番茄系統(tǒng)家園 - 免費重裝系統(tǒng)！簡單裝系統(tǒng)，人人都是裝機大師！
當(dāng)前位置：首頁>網(wǎng)絡(luò)安全 > 淺談虛假日志干擾SIEM平臺安全監(jiān)測機制

淺談虛假日志干擾SIEM平臺安全監(jiān)測機制

來源：番茄系統(tǒng)家園瀏覽：時間：2022-05-20 09:06:06

为确保网络安全，减少攻击者入侵的可能性，组织机构中部署的安全信息和事件管理系统(SIEM)需要对进出网络的行为执行实时的日志收集、分析和预警处理，SIEM系统中会涉及到大量的日志收集设备。但也存在另外一种可能，攻击者可以对SIEM系统中的日志收集设备形成虚假日志，实现干扰SIEM的安全行为监测目的。本文就来探讨身处内网的攻击者如何对日志收集设备发起虚假日志攻击，文章仅为思路分享，不代表实战观点。

浅谈虚假日志干扰SIEM平台安全监测机制

1. 理论思路

要对SIEM系统日志收集设备形成虚假日志，主要有两步：

  • 发现目标日志收集设备的日志格式
  • 按格式生成相应的虚假日志

前提条件：身处目标网络中的一台设备。可以点击Letsdefend.io的SIEM仿真实验室进行练手。

(1) 发现目标日志收集设备的日志格式

如果目标日志收集设备使用的是扩展的日志格式(LEEF)，而我们向其发送了通用的事件格式(CEF)，那就会出现解析问题。这里我们可以用以下两种方法判断目标监控设备的日志格式：

(2) 应用程序识别

识别目标日志收集设备在网络中监测的前端应用程序，然后对该应用程序的属性和日志流进行分析;

网络流量监测分析,如果网络系统中的日志信息未经加密进行传输，一般都能发现其具体的日志格式。

(3) 生成虚假日志

根据上一阶段的分析，构造虚假日志发送给目标日志收集设备。

2. 实例测试

用以下简单的网络系统为例，网络架构中部署了一台针对客户端的日志收集设备，它是基于Splunk的日志系统，其收集的日志信息会传递给监测分析设备进行关联分析，并给出威胁报警。

浅谈虚假日志干扰SIEM平台安全监测机制

攻击者潜入网络，开始信息探测，按照上述步骤首先来识别日志收集设备的日志收集格式。这一步他应该会对日志收集设备执行端口扫描：

浅谈虚假日志干扰SIEM平台安全监测机制

从扫描结果可以看出，日志收集设备系统中运行有Splunk服务，假设端口514和1234用于日志信息收集，之后，攻击者通过网络流量监听，会发现端口1234用于TCP包的传输：

浅谈虚假日志干扰SIEM平台安全监测机制

从实际的传输包中可以看到，整个网络数据并未采取加密措施，因此可以从中发现具体的日志格式：

浅谈虚假日志干扰SIEM平台安全监测机制

有了这种明文的日志格式，接下来就是构造日志的问题了。这里虚假日志的目的各有不同，例如可以发送大体积日志以堵塞日志收集功能，或是用虚假攻击日志欺骗系统管理员(Analyst)，也可即时发送大量日志消息延迟日志处理机制，等等。为了分散系统管理员的注意力，基于上述格式，攻击者可以伪造出以下尝试SQL注入的日志格式：

之后，把类似大量的日志发往日志收集设备的1234端口：

浅谈虚假日志干扰SIEM平台安全监测机制

管理员在日志收集设备中看到以下的记录信息，攻击者也成功实现了干扰目的。

浅谈虚假日志干扰SIEM平台安全监测机制

预防措施

  • 针对日志收集设备实施白名单通信机制;
  • 监控即时日志流量，对异常的增加/减少日志发出警报;
  • 对日志传输信息进行加密处理。

鸿蒙官方战略合作共建——HarmonyOS技术社区

推薦系統(tǒng)

  • 雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載

    雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載64位
    系統(tǒng)大小：0MB系統(tǒng)類型：WinXP

    雨林木風(fēng)在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)知名品牌，雨林木風(fēng)WindowsXP其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，是一款穩(wěn)定流暢的系統(tǒng)，雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載，有需要的朋友速度下載吧。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園win7純凈版 ghost系統(tǒng)下載 x64 聯(lián)想電腦專用

    蘿卜家園win7純凈版 ghost系統(tǒng)下載 x64 聯(lián)想電腦專用64位
    系統(tǒng)大?。?/em>0MB系統(tǒng)類型：Win7

    蘿卜家園win7純凈版是款非常純凈的win7系統(tǒng)，此版本優(yōu)化更新了大量的驅(qū)動，幫助用戶們進(jìn)行舒適的使用，更加的適合家庭辦公的使用，方便用戶，有需要的用戶們快來下載安裝吧。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載

    雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載64位
    系統(tǒng)大?。?/em>1.01GB系統(tǒng)類型：WinXP

    雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載，雨林木風(fēng)WinXP系統(tǒng)技術(shù)積累雄厚深耕多年，采用了新的系統(tǒng)功能和硬件驅(qū)動，可以更好的發(fā)揮系統(tǒng)的性能，優(yōu)化了系統(tǒng)、驅(qū)動對硬件的加速，加固了系統(tǒng)安全策略，運行環(huán)境安全可靠穩(wěn)定。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 V2023 X64位系統(tǒng)下載

    蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 V2023 X64位系統(tǒng)下載64位
    系統(tǒng)大?。?/em>0MB系統(tǒng)類型：Win10

    蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)的蘿卜家園品牌，(win10企業(yè)版,win10 ghost,win10鏡像),蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 ghost鏡像 X64位系統(tǒng)下載,其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，蘿卜家園win10純凈版是一款穩(wěn)定流暢的系統(tǒng),一直以來都以用戶為中心，是由蘿卜家園win10團隊推出的蘿卜家園

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 V2023 X64位系統(tǒng)下載

    蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 V2023 X64位系統(tǒng)下載64位
    系統(tǒng)大小：0MB系統(tǒng)類型：Win10

    蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 ghost X64位 系統(tǒng)下載，蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)的蘿卜家園品牌，其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，蘿卜家園win10純凈版是一款穩(wěn)定流暢的系統(tǒng),一直以來都以用戶為中心，是由蘿卜家園win10團隊推出的蘿卜家園win10國內(nèi)鏡像版，基于國內(nèi)用戶的習(xí)慣，做

    系統(tǒng)等級：
    進(jìn)入下載 >

  • windows11下載 蘿卜家園win11專業(yè)版 X64位 V2023官網(wǎng)下載

    windows11下載 蘿卜家園win11專業(yè)版 X64位 V2023官網(wǎng)下載64位
    系統(tǒng)大?。?/em>0MB系統(tǒng)類型：Win11

    蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，windows11下載 蘿卜家園win11專業(yè)版 X64位 官網(wǎng)正式版可以更好的發(fā)揮系統(tǒng)的性能，優(yōu)化了系統(tǒng)、驅(qū)動對硬件的加速，使得軟件在WINDOWS11系統(tǒng)中運行得更加流暢，加固了系統(tǒng)安全策略，WINDOWS11系統(tǒng)在家用辦公上跑分表現(xiàn)都是非常優(yōu)秀，完美的兼容各種硬件和軟件，運行環(huán)境安全可靠穩(wěn)定。

    系統(tǒng)等級：
    進(jìn)入下載 >

熱門系統(tǒng)