網絡安全監控實戰

標籤

譯者序
序
前言
第一部分 準備開始
第1章 網絡安全監控基本原理 2
1.1 NSM簡介 3
1.1.1 NSM阻止入侵嗎 3
1.1.2 NSM和持續監控的區別 6
1.1.3 NSM與其他方法相比如何呢 7
1.1.4 NSM為什麼有效 8
1.1.5 如何配置NSM 8
1.1.6 NSM何時無效 10
1.1.7 NSM合法嗎 10
1.1.8 在NSM作業期間如何保護用戶隱私 11
1.2 一個簡單的NSM測試 11
1.3 NSM數據的範圍 12
1.3.1 完整內容數據 13
1.3.2 提取的內容數據 15
1.3.3 會話數據 17
1.3.4 事務數據 18
1.3.5 統計數據 19
1.3.6 元數據 21
1.3.7 警報數據 23
1.4 所有這些數據的關鍵是什麼 25
1.5 NSM的缺點 26
1.6 在哪購買NSM 26
1.7 到哪裡尋求支持或更多信息 27
1.8 結論 27
第2章 收集網絡流量：訪問、存儲和管理 28
2.1 試驗性NSM系統的網絡示例 28
2.1.1 簡單網絡中的網絡流 29
2.1.2 NSM的潛在位置 32
2.2 IP地址與網絡地址轉換 33
2.2.1 網絡塊 33
2.2.2 IP地址分配 34
2.2.3 地址轉換 34
2.3 選擇實現網絡可見性的最佳位置 37
2.3.1 觀察DMZ網絡流量的位置 37
2.3.2 觀察無線網絡和內網流量的位置 37
2.4 對流量的物理訪問 39
2.4.1 用交換機實現流量監控 39
2.4.2 使用網絡竊聽器 40
2.4.3 直接在客戶端或服務器上捕獲流量 40
2.5 選擇NSM平臺 41
2.6 10條NSM平臺管理建議 42
2.7 結論 43
第二部分 SO部署
第3章 單機NSM部署與安裝 46
3.1 單機或服務器加傳感器 46
3.2 選擇如何將SO代碼安裝到硬件上 49
3.3 安裝單機系統 50
3.3.1 將SO安裝到硬盤上 50
3.3.2 配置SO軟件 53
3.3.3 選擇管理接口 55
3.3.4 安裝NSM軟件組件 56
3.3.5 檢查安裝 59
3.4 結論 61
第4章 分佈式部署 62
4.1 使用SO的.iso映像安裝SO服務器 62
4.1.1 關於SO服務器的一些考慮 63
4.1.2 創建SO服務器 63
4.1.3 配置SO服務器 64
4.2 使用SO的.iso映像安裝SO傳感器 66
4.2.1 配置SO傳感器 66
4.2.2 完成配置 68
4.2.3 驗證傳感器正在工作 68
4.2.4 驗證autossh隧道正在工作 69
4.3 使用PPA創建SO服務器 69
4.3.1 安裝Ubuntu服務器作為SO服務器操作系統 70
4.3.2 選擇靜態IP地址 71
4.3.3 更新軟件 73
4.3.4 通過PPA配置SO服務器 74
4.4 使用PPA創建SO傳感器 75
4.4.1 安裝Ubuntu服務器作為SO傳感器操作系統 75
4.4.2 將系統配置為傳感器 77
4.4.3 運行設置嚮導 78
4.5 結論 81
第5章 SO平臺的日常管理 82
5.1 及時更新SO 82
5.1.1 通過GUI更新 82
5.1.2 通過命令行更新 83
5.2 限制對SO的訪問 84
5.2.1 通過SOCKS代理連接 85
5.2.2 改變防火牆策略 86
5.3 管理SO數據存儲 87
5.3.1 管理傳感器存儲 88
5.3.2 檢查數據庫驅動器的使用 88
5.3.3 管理Sguil數據庫 89
5.3.4 跟蹤磁盤使用 89
5.4 結論 90
第三部分 工具
第6章 命令行下的數據包分析工具 92
6.1 SO工具種類 92
6.1.1 SO數據表示工具 92
6.1.2 SO數據收集工具 93
6.1.3 SO數據傳送工具 93
6.2 運行Tcpdump 94
6.2.1 用Tcpdump顯示、寫入和讀取流量 95
6.2.2 使用Tcpdump過濾器 97
6.2.3 從Tcpdump輸出中提取細節 99
6.2.4 用Tcpdump研究完整內容數據 99
6.3 使用Dumpcap和Tshark 100
6.3.1 運行Tshark 101
6.3.2 運行Dumpcap 101
6.3.3 使用Tshark分析Dumpcap捕獲的流量 102
6.3.4 對Tshark使用顯示過濾器 103
6.3.5 Tshark顯示過濾器應用示例 105
6.4 運行Argus和Ra客戶端 106
6.4.1 停止及啟動Argus 106
6.4.2 Argus文件格式 107
6.4.3 研究Argus數據 107
6.5 結論 110
第7章 圖形化數據包分析工具 111
7.1 使用Wireshark 111
7.1.1 運行Wireshark 111
7.1.2 在Wireshark中查看數據包捕獲 112
7.1.3 修改默認的Wireshark佈局 112
7.1.4 Wireshark一些有益的特性 115
7.2 使用Xplico 121
7.2.1 運行Xplico 122
