公司系统被攻击

[nerocho]

背景

最近公司 web 应用系统（部署在 aliyun ）被攻击。索性以前做过等保也或许是因为发现的及时，ban 了对方 ip ，所以没出啥事儿。但事后复盘还是有点不爽，想问问诸位大佬，在安全、风控之类的事情上是怎么做的。

疑问

• 我该如何通过已有的对方 ip 知道对方是什么样的公司 or 人（目前 aliyun 已经反馈那一批 ip 都是一个公司的，但涉及隐私，无法告知公司名称）。结合一些对方渗透的手段，我们怀疑可能跟公司内部信息泄露（比如离职员工）有关，所以比较好奇对方的信息。不过这个好像涉及黑产了，应该正常渠道是获取不到的，如果有门路的老哥，可以提点下老弟。

• 大家有用到哪些封控产品或者阅读过哪些和风控 or 监控 or 安全相关的文章，欢迎分享。

  • 我知道的 aliyun 有 WAF （应用防火墙），不过在上述事情上面，waf 没有发挥任何作用。。。
  • 还有一些比如类似代理的产品（就是流量会经过它，它会对 ip 进行甄别），好像也都没啥用，感觉还是得有一套针对用户行为分析的东西。

[billzhuang]

可以让阿里云看看，WAF 为什么没有拦截这些请求。

[whileFalse]

絮絮叨叨这么多也没说是什么攻击

[lxh1983]

公司是自己的吗？是的话也可以去找黑产搞回去。不是的话，那是老板给你的工作量不够，看你闲的

[boseqc35]

waf 是可以 bypass 的，建议找白帽给你们做一波渗透，该补补，该修修

[nerocho]

@lxh1983 公司是老板的，我也没有拿分红。我只是单纯好奇大佬都是怎么做的

[nerocho]

@boseqc35 感觉外面公司做的效果强度，完全没法跟最近经历的这个团队相比较，我们每年都有很多次渗透，比如安恒、三叶草等。。。

[boseqc35]

@nerocho 那怎么还一堆遍历、注入

[nerocho]

@boseqc35 #7 这个是我们的问题，因为 waf 域名愈多得加愈多的钱，有些边缘系统是没有 waf 的 buff 加成的。

[xguanren]

你要知道他做了什么 才能去做防护手段呀.先打好日志.做好蜜罐,看看对方究竟是使用了什么手段吧.因为你没有说对方究竟是干了什么.是爬取信息了还是入侵 攻击你们了.还是 ddos cc 你们了..对方不出拳.你去猜测对方使用了什么功法.你怎么知道呢...无非就是前期上一些通用规则呗.就好像你说的 aliyun 的 waf 经过很多年发展.内置了一套模型去甄别.但是具体还是要看你们公司遭遇了什么

[CloudMx]

感觉就是扫描器在扫你们...

[aqqwiyth]

访问日志 包括 IP 时间记录一下 , 有时候会有叔叔上门问你.

( 一年公司一个业务前因为被攻击, 然后去年底叔叔说抓到一个团伙发现有你们被攻击的痕迹 是否可以提供证据, 损失 可以追偿)

[nerocho]

嗯，记录都有的。

[izoabr]

可以报警吧

[nerocho]

@izoabr 明天去了和同事聊聊，可以报一个。

[F7TsdQL45E0jmoiG]

除非特别有针对性的编写 WAF 的策略，否则就当没有 WAF

[whileFalse]

我对 aws waf 比较熟，aws 中暴力破解可以用访问频率限制防住，注入可以用标准的反注入规则防，路径遍历和漏洞基本就不归 waf 管了，但可以通过 ip 白名单等其他方式提高安全性。能防住的这些也要根据你的业务去针对性的设置并根据 waf 日志不断调整，安全层面的东西不是一蹴而就的，你面对的攻击者是活人。

[lovegoogle]

@lxh1983 你这个回答几乎可以用在任何一个回答上，就和废话一样...

[x86]

ddos 打回去

[Arumoh]

我觉得就是普通扫描器扫描吧，这个很常见，对方攻击没必要暴露公司 ip 吧，至少用个跳板，那堆攻击 ip 说不定是肉鸡

[dododada]

如果确认是被攻击了，直接报警就行了，网安会处理的；
但是攻击源只有一个？这个就太奇怪了
如果是流量攻击，可以上按需上高防，不过腾讯的高防真的很贵