公开文集
0x01 SRC 资产管理系统
0x02 Web 漏洞案例库
0x03 小程序漏洞案例库
第一章:小程序渗透基础
1.1 微信小程序反编译与动态调试
1.2 微信小程序强制开启开发者模式
0x99 信息安全学习体系
01-网络安全基础
Day-001-TCP-IP协议栈安全分析
Day-002-DNS协议安全与DNS劫持攻防
Day-003-IPv6 安全基础与过渡
Day-004-HTTP-HTTPS协议深度解析
Day-005-网络嗅探与流量分析技术
Day-006-防火墙原理与配置实践
Day-007-网络地址转换 NAT 安全分析
Day-008-路由协议安全 RIP-OSPF-BGP
Day-009-VLAN 安全与 VLAN-Hopping
Day-010-无线网络基础与安全 802.11
Day-011-网络访问控制 802.1X-NAC
Day-012-网络分段与微隔离设计
Day-013-负载均衡器安全配置
Day-014-CDN安全与防护
Day-015-NTP安全
Day-016-DHCP安全与攻击防护
Day-017-ICMP协议安全分析
Day-018-网络协议模糊测试基础
Day-019-网络流量基线建立
Day-020-网络取证基础
Day-021-网络入侵检测系统 NIDS
Day-022-网络入侵防御系统 NIPS
Day-023-网络流量加密与解密
Day-024-网络协议逆向工程基础
Day-025-网络性能与安全权衡
Day-026-SDN 安全
Day-027-网络虚拟化安全
Day-028-网络欺骗技术
Day-029-网络威胁情报应用
Day-030-网络容量规划与安全
Day-031-网络安全架构设计实战
02-Web 安全
Day-032-OWASP-Top-10-2021详解
Day-033-SQL 注入原理与手工检测
Day-034-SQL注入进阶报错注入与盲注
Day-035-XSS跨站脚本攻击基础
Day-036-XSS 进阶绕过与利用
Day-037-XSS进阶绕过与利用
Day-038-CSRF 跨站请求伪造
Day-039-文件上传漏洞
Day-040-反序列化漏洞基础
Day-041-PHP反序列化深入
Day-042-Java反序列化深入
Day-043-SSTI 服务端模板注入
Day-044-文件包含漏洞 LFI-RFI
Day-045-命令注入漏洞
Day-046-XXE-XML 外部实体注入
Day-047-反序列化漏洞进阶
Day-048-API 安全基础
Day-049-API认证与授权安全
Day-050-API漏洞挖掘实战
Day-051-文件上传漏洞进阶
Day-052-反序列化漏洞实战
Day-053-Web 安全综合实战
Day-054-移动安全基础
Day-055-Android 应用安全测试
Day-056-iOS 应用安全测试
Day-057-移动应用综合实战
Day-058-云安全基础
Day-059-AWS 安全实战
Day-060-Azure 安全实战
Day-061-GCP 安全实战
Day-062-云安全综合实战
Day-063-容器安全基础
Day-064-Docker 安全实战
Day-065-Kubernetes 安全实战
Day-066-容器安全综合实战
Day-067-API 安全进阶
Day-068-服务端请求伪造 SSRF 深入
Day-069-文件上传漏洞进阶
Day-070-反序列化漏洞实战进阶
Day-071-业务逻辑漏洞深入
Day-072-前端安全深入
Day-073-Web 安全综合实战
Day-074-云安全进阶
Day-075-移动安全进阶
Day-076-API 安全进阶
Day-077-前端安全进阶
Day-078-业务逻辑漏洞进阶
Day-079-反序列化漏洞实战进阶
Day-080-文件上传漏洞实战进阶
Day-081-SSTI 服务端模板注入进阶
Day-082-XXE-XML 外部实体注入进阶
Day-083-SSRF 服务端请求伪造进阶
Day-084-命令注入漏洞进阶
Day-085-文件包含漏洞进阶
Day-086-反序列化漏洞实战进阶
Day-087-文件上传漏洞实战进阶
Day-088-SSTI 服务端模板注入实战进阶
Day-089-XXE-XML 外部实体注入实战进阶
Day-090-SSRF 服务端请求伪造实战进阶
Day-091-命令注入漏洞实战进阶
Day-092-Web 安全综合实战
Day-093-GraphQL 安全
Day-094-JWT 与 OAuth2 安全
03-系统安全
Day-095-系统监控与检测
Day-096-主机防火墙配置
Day-097-系统审计与合规
Day-098-Linux 系统安全进阶
Day-099-Windows 系统安全进阶
Day-100-容器安全进阶
Day-101-容器编排安全进阶
Day-102-Linux 内核安全
Day-103-Windows 内核安全
Day-104-系统安全总结与实战
Day-105-Linux 系统安全基础
Day-106-Windows 系统安全基础
