AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎(chǔ)設(shè)施
態(tài)勢(shì)感知
云安全
基礎(chǔ)安全
終端安全
商用密碼
軟件供應(yīng)鏈安全
網(wǎng)絡(luò)空間靶場(chǎng)
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務(wù)
運(yùn)營(yíng)管理服務(wù)
動(dòng)態(tài)專區(qū)
九維團(tuán)隊(duì)-紫隊(duì)（優(yōu)化）| 紫隊(duì)劇本: 安全測(cè)試的威脅建模（八）
寫(xiě)在前邊
1. 本文原文為Felisha Mouchous于2020年發(fā)表的《Purple Team Playbook: Threat Modeling for Security Testing》，本文為譯者對(duì)相關(guān)內(nèi)容的翻譯及實(shí)踐記錄，僅供各位學(xué)術(shù)交流使用。另出于易讀性考慮，對(duì)部分字句有所刪改。
2. 如各位需要引用，請(qǐng)做原文應(yīng)用，格式如下所示：
[序號(hào)]Felisha Mouchous,‘Purple Team Playbook: Threat Modeling for Security Testing’, 2020.
六、紫隊(duì)劇本討論
在本節(jié)中，我們將討論紫隊(duì)劇本框架應(yīng)用于安全測(cè)試場(chǎng)景時(shí)如何處理威脅建模中的問(wèn)題，此外，我們還將討論P(yáng)TP框架和其他應(yīng)用程序的局限性。
??
在對(duì)本文進(jìn)行背景研究的同時(shí)，我們發(fā)現(xiàn)紅隊(duì)和藍(lán)隊(duì)缺乏可在其組織內(nèi)部使用的威脅建?？蚣?。紫隊(duì)劇本通過(guò)提供一個(gè)框架來(lái)解決這一問(wèn)題，該框架可用于為組織提供相關(guān)的攻擊和防御數(shù)據(jù)。
PTP現(xiàn)在仍處于原型階段，我們已經(jīng)創(chuàng)建了框架的數(shù)據(jù)可視化部分，并模擬了框架所需的數(shù)據(jù)饋送和數(shù)據(jù)模型。PTP正在解決一個(gè)復(fù)雜的問(wèn)題，即組織擁有許多安全工具，但無(wú)法訪問(wèn)集中知識(shí)庫(kù)中的所有數(shù)據(jù)，因此可能無(wú)法完全了解需要測(cè)試的內(nèi)容。
在一個(gè)組織中，使用這個(gè)框架需要一些時(shí)間和內(nèi)部資源才能找到合適的數(shù)據(jù)源并將其輸入紫隊(duì)數(shù)據(jù)集。同時(shí)，自動(dòng)化數(shù)據(jù)饋送會(huì)使數(shù)據(jù)維護(hù)成本減少。然后，相關(guān)團(tuán)隊(duì)可以訪問(wèn)這些數(shù)據(jù)，他們可以使用數(shù)據(jù)可視化工具以任何方式查看數(shù)據(jù)。PTP的主要目的是提供一個(gè)框架，供內(nèi)部紅藍(lán)隊(duì)使用，以確定需要測(cè)試的內(nèi)容。
威脅建模的一個(gè)主要挑戰(zhàn)是，模型很難維護(hù)，且取決于建模用戶的能力。PTP框架不能取代專業(yè)的紅隊(duì)或藍(lán)隊(duì)測(cè)試人員的經(jīng)驗(yàn)；然而，它可以提供一個(gè)集中的知識(shí)庫(kù)，其中包含可用于安全測(cè)試建模的可靠數(shù)據(jù)。
我們承認(rèn)，有一些工具具有類似的功能，但成本高昂，因?yàn)榇蠖嗍巧虡I(yè)工具。PTP可以被組織用作了解其安全數(shù)據(jù)的基礎(chǔ)。如果一個(gè)組織決定購(gòu)買(mǎi)安全測(cè)試或自動(dòng)化工具，那么他們可以根據(jù)PTP做出更明智的決定。較小的組織可能無(wú)法證明商業(yè)工具成本的合理性，因此PTP為他們提供了參考。
安全測(cè)試的一個(gè)挑戰(zhàn)是，在一個(gè)組織中，紅隊(duì)和藍(lán)隊(duì)之間存在脫節(jié)。PTP允許紅隊(duì)和藍(lán)隊(duì)訪問(wèn)彼此的數(shù)據(jù)，以便了解已測(cè)試的內(nèi)容和需要測(cè)試的內(nèi)容。這鼓勵(lì)了創(chuàng)新，因?yàn)榧t隊(duì)將知道攻擊無(wú)法成功的原因，因此他們將研究和嘗試新的攻擊手段。這也有助于藍(lán)隊(duì)制定新的防御措施，如SIEM用例，這些用例將根據(jù)攻擊者可能?chē)L試的技術(shù)來(lái)識(shí)別行為。
