闭网现场 — 国防领域
방산·공공 국방 현장은 다른 어떤 고객사와도 조건이 다릅니다. 인터넷이 없고, 노트북을 들고 들어갈 수 없고, 화면을 찍을 수 없고, 문제가 생겨도 로그를 밖으로 가져올 수 없습니다. 여기서는 '일단 검색' 이라는 습관이 통째로 무너지고, 대신 안에 있는 것만으로 원인을 찾고 밖으로 내보낼 것을 직접 만들어 내는 능력이 필요해집니다. 이 코스는 폐쇄망 조사, 반입 번들의 서명과 검증, 버전을 올릴 수 없는 형상의 취약점 대응, 감사 추적과 2인 통제, 그리고 인수인계를 손으로 익힙니다.
고급 · 레슨 33 · 实验 10
커리큘럼
在没有互联网的地方做排查
- 隔离网不是夺走工具,是改变顺序 reading
- 外带审查 — 是挑,不是删 reading
- 在隔离网里排查并做出可外带的摘要 lab
- 测验:隔离网排查与外带 quiz
引入包与完整性
- 引入不是搬文件,是把依赖闭合 reading
- 校验有两层,只看一层就一定会放过一个 reading
- 做出引入包,并找出签名校验断掉的地方 lab
- 测验:引入包与完整性 quiz
改不了的配置与交接
- 打了最新补丁,认证反而失效 reading
- 审计追踪是事前设计的,不是事后补的 reading
- 固定配置的漏洞应对与交接 lab
- 测验:固定配置、审计追踪、交接 quiz
带入介质检疫
- 解包之后再看,已经太晚了 reading
- 在解包之前对带入介质做检疫 lab
- 测验: 带入介质检疫 quiz
证明不是签名对了就行
- 签名验证通过了,可那份证明说的是另一个文件 reading
- 签名 OK、比对 FAIL — 当证明指向另一个交付物 lab
- 测验:供应链证明比对 quiz
用材料证明没有对外通信
- 说“不会外传”并不等于证据 reading
- 用材料证明没有对外通信 lab
- 测验:证明没有对外通信 quiz
日志外发前先做去标识化
- 抹掉就没法分析了——改写着送出去的手艺 reading
- 把沾着人的日志变成可以送出网外的样子 lab
- 测验:日志去标识化与外发 quiz
把账号和权限削到最小
- 权限不会自己变少 — 缩减是一项独立的工作 reading
- 没人用的那个账号,其实权限最大 lab
- 测验:账号与权限的最小化 quiz
提前备好交给审计的材料
- 审计问的不是你做了什么,而是你如何证明 reading
- 做一张把一条要求接到一个文件的对照表 lab
- 测验:审计证据索引 quiz
时间同步与记录的证据力
- 时钟不准,记录就不能当证据 reading
- 批处理跑在入队之前 — 时钟快了 2.4 秒 lab
- 测验:时间同步与记录的证据力 quiz