做外贸一般在哪个网站,wordpress淘客程序,做网站模板和服务器是一样的吗,宁波制作网站企业有哪些什么是红蓝对抗
在军事领域#xff0c;演习是专指军队进行大规模的实兵演习#xff0c;演习中通常分为红军、蓝军#xff0c;演习多以红军守、蓝军进攻为主。类似于军事领域的红蓝军对抗#xff0c;网络安全中#xff0c;红蓝军对抗则是一方扮演黑客#xff08;蓝军演习是专指军队进行大规模的实兵演习演习中通常分为红军、蓝军演习多以红军守、蓝军进攻为主。类似于军事领域的红蓝军对抗网络安全中红蓝军对抗则是一方扮演黑客蓝军一方扮演防御者红军。在国外的话进行渗透攻击的团队经常称做红队在国内称为蓝队实际上应该是比较准确的叫法。
红蓝对抗的目的
安全是一个整体正如木桶定律最短的木板是评估木桶品质的标准安全最薄弱环节也是决定系统好坏的关键。而网络红蓝军对抗的目的就是用来评估企业安全性有助于找出企业安全中最脆弱的环节提升企业安全能力的建设。
红蓝对抗关注点
其实红蓝对抗点没有统一的标准因为很多会涉及到业务以及内网攻击的场景所以个人认为红蓝团队比较适合甲方团队自己组建这样信息资源比较可控做的也会更细致。例如曾经在中小型互联网公司做的红蓝对抗点
外网web安全 办公网安全 IDC主机安全 DB专项 这边web安全的关注点会不同于渗透测试的团队例如红蓝团队就会关注一些敏感文件泄漏、管理后台暴露、waf有效性、waf防御效果、违规使用的框架等。再例如办公网安全红蓝团队还会关注安全助手的一些问题也就是说红蓝团队关注的不仅是应用服务的漏洞各个安全组件的效果、漏洞都会关注到。
上面都是按照一个个大项来进行其实还有的红蓝团队是按项目来分比如说xx支付业务红蓝对抗给你域名或者ip让你自由发挥不限方法拿到目标flag例如xx支付的数据或者机器权限等这个过程不要求测的全以结果为导向。然后红队防御方尽可能复盘补漏把不完善的地方都补齐。后面可以继续进行对抗演练继续找出薄弱点这边很考验红队的技术和业务的了解程度能从蓝队的攻击链路中找出尽可能多的脆弱点做出防御策略。所以我觉得红蓝对抗还是得根据公司的规模、安全人员的比例、技术人员的素养做制定都按同一套标准是不会适用所有公司的。我的建议就是中小规模公司的红蓝对抗点尽可能覆盖全尽可能找出全量的脆弱点让红队的人员进行修复后进行新一轮对抗。而大公司就可以不用考虑面面俱到以夺取目标结果为导向脆弱点由红队自己发现红队自己修复而后周期的进行红蓝对抗。可以看出大公司的红蓝对抗更类似于APT攻击这也正是大公司蓝队喜欢招APT人员的关系。
红蓝对抗测试的方法
如果是中小型的互联网企业的话我的方法是先预先讨论好并记录下脑图然后
按专项测试 每个专项包含很多点按点排期测试 报告撰写漏洞闭环 例行扫描 持续跟进复盘测试 因为中小型企业个人认为还是以全为主尽可能把漏洞修复完。大型公司可以大量的人力投入业务也繁多还是以结果导向漏洞的薄弱点由红队确认所以方法就没有统一的标准。
红蓝对抗注意事项 测试前提前报备 有可能会影响到业务的操作时候务必提前沟通 漏洞的确认按照公司的规范制度制定 漏洞和业务沟通确认后再发工单修复 漏洞闭环 这边需要注意的是测试需要提前报备免得事后被业务捅更要注意的是测试千万不要影响到业务。 还有经常有点大家会忽略的是一定要进行漏洞闭环发现漏洞而不去解决漏洞等于无效漏洞。
红蓝对抗所需技术
红蓝对抗不同于渗透测试红蓝对抗测试的范围很广泛不仅需要渗透技术还需要逆向、脚本编程、各种绕过黑魔法等。所以红蓝对抗不仅需要渗透测试的人才也需要逆向的工程师甚至是区块链安全工程师、数据安全方向的工程师等所以说其实在大公司更容易开展红蓝对抗因为大公司人才更加齐全。红蓝对抗也需要团队的协作一个人是比较难完成的更好的方式不同的团队进行红蓝对抗每个团队攻击的方法思路也不尽相同更能模拟真实的场景攻击对于红队查缺补漏也更有帮助。如下是用到的一小部分工具
Python IDA JEB Masscan Nmap Metasploit 搜集的各类样本
总结
红蓝对抗一定要区别于渗透测试渗透测试这是每个公司的标配。红蓝对抗的价值在于挖掘渗透测试不关注的漏洞或者渗透测试无法覆盖的点并且持续的对抗不断帮助业务提升安全能力完善自己的安全防御。根据自己做的红蓝对抗经验来说我们发现办公安全助手的漏洞、waf的部署缺和绕过缺陷以及HIDS一些缺陷等。其实这些东西渗透测试很少会去涉及和考虑而红蓝对抗的作用就显现这些风险的发现对于自身的安全防御是有很大的帮助的因为你挖漏洞只是修修补补而做这些红蓝对抗发现的问题则是解决一类的问题。对于这种方式的对抗老大也认可自己也有很有满足感所以对于红蓝对抗其实是很适合互联网安全团队去尝试组建的。
网络安全学习路线 2024最新整理 如图片过大被平台压缩导致看不清的话评论区点赞和评论区留言扣1或者关注我我后台会主动发给你 第一阶段安全基础 网络安全行业与法规 Linux操作系统 计算机网络 HTML PHP Mysql Python基础到实战掌握 第二阶段信息收集 IP信息收集 域名信息收集 服务器信息收集 Web网站信息收集 Google hacking Fofa网络安全测绘 第三阶段Web安全 SQL注入漏洞 XSS CSRF漏洞 文件上传漏洞 文件包含漏洞 SSRF漏洞 XXE漏洞 远程代码执行漏洞 密码暴力破解与防御 中间件解析漏洞 反序列化漏洞 第四阶段渗透工具 MSF Cobalt strike Burp suite Nessus Appscea AWVS Goby XRay Sqlmap Nmap Kali 第五阶段实战挖洞 漏洞挖掘技巧 Src Cnvd 众测项目 热门CVE漏洞复现 靶场实战 学习资料的推荐
学习框架已经整理完毕现在就差资料资源了我这里整理了所有知识点对应的资料资源文档大家不想一个一个去找的话可以参考一下这些资料
1.视频教程 2.SRC技术文档PDF书籍 3.大厂面试题 特别声明
此教程为纯技术分享本教程的目的决不是为那些怀有不良动机的人提供及技术支持也不承担因为技术被滥用所产生的连带责任本教程的目的在于最大限度地唤醒大家对网络安全的重视并采取相应的安全措施从而减少由网络安全而带来的经济损失。
