2024中國實戰(zhàn)化白帽人才能力白皮書

中國實戰(zhàn)化白帽人才能力白皮書2024.10中國實戰(zhàn)化白帽人才能力白皮書2024.10主要結(jié)論本次白皮書改變了先前使用的“先分級再分類”的架構(gòu)方式，而是完全以“知識圖譜”的形式，重新架構(gòu)能力圖譜，這種方式更有利于明確白帽人才的培養(yǎng)目標和職業(yè)規(guī)劃，關鍵字：實戰(zhàn)化、白帽子、攻防演習、能力圖譜、漏研究背景 1一、能力圖譜的升級 1二、能力分析的方法 3第一章實戰(zhàn)化白帽人才能力圖譜 4一、攻擊側(cè)能力圖譜 4二、防守側(cè)能力圖譜 7第二章實戰(zhàn)化白帽人才能力現(xiàn)狀 一、攻擊側(cè)現(xiàn)狀分析 二、防守側(cè)現(xiàn)狀分析 第三章能力圖譜與掌握情況總覽 附錄1實戰(zhàn)化白帽人才能力調(diào)研統(tǒng)計數(shù)據(jù)詳情 附錄2實戰(zhàn)化白帽人才能力圖譜攻擊側(cè)能力詳解 21一、WEB漏洞利用與挖掘 二、系統(tǒng)層漏洞利用與挖掘 三、安全工具使用 四、編程與開發(fā) 五、社工與滲透 32六、攻擊輔助 35七、其他攻擊能力 38附錄3實戰(zhàn)化白帽人才能力圖譜防守側(cè)能力詳解 41一、檢查與整改 41二、監(jiān)測與分析 43三、響應與處置 45四、溯源與反制 48五、其他能力 附錄4補天漏洞響應平臺 541研究背景實戰(zhàn)化白帽人才能力圖譜，并以此為基礎展開廣泛2首先，2020版圖譜只考慮了攻擊側(cè)人員能力，而沒有考慮防守側(cè)人員能力，這就對白人才的能力圖譜中。也就是說，白帽子，不僅要能攻，而且要其次，2020版圖譜是以技能的學習難度為基礎，先分級后分類。但從知識學習的角度識圖譜的形式重新構(gòu)架能力圖譜，對于白帽人才的知識體系構(gòu)建與學習會更有幫助。3重新架構(gòu)能力圖譜，這種方式更有利于明確白帽人才的培養(yǎng)目標和職業(yè)小類能力平均掌握率第n項能力的平均掌握率M大類能力平均掌握率第m小類能力的平均掌握率中給出了調(diào)研結(jié)果的原始數(shù)據(jù)和各項能力的具體說明，以方便白帽人才學習和研究。4第一章實戰(zhàn)化白帽人才能力圖譜項具體能力。本文附錄對每一項技能的含義與要求，進行了詳細的Web漏洞利用與挖掘是指針對Web系統(tǒng)或應用中存在的安全漏洞進利用和挖掘的攻擊手進行攻擊的技術能力，后者是指發(fā)現(xiàn)系統(tǒng)中存在代碼執(zhí)行、邏輯漏洞、解析漏洞、信息泄露、XSS、配置錯誤、弱口令、反序列化、文件上傳、權(quán)限繞過。針對這12種不同技術原理的漏洞進行利用和挖掘，就分別對應了Web漏洞5層面的潛在安全漏洞，為增強系統(tǒng)防御提供關鍵信息和修復建議的DEP、PIE、NX、ASLR、SEHOP、G技術、補丁對比、軟件逆向靜態(tài)分析、系統(tǒng)安全機經(jīng)常被用到的高級工具包括：IDA、Ghidra、Binwalk、Olly最為主要、最為常用的攻擊手段。在此將二者合并簡稱為社工6權(quán)限維持/提權(quán)、數(shù)據(jù)竊取、常見隧道工具使用、橫向移動、免殺、云安全防護繞過與終端為避免自己的真實IP、物理位置、設備特征等信息在遠程入侵的過程中被網(wǎng)絡安全設公開情報收集、開源安全情報、黑灰產(chǎn)情報、作的作戰(zhàn)經(jīng)驗，在團隊中扮演什么樣的角色，也是白帽子實戰(zhàn)化能力的重要7智能化、隱蔽化和復雜化的網(wǎng)絡威脅，面對層出不窮攻擊手法、甚至是高級持續(xù)性威脅（APT）等，想要構(gòu)建堅固的安全防線，不僅需要先進的分各項能力的學習難度。