7攻防演練方案?7攻擊流程?8覆蓋

2000+單元(May

2014)?92000個攻擊模塊加入定制，輔助和后續(xù)滲透檢測包?9Metasploit作為客戶來攻擊服務器E.g.一個Win

XP被利用攻擊-MS10_061在SMB端口上445顯示為漏洞.服務器端攻擊Metasploit作為一個服務器角色來入侵連接的客戶端例如,通過IE入侵攻擊一個WIN7客戶端客戶端攻擊?11找出最容易入侵的目標，排列修復優(yōu)先級客戶在最短時間內(nèi)就能解決最危險的問題自動化攻擊?12真正沒IP有地代址理(跳192板.1時68:.1如52果.1攻0)擊。目標(29)，信息包在目標查看時會看到攻擊者開啟代理跳板時：攻擊者(0)通過跳板機器(33)攻擊目標(29)

從在目標(29)捕捉的信息包來看，信息包只在與跳板機器(33)交換，而不是與攻擊者(0)交換之間。代理跳板攻擊VPN跳板攻擊流程InternetAttackerEnterprise

NetworkPublicAddressPrivateAddressDMZMaintenanceInterface?1攻擊面向公眾的系統(tǒng)及傳遞載荷創(chuàng)建VPN跳板攻擊主機建立一張?zhí)摂M網(wǎng)卡接入跳板機器的另外一個本身沒法連接的網(wǎng)絡可以建立多重VPN跳板?2?3?14完整的Web攻防方案攻擊分析時間約長，找出的攻擊點就越多。用戶界面層的攻擊點沒有核實的處理方案，用戶要根據(jù)攻擊結果自定義防衛(wèi)措施。用戶界面層的攻擊點一般來自幾個Web應用層的核心問題。Web應用層的核心問題一般有核實的方法處理。?15?1案6

例：黑客攻擊國際知名游戲網(wǎng)第一次攻擊在2011年4月，導致最多1億用戶資料包括信用卡外泄受害公司馬上進行沒有預算的投入處理問題，聘請美國高端顧問團隊，在固定的時間內(nèi)分析網(wǎng)上應用，防衛(wèi)方案為部署WAF來抵擋攻擊。同時間，黑客可以在沒有時間的限制下繼續(xù)攻擊用戶網(wǎng)頁界面。第二次攻擊在2011年10月，導致10萬個人資料外泄，根據(jù)黑客發(fā)布的資料，這次攻擊只發(fā)布受害公司人員資料，沒有公布客戶資料。受害公司分析Web基礎層，修補Apache的SQLi弱點后，再沒有事故發(fā)生。?16?1W7eb應用審計Web攻擊流程：發(fā)現(xiàn)、審計、攻擊。覆蓋OWASP

Top

10

2013，顯示URL，系數(shù)及證據(jù)。?1W8eb入侵利用Metasploit可以執(zhí)行多種Web攻擊(XSS,SQLi,etc)自定義攻擊代碼，核實入侵結果，避免破壞數(shù)據(jù)。用戶根據(jù)攻擊代碼等資料，自定防衛(wèi)方法，如過濾某一個字符。?1查9

找Web應用層的核心問題攻擊過程中找到~1300個頁面能攻擊最后歸納到兩個核心攻擊點提供核實的修補方案，例如打補丁或改配置。?19?2建0

立真實的攻擊場景-社會工程學社會工程是APT攻擊的第一步簡易地建立釣魚郵件及網(wǎng)站，也可以通過帶有攻擊文檔的USB。展示被發(fā)送、打開、點擊及提交的數(shù)量，針對性提供培訓提供員工意息。?2針1

對式定出目標辦公組,靜態(tài)資產(chǎn)分組及動態(tài)資產(chǎn)分組.。怎樣找出最危險的Web服務器？?2針2

對式定出結果導出主機篩選器:IP,辦公地點,靜態(tài)分組,動態(tài)分組。弱點過濾:170種類別,危險水平。弱點細節(jié):4種不同水平，適用于不同角色例如，我們可以導出一份包括高危Web服務器中發(fā)現(xiàn)的所有跟Web有關的弱點。?2修3

補和防衛(wèi)優(yōu)先級修復一步一步式的說明預估耗時提供相應修補措施受影響的系統(tǒng)提供廠商修復的地址?2高4

效率的修補措施報表?24提