PTP還允許用戶俯瞰整個(gè)組織，以便他們判斷漏洞的影響及其對(duì)資產(chǎn)的影響。例如，在一次測(cè)試中發(fā)現(xiàn)了一個(gè)web漏洞，我們可以使用PTP來(lái)了解組織的其他web應(yīng)用程序以及它們是否受到影響。
PTP解決了STRIDE模型的一些問(wèn)題，在該模型中，它被認(rèn)為缺乏粒度，并且沒(méi)有提供威脅緩解措施。PTP使用已建立的攻擊庫(kù)（如Mitre ATT&CK框架）提供所需的粒度級(jí)別，還提供緩解措施和跟蹤數(shù)據(jù)，以了解組織是否已解決問(wèn)題。
PTP應(yīng)用程序查看器解決了攻擊樹(shù)面臨的挑戰(zhàn)，即攻擊樹(shù)可能變得無(wú)法管理。通過(guò)PTP中殺傷鏈或Mitre框架中映射的數(shù)據(jù)，用戶可以清楚地了解已測(cè)試的內(nèi)容以及組織中存在的風(fēng)險(xiǎn)。用戶還可以使用PTP作為威脅建模工具（如Seaponge）的數(shù)據(jù)源。
根據(jù)PTES，滲透測(cè)試威脅建模沒(méi)有推薦使用的現(xiàn)成的模型，因此PTP中的數(shù)據(jù)可以與其他模型互換使用。例如，它可以用于填充鉆石模型的數(shù)據(jù)，通過(guò)在PTP中提供高質(zhì)量的數(shù)據(jù)，分析師可以將這些數(shù)據(jù)使用于其他模型，可確保他們正在正確地識(shí)別威脅。
??
在前文中，我們研究了兩種安全測(cè)試場(chǎng)景，并在測(cè)試的威脅建模階段使用PTP框架。出于這些場(chǎng)景的目的，我們只查看了測(cè)試的威脅建模階段，并使用數(shù)據(jù)可視化工具“Tableau”查看PTP數(shù)據(jù)。
在第一個(gè)測(cè)試場(chǎng)景中，我們進(jìn)行了一個(gè)web應(yīng)用程序的傳統(tǒng)滲透測(cè)試，在這樣的常規(guī)測(cè)試中，測(cè)試人員將使用他們自己儲(chǔ)備的測(cè)試知識(shí)以及從相關(guān)業(yè)務(wù)人員處獲得的數(shù)據(jù)。根據(jù)我們自己的經(jīng)驗(yàn)，測(cè)試所需的相關(guān)數(shù)據(jù)將來(lái)源于不同的地方，例如之前的測(cè)試結(jié)果、資產(chǎn)數(shù)據(jù)和威脅數(shù)據(jù)。
此外，在傳統(tǒng)的滲透測(cè)試中，藍(lán)隊(duì)通常不會(huì)參與，因此我們不知道應(yīng)用程序的所有安全控制措施。PTP允許測(cè)試人員在集中知識(shí)庫(kù)找到測(cè)試所需的所有相關(guān)數(shù)據(jù)，他們還可以查看藍(lán)隊(duì)數(shù)據(jù)，這增加了測(cè)試的價(jià)值。因?yàn)檫@是一個(gè)正常的滲透測(cè)試，所以目標(biāo)更多的是確保應(yīng)用程序是安全的，因此測(cè)試范圍僅限于應(yīng)用程序和支撐基礎(chǔ)設(shè)施。
總的來(lái)說(shuō)，我們認(rèn)為PTP可以幫助傳統(tǒng)的滲透測(cè)試，因?yàn)樗鼮樗杏脩籼峁┝艘粋€(gè)集中的數(shù)據(jù)源，這應(yīng)該確保每個(gè)用戶在PTP中定義威脅時(shí)以一致的方式建模。
在第二個(gè)場(chǎng)景紫隊(duì)測(cè)試中，我們遵循紫隊(duì)測(cè)試流程。作為測(cè)試的一部分，紅隊(duì)和藍(lán)隊(duì)可以會(huì)面查看PTP，以了解哪些已經(jīng)測(cè)試，哪些需要測(cè)試。在這個(gè)場(chǎng)景中，我們專門(mén)研究了APT用于進(jìn)入金融機(jī)構(gòu)的魚(yú)叉釣魚(yú)技術(shù)。
