引言
因为大家都知道的缘故，2021年的护网行动来的尤其早，预估4月8日逐渐。依据历年的防护网最后公布的結果，绝大多数靶点都被攻占，可是侵入途径和内参汇报，绝大多数人是找不到的。针对这类HW自然环境，防御方更想提高本身防御力管理体系的追溯工作能力，从开始的拔网络线、关掉重要互联网服务、运用各种各样安全装置迅速禁封故意IP，到部署简易的攻击欺骗系统软件(蜜罐、密网)，通过这三年的实战演练业务场景打磨抛光，为了更好地更合理的防御力，防御方使用了高中级互动蜜罐的形式开展诱引和攻击引流方法。具有详尽的侵入报警系统日志、可追溯攻击者真实身份、具有精准打击工作能力的攻击欺骗系统软件是大家满意的防护网神器，下边谈一谈我对攻击欺骗技术性在防护网中使用的了解。
攻击欺骗系统软件演变历史时间
我们要想掌握怎样运用攻击欺骗技术性到防护网之中，大家就必须掌握攻击欺骗商品的演变线路。
早在2014年、gartner响应式安全性构架演变中提及了-防御力引流矩阵中包括了诱发攻击者。
迁移攻击者：简易而言，该行业作用但是公司在网络攻防中得到時间上的非对称加密优点，根据 多种多样技术性使攻击者无法精准定位真真正正的系统核心及其可运用系统漏洞，及其掩藏\搞混系统软件插口\信息(如建立虚报系统软件、系统漏洞和信息)。
例如，被 Juniper 互联网回收的 Mykonos 高新科技可以构建一个无系统漏洞的网络层镜像文件，接着给予一个活跃性总体目标的蜜罐。Unisys Stealth 可以将应用系统掩藏，而 CSG's invotas 解决方法融合了充足繁多的偏移技术性。尽管内藏式安全性并不可以全局性解决困难，这类形式也看作一种可分层次的、深层次防御力对策。
Mykonos Web可以阻拦她们毁坏重要信息，根据虚报系统漏洞消耗攻击者時间，并出示有使用价值情报信息阻拦潜在性攻击
自从左往右开展产品简介：
(1) 2016年是海外攻击欺骗商品的年间，响应式安全性构架的核心理念，从积极防御早已转化成，把网络黑客放进来，使你留有侵入的印痕，追溯你，精准打击你，那样更有实际效果。
- 以传统式安全性大型厂为象征的麦咖啡的IPS、HP IPS机器设备、Juniper IPS设备都充分的寻找相对性应的攻击欺骗技术性商品，要不融合要不自研。这期内，DNS天坑技术性被各种IPS生产商玩的如火纯青。这也是第一条技术方案。可是之后传统式安全性大型厂发觉增加值并没有非常大，并且漏报率高(那时候，威胁情报都还没产生气侯)，并且沒有颠覆性的技术选型。最后都舍弃融合，Juniper这8000万美元花的冤呀。
- WAF 蜜罐的技术方案，也非常好，可是沒有通过客户打磨抛光，相对而言技术性不成熟。
- 真真正正颠覆性的设备是 以Attivo Networks 为象征的单独沙盒 蜜罐的型号选择，应该是最开始应用openstack关键技术到网络安全产品上，它可仿真模拟中等水平互动蜜罐：RDP、SSH、FTP等服务项目、结合kill chain技术性，给予蜜罐普及率、服务项目蜜罐管理方法、malware payload剖析、virustotal 威胁情报连接。
(2) 2018年是中国攻击欺骗商品的年间，中国涌现一批攻击欺骗生产商，对于于内部网蜜罐系统软件，极具象征性有默安科技的幻阵系统软件;对于外网地址极具象征性的商品360netlab精英团队的Anglerfish。可以捕获0day。这过程中的蜜罐、密网技术性更完善，包含可仿真模拟Windows、Linux等电脑操作系统，与此同时加上了设备指纹作用协助追溯。也是有一些新型的云生产商逐渐试着在云计算平台上应用原生态器皿部署蜜罐系统软件。客户应用意见反馈也非常好。
(3) 2020年是攻击欺骗商品在护网行动中深层实践活动的一年，这过程中的蜜罐系统软件拥有质的飞跃，逐渐应用器皿服务平台(k8s)部署了，还可以根据阴天器皿管理系统部署到全世界的任意一个角落里。为了更好地更快的防护也采用了原生态Pod等容器技术。
护网行动防御方的探索与解决之策
护网行动中的新技术挑戰：
- 很多公司，尤其是国企、数字政府，在防护网基本建设层面付出的很多的资产，可是实战演练化的防御力支撑点功能显然不够。广泛是重界限、轻内部网防御力，导致了一旦界限被破，内部网总体走下坡路的风险性。
- 应对0day攻击没法合理有效发觉，理论上说0day攻击是不能防御力的，现阶段绝大多数公司根据机器设备内置的威胁情报检验。对原有的故意网站域名库、故意IP库等，由于攻击方运用的全是新的网站域名和IP，这也是信用黑名单做安全性的难堪。
- 对于攻击追溯，2020年的护网行动绝大多数消费者都部署了内部网蜜罐系统软件，可是绝大多数是内部网低互动蜜罐，仅仅内部结构发觉扫描仪个人行为，并且绝大多数全是机器设备探活乱报，压根沒有做到攻击欺骗的实际效果。
大家怎么看待?
