WEBCAST: 蓝军技术盛宴

Kent Ickler & Jordan Drysdale //

前言

2018年11月8日，我们举办了一场系统管理员与安全专家的"AA会议"，探讨了组织中推进缓慢的关键问题：补丁管理、定期扫描，甚至仅是腾出时间管理资产清单。

幻灯片获取地址：https://blackhillsinformationsecurity.shootproof.com/gallery/7945173/

五项关键实践（产生实质性影响）

1. 使用Nmap、Masscan进行网络基线化与网络技术学习
2. 资产清单管理与控制权获取
3. 更新、升级与补丁管理
4. 重新审视基线化：强化明文服务安全
5. 推荐组策略设置（增加渗透测试者和攻击者难度）

实际讨论内容远不止于此。

问答环节跟进

我们整理了现场精彩问答：

Q：是否建议定期（月度/季度）扫描所有RFC1918地址以发现未知设备/网段？使用nmap、masscan还是现有漏洞扫描器？
A：绝对建议，我们会选用masscan。但需注意：您的职位或网络位置是否允许访问所有网段？若控制网络设备（交换机、路由器、防火墙），可运行SNMPv3收集报告，检查单端口存在多个MAC地址的情况——这可能意味着有人接入NAT设备，或正在映射关键网络端口（如交换机上行链路、接入点）。

Q：OpenVAS为何被认为不佳？
A：OpenVAS并非绝对不好，它是很好的起点。尤其当系统团队被允许进行攻击性测试时：通过OpenAS发现并利用漏洞，可证明企业需要投资商业产品。虽然我们与Tenable无合作关系，但认为Nessus的成本效益比是行业标准。另外，OpenVAS扫描速度较慢，不符合合同时效要求。
参会者补充：“我通过对比OpenVAS与Nexpose（免费版）的结果，向管理层证明了采购商业工具的必要性。”

Q：Nessus与Nexpose如何选择？
A：若预算允许，Nexpose是优秀选择，它能以可视化形式展示漏洞缓解进展（Nessus Manager也具备此功能），且支持与IDR集成实现"飞行记录器"场景。但主观认为其报告功能与可读性不及Nessus。注意：从快速响应合同角度，我们日常更依赖Nessus。

重要观点（基于与Jeff Man在WWHF的讨论）：
“蓝队是具备内部知识的漏洞测试，红队是敌对性渗透测试，漏洞评估仅是针对STIGs等标准的检查。行动规则始终是关键。”

Q：我司采用15字符密码策略，但州审计因未满足8字符+复杂性要求而扣分。是否有合规方案证明15字符更优？
A：合规机构对此存在认知滞后。我们推荐15字符是因为Active Directory默认使用Lanman密码存储机制。除非通过GPO禁用Lanman哈希存储，否则15字符是规避该缺陷的最小长度。建议参考斯坦福大学密码策略：密码熵值越高，有效期越长。

Q：能否重温NMAP枚举命令？
A：日常使用的标准命令包括：

• -F 扫描前100端口
• -p- 扫描所有TCP端口
• -A 操作系统与服务检测
• -sV 服务版本探测
• -sP Ping扫描
• -sS TCP SYN扫描
• -sU UDP扫描
• --script vuln/smb-sec-mode/ssl-enum 漏洞脚本扫描
• -oA 全格式输出
  推荐参考：https://blogs.sans.org/pen-testing/files/2013/10/NmapCheatSheetv1.1.pdf

Q：Recon-NG是否仍支持LinkedIn数据采集？
A：支持。但需通过Azure Portal获取Bing自定义搜索API，并在模块代码中验证Bing API v7端点，最后在recon-ng中添加keys add bing_api <API密钥>。

Q：补丁安装的最佳时效？
A：测试后应尽快部署。客户通常设定30天周期，但关键漏洞一旦被验证可利用，攻击者不会等待补丁窗口。这迫使供应商加速下游补丁推送。

资产控制建议：
采购环节必须落实控制措施。所有新设备（包括30美元的Netgear交换机）都需在库存管理表中指定联系人，负责向供应商注册产品。缺失真实联系信息将导致安全更新通知遗漏。

Q：中小型企业安全建设框架推荐？CIS 20还是NIST 800-53？
A：CIS/CSC 20虽是优秀起点，但实施难度极高，可能导致IT运维与高管间的信任危机。对于需紧缩预算的企业，该框架仍具参考价值。

Q：Cisco Smart Install TCP/4786的参考意义？
A：该功能默认启用，允许未认证配置文件的获取。若未配置no vstack，攻击者可能反转Type 7管理员密码（可逆非加密）。该功能还支持配置推送（参考俄罗斯Cisco路由器的"美国国旗ASCII艺术事件"）。SIET工具可自动化此过程。

Q：Nessus扫描显示补丁因注册表/GPO设置未生效而无效，是否与替代补丁有关？
A：若系统出现验证异常，应立即基线化镜像。涉及组播、PIM路由、Ghost/FOG等镜像部署技术，是新人学习的核心实践。

Q：基线数据存储、更新与协作的最佳方式？
A：推荐FOG——免费且易用。我们捕获常用镜像（如定制化Kali和Win10研发环境），重镜像时间低于1小时。需标准化桌面/笔记本镜像，并在硬件升级时同步更新。

致谢：
特别感谢Jason的支持——这一切都是为了像您一样的从业者！也感谢所有关注我们工作的同行。

附：相关技术课程推荐

• 企业防御实战
• 假定失陷：基于检测与Microsoft Sentinel的方法论
  支持直播/虚拟与点播学习！