PTP提供了已經(jīng)測(cè)試的數(shù)據(jù)以及已經(jīng)有藍(lán)隊(duì)防御控制的相關(guān)數(shù)據(jù)，這定義了本次所需要的測(cè)試內(nèi)容。我們發(fā)現(xiàn)，PTP還可以讓我們了解用戶點(diǎn)擊網(wǎng)絡(luò)釣魚(yú)鏈接的內(nèi)部威脅，因?yàn)槲覀兛梢源鎯?chǔ)網(wǎng)絡(luò)釣魚(yú)模擬數(shù)據(jù)。這為測(cè)試增加了價(jià)值，因?yàn)槲覀兛梢园l(fā)現(xiàn)哪些技術(shù)有效，以及深刻了解如果有大量用戶點(diǎn)擊釣魚(yú)電子郵件對(duì)組織的風(fēng)險(xiǎn)。我們?cè)谀M測(cè)試時(shí)發(fā)現(xiàn)，關(guān)聯(lián)內(nèi)部數(shù)據(jù)可以讓我們預(yù)測(cè)攻擊者未來(lái)的行為。這些小型測(cè)試場(chǎng)景旨在展示PTP如何為普通滲透測(cè)試以及紫隊(duì)測(cè)試增加價(jià)值。
在本文的威脅建模簡(jiǎn)介中，我們談到了在威脅建模時(shí)讓用戶像攻擊者一樣思考的困難。PTP 可以通過(guò)測(cè)試攻擊者技術(shù)來(lái)幫助紅隊(duì)和藍(lán)隊(duì)測(cè)試人員獲得相關(guān)經(jīng)驗(yàn)，隨著時(shí)間的推移，他們將開(kāi)始注意到行為模式。這應(yīng)該有助于鼓勵(lì)組織中的創(chuàng)新，因?yàn)闇y(cè)試人員可能會(huì)想到其他方法來(lái)攻擊。這對(duì)組織有利，因?yàn)樗麄兛梢詭椭趦?nèi)部培訓(xùn)他們的測(cè)試人員，這樣他們就不那么依賴第三方測(cè)試人員，并且組織會(huì)更好地檢測(cè)到攻擊行為。
為了使 PTP 正常工作，需要有一種方法可靠地從現(xiàn)有系統(tǒng)中獲取數(shù)據(jù)并確保數(shù)據(jù)格式正確。這會(huì)產(chǎn)生數(shù)據(jù)不兼容的問(wèn)題。大型組織有許多數(shù)據(jù)源，因此可能無(wú)法從我們需要的每個(gè)來(lái)源或幾乎所有來(lái)源獲取數(shù)據(jù)。在這種情況下，需要做出決定，優(yōu)先考慮某些數(shù)據(jù)源的重要性以及它將如何幫助PTP整體。
此外，某些系統(tǒng)可能會(huì)出現(xiàn)安全問(wèn)題，因?yàn)樾枰m當(dāng)識(shí)別和管理訪問(wèn)權(quán)限，因此需要關(guān)注誰(shuí)可以訪問(wèn) PTP 數(shù)據(jù)。用戶訪問(wèn)藍(lán)隊(duì)數(shù)據(jù)也可能存在問(wèn)題，組織希望將這些安全控制的知識(shí)僅限藍(lán)隊(duì)掌握，因?yàn)榻M織擔(dān)心“內(nèi)部”攻擊者。為了使框架發(fā)揮作用，應(yīng)該培養(yǎng)紅隊(duì)和藍(lán)隊(duì)之間的良好關(guān)系，以便他們之間建立信任。
此外，組織需要在執(zhí)行層面參與框架建立，以確保有資金和時(shí)間來(lái)建立框架。有經(jīng)驗(yàn)的人員還需要監(jiān)督框架的設(shè)置，以確保獲得正確的數(shù)據(jù)并將其轉(zhuǎn)換為數(shù)據(jù)庫(kù)，并且有足夠的訪問(wèn)控制機(jī)制。
鑒于我們只測(cè)試了PTP的概念驗(yàn)證版本，這并不能真實(shí)地說(shuō)明該框架將如何在真正的組織中實(shí)施。我們?cè)赑OC中使用了有限數(shù)量的模擬數(shù)據(jù)，PTP還需要在真實(shí)組織中作為POC進(jìn)行測(cè)試，以了解框架的限制在哪里，以及是否需要對(duì)框架進(jìn)行更改。
當(dāng)然，每個(gè)組織的工作方式都不同，因此PTP可以作為一個(gè)指南，以實(shí)現(xiàn)紫隊(duì)威脅建模的目標(biāo)。就PTP的有效性而言，我們承認(rèn)劇本中可能有太多的信息，這可能會(huì)讓用戶信息過(guò)載。在使用攻擊庫(kù)時(shí)也是如此，因此有必要仔細(xì)使用劇本中需要的數(shù)據(jù)建模。
我們發(fā)現(xiàn)有許多論文涉及威脅建模和自動(dòng)化安全測(cè)試，PTP可以從自動(dòng)化的紫隊(duì)活動(dòng)的安全測(cè)試部分中受益。例如，一個(gè)組織可以購(gòu)買(mǎi)一個(gè)自動(dòng)化工具，使其能夠進(jìn)行紫隊(duì)測(cè)試，并將PTP用作定義測(cè)試的數(shù)據(jù)源。
??