顏色由淺到深分別表示基礎能力、進階能力和戰(zhàn)攻防演習過程中關鍵環(huán)節(jié)的執(zhí)行次序有關。一般來說，演習開始前，要對系統(tǒng)進下面就對防守側(cè)人員需要掌握的網(wǎng)絡安全能力進行簡要說明。具體8提前發(fā)現(xiàn)問題、提前消除隱患。其中包括：安全提前發(fā)現(xiàn)問題、提前消除隱患。其中包括：安全能力，具體包括：失陷設備隔離、無補丁漏洞修復、數(shù)據(jù)恢復與應急工具包使用四大9防演習活動中，如果能夠?qū)絷犨M行有效的溯源和反析、攻擊者在網(wǎng)絡空間及物理空間中定位、攻擊者身份識別等多個方能力包括但不限于反向Web漏洞利用、黑客工具漏的意義和價值。具體包括：公開情報收集、威脅情報平臺使用與自制情報收集工具三本能力，具體包括：應急處置報告、防守成果報告、總結(jié)整改報第二章實戰(zhàn)化白帽人才能力現(xiàn)狀攻擊隊，73.8%的白帽子參與過實戰(zhàn)攻防演習防守隊。同時，有51.7%的白帽子表示自己攻率情況。如上，如果某一個小類下面的能力總體來看，2024總體來看，2024年和2023年相比，各小類能力的平次性任務，而是一個持續(xù)的過程，需要持續(xù)監(jiān)控并維護完善的監(jiān)控第三章能力圖譜與掌握情況總覽附錄1實戰(zhàn)化白帽人才能力調(diào)研統(tǒng)計數(shù)據(jù)詳情11172.1%1169.1%72.1%1111111222242.7%22247.2%222223333ASLR338.1%333術333311AppScan1AWVS1Nmap1Wireshark1MSF11-1HTTPLog 1 1-1AntSword-152.1%33Binwalk31.1%330.1%332222287.1%87.1%22-2洞23.1%3Android3325.1%3macOS3備322233333具-49.2%3 3-3333份31.1%373.1%3-3-3-3-3 3析集--1報-2--3息--3--3 3 347.3%3MIPS3ARM24.1%333員45.2%333員33告--274.1%148.3%176.1%33112249.5%330.1%331.1%311111警32.1%175.1%222123322222APT32222242.3%23用3用3349.3%3用44.5%332224.1%3集78.1%1用2具32248.5%3附錄2實戰(zhàn)化白帽人才能力圖譜攻擊側(cè)能力詳解WebWeb漏洞利用與挖掘是指針對Web系統(tǒng)或應用中存在的安全漏洞進利用和挖掘的攻擊手進行攻擊的技術能力，后者是指發(fā)現(xiàn)系統(tǒng)中存在代碼執(zhí)行、邏輯漏洞、解析漏洞、信息泄露、XSS、配置錯誤、弱口令、反序列化、文件上傳、權(quán)限繞過。針對這12種不同技術原理的漏洞進行利用和挖掘，就分別對應了Web漏洞Web漏洞利用能力是指利用Web系統(tǒng)或應用的安全漏洞實施網(wǎng)絡攻擊的能力。