- 博客(206)
- 收藏
- 关注
RSS订阅原创 入侵检测系统（4）
IDS 的真正收益，不在于告警屏是否热闹，而在于安全关键事件之后能否形成闭环。把检测延伸为 IDPS，意味着组织愿意为事件驱动防护付出架构与运营成本：Inline 的容量与压测、旁路联动的规则治理、隔离园区的网络与身份边界、以及换机所需的数据与镜像准备。下列清单可用于自检当前能力是否"只检测到、响应空"：1、告警可定位：IDS 日志能否唯一关联到用户或主机；CMDB/DHCP/AAA 映射是否及时可信。2、防护路径明确：关键链路是否采用 Inline；旁路场景是否已对接防火墙且有过期策略。3、
2026-11-06 17:00:00
2
原创 入侵检测系统（3）
在加密默认开启的今天，NIDS 的价值并未消失，而是从“通读载荷”转向“可读则读、不可读则计量”。应用协议层的短时 SSH 狂扫、证书结构的 CA 与发行人异常、固定/异常端口、TCP 伪重传、IP 前缀与黑名单复用，构成了密文场景下依然有效的元数据兵器库；一旦具备内容可见性，威胁情报、DLP、DNS/DGA、邮件链接与附件签名、下载阶段中心查杀，又能把告警从“可疑”推进到“确证”，并覆盖主机杀软已被篡改的盲区。真正的安全增益，来自检测与响应闭环，以及元数据与内容、网络与主机之间的互相校验。
2026-11-04 17:00:00
8
原创 入侵检测系统（2）
IDS 的类型，首先是传感器位置的类型。HIDS 站在主机上，消费日志、文件、注册表与本机连接，既能持续驻守，也能在怀疑入侵后案例触发；它补杀毒之不足，却在合法凭据与主机失陷后面临“日志不起眼”与“传感器可被篡改”的问题——因此远程集中日志与像 GRR 这样的中央狩猎，成为加固主机可见性的关键做法。NIDS 站在网络关键节点上，观察包与流；攻击者要一并拿下它更难；在 TLS 普及后，它的主战场更多是 IP/TCP/TLS 握手与证书/CA 等元数据，明文 HTTP 应用层往往需借代理才能进入视野。
2026-11-02 14:00:00
7
原创 入侵检测系统（1）
结合上述方法论，落地时可把握以下几条实践导向原则。把日志当作一等公民。无论 Fail2ban 式静态规则还是用户行为画像，都建立在可信、完整、抗篡改的遥测之上。SSH、VPN、目录服务、关键应用的认证与授权事件，应集中、同步、保留足够时长，并限制攻击者事后擦除的能力。建立可交换的 IoC 工作流。即便组织规模中等，也应明确：从哪里获取情报、如何本地校验、如何过期淘汰、如何反馈误报。优先采用 STIX 等结构化表达，减少"邮件里一串哈希"的易错交换。
2026-10-30 14:00:00
5
原创 Samba文件服务器安全（7）
NSE 使用 Lua 语言编写脚本，在 nmap 扫描过程中自动执行。脚本按照功能分为多个类别，包括auth（认证测试）、broadcast（广播发现）、default（默认脚本集）、discovery（信息发现）、dos（拒绝服务测试）、exploit（漏洞利用）、intrusive（侵入性脚本）、malware（恶意软件检测）、safe（安全脚本）、version（版本检测）等。针对 Samba 服务器的安全检测，主要使用discovery和safe类别的 SMB 相关脚本。
2026-10-28 14:00:00
20
原创 Samba文件服务器安全（6）
Samba 安全不是一个可以"一次性配置好就高枕无忧"的议题。从 2012 年的 CVE-2012-1182 到 2019 年的三个连续漏洞，再到持续更新的 Samba 4.x 版本，安全威胁始终与软件演进相伴而行。防火墙能挡住来自互联网的直接攻击，但无法阻止内网感染和横向移动；版本更新能修复已知漏洞，但 NAS 设备的硬件限制让大量旧版本长期留存于生产环境。保持版本最新、限制网络暴露、纵深防御。
2026-10-26 14:00:00
21
原创 Samba文件服务器安全（5）
Samba 文件服务器的安全加固是一个多层次工程。应用层的smb.conf配置决定了谁能访问哪些共享、使用什么协议版本；而系统层的 iptables 防火墙则决定了哪些网络流量能够到达服务器。两者缺一不可。本文介绍的防火墙脚本遵循以下核心原则：1、默认拒绝：INPUT 链默认 DROP，仅白名单放行 445 和 22 端口。2、出站宽松：OUTPUT 全放行，满足 AD 域成员的复杂出站需求。3、有状态优先：已建立连接的回程流量优先放行，不影响正常业务。4、多层防御。
