2.3认识常见攻击体系

2.3认识常见攻击体系CATALOGUE目录任务简介任务目标相关知识战术和技术01任务简介APT攻击的特征APT攻击是一种有组织的行为，以商业和政治为目的，使用先进手段对特定目标进行长期持续性网络攻击，具有攻击持续性、信息收集广泛性、针对性等特点。APT攻击的目标APT攻击多针对国家关键信息基础设施，如电力能源、石油化工、智能制造和轨道交通等行业企业，对国家经济和社会稳定构成严重威胁。高级持续性威胁攻击通过复制自身传播，消耗系统资源；蠕虫：通过网络传播，导致网络拥堵；木马：伪装成合法软件，窃取敏感数据。病毒加密数据并要求支付赎金；破坏系统正常运行，窃取敏感数据，甚至对生产过程造成严重损害。勒索软件恶意软件攻击网络钓鱼攻击的手段通过伪装成合法机构或个人，诱骗用户泄露敏感信息；常见手段包括电子邮件钓鱼、网站钓鱼和电话钓鱼。钓鱼攻击的目标针对工程师、操作员等关键人员，以获取系统访问权限或敏感数据，在工业控制系统中，还可能对生产中断造成严重损失。网络钓鱼攻击DoS攻击影响系统拒绝服务攻击（DoS）通过消耗系统资源或网络带宽，阻断正常用户访问目标系统，对工业控制系统构成严重威胁。DoS攻击危害生产拒绝服务攻击在工业控制系统中，DoS攻击可能导致生产中断，造成严重损失，因此必须高度重视其防御措施。0102直接攻击控制PLC直接攻击PLC等工控设备，可通过利用设备存在的漏洞或绕过安全认证，从而实现对PLC的直接控制。间接攻击干扰通讯间接攻击则通过获取监控系统的控制权，向PLC发送恶意指令或干扰通讯，实现对工控设备的攻击。工控设备组件攻击02任务目标熟悉工控模型战术技术我们要熟悉ATT&CK工控模型中工控网络攻击的战术和技术，以便更好地应对工业控制系统的网络安全威胁。理解网络杀伤链模型我们需要了解网络杀伤链模型关于网络攻击阶段的划分方案，以便更好地理解和应对网络攻击。了解ATT&CK模型应用我们要理解ATT&CK模型的设计理念和应用场景，以及它在网络安全防护中的重要作用。任务目标03相关知识网络杀伤链模型概述网络杀伤链模型由洛克希德·马丁公司在2011年提出，用于描述网络攻击的全过程；模型将网络攻击分解为七个阶段，每个阶段都有其特定的目标和任务，帮助防御者识别和阻止网络攻击。2.3.1网络杀伤链模型的攻击体系1、侦察跟踪描述攻击者探测、识别目标的阶段，信息通过互联网收集；预防应关注日常异常流量、日志和数据，存储备查是必要的，更重要的是建立和优化分析模型，以减少侦察跟踪的风险。2、武器构建描述攻击者通过侦察跟踪阶段确定目标、收集足够的信息后，准备网络武器的阶段；预防应关注资产相关漏洞、补丁、修复流程是否完备，以减少武器构建对防守方资源的影响。3、载荷投递描述攻击者将构建完成的网络武器向目标投递的阶段，投递方式一般包括钓鱼邮件、物理USB投递等；预防应关注防护策略的有效性，包括云防护、边界防护等，同时人的安全意识也重要。4、漏洞利用描述攻击者将网络武器投递到目标系统后，启动恶意代码的阶段；一般会利用应用程序或操作系统的漏洞或缺陷等；预防日常的安全监控工作包括安全检测、安全监测、阻断+审计。5、安装植入描述攻击者在目标系统设置木马、后门等，一定期限内在目标系统营造活动环境的阶段；预防策略是在最短的时间内发现并隔离潜在威胁，关注终端/服务器安全管理策略及防病毒软件的部署。2.3.1网络杀伤链模型的攻击体系2.3.1网络杀伤链模型的攻击体系6、命令与控制描述攻击者建立目标系统攻击路径的阶段；一般使用自动和手工相结合的方式进行，一旦攻击路径确立后，攻击者将能够控制目标系统；预防应关注访问控制，以阻止攻击者发出命令。