护网在即，一年一度，技战法是必须要的那么来看看本文，本文主要讲解HW行动当中“蓝队防守方”策略及其技战法通过讲解，让大家可以写出相关技战法，应急预案等等。
W行动之“防守方”策略
“防守方”的策略依据HW行动的时间线可细分为四个阶段：备战阶段、临战阶段、决战阶段、总结阶段。每个阶段的具体策略如下：
备战阶段
- 资产清查与风险评估：梳理数据资产，识别关键业务流程和系统，评估安全风险。
- 安全体系建设：建立和完善安全管理体系和技术防护体系。
- 自查自纠与安全培训：定期进行自我检查，纠正存在的问题，并组织员工进行安全意识培训。
临战阶段
- 资产巡查与渗透测试：对核心系统进行定期的安全巡查，并执行渗透测试以发现潜在漏洞。
- 应急预案与演练：制定详细的应急响应预案，并通过实战演练确保预案的有效性。
- 系统加固与优化：根据内外网检测结果，实施必要的系统加固措施，优化应急处置流程。
决战阶段
- 7×24小时现场值守：在整个重大活动期间，安排专业人员进行不间断的安全监控。
- 实时监控与响应：基于安全审计告警信息，进行实时监控，并快速响应安全事件。
- 突发事件处理与溯源分析：对于发生的任何安全事件，立即进行处理，并追溯其根源。
总结阶段
- 工作总结与复盘：全面总结HW行动期间的工作情况，识别不足之处。
- 经验分享与改进：分享经验和教训，持续改进网络安全建设。
0day漏洞防护
0day漏洞因其未知性和隐蔽性而难以防范，但通过以下策略可以增强系统的安全性，减少遭受0day攻击的风险：
漏洞情报收集
- 多渠道情报来源：订阅权威的安全厂商、漏洞信息共享平台和邮件列表，确保获得最新漏洞情报。
- 信息传递与共享：将关键漏洞信息迅速传递给安全团队，确保能够及时响应。
威胁建模
- 系统与网络分析：深入分析现有的系统和网络架构，包括服务器、网络设备和数据库等。
- 威胁模型制定：基于分析结果构建威胁模型，确定关键资产和潜在的攻击路径。
- 针对性防护措施：根据威胁模型的结果，实施有效的保护措施。
补丁管理
- 自动化补丁流程：利用自动化工具跟踪和应用最新的安全更新和修复补丁。
- 测试与部署：在独立的测试环境中进行补丁测试，确认无误后才应用于生产环境。
漏洞扫描与渗透测试
- 定期安全检查：定期执行漏洞扫描和渗透测试，以发现并评估潜在的安全威胁。
- 修复跟踪：根据测试结果制定修复计划，并持续追踪漏洞修复进度。
应用白名单与沙箱环境
- 白名单策略：仅允许运行授权的可信软件，减少恶意软件的入侵机会。
- 沙箱环境：在隔离的环境中运行可疑应用，确保它们无法对主系统造成损害。
网络分段
- 隔离子网：通过网络分段限制内部系统的直接通信，减少攻击扩散的可能性。
- 网络访问控制：利用防火墙和ACL来监控并限制不同子网间的流量。
强化主机安全防护
部分0day利用成功后需要主机读写文件权限，部署终端防护系统，一是监控非白名单地址的运维操作和敏感操作命令，及时发现异常命令执行行为，包括攻击者常用的whoami、id等。二是监控服务器敏感配置文件的读取，例如passwd、shadow、*.conf 文件。三是禁止web目录写入脚本文件，防止webshell后门落地执行。
我们这里可以使用相关网络防御api来帮助进行防御，这个聚合api 平台有srcport网络防御工具api，可以利用这个api来帮助进行防护，把这个api对接到相关程序当中主要可以实现以下功能主动测试在线目标，非常适合防御安全、错误赏金和安全评估！工具包括：开放重定向扫描器、JavaScript 漏洞扫描器、提取 Cookie、本地存储、元数据、WebTech 标识符（内置）、网络爬虫（蜘蛛）、横幅抓取、域模糊测试、DNS 记录和子域查找器.
