安全课堂|从场景化思维落地主机安全运营

1. 针对端口你有做过以下思考和排查吗？

2. 针对账号你有做过以下思考和排查吗？

·哪些账号具有管理员权限？

·哪些账号可交互登录？

·哪些账号已过期？

·哪些账号密码已过期？

·哪些账号UID不唯一？

·哪些账号该禁用但未被禁用？

·哪些账号半年内或一年内从未登录过？

3. 针对web站点你有做过以下思考和排查吗？

·哪些主机存在web站点？

·哪些web站点是僵尸站点？

·哪些站点以管理员权限运行？

·Web站点运行日志格式是否统一？

4. 针对web应用框架你有做过以下思考和排查吗？

·哪些主机存在web应用框架？

·Web应用框架的类型有哪些？

·Web应用框架的版本有哪些？

·Web应用的路径是否统一？

·业内爆出的高危漏洞是否对我有影响？

5. 针对数据库和中间件你有做过以下思考和排查吗？

·数据库和中间件的类型有哪些？

·数据库和中间件的版本有哪些？

·数据库和中间件是否退运？

·数据库和中间的安装路径是否统一？

1. 事前高危响应

·从安全运营角度对资产进行清点和发现，实现检测异常、风险评估及关联分析

·以符合业务运营的视角对资产安全状态进行管理，共同维护资产信息的完整性和准确性

2. 事中持续攻击

·洛克希德-马丁公司的“杀伤链”模型将一次成功的网络入侵攻击行为分为了七个阶段，安全狗通过理解和分析模型，构建了反杀伤链模型

3. 事后已被入侵

·梳理入侵分析、应急响应处置环节思路，假设已经被攻陷，并获取了系统和设备权限，控制了内网多个主要目标

·被黑处理及追踪溯源

1. 定期对服务器进行安全体检，并及时更新漏洞补丁和病毒库

关注安全厂商发布的漏洞预警和病毒预警，对自身资产进行自查。除业务需要服务外，限制其余不必要服务及端口；

2. 使用安全性高的密码并定期更换

很多计算机管理人员并没有意识到自己使用的是弱口令，如密码带有设备、个人、单位、部门信息；常用英文单词(如Password、key、Huawei、admin)等关键词变型；键盘规律字符(如qaz、qwe、！@#、147)等等都是弱口令。

建议使用大小写字母+数字+符号八位以上的字符串(最好是无规则)用作密码，且强烈不建议多台机器或数据库使用同一密码，应做到一机一码；

3. 建立灾备方案，及时备份重要文件，且文件备份机应与主机隔离

在信息安全中是不存在绝对安全的。因此对于重要资产应建立一套完整的灾备方案，例如定时做好数据备份，建立备用服务器，做好主备机器切换策略，定期进行灾备演练；

4. 限制服务器上的powershell

黑客经常利用powershell来完成渗透攻击，而大部分服务器上承载的业务其实用不到powershell。因此，若业务上用不到powershell组件，建议将其关闭或禁用；

5. 对内网端口进行细粒度管控

6. 对非可信来源的邮件保持警惕

避免打开附件或点击邮件中的链接，同时也要避免打开社交媒体分享的来源不明链接，给信任网站添加书签并通过书签访问；

7. 安全的远程连接方式

确保所有的计算机在使用远程桌面服务时采取VPN连接等安全方式，如果业务上无需使用远程桌面服务，建议将其关闭；

8. 注意内部信息保密

避免内部服务器账号信息流入黑市；

9. 对服务器运行状态进行精准监控

发现CPU、内存和IO等资源异常及时告警；

10. 建立本地威胁情报库