7、目标达成描述攻击者达到预期目标的阶段；攻击目标呈现多样化，可能包括侦察、敏感信息收集、数据破坏、系统摧毁、勒索赎金等；预防虽木已成舟，但仍需要集中精力把损失降低到最小。网络杀伤链与防御作用有助于理解和预测网络攻击的不同阶段，从而帮助防御者选择正确的工具和策略来限制违规行为、应对正在进行的攻击，并最大限度地降低风险。防御者策略防御者可通过监控和阻止网络攻击的早期阶段来减少损失；例如，通过监控网络流量、检测异常行为、实施入侵检测系统等措施，可在攻击者进入网络前或早期阶段有效阻止其行动。2.3.1网络杀伤链模型的攻击体系ATT&CK模型简介：是一个由MITRE创建并维护的知识库和模型，旨在反映网络攻击的生命周期和各个攻击阶段的目标；其核心目标是创建一个详尽的列表，记录网络攻击中使用的已知对抗战术和技术。它不仅是一个知识库，更是一个模型，通过结构化的方式描述攻击者在各个阶段使用的具体技术和战术。这种结构化的方式使得安全人员能够更好地理解攻击者的行为，从而制定更有效的防御策略。MITRE在定义ATT&CK时，定义了一些关键对象，包括：战术（Tactics）、技术（Techniques）、组织（Groups）和软件（Software）。2.3.2基于ATT&CK模型的攻击体系ATT&CK模型的设计理念包括：基于攻击者视角：模型从攻击者的角度出发，描述他们在各个阶段使用的技术和战术。追踪现实世界中的用法：模型追踪现实世界中攻击者使用的具体技术和战术。抽象层次适中：模型的抽象层次适中，能够有效地将攻击手法和防守措施联系起来，同时提供足够的细节来描述具体的攻击行为。ATT&CK模型的抽象层次被定位在比较中间的阶段。洛克西·马丁的网络杀伤链模型和微软的STRIDE模型是比较高层次的抽象。2.3.2基于ATT&CK模型的攻击体系ATT&CK模型的应用场景：1、红队测试：红队测试是现代企业网络安全能力体系建设中的重要环节，通过扮演潜在攻击者的角色，全面梳理组织的IT资产，寻找漏洞和攻击路径。2、提升安全运营成熟度：通过ATT&CK模型，可以评估组织现有的安全运营工作实践和技术措施是否足以保护企业免受攻击。安全运营团队可以根据框架中概述的技术进行测试，确定组织的实践和流程能否检测潜在威胁和可疑行为，并生成警报。3、威胁检测和响应：ATT&CK模型提供了详细的攻击技术和战术信息，帮助防御者了解攻击者的行为模式，从而更有效地检测和响应威胁。通过将检测到的行为与ATT&CK技术相对应，可以指导制定遏制和补救计划的工作。4、安全评估和差距分析：ATT&CK模型可以帮助企业进行安全评估和差距分析，了解现有安全措施的不足之处，从而制定改进措施。通过对比ATT&CK模型中的技术和企业的实际安全措施，可以发现防御策略中的漏洞和不足，进而进行优化。5、模拟攻击和安全培训：ATT&CK模型还可以用于模拟攻击场景，帮助企业和组织进行安全培训。通过模拟攻击者的行为，可以提升员工的安全意识和应对能力。6、持续更新和改进：由于ATT&CK模型不断更新，反映了最新的攻击技术和战术，企业可以借助这一框架持续改进其防御策略，确保防御措施与最新的攻击手段保持同步。总结：ATT&CK模型在红队测试、提升安全运营成熟度、威胁检测和响应、安全评估和差距分析、模拟攻击和安全培训等方面都有广泛的应用场景，帮助企业和组织更好地应对网络安全威胁。2.3.2基于ATT&CK模型的攻击体系04战术和技术战术和技术ATT&CK工控模型简介网络攻击者在攻击工业