2026-10-23 14:00:00
24
原创 Samba文件服务器安全（4）
是 Samba 的虚拟文件系统（VFS）插件，挂载在共享的 VFS 栈中，拦截并记录几乎所有文件系统层面的操作。模块支持监控的操作类型非常丰富，完整列表参见 Samba 官方文档。实际部署中，通常只记录与安全审计相关的核心操作，避免日志量失控。常见监控操作包括：connectdisconnect：用户连接和断开共享mkdirrmdir：创建和删除目录readpread：读取文件writepwrite：写入文件rename：重命名文件或目录unlink：删除文件此外，模块还支持。
2026-10-21 14:00:00
24
原创 Samba文件服务器安全（3）
Samba 共享权限配置是 Linux 与 Windows 两个权限世界碰撞最激烈的前线。POSIX ACL 和扩展属性为 Windows 权限提供了 Linux 侧的存储载体，模块负责两者之间的翻译。管理共享复现了 Windows 服务器"先建后享"的标准工作流，让管理员可以在熟悉的 Windows 界面中完成全部权限配置。安全配置的核心思路是：用保护管理入口，用 Modify 替代 Full Control 防止权限蔓延，用实现多租户隔离，用最小网络驱动器映射降低数据错放风险。
2026-10-19 14:00:00
31
原创 Samba文件服务器安全（2）
将 Samba 服务器集成到 Active Directory 域，核心工作可以归纳为四个阶段：精简 smb.conf 配置、配置 Kerberos 客户端、执行域加入并启用 NSS、验证网络暴露面。整个流程在 CentOS、Debian、Ubuntu 等发行版上完全一致，差异仅体现在软件包名称和 nsswitch.conf 的具体写法上——这正是 Samba 跨平台配置的最大优势。配置文件精简化。删除默认 smb.conf，只保留活跃参数。后续迁移到注册表后，配置变更仅传输差异，进一步降低网络开销。
2026-10-16 14:00:00
31
原创 Samba文件服务器安全（1）
安全加固项RHEL 系（AlmaLinux/Rocky）包管理器默认文件系统XFSext4fstab 只读分区/boot/usr使用/boot/usr使用ro,exec数据分区防护/data使用/data使用rw,noexecIPv6 禁用方式修改创建SSH IPv6 禁用邮件服务 IPv6需配置 Postfix默认无 Postfix，无需额外操作Samba 核心包sambasambawinbindsmbclientKerberos 客户端（MIT）（Heimdal）额外依赖包默认防火墙。
2026-10-14 14:00:00
28
原创 Linux 服务器安全加固技术（9）
入侵检测是 Linux 安全体系中"最后一道防线"的重要组成部分。本文介绍了从多个维度进行安全检测的工具和方法：chkrootkit和rkhunter从文件签名和系统特征的角度检测已知 RootkitLynis从配置审计的角度发现潜在的安全薄弱点ISPProtect专注于 Web 服务器环境的恶意软件检测Snort从网络流量分析的角度发现入侵行为从包管理的角度验证系统文件完整性从运行时状态的角度排查可疑连接和进程这些工具各有所长，也各有局限。没有任何一个工具能够保证检测到所有威胁。
2026-10-12 14:00:00
57
原创 Linux 服务器安全加固技术（8）
编辑 Dovecot 的 SSL 配置文件注意 Dovecot 的配置语法与 Postfix 不同：证书路径前面的符号是必需的，它告诉 Dovecot 读取指定文件的内容，而非将路径字符串本身作为值。ssl_ca参数指定中间 CA 证书链。在许多情况下，如果证书文件本身已经包含了完整的证书链，则ssl_ca可以省略。但为了确保兼容性，显式指定通常是更稳妥的做法。
2026-10-10 14:00:00
44
原创 Linux 服务器安全加固技术（7）