置錯誤、弱口令、反序列化、文件上傳、權(quán)限XSS，全稱為CrossSiteScripting，意為跨站腳本攻擊，為了和更加常用的CSS（CascadingStyleSheets，碼到網(wǎng)頁，使用戶加載并執(zhí)行攻擊者惡意制造的網(wǎng)頁程序。這些惡意網(wǎng)頁程序通常是在本文中，白帽子的XSS能力，是指白帽子能夠發(fā)現(xiàn)軟件或系統(tǒng)的設計缺陷或安全漏成配置錯誤的主要原因是運維人員的疏忽或?qū)I(yè)Web漏洞挖掘能力是指在Web系統(tǒng)或應用中，發(fā)現(xiàn)新的安全漏洞的能力。層面的潛在安全漏洞，為增強系統(tǒng)防御提供關鍵信息和修復建議的能系統(tǒng)層漏洞利用與防護能力，主要包括7種最為常用的、典型的系統(tǒng)層安全機制，即SafeSEH、DEP、PIE、NX、ASLR、技術、補丁對比、軟件逆向靜態(tài)分析、系統(tǒng)安全機程序或系統(tǒng)中SafeSEH機制的設計缺陷，并加以利用實施攻擊的能力。DEP，是DataExecutionProtection的之，如果DEP機制設計不完善或存在缺欠，就有可統(tǒng)中DEP機制的設計缺陷，并加以利用實施攻擊的能力。（Position-IndependentCode，地統(tǒng)中PIE機制的設計缺陷，并加以利用實施攻擊的能力。用是防止溢出攻擊中，溢出的數(shù)據(jù)被當作可執(zhí)行代碼來執(zhí)行。NX的基本原理是將數(shù)據(jù)所在系統(tǒng)中ASLR機制的設計缺陷，并加以利用實施攻擊的能力。SEHOP，是StructuredExceptionHandlerOve或系統(tǒng)中SEHOP機制的設計缺陷，并加以利用實施攻擊的能力?？臻g相匹配，這就為緩沖區(qū)溢出埋下隱患，即緩沖區(qū)溢出漏洞。GS就是通過對緩沖區(qū)數(shù)據(jù)挖掘方法最為實用：代碼跟蹤、動態(tài)調(diào)試、Fuz不過，對于白帽子來說，動態(tài)調(diào)試通常是指使用動態(tài)調(diào)試器（如OllyDbgx64Dbg等系統(tǒng)實施有效攻擊。而補丁對比，是實戰(zhàn)環(huán)境下，補丁分析的一種常用的、有找出其中的差異，從而發(fā)現(xiàn)潛在的漏洞的一種安全分路機制、安全審計機制，以及存儲保護、運行保護機專用的安全工具，對網(wǎng)絡系統(tǒng)進行監(jiān)測、分析經(jīng)常被用到的高級工具包括：IDA、Ghidra、Binwalk、Olly攻擊；既可以探測和分析目標漏洞，也可以使用爬蟲抓取和搜索攻擊；既可以探測和分析目標漏洞，也可以使用爬蟲抓取和搜索Sqlmap是一個開源的滲透測試工具，可以用來作系統(tǒng)文件，甚至可以通過外帶數(shù)據(jù)連接的方式執(zhí)行操作系統(tǒng)AppScan是IBM公司推出的一款Web應用安全測試工具，采用黑盒測試的方式，可以Nmap是NetworkMapper的縮寫，意為網(wǎng)絡映射器，是一款開放源代碼的網(wǎng)絡探測和安全審核的工具。它的設計目標是快速地掃描大型網(wǎng)絡，但也可以用于掃描單個主機。務運行在什么操作系統(tǒng)上，這些主機使用了什么類型的報文過濾器或防火墻等。雖然Nmap整個網(wǎng)絡的信息，管理服務升級計劃，以及監(jiān)視主機和服務的在實戰(zhàn)攻防演習中，數(shù)據(jù)包分析也是非常重要的基礎工MSF是MetasploitFramework的縮寫，這不僅僅是一個工具軟件，它是為自動化地實抗，進行內(nèi)網(wǎng)滲透。