.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
安全評估的目的是減少組織的總體風險，每一個視角都有其自身的價值。所有這些方法應該組合在一起產生一種有效的安全評估策略，該策略應盡可能覆蓋組織的攻擊面，並識別盡可能多的威脅。這樣，組織就可以最大限度地降低風險。在試圖編寫一份全面的安全評估報告時，並不是所有的初始視角都適用於任何情況。因此，必須超越每種攻擊面和風險評估的價值，並深入研究每種攻擊面和風險評估的其他優點和缺點。這使得評估人員不僅知道哪些視角是最需要的，而且還知道哪些視角在任何給定的評估場景中是最可行的。
引入風險在演練之前的任何安全性評估中，必須完成建立演練範圍和ROE這一極其重要的步驟。在開始評估組織的安全性之前，有嚴格的流程來遵循演練將如何執行的細節。不同的初始視角在理解和同意演練的範圍和規則方面呈現出不同的複雜性。演練範圍和ROE用於幫助組織確定演練可能引入的可接受的風險水平。
這種風險表現在兩個方面。首先，安全評估可能會通過評估活動攻擊重要的設備或服務，從而給組織帶來風險。第二，評估者從給定的角度進行評估所需的訪問可能會增加總體攻擊面或其嚴重程度。
外部視角與風險引入最初由外部視角評估的攻擊面是由專門在互聯網上提供的設備和服務組成的。這意味著設備和服務會遭受攻擊以及面臨大量的流量。然而，嘗試執行網絡掃描和漏洞利用所帶來的額外壓力仍然會使設備崩潰。儘管風險很低，但必須考慮到這一風險來源，因為失去一個面向互聯網的服務可能會影響組織的外部和內部用戶。因為評估人員不需要建立內部訪問來從外部視角進行評估，所以執行此類評估不會增加額外的攻擊面。
DMZ視角和風險引入與外部視角類似，DMZ視角最初側重於用於基於互聯網流量的設備和服務。評估導致的潛在停機所造成的風險同樣很低。評估人員訪問DMZ中的設備時不應帶來額外風險，因為DMZ的目的是將某些設備從網絡的其餘部分分割開來。由於DMZ評估視角從DMZ中的橫向位置而不是從互聯網上測試設備，因此嘗試執行網絡掃描和漏洞利用產生意外後果的可能性稍大一些。設備可能沒有準備好處理這種橫向通信，這可能會導致問題出現。這一視角要求在非軍事區（DMZ）內建立一個存在點，從該點開始評估。儘管這使得評估人員能夠深入組織的一個層次，但風險仍然可以忽略不計。交給評估人員的訪問由於其在非軍事區的性質與內部網絡隔離，因此由於其初始評估向量的額外攻擊面，因此不會造成額外風險。
內部視角和風險引入從內部視角進行的評估能夠立即與不面向互聯網的設備和服務交互。這些設備不太可能應對大量掃描或攻擊嘗試，因此從這個視角評估設備存在一定的風險。與外部用戶相比，此處的拒絕服務更可能導致內部用戶缺乏可用性。此外，此評估導致的停機更有可能影響組織功能。內部視角也增加了攻擊面。隨著一個組織授予必要的訪問權限，或者惡意軟件的成功引入，評估人員從這個視角將其他訪問方式引入到一個組織中。
關鍵視角和風險引入與其他初始視角相比，關鍵視角代表了組織運作能力的高風險水平。開展此類評估的初始原因主要是那些被確定為對組織存在能力極其關鍵的風險項。評估對此類設備造成的任何問題都可能損害組織正常運作的能力。攻擊面增加所造成的風險也相對較高。與內部視角一樣，關鍵視角要求組織引入訪問向量來開始評估。此訪問向量添加到組織中的攻擊面更危險，因為它直接指向高危風險項。評估員使用的訪問向量造成的損害對組織來說是極其危險的。在進行此類評估時應格外小心。
前面我介紹了CAPTR 團隊利用的關鍵初始演練視角以及已經在使用中的已建立視角。對這些初始演練視角如何影響進攻性安全評估的過程和結果進行了深入分析。讀者現在應該對初始化視角以及與關鍵初始化視角相關的好處有了更深入的了解。
反向紅隊通過CAPTR 團隊所使用的特定範圍的方法論選擇目標，並使用關鍵視角確定最合適的演練起點，即可開始執行評估。反向紅隊演練鏈路是一種從關鍵視角進行評估的獨特方式，它創建了一種報告機制，使用反向風險關係為此類業務提供極高的成本效益。下文將解釋反向演練鏈路的過程，以及它可以產生的好處和結果的表示。
反向紅隊演練鏈路反向紅隊演練鏈路是利用從初始範圍項目中被動收集的本地情報來定義攻擊者可能使用的訪問向量並適當擴展CAPTR團隊範圍的過程。為了提高高風險漏洞利用和訪問路徑的效率，反向紅隊演練鏈路將重點放在圍繞給定機器的可識別通信通道上，而不是圍繞整個網絡。這種方法為了精確目標的選擇和評估而犧牲了評估的目標數量。