许多 Web 服务器将 MySQL 或 MariaDB 作为后端数据库。两者渊源颇深，但在安全配置方面存在显著差异，需要分别对待。Web 服务器安全是一个系统工程，仅靠加固 Apache 或 nginx 本身远远不够。从证书获取到 Apache 配置，再到加密套件优化，核心要点包括——优先使用 Let’s Encrypt 免费证书降低成本门槛；正确配置SSLEngine和指令；通过SSLPolicy或禁用不安全的协议版本；最后使用 SSL Server Test 验证配置。
2026-10-08 14:00:00
48
原创 Linux 服务器安全加固技术（6）
SELinux 和 AppArmor 代表了 Linux MAC 领域的两种不同哲学：SELinux 追求理论上的安全完备性，以复杂性为代价换取细粒度的控制能力；AppArmor 则追求实用性和可维护性，以一定的安全覆盖范围为代价降低了使用门槛。从纯安全角度看，一个精心配置的 SELinux 系统无疑提供了更强的保护。但安全从来不只是技术问题——一个管理员能够理解和维护的安全系统，远比一个因为太复杂而被关闭的系统更有价值。在做出选择时，既要考虑安全需求，也要评估团队的技术能力和维护投入。
2026-09-30 14:00:00
60
原创 Linux 服务器安全加固技术（5）
FirewallD 是由 Red Hat 开发的防火墙后台服务程序（daemon），目前不仅在 RHEL 及其衍生版（如 CentOS、Rocky Linux、AlmaLinux）上默认启用，在 SUSE 系列发行版中也被广泛采用。FirewallD 相较于传统防火墙管理方式，最大的优势在于动态修改规则。传统方式下，每次修改防火墙规则都需要重启防火墙服务，这不仅会导致短暂的安全空窗期，还会中断现有的网络连接。而 FirewallD 允许在运行时直接修改规则并即时生效，无需重启服务，从根本上避免了这些问题。
2026-09-28 14:00:00
43
原创 Linux 服务器安全加固技术（4）
nftables 提供了三种定义规则的方式，适用于不同的使用场景。本文系统介绍了 nftables 防火墙框架的核心知识。让我们回顾关键要点：nftables 作为 Netfilter/iptables 的继任者，具有三大核心优势：统一的命令框架（nft替代了iptablesebtablesarptables）、完全自定义的表和链结构（没有预定义的约束）、以及更高效的包过滤性能。理解包过滤的基本原理和数据包在内核中的处理流程掌握表、链、规则的层级关系以及协议族和 Hook 的概念。
2026-09-24 10:00:00
53
原创 Linux 服务器安全加固技术（3）
Fail2ban 的强大之处在于它不仅能保护标准服务，还能通过自定义规则保护任何会记录失败登录的应用程序。假设你的应用在登录失败时会在 Apache 错误日志中记录类似[INCLUDES]这里的关键是failregex中的正则表达式必须精确匹配你的应用产生的日志格式。是从继承的变量，用于匹配 Apache 错误日志中的客户端 IP 部分。留空表示不排除任何匹配项。[myown]这里将maxretry设为 10，比默认的 5 更宽松一些，因为 Web 应用的用户忘记密码的概率通常比 SSH 用户更高。
2026-09-22 10:00:00
45
原创 Linux 服务器安全加固技术（2）
SSH 安全加固的核心理念是分层防御。基础层：sshd_config 加固禁用 root 直接登录（使用不可猜测的管理员用户名根据需要限制监听的地址族（认证层：密钥认证生成密钥对并设置强 passphrase将公钥部署到服务器禁用密码登录（为不同服务器使用不同的密钥文件在云环境中始终使用自定义密钥，避免使用云提供商生成的密钥增强层：双因素认证Google Authenticator：基于 TOTP 的软件方案，纯本地运算，不依赖外部服务。
2026-09-20 10:00:00
47
原创 Linux 服务器安全加固技术（1）
建立定期更新流程无论服务器规模大小，都应该制定明确的更新计划。对于非关键系统，可以采用每周更新的节奏；对于关键业务系统，建议在测试环境验证后再推送到生产环境。合理使用自动更新对于数量较多的服务器集群，建议启用自动安全更新，同时保留非安全更新的手动控制权。在 Ubuntu 上，这可以通过只在中保留-security源来实现。同时，务必建立监控机制，及时发现自动更新失败的情况。善用内核热补丁减少停机在条件允许的情况下，启用内核热补丁服务。这可以显著减少因内核安全更新而必须重启的次数。
