中文
2023-11-16 10:44:33
壞消息：近期，“銀狐”釣魚事件頻發，此次傳播的木馬病毒偽裝成一個“工資調整”文件，誘惑性極強，誰看了不迷糊呢？（點擊跳轉：《銀狐獵影：深度揭示銀狐團伙技戰法》）
更壞的消息：年底了，黑客也要沖擊自己的KPI，業界戲稱“達則0day攻擊，窮則社工釣魚”，火藥味兒正濃。
從全年整體趨勢來看，在實戰攻防演練中，社工釣魚也逐漸成為攻擊隊的常見“利器”：
1.某金融機構經深信服XDR檢測到員工主機存在APT釣魚投毒樣本，經確認為員工微信群消息自動下載文件，所幸的是，該文件并未被執行解壓。
2.某頭部銀行檢測到一臺終端訪問了某CS域名，因無法溯源到釣魚終端，最終采用強制斷網措施。
3.某大型上市企業疑似員工打開了雙后綴釣魚文件，通過EDR采集端側行為日志，經XDR告警定性，確認為定向攻擊。
釣魚攻擊可以很巧妙地針對不同人員的業務和人性特點，定制攻擊方案與話術：
“請下載附件查看詳細信息。”
“您的賬號登陸異常，請及時處理！”
……
當您看到這樣的“話術”，可要提起十二萬分的精神。一旦按照話術進行操作，您的終端將猶如“人質”被挾持，“幫助”攻擊者完成后續入侵流程。
常見的釣魚入侵流程
第一步
用戶運行惡意程序文件，該文件釋放魔改CS馬的主程序，并且自動添加任務計劃，包括開機啟動和定時執行木馬，并主動向CDN域名發起請求，例如：（*.cdn.abc.com.cn）。
第二步
成功上線后，攻擊者使用CS插件一鍵自動化采集本地信息，如主機信息、網絡信息等，還會使用mimikatz工具獲取主機的登錄口令，并使用臨時文件傳輸工具下載惡意文件如fscan、frp等。
第三步
攻擊者一般使用frp之類的代理工具訪問內網應用，手法隱蔽。
第四步
實施攻擊后滲透，初級攻擊者可能會使用fscan工具，快速發現目標網絡的弱點。而高級攻擊者則會更加謹慎，使用已經收集到的賬號密碼訪問網站/應用，或進行低頻率暴破。如果某些應用存在RCE漏洞，也會被攻擊者利用。
總之，攻擊者釣魚成功后的目標就是尋找靶標的位置，并在內網中進行橫向移動，突破防御，控制更多的節點。
千防萬防，社工釣魚難防。
如此被動的局面下，
真的無計可施？
莫慌，深信服身經百戰，
基于釣魚攻擊入侵過程的研究，
已生成兩套“獨家秘籍”，
并親身實踐，認證有效。
防社工釣魚秘籍
秘籍一：XDR+GPT 安全運營“智能駕駛”模式
以高質量的遙測數據為基礎，以「開放平臺+領先組件+云端服務」為落地，用戶在日常安全運營與實戰攻防對抗中，通過深信服XDR平臺多源數據聚合分析、極致告警降噪等能力，可以在海量日志中快速定位釣魚事件；結合安全GPT 2.0“智能駕駛”能力，將實現“秒級閉環，百倍提效，千萬級降本”的效率和能力躍升。
1. XDR分鐘級檢測研判，一鍵智能響應
（1）檢測層面
經驗豐富的攻擊者都非常謹慎，釣魚入侵行為都會事先做繞過測試，這就導致一般的端點和流量檢測設備不會有明顯的告警。
如一個用戶點擊程序文件，釋放了文件，添加了任務計劃，請求了xxx.cn.cdn.abc.com.cn，這里每一個行為單獨看都可以認為是正常情況，在單一的端點或流量側組件視角無法精準體現告警。
而通過XDR平臺多源數據聚合、網端關聯分析能力，則可以把單位時間內的日志聚合，形成多個告警，將每一個告警作為事件判斷可信度的依據之一，并通過攻擊故事線，將釣魚攻擊事件各個階段描繪出來。
（2）響應層面
釣魚攻擊一般通過跳板實施，成熟的攻擊團隊在釣魚終端上線成功后，可做到分鐘級完成入侵，因此如何智能快速響應、搶先攻擊者一步，這是對防守方極具難度的考驗。
深信服XDR平臺可提供兩種響應處置方式：
一是聯動SOAR自動處置，基于前期的資產梳理，提前設置響應劇本、配置觸發條件，一旦識別到釣魚事件時，自動執行響應劇本并發送消息到安全運營工作群或指定責任人，可配置的劇本動作包括（封鎖IP、攔截域名、隔離文件，阻斷進程等）。
