互联网企业安全高级指南读书笔记之入侵感知体系

Posted 2022-12-01 PolluxAvenger

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了互联网企业安全高级指南读书笔记之入侵感知体系相关的知识，希望对你有一定的参考价值。

主机入侵检测

OSSEC、Mozilla InvestiGator 和 OSquery

OSSEC 是典型的 B/S 架构，通常一个 Server 集群最多配置 2000 台 agent 接入。在此基础上，OSSEC 也支持在开发插件、采集数据、解析/检测规则三个方面的功能扩展

Mozilla InvestiGator 具备了现代 HIDS 架构的雏形，但是整体上 MIG 偏向事后的取证，而不是实时的入侵检测

OSquery 适合有一定 IDC 规模的企业，安全团队有一定的开发能力，并且对入侵检测有基于大数据理解的环境

在 Linux 系统下以读取解析文本配置为主，辅以某些二进制文件的 ELF 格式解析；Windows 系统通过读取注册表和组策略信息完成采集

采集数据包括但不限于：

采集的日志内容如下：

周期性遍历/proc。这是风险最小的方案，部署适配性最强。但缺点明显，实时性无法得到保障，且性能差
用户态 Hook Libc 函数。相比前面一种方案，风险相对高一点，特别在多线程进程中要注意安全性。但其部署适配性也特别高，同时性能也是各种方案最好的，建议
作为首要选择。虽然 libc hook 方式可能有被绕过的风险，但如果对抗主要集中在 Web 入侵场景，基本是无需担心的
利用 LSM 模块接口。如果对抗必须深入系统级攻防，那么通过内核态获取进程数据就非常必要了。但是为了安全性、适配性考虑，采用 LSM（Linux security module）开发接口就是较佳的选择。Fackbook 安全团队开发的 osquery 就是使用了 LibAudit 获取 execve 调用信息
内核态 syscall HOOK，安全类的开发最惯性的思维就是内核态 HOOK，反倒不是什么新鲜的招式。但是这样的方案未必都适合大范围使用，作为一个可能要大量部署的安全系统来说，不是一个最佳选择。在 Linux 环境里各种发行版和内核版本差异很大，以至于需要维护多个兼容性版本，同时稳定性也难以保证。这类方案通常是开发一个 LKM 模块实现

建议字段：

小技巧：

inotify 文件监控，Linux 系统中公认的技术就是 inotify，在 BSD 和 macOS 里类似的是 kqueue。Linux 内核从 2.6.13 开始引入 inotify，可以通过

 % grep INOTIFY_USER /boot/config-$(uname -r)
 CONFIG_INOTIFY_USER=y

来查看系统是否支持

DB 保护是重中之重

值得注意的是：

安全在极端情况下，出现故障时必须为业务稳定牺牲，系统资源消耗超标功能模块要暂停甚至自杀

海量环境影响
- 发布前必须通知业务方，有应急预案和回滚手段
- 灰度发布，未经一个可靠的时间周期稳定运营验证，不得批量部署
- 节假日前不部署
- agent 更新由 Server 端推送任务完成
安全性
- 控制（更新）指令仅允许选择固话的指令，严禁预留命令执行接口
- 更新包必须经过第三方安全工程师审核之后上传至更新 Server 保存
- 控制指令下发时必须由第三方审核批准才可执行