2026-09-18 10:00:00
41
原创 Active Directory 安全攻防（二十八）
本篇作为系列的阶段性收尾，我们从两个高影响力CVE出发，深入剖析了AD安全领域"攻"与"防"的持续博弈：→ sAMAccountName欺骗 + PAC混淆→ 任意域用户可提升为域管理员→ 防御：补丁 + MAQ=0 + 监控4741/4742→ 机器账户dNSHostName篡改 + AD CS证书冒充→ 防御：补丁 + 强映射 + AD CS加固AD CS攻击面（ESC1-13）→ 证书模板、CA配置、注册端点均可被滥用→ CA必须视为Tier 0资产持续安全运营。
2026-09-14 10:00:00
12
原创 Active Directory 安全攻防（二十七）
微软发布了《Advanced Threat Analytics Attack Simulation Playbook》（http://aka.ms/ataplaybook），详细描述了ATA能够检测的各类攻击及其模拟方法，是理解ATA检测能力的最佳参考。在前面的文章中，我们系统地走过了AD攻击技术的全景图，并在防御篇中逐步构建了从架构加固、认证强化到审计监控的多层防御体系。本篇将深入剖析这两款产品的架构原理、检测能力和适用场景，帮助读者理解域控专用威胁检测方案的设计思路，并为自身环境选择合适的方案。
2026-09-11 10:00:00
19
原创 Active Directory 安全攻防（二十六）
在前几篇文章中，我们系统性地讨论了针对哈希传递（PtH）、票据传递（PtT）、黄金票据、信任票据以及Kerberoasting等攻击的防御策略。这些防御措施构成了Active Directory安全的重要基石，但仅有防御策略还不够——我们还需要从Kerberos协议本身的配置入手，从源头上提升认证体系的安全性，并建立有效的监控审计机制来及时发现异常行为。Kerberos策略的精细化配置Kerberos声明与装甲（FAST）机制，以及高级监控与检测体系的构建。
2026-09-09 10:00:00
12
原创 Active Directory 安全攻防（二十五）
PtH和PtT攻击的防御不是靠单一技术就能解决的，而是需要一套系统性的安全措施：1、减少攻击面——精简高权限账户、实施最小权限、分离日常与管理账户2、保护凭据——使用PAW、部署Credential Guard、启用AppLocker3、消除持久化——定期重置KRBTGT密码（双重重置流程）4、持续监控——部署日志审计、异常检测、定期安全评估其中，KRBTGT密码重置是对抗Golden Ticket的唯一有效手段，但必须严格按照流程执行——两次重置之间必须留出足够的等待时间。
2026-09-07 10:00:00
14
原创 Active Directory 安全攻防（二十四）
即使攻击者攻破了最薄弱的环节，也无法一步触及最关键的资产。措施防御目标实施难度GPO登录限制阻止跨Tier登录，防止凭据泄露扩散★★☆认证策略/SiloKDC层面强制登录隔离，限制NTLM★★★禁用NTLM/缓存/委派，缩短TGT★★☆PAW确保管理操作从受信任设备发起★★★虚拟化隔离凭据，对抗内存提取★★☆这些措施层层叠加，构成了纵深防御体系。
2026-09-04 10:00:00
10
原创 Active Directory 安全攻防（二十三）
从Windows Server 2016开始，微软引入了比Core Server更为精简的安装选项——。Nano Server的关键特性：1、无本地登录能力——被称为"无头服务器"（Headless Server），完全通过网络远程管理2、攻击面极小——比Core Server进一步精简3、从Windows Server 1709开始，Nano Server以容器形式部署在Windows Server上4、不能用作域控制器——这是一个重要的限制。
2026-09-02 10:00:00
14
原创 Active Directory 安全攻防（二十二）
