闭网现场 — 国防领域
在不能搜索、不能安装、不能带出的地方怎么工作。
고급 · 课时 33 · 实验 10
课程大纲
在没有互联网的地方做排查
- 隔离网不是夺走工具，是改变顺序 reading
- 外带审查 — 是挑，不是删 reading
- 在隔离网里排查并做出可外带的摘要 lab
- 测验：隔离网排查与外带 quiz
引入包与完整性
- 引入不是搬文件，是把依赖闭合 reading
- 校验有两层，只看一层就一定会放过一个 reading
- 做出引入包，并找出签名校验断掉的地方 lab
- 测验：引入包与完整性 quiz
改不了的配置与交接
- 打了最新补丁，认证反而失效 reading
- 审计追踪是事前设计的，不是事后补的 reading
- 固定配置的漏洞应对与交接 lab
- 测验：固定配置、审计追踪、交接 quiz
带入介质检疫
- 解包之后再看，已经太晚了 reading
- 在解包之前对带入介质做检疫 lab
- 测验: 带入介质检疫 quiz
证明不是签名对了就行
- 签名验证通过了，可那份证明说的是另一个文件 reading
- 签名 OK、比对 FAIL — 当证明指向另一个交付物 lab
- 测验：供应链证明比对 quiz
用材料证明没有对外通信
- 说“不会外传”并不等于证据 reading
- 用材料证明没有对外通信 lab
- 测验：证明没有对外通信 quiz
日志外发前先做去标识化
- 抹掉就没法分析了——改写着送出去的手艺 reading
- 把沾着人的日志变成可以送出网外的样子 lab
- 测验：日志去标识化与外发 quiz
把账号和权限削到最小
- 权限不会自己变少 — 缩减是一项独立的工作 reading
- 没人用的那个账号，其实权限最大 lab
- 测验：账号与权限的最小化 quiz
提前备好交给审计的材料
- 审计问的不是你做了什么，而是你如何证明 reading
- 做一张把一条要求接到一个文件的对照表 lab
- 测验：审计证据索引 quiz
时间同步与记录的证据力
- 时钟不准，记录就不能当证据 reading
- 批处理跑在入队之前 — 时钟快了 2.4 秒 lab
- 测验：时间同步与记录的证据力 quiz