如今日益復(fù)雜的網(wǎng)絡(luò)環(huán)境，企業(yè) IT 安全和管理均受到巨大挑戰(zhàn)。根據(jù) ESG對(duì)北美和西歐620名 IT 專(zhuān)業(yè)人員的年度調(diào)查顯示，51%的受訪者稱(chēng)他們的企業(yè)存在應(yīng)對(duì)安全威脅技能短缺的問(wèn)題。Microsoft Azure 提供了一套云原生的威脅防護(hù)和檢測(cè)系統(tǒng)——Azure Security Center，最大限度地減少和緩解整個(gè)環(huán)境中的威脅，并改善整體安全態(tài)勢(shì)。

Azure Security Center 為 Azure 用戶(hù)提供免費(fèi)的云安全態(tài)勢(shì)管理，為用戶(hù)持續(xù)提供 Azure 資源評(píng)估和安全性建議。本文的重點(diǎn)是想和大家聊一聊 Azure Security Center 下的一項(xiàng)高級(jí)功能——Azure Defender。

在企業(yè)環(huán)境上，Azure Defender 不僅可以為 Azure 資源提供保護(hù)、還可以對(duì)本地 IDC 和其他云中運(yùn)行的混合工作負(fù)載提供統(tǒng)一的安全管理和威脅防護(hù)；

在資源類(lèi)型上，Azure Defender 除了對(duì)虛擬機(jī)，還可以針對(duì) SQL 數(shù)據(jù)庫(kù)、容器、Web 應(yīng)用程序、網(wǎng)絡(luò)等提供持續(xù)保護(hù)，并能夠與企業(yè)現(xiàn)有的安全解決方案（如 SIEM）進(jìn)行集成。

今天通過(guò)兩組攻擊實(shí)驗(yàn)，帶著大家感受一下 Azure Defender 對(duì) Windows 和 Linux VM 的威脅檢測(cè)和高級(jí)防御功能。

黑客攻擊者典型的網(wǎng)絡(luò)殺傷鏈(Cyber Kill Chain)，該擊殺鏈反映了攻擊者如何試圖通過(guò)各種攻擊手段對(duì)企業(yè) IT 環(huán)境發(fā)起攻擊，并通過(guò)一系列的潛伏和橫向移動(dòng)入侵企業(yè) IT 資產(chǎn)，收集域內(nèi)用戶(hù)信息，不斷擴(kuò)大感染面，最終獲取特權(quán)用戶(hù)權(quán)限，對(duì)企業(yè)核心資產(chǎn)造成嚴(yán)重威脅，給企業(yè)帶來(lái)不同程度的經(jīng)濟(jì)和信譽(yù)損失。有調(diào)查研究表明，在網(wǎng)絡(luò)攻擊中企業(yè)遭受的平均經(jīng)濟(jì)損失超過(guò)100萬(wàn)美金。

今天通過(guò)兩組模擬攻擊實(shí)驗(yàn)?zāi)M攻擊者在擊殺鏈各階段的一系列行為，向大家直觀展示 azure defender 強(qiáng)大的安全威脅檢測(cè)和告警功能。

說(shuō)明：實(shí)驗(yàn)中的模擬攻擊均為實(shí)驗(yàn)測(cè)試，不構(gòu)成實(shí)質(zhì)的攻擊操作。

Lab1：Azure Defender

針對(duì) Windows VM 的

高級(jí)威脅檢測(cè)及告警

實(shí)驗(yàn)環(huán)境：

兩臺(tái) Windows Server 2012 虛擬機(jī)，一臺(tái)為“Attacker”(攻擊者)，另一臺(tái)為“Target”(目標(biāo)主機(jī))。

實(shí)驗(yàn)中將使用以下幾種工具：

Tool1 可以在本地或者遠(yuǎn)程管理計(jì)算機(jī)系統(tǒng)，常被攻擊者用于在系統(tǒng)內(nèi)做橫向移動(dòng)，進(jìn)行信息收集、探測(cè)、反病毒、虛擬機(jī)檢測(cè)、命令執(zhí)行、權(quán)限持久化等操作。