是一个功能强大的PowerShell模块，专门用于与Active Directory数据库交互。它支持直接读取NTDS.dit文件中的账户信息和密码哈希，无需域控在线运行。NTDS.dit数据库是Active Directory安全的核心资产。本文揭示了两条从中提取敏感数据的路径：1、离线路径：通过获取IFM介质、备份文件或磁盘副本，使用DSInternals在完全离线的环境中提取所有账户的密码哈希——这种攻击几乎无法被传统安全监控检测到。2、在线路径。
2026-08-31 10:00:00
12
原创 Active Directory 安全攻防（二十一）
对比维度伪造对象TGT（票据授权票据）TGS（服务票据）所需密钥krbtgt账户的NTLM哈希目标服务账户的NTLM哈希攻击范围域内所有服务仅限目标服务是否与KDC交互是（用TGT请求TGS时）否（完全离线）域控日志会产生TGS请求日志不产生任何域控日志隐蔽性中等极高获取难度需攻陷域控仅需攻陷目标服务所在主机最后一行尤为重要：获取服务账户哈希的难度远低于获取krbtgt哈希。攻击者只需在运行目标服务的主机上提取本地凭据即可，不需要攻陷域控制器。
2026-08-28 10:00:00
17
原创 Active Directory 安全攻防（二十）
Golden Ticket代表了AD攻击链中"攻陷域控之后"的终极持久化能力。它利用Kerberos协议设计中对krbtgt密钥的绝对信任，使攻击者能够在不与KDC交互的情况下伪造任意身份的认证票据。1、立即评估krbtgt密码的上次更改时间，制定定期轮换计划2、部署Kerberos异常检测，重点关注超长有效期票据和RC4加密类型3、应用最新安全更新，特别是KB5020805中的Golden Ticket缓解措施4、实施最小权限原则，减少域管理员凭据暴露面。
2026-08-26 10:00:00
12
原创 Active Directory 安全攻防（十九）
PowerSploit（https://github.com/PowerShellMafia/PowerSploit）是由PowerShellMafia团队维护的开源PowerShell模块集合，专为渗透测试设计。特性说明纯PowerShell实现无需额外编译二进制文件，利用目标系统自带的PowerShell环境运行模块化架构超过120个命令，覆盖侦察、权限提升、凭据提取、持久化等完整攻击链远程执行能力结合PowerShell Remoting，可在多台目标主机上同时执行操作内存驻留。
2026-08-24 10:00:00
15
原创 Active Directory 安全攻防（十八）
mimikatz提供了多个模块和命令来操作Kerberos票据——从简单的票据列举，到深入的票据元数据提取，再到通过DCSync复制域控密码哈希。这个分组结构直接映射了Kerberos协议的认证流程：用户首先通过AS-REQ/AS-REP获取TGT（Group 2），然后使用TGT通过TGS-REQ/TGS-REP获取服务票据（Group 0），最后使用服务票据访问目标服务。标志，攻击者可以利用Kerberos委派机制，以该用户的身份访问其他服务——这是Kerberos委派攻击的基础。
2026-08-21 10:00:00
11
原创 Active Directory 安全攻防（十七）
sekurlsa模块的强大之处在于它系统性地暴露了Windows认证架构中每一个凭据提供程序的弱点。从MSV中的NTLM哈希，到SSP中的明文网络密码，再到TsPkg中的RDP凭据——每一个子命令都对应着一个真实的攻击向量。对于防御方而言，理解sekurlsa模块的输出结构不仅有助于评估自身环境的风险暴露程度，更能指导针对性的加固策略。减少LSASS内存中缓存的凭据数量，并保护LSASS进程不被非授权访问。在这两个方向上持续投入，才能有效抵御基于sekurlsa模块的凭据提取攻击。
2026-08-19 10:00:00
25
原创 Active Directory 安全攻防（十六）
属性说明工具名称mimikatz开发者开源地址支持系统Windows 10及更早版本（持续更新）编译版本提供32位和64位预编译版本核心定位模块化凭据提取与操作框架许可方式开源，提供源代码mimikatz之所以成为Active Directory安全领域最具影响力的工具，不仅因为它的功能强大，更因为它系统性地揭示了Windows凭据管理机制中的设计缺陷。
2026-08-17 10:00:00
21