本地評估在假定APT最終可以在入侵過程中實現這樣的上下文的情況下，使用提升的權限對作用域關鍵對象進行局部評估。在CAPTR團隊演練窗口開始時，將評估那些允許攻擊者影響洩露對象的機密性、完整性或可用性的本地權限提升漏洞和本地錯誤配置漏洞。此外，該本地上下文用於識別潛在的遠程訪問向量，例如代碼執行漏洞或糟糕的身份驗證配置。通過訪問本地存儲的數據和操作系統功能，CAPTR團隊評估人員可以有效識別攻擊者可用於初始範圍項目的訪問向量，而無需對潛在風險執行盲目的網絡掃描和漏洞利用。
強調此方法優點的最佳方法是通過使用下圖所示網絡的簡單示例。 CAPTR團隊以結果為導向的範圍界定表明，Linux文件服務器對組織構成了致命的危害，將從訪問服務器的關鍵初始角度進行評估。
CAPTR團隊評估方向性
在運行多個態勢感知命令後，評估人員使用本地可用的本機操作系統命令來確定組織中被視為致命危害對象的機器的大部分信息。
評估人員了解到Linux服務器使用的內核版本已過時，易受本地權限提升漏洞的攻擊。在組織中的這樣一台關鍵機器上從非特權用戶過渡到超級用戶的能力構成了極其危險的風險。如果其他評估模型沒有完全且成功地破壞網絡中的設備，導致並包括這台可能深入目標組織的機器，那麼這種風險也將不會在其他評估模型中被發現。 CAPTR團隊立即評估了該高風險項，在建立態勢感知的最初幾分鐘內，就發現了一個關鍵的可報告風險項，甚至沒有進行外部漏洞利用和擴展評估。
初始態勢感知命令通知評估人員，有三台機器與高風險機器通信。有一台計算機，可能是管理員，正在使用SSH遠程訪問和管理該計算機。此信息可在文件系統中找到。與SSH協議相關的日誌和文件位於計算機上的用戶目錄中，執行history 系統命令的結果中可以看到用戶的活動信息，很明顯是網絡管理員的典型活動。如果沒有CAPTR團隊中使用的本地特權視角，這些信息可能永遠不會被發現，如果已經被發現，這意味著典型的紅隊評估將遠程對多個設備執行漏洞利用，並將運行存在潛在危險的內核級權限提升exp，以便獲得與CAPTR 團隊在開始時所使用的方法看到的相同信息的權限。
評估人員通過在本機執行操作系統命令查看已建立連接的網絡信息表明還存在其他兩個通信對象。一個是訪問Linux服務器託管的80端口上的只讀web文件共享，另一個是訪問21端口上的文件傳輸服務器。進一步檢查後，評估人員確定文件傳輸服務器用於將文件放在Linux服務器上，供其他用戶查看和下載。通過進一步的本地情報收集，評估人員還發現，文件傳輸能力不限於特定位置，如web文件共享目錄，遠程文件傳輸可能會覆蓋通過機器調度機制以超級用戶權限執行的多個未受保護的腳本。
目前，尚未進行任何漏洞利用，我們在不到一天的評估時間內已經有以下極有價值的發現可以報告：
◼使用內核漏洞提升本地權限
◼作為超級用戶執行遠程代碼
-作為超級用戶執行的可寫調度作業的權限配置不當
-無約束的文件傳輸服務器
本地情報分析評估還確定了致命風險項的三個一級通信對象。確定這些目標後，CAPTR團隊繼續進行分析，以確定評估這些主機的順序。這種優先順序對報告也很有價值，稍後將在確定哪些環節最危險時進行報告。這些風險鏈由來源、目的地、通信方法和權限構成。設備之間可能有多個風險鏈。例如，如果管理員的計算機可以通過SSH（作為管理用戶）或文件傳輸（作為非特權用戶）訪問關鍵主機（下圖中的Server），這意味著攻擊者需要在該第一層通信上獲得較少的特權才能攻擊關鍵主機。在繼續完成這個示例的過程中，我提供了一些簡單的優先順序和評估決策點。在現實生活中，每種場景都會對任何攻擊性安全評估施加其獨特的屬性，評估人員的決定可能會以不同的方式推進演練。該場景需要先澄清評估流程，但與流程本身不同的是，所包含的風險決策應作為示例而不是指導，因為它們可能因組織而異。
回到我們的例子。通過對演練範圍內致命危害項高危主機的本地評估我們可以確定的風險鏈如下：
10.0.0.2上的超級用戶可以使用SSH協議作為超級用戶訪問10.0.0.1
10.0.0.3上的非特權用戶可以使用FTP作為非特權用戶訪問10.0.0.1
10.0.0.4上的非特權用戶可以使用HTTP作為非特權用戶訪問10.0.0.1（見下圖）
通信鏈路
第一個風險鏈構成了攻擊關鍵主機Server的最大風險，因為它提供了超級用戶對關鍵主機Server的即時交互訪問。任何能夠破壞該第一層通信的攻擊者都會對Linux服務器造成嚴重威脅。 FTP風險鏈排第二，因為它提供了非特權訪問。但是，它還允許將文件移動到服務器，並且，根據我們對存在的已識別本地權限提升漏洞的了解，這是一條潛在的但更複雜的遠程交互路徑。 HTTP風險鍊是最後一個，因為它允許非特權用戶從特權主機下載數據，是只讀的，需要利用額外的漏洞才能攻擊關鍵主機Server。
全系列文章請查看：https://www.4hou.com/member/dwVJ