PTP可以用于其他目的，而不僅僅是安全測(cè)試。它可以用于教育目的，例如紅隊(duì)和藍(lán)隊(duì)培訓(xùn)。開(kāi)放式攻防平臺(tái)為模擬網(wǎng)絡(luò)攻防實(shí)戰(zhàn)提供了一個(gè)開(kāi)源平臺(tái)。PTP可以為該平臺(tái)提供數(shù)據(jù)，以便在該平臺(tái)中模擬藍(lán)隊(duì)的用戶可以獲得有關(guān)環(huán)境當(dāng)前狀態(tài)的一些信息。
從本質(zhì)上講，這將是一個(gè)劇本，他們可以在模擬攻防實(shí)戰(zhàn)時(shí)使用、參考來(lái)重新強(qiáng)化自己的學(xué)習(xí)。它還可以用于培訓(xùn)新員工，因?yàn)楫?dāng)他們查看PTP，可以很好地了解組織面臨的威脅和攻擊者技術(shù)的信息。
PTP中的數(shù)據(jù)也可用于識(shí)別風(fēng)險(xiǎn)領(lǐng)域，例如，它可以顯示員工的各種屬性。這可用于識(shí)別高風(fēng)險(xiǎn)員工，例如，如果他們具有訪問(wèn)關(guān)鍵系統(tǒng)的高權(quán)限，則需要特別注意他們的密碼合規(guī)性，或者查看他們是否接受了最新的安全培訓(xùn)。如果組織希望將某些安全流程自動(dòng)化，也可以使用它來(lái)幫助組織。我們研究了一些安全測(cè)試工具，例如，PTP數(shù)據(jù)可以被輸入到“Vectr”工具或“Caldera”工具中，用以自動(dòng)化測(cè)試。
七、結(jié)論和未來(lái)的工作
在本節(jié)中，我們將評(píng)估如何實(shí)現(xiàn)本文一開(kāi)始設(shè)定的目標(biāo)，我們還將研究未來(lái)工作。
?