- 在里外网都部署蜜罐、蜜网系统软件，尤其是内部网，防护网期内被穿透是难以规避的，那麼，大家应当把内部网当做外网地址一样的等级防御力，不可以有重外轻内的观念。与此同时达到多情景部署部署，适用云计算平台、专用云、私有云存储部署。
- 部署0day过后分析程序、部署Nday系统漏洞蜜罐。
0day捕获蜜罐，储存全部在服务器上socket-process-file信息上传入clickhouse，储存，剖析。
Nday系统漏洞仿真模拟：
1. 远程控制执行命令:
(1)Apache Solr XXE & RCE 系统漏洞(CVE-2017-12629)
(2)Apache Solr DataImportHandler远程连接命令实行系统漏洞(CVE-2019-0193)
(3)Elasticsearch Groovy 远程连接命令实行(CVE-2015-1427)
(4)Jenkins 远程控制执行命令(CVE-2018-1000861, CVE-2019-1003005 and CVE-2019-1003029)
(5)Zabbix API JSON-RPC 远程连接命令实行系统漏洞
(6)WordPress 远程控制执行命令系统漏洞
(7)ThinkPHP 5.0.x 远程控制执行命令系统漏洞
(8)Supervisord 远程控制执行命令系统漏洞(CVE-2017-11610)
(9)SaltStack 身份认证绕开系统漏洞(CVE-2020-11651)和文件目录解析xml系统漏洞(CVE-2020-11652)
(10)Spring Data REST 远程控制执行命令系统漏洞(CVE-2017-8046)
(11)Spring Data Commons 远程连接命令实行系统漏洞(CVE-2018-1273)
(12)Struts2 远程连接命令实行系统漏洞(053 、015、013、007)
(13)致远oaOA BSH 远程控制执行命令系统漏洞
2. 未认证浏览：
(1)Redis 明文密码
(2)MongoDB未受权或弱口令
(3)Memcached未认证浏览或弱口令
(4)phpMyAdmin 存有弱口令
(5)Zabbix扩大开放或弱口令
(6)Docker(Swarm) api 未认证浏览系统漏洞
(7)Kubernetes API 未认证浏览
(8)Jenkins 未认证浏览
(9)Kibana 未认证浏览
(10)Hadoop YARN ResourceManager 未认证浏览
(11)Harbor 未受权建立管理人员系统漏洞(CVE-2019-16097)[版本号检验]
(12)Spark Master Web UI 未认证浏览系统漏洞
3. Java反序列化：
(1)Java RMI 反序列化漏洞
(2)JBoss readonly Java 反序列化系统漏洞(CVE-2017-12149)
(3)Jenkins 反序列化远程控制执行命令系统漏洞(CVE-2017-1000353)
(4)WebLogic XMLDecoer Java 反序列化漏洞
(5)WebLogic T3 协议书反序列化系统漏洞(CVE-2016-0638、CVE-2016-3510、CVE-2017-3248)
(6)WebLogic cve-2019-2725/cve-2019-2729 反序列化远程连接命令实行系统漏洞
(7)Apache Log4j Server 反序列化指令实行系统漏洞(CVE-2017-5645)
(8)Apache Shiro 1.2.4 反序列化远程控制执行命令系统漏洞
(9)fastjson 反序列化漏洞
4. 文档载入/提交：
(1)Confluence 随意文档载入系统漏洞
(2)用友软件NC SQL引入系统漏洞
(3)Apache Tomcat 文件包含漏洞(CVE-2020-1938)
(4)Weblogic 随意上传文件系统漏洞(CVE-2018-2894)
5. SQL引入：
(1)Apache Solr Velocity模版引入
(2)Apache APISIX Admin API 默认设置Token系统漏洞(CVE-2020-13945)
(3)Zabbix jsrpc.php SQL引入系统漏洞
(4)Zabbix latest.php SQL引入系统漏洞
(5)致远oaOA e-cology SQL引入系统漏洞
内网外网部署中高互动蜜罐，内部网必须部署系统漏洞靶点。加速黑客攻击速率，可获得网络黑客payload追溯。下边做一下界定：
- 高互动蜜罐：仿真模拟真正的系统软件，依据蜜罐业务流程必须关键仿真模拟：windows电脑操作系统沙盒，linux沙箱等(sysdig)
- 中互动蜜罐：仅仅简易仿真模拟服务项目，纪录客户攻击个人行为。只对一部分实际操作的使用开展回应(自然必须仿真模拟系统文件)。例如：Cowrie、kippo等。
- 基础服务：Windows AD域、Exchange、SSH、RDP
- 分布式数据库服务项目：apache、tomcat、weblogic、jboss、websphere、Nginx
- 数据库服务：elastic search、MongoDB、memcache、MySQL、Redis、oracle
- 业务系统：wordpress、金蝶软件-U9、致远oaOA、jumpserver、gitlab、jenkins、zabbix、conflunece、harbor、rancher
业务流程颠覆式创新情景
(1) 在云计算平台或是专用云internet区部署中高互动蜜罐、蜜网系统软件。
在专用云间，提议根据k8s方法布署，可以可靠的收集基础数据，包含Pod中运作的过程信息、DNS浏览信息、可根据Fluentd-elasticsearch连接全部日志。
(2) 设定云蜜网，应用WAF重定向能力把故意数据信息导流到云蜜网里。
(3) 根据EDR获得详尽蜜罐基础数据，避免0day侵入后，有章可循。
对存在的问题蜜罐数据采集。
(4) 追溯
在wordpress、金蝶软件-U9、致远oaOA等web应用中布署Jsonp探针，获得社交平台信息、电脑浏览器指纹识别，以往30天个人行为。连动威胁情报处理，设定webhook，可通告钉钉打卡、飞书、手机微信。产生进攻可及时处理。
进攻蒙骗技术性整体规划
能想起的：引流方法一部分提升AI鉴别故意总流量重定向，迅速复制业务管理系统，深层设备指纹技术性。可是更主要的是HW的防御方商品用的随手。