1. 项目概述
在网络安全领域，红蓝对抗演练（俗称"护网行动"）已成为检验企业安全防御能力的黄金标准。作为参与过多次实战的蓝军成员，我深刻体会到：真正的安全防御不是堆砌设备，而是建立一套科学、高效的战术体系。本文将分享我在实战中总结的蓝军防御框架，涵盖从战略规划到战术执行的全流程细节。
2. 防御战略构建
2.1 核心假设与作战原则
基于多年对抗经验，我们确立以下基本假设：
- 漏洞必然存在：任何系统都存在攻击面，关键是如何降低被利用概率
- 攻击成本约束：90%的攻击者会优先选择低防御目标
- 攻击特征可识别：除APT攻击外，大部分攻击行为都会留下可检测痕迹
- 时间窗口关键：攻击者从入侵到横向移动平均需要4-6小时
对应制定四大作战原则：
- 纵深防御：建立网络边界、主机、应用三层防护
- 动态响应：实现攻击检测-分析-处置的15分钟闭环
- 成本抬升：通过自动化封堵增加攻击者时间成本
- 情报驱动：整合威胁情报实现主动防御
2.2 防御体系架构
典型企业防御架构应包含以下组件：
code复制[边界层]
├─ 下一代防火墙（策略精细化）
├─ WAF集群（含动态防护）
├─ 流量清洗设备
└─ 高交互蜜网
[网络层]
├─ 网络流量分析（NTA）
├─ 全流量存储（PCAP）
└─ NetFlow/sFlow监控
[主机层]
├─ EDR终端防护
├─ 主机基线监控
└─ 日志审计系统
[管理平台]
├─ SIEM中枢
├─ SOAR自动化
└─ 威胁情报平台
3. 关键防御战术详解
3.1 边界防护强化
3.1.1 防火墙策略优化
建议采用"三级封堵"策略：
| 威胁级别 | 处置方式 | 封禁时长 |
|---|---|---|
| 扫描探测 | 丢弃报文 | 1小时 |
| 漏洞利用 | 阻断连接+临时封禁 | 24小时 |
| 持续攻击 | 永久封禁+情报共享 | 永久 |
重点封禁端口清单：
bash复制# 高危服务端口
445,3389,1433,3306,5432,6379,27017
# 管理接口端口
8080,8443,9000,50050
# 易受攻击中间件
9200,9300,11211,50070
3.1.2 WAF动态防护
构建四层防护规则：
- 基础规则库：启用OWASP CRS 3.3核心规则集
- 扫描器特征：识别常见工具指纹（附部分特征）：
regex复制(nmap|sqlmap|burp|acunetix|nessus|awvs) - 漏洞POC特征：针对历史漏洞建立特征库（示例）：
text复制
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp /weaver/bsh.servlet.BshServlet - 行为模型规则：检测异常访问频率（>50req/min）和攻击链
3.2 内网监测体系
3.2.1 网络流量分析
关键监测指标：
- 横向移动：SMB/RDP异常连接
- 数据渗出：异常DNS查询、大流量外联
- C2通信：周期性心跳包、加密流量特征
检测规则示例（Suricata语法）：
suricata复制alert tcp any any -> $HOME_NET 445 (msg:"Suspicious SMB Copy";
flow:established; content:"|00 00 00 31 ff|SMB|2e|";
content:"copy"; distance:0; within:4;
metadata:policy balanced-ips drop; sid:1000001;)
3.2.2 主机日志监控
重点监控事件类型：
- 账户异常：非工作时间登录、多地点登录
- 进程创建：可疑子进程派生（如cmd->powershell）
- 文件操作：敏感目录写入（如Temp目录生成可执行文件）
典型攻击特征：
json复制{
"event_type": "ProcessCreate",
"command_line": "certutil -decode encoded.txt payload.exe",
"parent_process": "explorer.exe"
}
3.3 自动化响应
3.3.1 SOAR剧本设计
封禁IP自动化流程：
- 多设备日志聚合分析
- 威胁评分（基于频率、行为模式）
- 自动生成处置工单
- 执行防火墙/WAF封禁
- 同步至威胁情报平台
典型伪代码实现：
python复制def auto_block(ip):
threat_score = calculate_threat(ip)
if threat_score > 80:
firewall.block(ip, permanent=True)
waf.block(ip)
ti.submit(ip, category='Scanner')
ticket.create(
priority='High',
action=f'IP {ip} auto-blocked'
)
3.3.2 蜜罐联动策略
高交互蜜罐部署建议：
- 服务类型：伪造OA、ERP、数据库服务
- 诱饵数据：放置伪装的客户数据、财务表格
- 触发机制：访问敏感路径立即告警并记录攻击链
4. 实战案例复盘
4.1 某金融企业防御战例
攻击过程：
- 攻击者通过Struts2漏洞入侵外网Web服务器
- 上传Webshell获取立足点
- 利用Jenkins服务漏洞横向移动
- 尝试访问数据库服务器
防御措施：
- WAF识别异常OGNL表达式并阻断（阶段1）
- HIDS检测到Webshell上传行为（阶段2）
- NTA发现异常Jenkins API调用（阶段3）
- 数据库防火墙阻断未授权访问（阶段4）
处置时间线：
code复制00:05 攻击开始
00:07 WAF产生第一条告警
00:12 安全人员确认攻击
00:15 隔离受影响主机
00:18 完成所有处置
4.2 防御效果统计
某次护网行动数据：
| 指标 | 数值 |
|---|---|
| 攻击尝试次数 | 12,857次 |
| 自动化封禁IP | 2,341个 |
| 人工处置事件 | 47起 |
| 平均响应时间 | 8分32秒 |
| 关键系统零失陷 | 100% |
5. 持续改进建议
5.1 防御能力度量
建议定期评估以下指标：
- MTTD（平均检测时间）：控制在5分钟内
- MTTR（平均响应时间）：控制在15分钟内
- 规则覆盖率：关键漏洞POC检测率需达95%+
- 误报率：自动化处置误报率低于0.1%
5.2 人员能力培养
核心能力矩阵：
mermaid复制graph TD
A[基础技能] --> B[网络协议分析]
A --> C[日志分析]
A --> D[安全设备配置]
E[进阶技能] --> F[威胁狩猎]
E --> G[逆向分析]
E --> H[攻击模拟]
5.3 典型问题解决方案
问题1：WAF规则频繁误报
- 解决方案：建立灰度测试机制，新规则先在观察模式运行24小时
问题2：内网横向移动难检测
- 解决方案：部署网络微隔离，限制445/3389等端口仅对管理网段开放
问题3：安全设备告警疲劳
- 解决方案：实施告警聚合，相同源IP的相似告警合并处理
6. 防御检查清单
6.1 战前准备
- [ ] 资产清单更新（含所有外网IP和域名）
- [ ] 漏洞扫描与修复验证
- [ ] 安全设备规则库更新
- [ ] 备份系统验证
- [ ] 应急响应预案演练
6.2 战中监控
- [ ] 7×24小时双人值守
- [ ] 每2小时检查关键指标
- [ ] 威胁情报实时同步
- [ ] 攻击IP共享机制
6.3 战后复盘
- [ ] 攻击链完整还原
- [ ] 防御缺口分析
- [ ] 规则优化方案
- [ ] 架构改进计划
在实际防御中，我们坚持"三分技术，七分管理"的原则。曾经有个案例，攻击者通过钓鱼邮件突破防线后，却因为内网严格的权限划分未能扩大战果。这提醒我们：真正的安全防御是技术与管理的有机结合，需要持续优化、与时俱进。