二是智能對抗，XDR平臺內置的通用高危高可信的響應劇本，在檢測到特定的惡意訪問行為后，自動執行攔截封堵，無需進行額外操作。
深信服親身實戰效果
△ 點擊查看視頻：深信服內部一場真實的攻防演練
2. 安全GPT 2.0 實現效率與能力躍升
安全GPT 2.0作為安全運營智能助手，實現全天候智能值守，將進一步突破用戶人員能力和精力瓶頸，提升安全運營效率和效果。
安全GPT 2.0基于思維鏈理解安全事件，可自主對絕大多數告警和事件進行研判、處置、總結，真正實現30秒研判遏制威脅，單一事件平均閉環時間縮減96.6%。而這一過程，運營人員僅需進行審核或復查。
針對釣魚攻擊產生的告警，安全GPT支持以自然語言對告警數據包進行解讀，并支持多輪追問解答，輔助運營人員進一步研判。
△ 點擊查看視頻：深信服安全GPT 2.0 效果演示
秘籍二：零信任X-SDP “主動防御+被動防御”
深信服在業界率先推出零信任全新能力X-SDP，集“被動防御+主動防御”于一身，對SDP架構進行擴展升級，創新融合“鑒白”“鑒黑”邏輯，有效應對利用內部人員的疏忽來繞過防線的釣魚攻擊行為。
1. 三道防線，體系化與縱深化的被動防御能力
（1）可信授權訪問，減少內網攻擊面
攻擊者釣魚成功后，會以內網終端為訪問跳板，對一些沒有實施訪問控制的內網網段進行掃描探測，并對目標實施暴破、漏洞入侵等，即可拿下大量的服務器權限。而深信服零信任可實現內外網統一接入，即使終端位于內網環境，訪問應用之前也需要經過認證和授權，由此大幅收斂內網暴露面。
（2）基于條件控制用戶訪問范圍
攻擊者釣魚成功后，以內網終端發起攻擊訪問時，其訪問環境、時間或行為有別于正常訪問，基于對攻擊者訪問環境、訪問時間和行為的分析，識別存在風險的訪問行為，觸發深信服零信任的增強認證或降權，由此進一步遏制釣魚成功的后續入侵行為，并以告警消息及時提醒用戶。
（3）基于可信進程，杜絕異常程序訪問
攻擊者釣魚成功后，通常會采用frp代理等方式建立連接通道，從而發起對內網業務的攻擊。通過零信任，可以識別到frp程序進程，攻擊者通過frp代理將被禁止訪問，即攻擊者將無法遠程訪問應用，同時可設置應用訪問的可信進程，如針對B/S應用，將瀏覽器類進程設置為允許訪問的可信進程。該技術方案也可以發現主機被植入其他的蠕蟲病毒發起的低頻掃描。
2. 零誤報鑒黑，秒速自阻斷，可擴展的主動防御能力
結合欺騙防御的新型技術思路，深信服零信任推出了主動防御能力，逆轉在釣魚攻擊中“攻防不對等”的局面，引導攻擊者暴露攻擊行為，瞬間掐斷攻擊通路，快速回溯攻擊路徑。
深信服總結出以下三類有效實踐場景：
（1）應用誘餌
在收斂了應用訪問入口的基礎上，零信任X-SDP主動發布誘餌應用，如MSSQL、SSH等。這些應用對正常用戶不可見，但會被進行信息探測的攻擊者發現，因而一旦誘餌被攻擊者訪問，即可阻斷釣魚終端訪問，并主動告警。
（2）文件誘餌
除了誘餌應用外，零信任X-SDP還可以向終端下發文件誘餌，如偽裝成密碼本的Excel文件。當攻擊者在釣魚終端上進行信息探測時，一旦訪問對應文件中的地址，即可發現釣魚失陷終端，并主動告警。
（3）瀏覽器誘餌
前面釣魚攻擊入侵流程提到，攻擊者一般會提取用戶的訪問記錄和賬號密碼信息，因此零信任X-SDP可以在瀏覽器中插入訪問記錄和賬號密碼，一旦攻擊者主動嘗試訪問零信任agent生成的誘餌訪問記錄和賬號密碼，即可快速發現入侵行為。
深信服親身實戰效果
△點擊查看視頻：零信任X-SDP實現首例真實釣魚攻擊事件捕獲
網絡安全的本質是攻防兩端能力的較量。然而防守方的安全能力建設無法一步到位。
我們需要做的是結合業務和安全建設成熟度，平衡業務安全與使用體驗，選擇合適的建設方案，提升攻擊成本和入侵難度，方能致力于“安全領先一步”。
*本文參考：《干貨分享|安全企業內部釣魚實戰對抗揭秘》