原创 Active Directory 安全攻防（十五）
属性说明工具名称开发方工具定位渗透测试工具支持系统Windows 7及更早版本当前状态已停止开发核心功能读取/使用NTLM凭据和Kerberos票据提取→存储→利用。从安全防御的角度来看，理解这一攻击链条的每个环节，才能在对应位置部署有效的检测和阻断措施。更重要的启示是：只要系统内存中存在凭据缓存，PtH攻击的威胁就不会消失。从WCE到mimikatz，工具在进化，但攻击的本质逻辑始终未变。
2026-08-14 10:00:00
17
原创 Active Directory 安全攻防（十四）
Pass-the-Hash（哈希传递）攻击的核心思想非常直接：攻击者无需知道用户的明文密码，只需获取密码的哈希值，就能冒充该用户完成身份认证。在Windows系统中，用户的凭据信息（用户名与密码哈希的组合）通常会被缓存在系统内存中。这是操作系统为了实现单点登录（SSO）等便利功能而采取的设计。然而，正是这一设计，为攻击者提供了可乘之机——内存中的凭据信息可以被提取并恶意利用。工具说明Windows凭据编辑器，可提取内存中的登录凭据mimikatz最著名的Windows凭据提取工具，功能强大且持续更新。
2026-08-12 10:00:00
17
原创 Active Directory 安全攻防（十三）
第一阶段：在所有域控制器上启用LDAP诊断日志，摸清Simple Bind的使用情况第二阶段：对发现的Simple Bind连接进行分类，确定每个连接的来源应用和业务影响第三阶段：逐步将应用迁移到安全认证方式，对无法立即迁移的应用启用传输加密第四阶段：完全禁用Simple Bind，建立持续监控机制。
2026-08-10 10:00:00
15
原创 Active Directory 安全攻防（十二）
KrbTGT账户是整个Kerberos体系的密钥基石。它存储在每台域控制器上，用于加密TGT的第二部分，使得域内任何DC都能验证TGT的有效性。但其密码不自动更换的特性使其成为黄金票据攻击的核心目标。TGS请求与响应遵循与AS交换相同的双重加密设计模式。服务票据的第一部分使用TGT会话密钥加密（供客户端使用），第二部分使用目标服务账户密码加密（供目标服务使用）。SPN查找和加密协议协商是这个过程中的两个关键环节。旧版认证协议。
2026-08-07 10:00:00
19
原创 Active Directory 安全攻防（十一）
主题公园Kerberos售票处认证服务（AS）手环票据授予票据（TGT）手环上的信息（年龄、身高等）特权访问证书（PAC）防伪印章KrbTGT密钥加密碰碰车旁的小亭子票据授予服务（TGS）乘坐芯片服务票据（Service Ticket）碰碰车目标服务你只需要在入口处证明一次身份（输入密码），之后在公园内访问各种设施（服务）时，只需出示手环（TGT）即可获得对应的芯片（服务票据），无需反复证明身份。这就是Kerberos实现单点登录（SSO）的基本原理。三方架构。
2026-08-04 10:00:00
19
原创 Active Directory 安全攻防（十）
本文通过一个完整的攻击场景，展示了攻击者如何利用AD读取权限和SYSVOL写入权限，通过篡改组策略文件实现密码重置和权限提升。GPP密码漏洞是一个经典的AD安全问题，虽然微软已禁用新密码设置功能，但历史残留配置仍可能被利用主动注入攻击允许拥有SYSVOL写入权限的攻击者创建或修改Groups.xml文件，控制目标计算机的本地账户和组成员关系客户端事件日志会记录密码变更操作，是检测此类攻击的重要数据源Windows 10的策略缓存机制在同步模式下会引入额外的安全风险。
2026-08-01 22:50:49
30
原创 Active Directory 安全攻防（九）
通过备份文件和虚拟硬盘获取 AD 数据库，是一条常被安全团队忽视但极其有效的攻击路径。Windows Server Backup 将域控制器备份存储为 VHDX 格式，而从 Windows 8 开始，任何人都可以在资源管理器中直接挂载和浏览 VHDX 文件的内容。虚拟化环境中的域控制器同样面临虚拟磁盘被复制的风险。
2026-07-28 10:00:00
18
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人