我们的安全工具集（蓝队、红队和紫队）以及取证和安全评估将通过提供以下功能使您的组织受益：网站漏洞安全扫描、网络漏洞扫描、漏洞扫描等
布置蜜罐
一是边界区域部署办公系统蜜罐。二是在核心计算区域布置核心系统和集权系统蜜罐。三是将真实系统的非业务端口访问流量转发至蜜罐，第一时间发现内网扫描行为。
部署高交互、高仿真蜜罐，将vpn、oa系统做蜜罐备份，攻防期间替换掉真实业务域名，混淆攻击者，捕获零日漏洞。同时将下载页面中vpn、oa客户端替换为cs免木马，在云服务器部署通过cna脚本进行上线微信提醒，一旦上线即可第一时间反制溯源。
0day攻击应急响应流程
情报收集与分析
- 收集关于0day漏洞的相关情报，包括CVE编号、受影响系统和软件版本等信息
- 分析漏洞利用的方式和攻击者可能采取的行动，评估威胁程度和潜在风险
验证与确认
- 确认系统是否受到0day攻击，通过检查异常活动、不寻常的日志记录或其他安全事件的迹象。
- 验证攻击的范围和受影响的系统，确定攻击者获取的权限和可能的损害。
划定边界与隔离
- 通过防火墙、入侵检测系统（IDS/IPS）或其他安全设备，将受感染的主机或网络隔离起来，以限制攻击扩散。
- 划定边界并构建隔离环境，确保被感染系统无法连接到其他系统或网络。
收集证据
收集与攻击有关的所有证据，包括攻击流量捕获、日志文件、内存快照、恶意代码样本等。确保对证据进行正确的保留和存档。
应急修复与缓解措施
- 采取紧急措施来阻止攻击，例如禁用受感染的账户、停止受感染的服务或断开受感染系统与网络的连接。
- 如果可行，尝试应用已有的临时修复方案或补丁，并确保它们不会引入其他问题。
深度分析与恶意代码清除
- 对受感染系统进行深度分析，以了解攻击者的行动方式和后门特征。使用专业的安全工具和反恶意软件软件，扫描并清除潜在的恶意代码。
- 进行持久性检查，确保系统没有被重新感染，并通过监控日志和网络活动来发现任何异常行为。
系统恢复与完善防护
- 在确认系统已经得到清理并修复后，开始系统恢复过程。确保先进行彻底的测试和验证，以确保系统的安全性和功能性。
- 根据针对0day漏洞的最新信息，升级受影响的系统和软件，并加强防护措施，例如配置审计、访问控制和内网安全策略。
事后分析与总结
- 进行事后分析，评估0day攻击的影响和损失，并确定应对措施的有效性和不足之处。
- 撰写一份详细的报告，记录事件的经过、所采取的措施和应对结果。
- 提供有关0day漏洞的信息共享给相关机构或社区完成整个应急流程的闭环
实战阶段防守技战法
监控设备方法，如果说现在做好的办法那是封堵ip，每个头部厂商有自己的办法，当然了防守战法有3个方面：
日志设备监测
日志检测可以 监控监测各设备的登录日志，重点关注管理员权限账号的登录和使用情况。通过分析登录日志发现如密码暴力破解和非法用户登录行为。这些是重点中重点。
网络流量监测
通过日志异常请求，抓取网络的网络包回溯，前提在黄金5分钟搞定。可以离线下载分析cap包。使用wireshark即可。建议产品使用比较靠谱的一系列产品，比如流量回溯系统，WAF。
内网访问关系监测
重点关注内网扫描探测，异常网络连接，非法外联等事件。如果是已经突破边界，进入内网扫描，或者非法连接，这个事情可以进一步证实前面判断。通过前2步的做法确认结果。
情报收集与分析
如果实在不行提桶跑路，但是如果不敢的话也可以按着下面这个方法进行情报收集
1. 情报收集
情报收集是蓝队工作的第一步，主要包括以下几个方面：
- 内部系统信息：
- 系统日志：收集来自服务器、应用程序和服务的日志文件。
- 安全日志：防火墙、IDS/IPS和其他安全设备的日志。
- 用户活动记录：审计登录、访问和操作记录。
- 网络流量数据：使用网络监控工具如Wireshark捕获的网络包。
- 外部情报源：
- 漏洞数据库：如CVE（Common Vulnerabilities and Exposures）。
- 威胁情报平台：订阅安全厂商提供的威胁情报服务。
- 社交媒体和安全论坛：关注相关的安全新闻和讨论。
- 黑客论坛和暗网：监控非法活动的迹象。
- 公共蜜罐数据：从蜜罐中收集的信息。
2. 情报分析
收集到的情报需要进行细致的分析，以便找出潜在的安全威胁：
- 日志分析：使用日志分析工具，如ELK Stack (Elasticsearch, Logstash, Kibana) 或 Splunk，来查找异常行为和攻击迹象。
- 流量分析：分析网络流量，寻找异常的数据流或协议使用情况。
- 关联分析：将不同的数据源相互关联起来，寻找攻击者的行为模式。
- 模式识别：识别攻击模式和战术，如APT（持续性威胁）攻击的特征。
- 行为分析：分析用户和系统的正常行为基线，识别偏离正常行为的活动。
3. 情报利用
将分析出的情报转化为具体的行动指南：
- 告警规则：基于分析结果调整IDS/IPS的告警规则。
- 安全策略调整：根据威胁情报更新安全策略。
- 应急响应准备：为潜在的攻击事件制定详细的应急响应计划。
- 防御机制优化：加强关键系统的防护措施，如增加防火墙规则或部署额外的安全设备。
- 培训和意识：对员工进行安全培训，提高安全意识。
4. 情报共享
与其他组织共享情报，形成合力：
- 参与信息共享组织：加入行业内的信息共享和分析中心(ISACs)。
- 参加安全社区：参与在线安全社区和论坛，分享和学习最佳实践。
- 与其他公司：与伙伴交换威胁情报。
实施工具和技术
为了有效执行上述步骤，蓝队可能会使用多种技术和工具：
- 安全信息和事件管理系统(SIEM)：用于集中管理和分析日志信息。
- 网络监控工具：如Wireshark、Bro（现在称为Zeek）等，用于捕获和分析网络流量。
- 威胁情报平台(TIP)：整合和管理来自不同来源的情报。
- 蜜罐和蜜网：用于吸引和监控攻击者的行为。
- 漏洞扫描器：定期扫描系统和网络，发现潜在的安全漏洞。
- 自动化工具：如剧本和脚本语言，用于自动化情报收集和分析过程
最后，到这里技战法已经这点了，但是关键还是看执行力度
