近几年，参加国家级、省级攻防演练蓝队主防大大小小10几次，在各类政府、央企集团、大型国企等多样且复杂的网络环境中，在前期需要花费大量精力梳理客户资产，帮客户建立一套纵深防御系统。

在整个攻防演练对抗过程中，作为防守方不仅要防止外部突破，也要防止内部横向渗透。最重要的是如何防守住外部突破的口子，通常对外的口子主要有：互联网对外系统、VPN连接进内网、办公网络、分支机构专线。本文主要分享互联网DMZ区防护系统的关键点。

1、确保业务生产连续性和防守平台可用性

在备战期加固整改过程中，署防守战略和战术的前提要确保业务生产安全稳定运行、防止系统性风险产生；并且确保防守平台整体在实战对抗期间7x24小时可用。

2、确保事件闭环机制

确保对态势感知、流量检测、主机防护、威胁情报、入侵防御和溯源反制等系统的攻击事件进行关联分析与协同联动，形成检测-分析-阻断-溯源-反制的事件闭环流程。

在靶标之外，互联网DMZ区是防守的主要目标，围绕防守目标系统，由外到内，由内到内构建纵深防御体系，并通过安全狗态势感知系统上报，实时发现各类攻击行为或疑似攻击行为。

图1

纵向即由外到内：

横向即由内到内：

1. 监测发现

图2

监测预警组针对各种安全设备做7*24监控，前期重点以互联网入口为重心，主要加强互联网流量探针、WAF、IPS、态势上的告警做监控分析；一周后需要同步加强内部横向的监控，主要有主机安全防护、内网流量探针、内网蜜罐、态势上的告警分析。

态势感知在攻防对抗中使用：

啸天态势感知平台主要包含了对资产分析画像、漏洞风险预警、攻击事件监测和分析、追踪溯源等功能。防守人员在实际的攻防对抗环节中，重点对攻击事件模块进行关注。

操作如下：

打开重保模块——攻击事件核查处置，对所有告警事件进行监测。按照事件的类型，对暴力破解、网页后门、远程漏洞攻击、本地提权事件进行重点关注。

图3

流量分析设备在攻防对抗中的使用：

在实际的攻防对抗环节，网络流量是整个攻击发起的载体，所以威胁感知模块的告警事件需要重点去关注。操作如下：

打开威胁感知—护网工作台，对所有告警事件进行查看，也可以根据需求筛选要查看特定攻击事件。按照攻击类别，对CVE攻击、Webshell、密码暴力破解、WEB远程执行代码、系统提权进行重点分析。如图：

 图4

点开攻击事件可查看详细的攻击信息，在根据情况决定是否提交给事件分析组做进一步溯源和处置。

2. 分析研判

3. 应急处置

应急处置主要分为三个阶段：

4. 追踪溯源

图5

溯源主要任务为：

（1）、安全事件溯源：安全事件的溯源主要为定位分析、复现攻击路径，以便发现防御体系的漏洞和风险，精准修复漏洞和增加防御体系。在分析过程中通过纵深防御系统，各安全设备上的日志，能快速精准的定位还原过程。

（2）、攻击者溯源：综合利用流量分析设备、蜜罐、威胁情报数据，对攻击者进行溯源画像分析。采集如下信息：

攻击IP：真实IP、代理或跳板IP等

攻击路径：由外到内，由内到内，由内到外等所有攻击路径

攻击行为：信息收集、获取权限、横向移动等

攻击手法：Web渗透、0Day攻击、漏洞利用、钓鱼等

攻击者身份画像：虚拟身份、真实身份、联系方式、组织情况

5. 溯源反制

人力投入由不同目标名次决定。不同的目标，做法不一样。如果想完整体会一次，建议配置三个人，一人负责整体组织，报告编制，以及部分反打工作；一人负责web方向，能进行常规反打、获取社工库信息；一人负责二进制和主机分析，熟悉应急响应套路；三人之间还要互相补位，比如寻找上传点、分析登录行为、搭建CS服务端等等。在把握好度的基础上，如果发现了高价值线索，可以临时调拨更高级资源予以协助。例如需要高级木马分析、0Day投放等等。

图6

在攻防演练实践过程中，很重要一步的工作是需要对后续的风险进行下一步的安全规划，加强建设纵深防御体系，而要在日常运营过程中需要一套安全运营机制，才能达到提升安全事件监测预警能力，以及快速响应的闭环能力。