7.2.2 創建Xplico實例和會話 123
7.2.3 處理網絡流量 123
7.2.4 檢查解碼的流量 124
7.2.5 獲取元數據和彙總流量 126
7.3 使用NetworkMiner檢查內容 127
7.3.1 運行NetworkMiner 127
7.3.2 收集和組織流量細節 128
7.3.3 描繪內容 130
7.4 結論 131
第8章 NSM控制檯 132
8.1 以NSM為中心查看網絡流量 132
8.2 使用Sguil 133
8.2.1 運行Sguil 134
8.2.2 Sguil的6個關鍵功能 135
8.3 使用Squert 144
8.4 使用Snorby 145
8.5 使用ELSA 148
8.6 結論 151
第四部分 NSM實踐
第9章 NSM操作 154
9.1 企業安全週期 154
9.1.1 規劃階段 155
9.1.2 抵抗階段 155
9.1.3 檢測和響應階段 155
9.2 收集、分析、升級和解決 156
9.2.1 收集 156
9.2.2 分析 159
9.2.3 升級 162
9.2.4 解決 164
9.3 補救 167
9.3.1 使用NSM改進安全 167
9.3.2 創建CIRT 168
9.4 結論 169
第10章 服務器端攻擊 170
10.1 服務器端攻擊的定義 170
10.2 服務器端攻擊實戰 171
10.2.1 啟動Sguil 172
10.2.2 從Sguil查詢會話數據 173
10.2.3 再談警報數據 176
10.2.4 使用Tshark檢查完整內容數據 178
10.2.5 理解後門 180
10.2.6 入侵者做了什麼 181
10.2.7 入侵者還做了什麼 184
10.3 瀏覽會話數據 185
10.3.1 搜索Bro DNS日誌 186
10.3.2 搜索Bro SSH日誌 187
10.3.3 搜索Bro FTP日誌 188
10.3.4 解碼遭竊的敏感數據 190
10.3.5 提取被盜的歸檔 191
10.4 後退一步 192
10.4.1 階段1總結 192
10.4.2 階段2總結 192
10.4.3 後續步驟 193
10.5 結論 193
第11章 客戶端攻擊 194
11.1 客戶端攻擊的定義 194
11.2 客戶端攻擊實戰 195
11.2.1 獲取用戶的事件報告 196
11.2.2 使用ELSA開始分析 197
11.2.3 查找丟失的流量 201
11.3 分析Bro dns.log文件 202
11.4 檢查目的端口 204
11.5 研究命令控制通道 206
11.5.1 初始訪問 207
11.5.2 改善shell 211
11.5.3 總結階段1 212
11.5.4 轉向另一個受害者 212
11.5.5 安裝隱秘隧道 213
11.5.6 枚舉受害者 214
11.5.7 總結階段2 215
11.6 結論 215
第12章 擴展SO 217
12.1 使用Bro跟蹤可執行文件 217
12.1.1 用Bro計算下載的可執行文件的散列 217
12.1.2 向VirusTotal提交散列 218
12.2 使用Bro從流量中提取二進制程序 219
12.2.1 配置Bro從流量中提取二進制程序 220
12.2.2 收集流量來測試Bro 221
12.2.3 測試Bro：從HTTP流量中提取二進制程序 222
12.2.4 研究從HTTP中提取的二進制程序 224
12.2.5 測試Bro：從FTP流量中提取二進制程序 224
12.2.6 研究從FTP中提取的二進制程序 226
12.2.7 向VirusTotal提交散列和二進制程序 226
12.2.8 重啟Bro 228
12.3 使用APT1情報 230
12.3.1 使用APT1模塊 230
12.3.2 安裝APT1模塊 232
12.3.3 生成流量來測試APT1模塊 232
12.3.4 測試APT1模塊 233
12.4 報告惡意二進制程序的下載 235
12.4.1 使用Team Cymru的Malware Hash Registry 235
12.4.2 MHR和SO：默認有效 236
12.4.3 MHR和SO與惡意程序下載 237
12.4.4 識別二進制程序 238
12.5 結論 240
第13章 代理與校驗和 241
13.1 代理 241
13.1.1 代理與可見性 242
13.1.2 處理生產網絡中的代理 245
13.2 校驗和 246
13.2.1 好的校驗和 246
13.2.2 壞的校驗和 246
13.2.3 使用Tshark識別好的和壞的校驗和 247
13.2.4 壞的校驗和如何產生 249
13.2.5 Bro與壞的校驗和 249
13.2.6 設置Bro忽略壞的校驗和 251
13.3 結論 253
第14章 總論 254
14.1 雲計算 254
14.1.1 雲計算的挑戰 255
14.1.2 雲計算的好處 256
14.2 工作流、度量與協作 257
14.2.1 工作流和度量 257
14.2.2 協作 258
14.3 結論 259
附錄 SO腳本與配置 260