Day-107-容器安全基础
Day-108-系统加固技术
Day-109-日志分析技术
Day-110-威胁狩猎技术
04-应用安全
Day-111-安全编码规范
Day-112-输入验证技术
Day-113-输出编码技术
Day-114-错误处理安全
Day-115-会话管理安全
Day-116-认证安全
Day-117-授权安全
Day-118-数据保护安全
Day-119-日志安全
Day-120-API 安全
Day-121-微服务安全
Day-122-新兴技术安全概论
Day-123-DevSecOps 流水线安全
Day-124-云原生安全架构
Day-125-API 安全最佳实践
Day-126-安全编码规范
Day-127-SDL 安全开发生命周期
Day-128-威胁建模实战
Day-129-安全需求分析
Day-130-安全架构设计
Day-131-安全编码实践Java
Day-132-安全编码实践Python
Day-133-代码审计方法论
Day-134-静态代码分析SAST
Day-135-动态应用测试DAST
Day-136-交互式测试IAST
Day-137-软件成分分析SCA
Day-138-依赖漏洞管理
Day-139-安全测试自动化
Day-140-漏洞管理与响应
Day-141-应用安全总结与展望
Day-142-OWASP-Top10-2024 详解
Day-143-CWE-Top25 分析
Day-144-漏洞挖掘方法论
Day-145-模糊测试技术
Day-146-逆向工程基础
Day-147-漏洞利用开发基础
Day-148-漏洞复现与验证
Day-149-漏洞披露流程
Day-150-CVE 申请与管理
Day-151-漏洞赏金计划
Day-152-等保2.0详解
Day-153-GDPR 合规实践
Day-154-数据安全法解读
Day-155-个人信息保护法与合规指南
Day-156-个人信息保护法解读
Day-157-ISO-27001 信息安全管理体系
Day-158-SOC-2 合规与审计
Day-159-PCI-DSS 支付卡行业数据安全标准
Day-160-网络安全审查办法解读
Day-161-数据出境安全评估办法
Day-162-应用安全评估实战
Day-163-红蓝对抗演练
Day-164-安全应急响应
Day-165-安全运营中心建设
Day-166-应用安全总结与展望
05-密码学
Day-167-密码学基础
Day-168-对称加密算法详解
Day-169-非对称加密算法详解
Day-170-哈希函数与数字签名
Day-171-密钥管理与PKI
Day-172-TLS-SSL 协议详解
Day-173-国密算法详解
Day-174-认证与密钥协议
Day-175-随机数生成与熵源
Day-176-椭圆曲线密码学详解
Day-177-后量子密码学详解
Day-178-高级密码学主题
Day-179-密码学行业应用精选
Day-180-常用加密算法原理与实现
Day-181-密码学总结与展望
Day-182-密码学系列总结与展望
06-渗透测试
Day-183-渗透测试方法论
Day-184-信息收集技术详解
Day-185-漏洞扫描技术详解
Day-186-漏洞利用技术详解
Day-187-渗透测试中的漏洞利用框架
Day-188-漏洞利用框架与 Metasploit 深入
Day-189-渗透测试中的 WAF 绕过技术
Day-190-渗透测试中的模糊测试技术
Day-191-渗透测试中的代码审计与静态分析
Day-192-渗透测试中的密码哈希破解技术
Day-193-渗透测试报告编写指南
Day-194-Web 应用渗透测试
Day-195-渗透测试中的 API 安全测试
Day-196-渗透测试中的 GraphQL 安全测试
Day-197-渗透测试中的前后端分离应用测试
Day-198-渗透测试中的小程序安全测试
Day-199-渗透测试中的浏览器安全测试
Day-200-OAuth-SSO安全测试
Day-201-渗透测试中的业务逻辑漏洞测试
Day-202-渗透测试中的厚客户端安全测试
Day-203-渗透测试综合实战演练
Day-204-内网渗透技术详解
Day-205-渗透测试中的内网信息收集进阶
Day-206-渗透测试中的域森林渗透技术
Day-207-渗透测试中的权限维持技术
Day-208-渗透测试中的横向移动技术
Day-209-渗透测试中的痕迹清理与反取证技术
Day-210-渗透测试中的数据窃取与 Exfiltration 技术
Day-211-渗透测试中的内部威胁与数据泄露测试
Day-212-渗透测试中的物理安全渗透
Day-213-社会工程学攻击技术
Day-214-移动应用渗透测试
Day-215-云安全渗透测试
Day-216-渗透测试中的容器与 Kubernetes 安全渗透
Day-217-渗透测试中的 Serverless 安全测试
Day-218-渗透测试中的微服务安全测试
Day-219-物联网安全渗透测试
Day-220-工业控制系统安全渗透测试