Tool2 是 sysinternals 的一款強(qiáng)大的軟件，通過(guò)他可以提權(quán)和執(zhí)行遠(yuǎn)程命令，對(duì)于批量大范圍的遠(yuǎn)程運(yùn)維能起到很好的效果，尤其是在域環(huán)境下。

Tool3 是一款可以抓取系統(tǒng)內(nèi)的明文密碼的工具，主要用于提升進(jìn)程權(quán)限以及讀取進(jìn)程內(nèi)存，當(dāng)然了，最重要的功能就是可以從 lsass 中獲取當(dāng)前 Active 系統(tǒng)的登錄密碼。

實(shí)驗(yàn)內(nèi)容：

登陸 Azure Portal，在訂閱級(jí)別開(kāi)啟 Azure Security Center 并打開(kāi) Azure Defender 功能，也支持針對(duì)指定資源開(kāi)啟 Azure Security Center。這里強(qiáng)烈建議從訂閱級(jí)別開(kāi)啟 Azure Security Center 以獲取更全面的安全防護(hù)功能。

測(cè)試一：攻擊者在目標(biāo)機(jī)器上創(chuàng)建并執(zhí)行進(jìn)程

在內(nèi)網(wǎng)滲透中，當(dāng)攻擊者獲取到內(nèi)網(wǎng)某臺(tái)機(jī)器的控制權(quán)后，會(huì)以被攻陷的主機(jī)為跳板，通過(guò)收集 域內(nèi)憑證等各種方法，訪問(wèn)域內(nèi)其他機(jī)器，進(jìn)一步擴(kuò)大資產(chǎn)范圍。通過(guò)此類(lèi)手段，攻擊者最終可能獲得域控制器的訪問(wèn)權(quán)限，甚至完全控制整個(gè)內(nèi)網(wǎng)環(huán)境，控制域環(huán)境下的全部機(jī)器。

假設(shè)你是攻擊者，在“Attacker”虛擬機(jī)上利用Tool1遠(yuǎn)程登陸到“Target”目標(biāo)機(jī)器上執(zhí)行 CMD 命令——?jiǎng)?chuàng)建并執(zhí)行新的進(jìn)程（scvhost.exe）。攻擊者可以利用該方式創(chuàng)建系統(tǒng)后門(mén)，或占用大量目標(biāo)系統(tǒng)的內(nèi)存，例如有些攻擊者會(huì)在用戶(hù)系統(tǒng)中運(yùn)行挖礦軟件病毒等惡意行為。

此時(shí)，Azure Security Center 利用 Azure Defender 功能會(huì)立刻檢測(cè)到被攻擊的 Target 虛擬機(jī)被執(zhí)行了可疑進(jìn)程，并進(jìn)行安全告警。

同時(shí)，Azure Security Center 中可以查看到詳細(xì)的可疑行為信息，例如執(zhí)行可疑行為的賬號(hào)信息、被執(zhí)行的可疑文件位置等。

測(cè)試二：攻擊者獲取內(nèi)存憑證并進(jìn)行橫向移動(dòng)

攻擊者使用 Tool3 在目標(biāo)主機(jī)上獲取內(nèi)存中的憑證信息，這些憑證信息用于對(duì)其他機(jī)器進(jìn)行身份驗(yàn)證，并在系統(tǒng)中進(jìn)行橫向移動(dòng)。

此時(shí)安全中心會(huì)立刻進(jìn)行告警，告知用戶(hù)該可疑行為的攻擊者意圖。通過(guò)安全告警的提示信息可以看出，該攻擊者試圖進(jìn)行憑據(jù)訪問(wèn)，同時(shí)告知用戶(hù)攻擊者執(zhí)行的可疑操作具體信息，如下圖所示。

Lab2：Azure Defender

針對(duì) Linux VM

的高級(jí)威脅檢測(cè)及告警

實(shí)驗(yàn)環(huán)境：

攻擊者 VM1 為一款特殊的 Linux 操作系統(tǒng)，常用于滲透測(cè)試等領(lǐng)域；目標(biāo)主機(jī) VM2 使用 Ubuntu 14.04 LTS 系統(tǒng)。Azure Security Center 支持多種 Linux 系統(tǒng)，具體可以參考官網(wǎng)[1]。