CobaltStrike集成了端口轉(zhuǎn)發(fā)、端口掃描、Socks以實時查看HTTP請求的發(fā)送和接收過程，包括請求頭、請求體、響應狀Goby是一個功能強大的網(wǎng)絡安全工具，它基于網(wǎng)絡空間測繪技術，通過為目標網(wǎng)絡建象解釋器語言，其核心實現(xiàn)完全采用純Go語言編寫能與并發(fā)處理能力，為后端開發(fā)提供了全新Behinder是一款功能強大的開源后滲透測試工具，它提供了直觀易用的界面來管理和操作被滲透的系統(tǒng)，支持文件上傳下載、命令執(zhí)行、進程管理等多種后滲透操作。此外，Behinder還以其動態(tài)加密通信流量的特性而聞名，使得傳統(tǒng)的安全設備難以檢測其通信流IDA，是一個專業(yè)的反匯編工具，是安全滲透人員進行逆向安全測試的必靜態(tài)反匯編和逆向調(diào)試等功能，能夠幫助安全測試人員發(fā)現(xiàn)代碼級別的高危安全Binwalk，是一個文件掃描提取分析工具，可以用來識別文件內(nèi)包含的內(nèi)容和代碼。OllyDbg，是一款強大的反匯編工具。它結(jié)合了動態(tài)調(diào)試與靜態(tài)分析等功能。是一個用程應用程序，從一個線程切換到另一個線程、掛起PeachFuzzer是一款智能模糊測試工具，廣泛用于發(fā)現(xiàn)軟件中的缺陷和漏洞。Peach編程語言包括：Java、PHP、Pytho人們已經(jīng)習慣的“PHP”的縮寫形式。其含義為：超文本預處理器，是一種通用開源腳本語性、互動性和面向?qū)ο蟮哪_本語言。最初被設計用于編寫自動化腳本(Shell)，隨著版本的C/C++是一種通用的編程語言，廣泛用于系統(tǒng)軟件與應用軟件的開發(fā)。語言具有高效、Golang語言，簡稱Go語言，是由三位G語言。Go語言語法與C相近，但具有內(nèi)存安全、垃圾回收、結(jié)構(gòu)形態(tài)及CSP-style并發(fā)PoC,是ProofofConcept的縮寫，即概念驗代碼。有時也經(jīng)常被用來作為0day、Expl由蘋果公司開發(fā)的操作系統(tǒng)，主要運用于Macintosh系列計算機。macOS的架構(gòu)與密碼機、防火墻、安全服務器、公開密鑰基礎設施（PKI)系統(tǒng)、授權(quán)證書（CA)系統(tǒng)、安全社工庫收集能力，是指針對特定目標機構(gòu)的社工庫信息的收信息集合起來的數(shù)據(jù)包或數(shù)據(jù)庫，就被稱為社會工程學庫，簡稱社權(quán)限維持/提權(quán)、數(shù)據(jù)竊取、常見隧道工具使用、橫向移動、免殺、云安全防護繞過與終端在本文中，白帽子的內(nèi)網(wǎng)權(quán)限維持/提權(quán)能力，是指白帽子在內(nèi)網(wǎng)環(huán)境中，能夠利用各種安全設計缺陷或安全漏洞，提升自己的系統(tǒng)權(quán)方不知情的情況下將數(shù)據(jù)竊取出來并秘密外傳的技術能等滲透測試工具均支持多種隧道功能，可根據(jù)具體需求進行選擇和備靈活性和可擴展性，能夠根據(jù)演練需求進行動態(tài)調(diào)整和優(yōu)化。