Day-221-无线网络安全渗透测试
Day-222-数据库安全渗透测试
Day-223-渗透测试中的供应链安全测试
Day-224-红队演练技术详解
Day-225-渗透测试中的红队基础设施搭建
Day-226-渗透测试中的威胁情报与狩猎
Day-227-渗透测试中的综合指纹识别技术
Day-228-自动化渗透测试技术
Day-229-渗透测试中的运维安全测试
Day-230-渗透测试中的区块链与智能合约安全测试
Day-231-渗透测试中的漏洞管理与修复验证
Day-232-渗透测试法律与合规
Day-233-后渗透攻击技术详解
Day-234-渗透测试中的人工智能应用
Day-235-漏洞利用开发深入
Day-236-云原生渗透测试深入
07-应急响应
Day-237-应急响应概述与核心概念
Day-238-应急响应流程框架
Day-239-CSIRT 团队组建与职责分工
Day-240-应急响应工具包准备
Day-241-应急响应法律与合规要求
Day-242-安全事件检测方法与指标
Day-243-云原生应急响应
Day-244-日志收集与分析技术
Day-245-网络流量分析与异常识别
Day-246-自动化响应与 SOAR
Day-247-端点监控与 EDR 技术
Day-248-威胁狩猎方法论
Day-249-威胁情报在检测中的应用
Day-250-数字取证基础与证据链管理
Day-251-内存取证技术
Day-252-磁盘取证与文件恢复
Day-253-网络取证与数据包分析
Day-254-云环境与容器取证
Day-255-恶意代码静态分析技术
Day-256-恶意代码动态分析技术
Day-257-恶意代码行为分析方法
Day-258-逆向工程基础与工具
Day-259-沙箱技术与自动化分析
Day-260-事件隔离与遏制策略
Day-261-威胁根除与系统修复
Day-262-系统恢复与数据重建
Day-263-业务连续性计划
Day-264-事件复盘与经验总结
Day-265-APT 攻击事件复盘分析
Day-266-勒索软件事件响应实战
Day-267-数据泄露事件处置流程
Day-268-内部威胁调查与取证
Day-269-综合应急响应演练
08-安全运维
Day-270-安全运营中心 SOC 概述
Day-271-安全监控指标体系
Day-272-安全告警管理
Day-273-安全可视化与仪表盘
Day-274-监控工具选型
Day-275-日志采集技术
Day-276-日志标准化与解析
Day-277-日志存储与归档
Day-278-日志分析技术
Day-279-日志合规要求
Day-280-SIEM 架构与设计
Day-281-关联规则引擎
Day-282-高级关联分析
Day-283-UEBA 用户实体行为分析
Day-284-威胁狩猎
Day-285-SOAR 基础概念
Day-286-剧本设计
Day-287-自动化响应技术
Day-288-安全工具集成
Day-289-SOAR 度量与优化
Day-290-安全基线管理
Day-291-漏洞管理流程
Day-292-补丁管理策略
Day-293-变更安全管理
Day-294-合规审计技术
Day-295-7x24 安全运营
Day-296-安全事件管理流程
Day-297-安全运营度量体系
Day-298-持续改进机制
Day-299-安全运维综合演练
Day-300-云原生安全运营
Day-301-AI 与机器学习安全运营
Day-302-安全自动化脚本实战
09-移动安全
Day-303-移动安全威胁概述
Day-304-移动设备安全架构
Day-305-移动操作系统安全模型
Day-306-移动应用权限管理
Day-307-移动端数据加密
Day-308-330-Android 安全合集
Day-309-Android 安全架构
Day-310-Android 组件安全
Day-311-Android 权限与隐私
Day-312-Android 逆向工程
Day-313-Android 应用加固
Day-314-iOS 安全架构
Day-315-iOS 应用沙盒机制
Day-316-越狱与反越狱
Day-317-iOS 逆向工程
Day-318-iOS 企业分发安全
Day-319-移动安全开发生命周期
Day-320-移动应用安全测试
Day-321-移动应用加固技术
Day-322-移动威胁防护
Day-323-移动安全合规
10-云安全
Day-324-云计算安全模型
Day-325-责任共担模型
Day-326-云安全威胁模型
Day-327-云安全合规框架
Day-328-云安全架构设计
Day-329-AWS IAM 安全
Day-330-AWS 网络安全
Day-331-AWS 存储安全
Day-332-AWS 安全监控
Day-333-AWS 安全最佳实践
Day-334-Azure AD 安全
Day-335-Azure 网络安全
Day-336-Azure 存储安全
Day-337-Azure 安全中心
Day-338-Azure 安全最佳实践
Day-339-容器安全基础
