CISA揭示应急响应关键经验:如何有效应对网络安全威胁
近年来,随着网络攻击的日益复杂化,组织面临的网络安全威胁也在不断增加。美国网络安全与基础设施安全局(CISA)近期发布了一份关于网络安全事件应急响应的详细报告,揭示了在联邦民用执行部门(FCEB)机构中发生的网络攻击事件的关键经验教训。该事件不仅暴露了组织在应急响应方面的不足,也为其他企业和机构提供了宝贵的经验教训。本文将深入分析该事件的详细过程、攻击者的技术手段以及CISA提出的应对建议,为企业和组织提供有效的网络安全防护策略。在2024年7月,CISA在一家联邦民用执行部门机构中发现了潜在的恶意活动。该机构通过其端点检测和响应(EDR)工具生成的安全警报发现了异常活动。
经过调查,CISA发现攻击者通过利用GeoServer中的CVE-2024-36401漏洞获得了初始访问权限。该漏洞允许未经身份验证的用户在受影响的GeoServer版本上执行远程代码执行(RCE)。攻击者利用该漏洞下载了开源工具和脚本,并在机构的网络中建立了持久性。攻击者的活动持续了三周,期间他们通过多种手段进行了侦察、横向移动和特权提升。他们使用了Burp Suite Burp Scanner进行主动扫描,识别出GeoServer中的漏洞。此外,攻击者还使用了公开可用的工具,如fscan进行网络扫描和漏洞检测。
在获得初始访问权限后,攻击者通过上传Web Shell、创建计划任务和利用有效账户来维持持久性。他们还尝试通过dirtycow工具提升特权,并使用PowerShell和bitsadmin下载有效载荷。CISA在报告中强调了三个关键的经验教训。首先,机构未能及时修补漏洞。CVE-2024-36401在2024年6月30日被公开,但攻击者在7月11日和7月24日分别利用该漏洞获得了对两台GeoServer的访问权限。这表明机构在漏洞管理方面存在严重不足。
其次,机构未能测试或演练其应急响应计划(IRP),导致在事件发生时无法有效响应。最后,机构未能持续审查EDR警报,并且部分公开系统缺乏端点保护,导致攻击者的活动未能及时被发现。为了应对类似的网络安全威胁,CISA提出了多项建议。首先,组织应建立完善的漏洞管理计划,优先修补已知的被利用的漏洞。特别是对于公开系统,应及时修补漏洞以减少攻击面。其次,组织应定期维护、练习和更新其应急响应计划。
这包括明确应急响应人员、关键资源和行动方案,以及为第三方提供及时的访问权限。此外,组织应实施全面的日志记录,并将日志聚合到集中式的脱机位置,以便安全运营中心(SOC)能够持续监控和响应恶意活动。在技术层面,CISA建议组织实施允许列表策略,防止未经授权的执行和访问。此外,组织应要求对所有特权账户和电子邮件服务账户实施抗钓鱼的多因素认证(MFA)。通过这些措施,组织可以显著提高其网络安全防护能力,减少网络攻击的风险。此外,CISA还强调了定期测试和验证安全控制的重要性。
组织应定期测试其安全控制,以评估其对MITRE ATT&CK框架中描述的技术的性能。通过持续的测试和调整,组织可以确保其安全计划的有效性,从而更好地应对网络安全威胁。总结来说,CISA的报告为组织提供了宝贵的经验教训和应对建议。通过优先修补漏洞、定期练习应急响应计划、实施全面的日志记录和安全控制,组织可以显著提高其网络安全防护能力,减少网络攻击的风险。在当今复杂的网络安全环境中,组织必须采取主动措施,以确保其系统和数据的安全。 。