實(shí)驗(yàn)準(zhǔn)備：

在實(shí)驗(yàn)中，為了演示攻擊者對(duì)目標(biāo)主機(jī)進(jìn)行密碼暴力破解的過(guò)程，需要在 VM2 目標(biāo)主機(jī)上事先創(chuàng)建5個(gè)用戶(hù)，信息如下：

實(shí)驗(yàn)內(nèi)容：

從訂閱級(jí)別開(kāi)啟 Azure Security Center 并打開(kāi) Azure Defender 功能，也支持針對(duì)指定資源開(kāi)啟 Azure Security Center (具體操作方法見(jiàn)官方文檔)。這里強(qiáng)烈建議從訂閱級(jí)別開(kāi)啟 Azure Security Center 以獲取更全面的安全防護(hù)功能。

測(cè)試一：攻擊者對(duì)目標(biāo)主機(jī) VM2 發(fā)起 SSH 暴力破解

假設(shè)你是攻擊者，登陸 VM1，使用內(nèi)置的用戶(hù)名和密碼列表對(duì)目標(biāo)主機(jī)發(fā)起暴力攻擊。具體的命令行操作如下，可以看到 VM2 的用戶(hù)賬戶(hù)和密碼被返回給攻擊者，完成了 SSH 暴力破解過(guò)程。

此時(shí)，Azure Security Center 會(huì)發(fā)出郵件告警并描述出安全威脅的具體信息。

同時(shí)，Azure 用戶(hù)可以在 Security Center 中看到針對(duì) VM2 的安全事件，從攻擊者嘗試進(jìn)行暴力破解但未成功開(kāi)始，Azure 安全中心便發(fā)起告警，因?yàn)閷?shí)驗(yàn)中使用的暴力破解 wordlist 很短，所以從攻擊者發(fā)起暴力破解攻擊到破解成功所需要的遍歷時(shí)間很短，在真實(shí)場(chǎng)景中，在攻擊者嘗試進(jìn)行暴力破解，到破解成功之前，通過(guò) Azure Security Center 提供的告警信息，可以讓管理員進(jìn)行及時(shí)的響應(yīng)和處理。

測(cè)試二：攻擊者在目標(biāo)主機(jī)上下載惡意軟件

本實(shí)驗(yàn)攻擊者在通過(guò)暴力破解等方式，在內(nèi)網(wǎng)中找到突破口之后，會(huì)進(jìn)行一段時(shí)間的潛伏，并通過(guò)多種方式嘗試進(jìn)行橫向移動(dòng)。例如攻擊者會(huì)遠(yuǎn)程記錄目標(biāo)主機(jī)的鍵盤(pán)操作，或者使用一些工具進(jìn)行內(nèi)部偵察以枚舉服務(wù)器和域的具體信息，從而對(duì)一些服務(wù)器發(fā)起攻擊。例如在特定服務(wù)器上安裝惡意軟件。本測(cè)試攻擊者在目標(biāo)主機(jī)上，嘗試下載 EICAR 惡意軟件測(cè)試文件，從而驗(yàn)證 Azure Security Center 的面對(duì)安全威脅的高級(jí)功能，并不會(huì)對(duì)目標(biāo)主機(jī)產(chǎn)生任何惡意影響。

以上是實(shí)驗(yàn)中具體的操作命令行測(cè)試內(nèi)容，當(dāng)攻擊者遠(yuǎn)程在目標(biāo)主機(jī)上安裝惡意軟件之后，AzureSecurity Center 立刻對(duì)受到的安全威脅產(chǎn)生告警，并給出詳細(xì)的安全威脅信息及需要采取的下一步行動(dòng)建議。

Azure defender 為企業(yè) IT 資源提供了一整套完整的高級(jí)安全防護(hù)功能，涉及智能告警、漏洞評(píng)估、合規(guī)性管理等內(nèi)容。本文僅通過(guò)兩個(gè)簡(jiǎn)單的攻擊實(shí)驗(yàn)，和各位讀者一起對(duì) Azure Defender 做了一番初探，更多功能可以參考微軟官方 Doc 文檔：

原文標(biāo)題：Azure Defender | 為用戶(hù)提供企業(yè)級(jí)安全威脅防護(hù)

文章出處：【微信公眾號(hào)：微軟科技】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。

責(zé)任編輯：haq