技術手段可能包括利用系統(tǒng)漏洞、繞過安全策略、偽裝合法為避免自己的真實IP、物理位置、設備特征等信息在遠程入侵的過程中被網(wǎng)絡安全設在實戰(zhàn)攻防環(huán)境下，攻擊方使用代理服務器聯(lián)網(wǎng)，就可以在一定程度上隱藏自己的IP公開情報收集、開源安全情報、黑灰產(chǎn)情報、目標系統(tǒng)信息及關鍵人鎖定等幾個一旦鎖定，也就為后續(xù)的社工釣魚、技術滲透鎖定了攻擊具體來說，又可以分為大模型越獄和大模型組件受關注。在2024年的網(wǎng)絡安全實戰(zhàn)攻防護整個系統(tǒng)免受未授權(quán)訪問、數(shù)據(jù)泄露或功能破壞MIPS（MicrocomputerwithoutInterlockedPipelineStages）的含義是無互鎖流水第一款RISC（ReducedInstructionSetComputer，精簡指令可以分為跳轉(zhuǎn)指令、數(shù)據(jù)處理指令、程序狀態(tài)寄存器處理指令、加載/存儲指令、協(xié)處理器PowerPC（PerformanceOptimizationWithEnhancedRISC-PerformanceCompu廣泛的實現(xiàn)范圍，包括從高端服務器CPU（如Power4）到嵌入式CPU市場（如任天堂游作的作戰(zhàn)經(jīng)驗，在團隊中扮演什么樣的角色，也是白帽子實戰(zhàn)化能力的重要還要力求在不同環(huán)境下達到穩(wěn)定、深入的漏通過釣魚郵件或社交平臺等進行誘騙，進而成功打入附錄3實戰(zhàn)化白帽人才能力圖譜防守側(cè)能力詳解逐一排查并確定問題的過程。安全檢查一般需要檢查人員具備資產(chǎn)梳理、滲透測試/漏洞發(fā)滲透測試/漏洞發(fā)現(xiàn)，是指測試人員在獲得合法授權(quán)之后，通過對目標系統(tǒng)進行攻擊滲試/漏洞發(fā)現(xiàn)與其他各類網(wǎng)絡安全評估方法的主要不同，在于其采用的是攻擊者視角，測試通常情況下，滲透測試/漏洞發(fā)現(xiàn)主要針對的系統(tǒng)包括：互聯(lián)網(wǎng)系統(tǒng)、集權(quán)系統(tǒng)、業(yè)務安全設備加固，是特指針對各類網(wǎng)絡安全設備、網(wǎng)絡安全系統(tǒng)需要說明的是，防護措施并非是一成不變的，而是需要根據(jù)機構(gòu)業(yè)務特征、行有針對性的設計和部署，對于安全人員的綜合能有助于防守方更好的了解自身安全情況，提高應對網(wǎng)絡攻擊蜜罐/蜜點告警監(jiān)測，是指針對事先部署在機構(gòu)系統(tǒng)內(nèi)部的蜜罐或蜜點系統(tǒng)產(chǎn)生的各類全運營或攻防演習中，還應盡可能的熟練掌握諸如：防火墻、堡壘機、上網(wǎng)行為管理、VPN等其他各類安全設備產(chǎn)生的各類安全告警信息的監(jiān)測、分析與擊面、攻擊手段、臨時響應措施等進行基本的分析、識別和研判的過攻擊等進行分析和識別的能力。只有明確了攻是為了能夠在第一時間做出快速、準確的響應能力，具體包括：失陷設備隔離、無補丁漏洞修復、數(shù)據(jù)恢復與應攻擊隊利用的很可能是0day漏洞，或沒有官方補丁動修復這些安全漏洞，或采取某些臨時加固措施，防止漏洞備份數(shù)據(jù)（包括冷備份、熱備份和云備份等）輔助業(yè)務系統(tǒng)恢復的類應急軟件、特制安全工具等。應急人員需要能夠熟練掌握應急工具包中的軟硬件使用。類應急軟件、特制安全工具等。應急人員需要能夠熟練掌握應急工具包中的軟硬件