在本文中，我們開(kāi)始探索當(dāng)前的威脅建模方法和工具，以及威脅建模和安全測(cè)試之間的關(guān)系。我們發(fā)現(xiàn)，沒(méi)有推薦的安全測(cè)試模型，完全取決于組織使用哪個(gè)模型來(lái)確定其威脅。在我們的研究過(guò)程中，我們還發(fā)現(xiàn)在紫隊(duì)和威脅建模領(lǐng)域沒(méi)有很多學(xué)術(shù)研究。這是一個(gè)組織中的紅隊(duì)和藍(lán)隊(duì)合作測(cè)試其系統(tǒng)的方法。
因此，我們著手設(shè)計(jì)一個(gè)紫隊(duì)劇本框架，該框架利用組織現(xiàn)有數(shù)據(jù)進(jìn)行安全測(cè)試。由于組織可以使用任何模型和工具進(jìn)行威脅建模，因此我們必須建立一個(gè)包含有效建模所需所有數(shù)據(jù)的框架。此外，通過(guò)利用現(xiàn)有數(shù)據(jù)，從長(zhǎng)遠(yuǎn)來(lái)看，這可以提高成本效益。
在本文中，我們還研究了PTP在傳統(tǒng)滲透測(cè)試和紫隊(duì)測(cè)試中的幫助。我們發(fā)現(xiàn)，通過(guò)擁有這個(gè)集中的知識(shí)庫(kù)，我們能夠很容易地發(fā)現(xiàn)測(cè)試中的差距，并了解我們的防御措施目前的程度。我們還可以以更有效的方式將數(shù)據(jù)與其他數(shù)據(jù)源關(guān)聯(lián)起來(lái)，例如通過(guò)使用員工網(wǎng)絡(luò)釣魚(yú)培訓(xùn)記錄來(lái)了解網(wǎng)絡(luò)釣魚(yú)攻擊風(fēng)險(xiǎn)的影響。PTP需要在一個(gè)真實(shí)的組織中作為POC進(jìn)行測(cè)試，以便我們充分了解它將帶來(lái)的好處，以及是否需要進(jìn)行優(yōu)化。
我們已經(jīng)實(shí)現(xiàn)了我們?cè)诒疚拈_(kāi)始時(shí)的目標(biāo)，即讓組織中的紅隊(duì)和藍(lán)隊(duì)一起工作。正如我們?cè)诮榻B中所討論的，我們面臨的威脅在不斷演變，組織很難跟上攻擊者的所有技術(shù)和戰(zhàn)術(shù)。
通過(guò)允許兩個(gè)團(tuán)隊(duì)共享數(shù)據(jù)，我們相信這也鼓勵(lì)了創(chuàng)新，因?yàn)閱T工將能夠找到新的方法來(lái)嘗試和規(guī)避防御，并提出新的防御能力。這只會(huì)使組織受益，因?yàn)樗麄冃枰獑T工像攻擊者一樣積極主動(dòng)，以便保護(hù)組織免受攻擊者的侵害。我們還介紹了組織可以用來(lái)了解其威脅的威脅模型和工具。我們的 PTP 框架補(bǔ)充了這些工具和模型，并為用戶提供數(shù)據(jù)，以便進(jìn)行威脅建模。
??
我們打算在實(shí)際組織中實(shí)施PTP，以提高安全測(cè)試能力。通過(guò)使用 PTP 框架設(shè)計(jì)，目標(biāo)是確定我們需要的適當(dāng)數(shù)據(jù)，并將 PTP 用作正常測(cè)試過(guò)程的一部分。這將有助于我們?cè)诮M織中建立內(nèi)部紫隊(duì)能力，并將幫助我們提高進(jìn)攻和防御能力。如本文所述，我們可以使用 PTP 作為理解安全數(shù)據(jù)的基礎(chǔ)。
在本文中，我們創(chuàng)建了PTP查看器，為用戶提供一個(gè)易于使用的應(yīng)用程序，他們可以使用它來(lái)代替數(shù)據(jù)可視化工具。還可以將本文中討論的威脅建模工具應(yīng)用于我們的安全測(cè)試計(jì)劃。PTP 的應(yīng)用程序視圖將通過(guò)在殺傷鏈視圖中顯示數(shù)據(jù)來(lái)幫助我們將測(cè)試結(jié)果傳達(dá)給技術(shù)水平較低的用戶。我們希望將PTP 框架和查看器應(yīng)用程序用于教育目的，例如培訓(xùn)新員工，以及幫助現(xiàn)有員工建立有關(guān)攻擊者技術(shù)的相關(guān)知識(shí)。
（完）
相關(guān)推薦
- 新發(fā)展！MSS亞運(yùn)天穹-新一代主動(dòng)防御運(yùn)營(yíng)中心正式運(yùn)營(yíng)
- 擁抱MSS2.0 2023西湖論劍·MSS安全托管運(yùn)營(yíng)服務(wù)論壇成功舉辦
- “省心·安心·放心”就選安恒MSS安全托管運(yùn)營(yíng)服務(wù)！
- 九維團(tuán)隊(duì)-橙隊(duì)（賦能）| 個(gè)人應(yīng)當(dāng)如何做好自我安全防護(hù)？
- 九維團(tuán)隊(duì)-紫隊(duì)（優(yōu)化）| 紫隊(duì)劇本: 安全測(cè)試的威脅建模（八）
- 安恒信息MSS煥新，安全體驗(yàn)再升級(jí)！文末有驚喜！
- 市場(chǎng)份額第一！安恒信息MSS安全托管運(yùn)營(yíng)服務(wù)斬獲佳績(jī)