Day-340-Kubernetes 安全
Day-341-Serverless 安全
Day-342-云原生 DevSecOps
Day-343-云安全态势管理 CSPM
11-物联网工控
Day-344-物联网安全概述
Day-345-IoT 通信协议安全
Day-346-IoT 设备安全
Day-347-IoT 平台安全
Day-348-IoT 应用安全
Day-349-工业控制系统概述
Day-350-工控协议安全
Day-351-PLC 安全
Day-352-SCADA 系统安全
Day-353-工控安全防护
12-综合与总结
Day-354-安全职业发展路径
Day-355-安全技术趋势展望
Day-356-安全建设方法论
Day-357-经典攻防案例复盘
Day-358-安全学习资源指南
Day-359-信息安全行业求职指南
-
+
首页
Day-211-渗透测试中的内部威胁与数据泄露测试
# Day 255: 渗透测试中的内部威胁与数据泄露测试 > 渗透测试系列第 45 天 | 预计阅读时间:50 分钟 | 难度:★★★★★ --- ## 清单 目录 1. [内部威胁概述](#内部威胁概述) 2. [员工安全意识测试](#员工安全意识测试) 3. [内部文件发现](#内部文件发现) 4. [敏感数据泄露测试](#敏感数据泄露测试) 5. [共享文件夹测试](#共享文件夹测试) 6. [邮件安全测试](#邮件安全测试) 7. [即时通讯安全测试](#即时通讯安全测试) 8. [云盘与协作工具测试](#云盘与协作工具测试) 9. [打印与物理泄露测试](#打印与物理泄露测试) 10. [离职员工风险测试](#离职员工风险测试) 11. [数据防泄露 (DLP) 测试](#数据防泄露-dlp-测试) 12. [内部监控与审计](#内部监控与审计) 13. [实战案例](#实战案例) 14. [总结与思考](#总结与思考) 15. [参考资料](#参考资料) --- ## 内部威胁概述 ### 内部威胁重要性 ``` ┌─────────────────────────────────────────────────────────────┐ │ 内部威胁重要性 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 内部威胁统计数据: │ │ ├── 60% 的数据泄露涉及内部人员 │ │ ├── 75% 的员工承认至少一次违规操作 │ │ ├── 50% 的离职员工会带走公司数据 │ │ └── 内部威胁平均损失:$1100 万/事件 │ │ │ │ 内部威胁类型: │ │ ├── 无意违规 (70%) │ │ │ ├── 安全意识不足 │ │ │ ├── 操作失误 │ │ │ └── 缺乏培训 │ │ ├── 恶意行为 (20%) │ │ │ ├── 不满员工 │ │ │ ├── 利益驱动 │ │ │ └── 商业间谍 │ │ └── 凭证泄露 (10%) │ │ ├── 密码共享 │ │ ├── 凭证被盗 │ │ └── 账户劫持 │ │ │ │ 常见泄露渠道: │ │ ├── 邮件发送错误 │ │ ├── 云盘误分享 │ │ ├── 即时通讯泄露 │ │ ├── 打印文件遗留 │ │ ├── 移动设备丢失 │ │ └── 社交工程受骗 │ │ │ └─────────────────────────────────────────────────────────────┘ ``` ### 内部威胁测试范围 ``` 内部威胁测试范围: ├── 人员测试 │ ├── 安全意识测试 │ ├── 社会工程学 │ └── 权限滥用测试 ├── 数据测试 │ ├── 文件发现 │ ├── 敏感数据识别 │ └── 数据流转追踪 ├── 渠道测试 │ ├── 邮件安全 │ ├── 即时通讯 │ ├── 云盘协作 │ └── 物理渠道 ├── 防护测试 │ ├── DLP 测试 │ ├── 监控测试 │ └── 响应测试 └── 流程测试 ├── 入职流程 ├── 离职流程 └── 变更流程 ``` ### 测试原则与边界 ``` ! 内部威胁测试原则: ├── 合法合规 │ ├── 获得明确授权 │ ├── 遵守劳动法规 │ └── 遵守隐私法规 ├── 最小影响 │ ├── 不影响业务 │ ├── 不造成恐慌 │ └── 不损害声誉 ├── 保密原则 │ ├── 测试结果保密 │ ├── 员工信息保密 │ └── 发现数据保密 └── 教育为主 ├── 目的是改进 ├── 不是惩罚 └── 提高意识 ``` --- ## 员工安全意识测试 ### 安全意识评估 ``` 安全意识评估维度: ├── 密码安全 │ ├── 密码强度 │ ├── 密码复用 │ └── 密码共享 ├── 邮件安全 │ ├── 钓鱼识别 │ ├── 附件处理 │ └── 链接点击 ├── 数据安全 │ ├── 文件分享 │ ├── 数据分类 │ └── 传输安全 ├── 设备安全 │ ├── 锁屏习惯 │ ├── USB 使用 │ └── 移动设备 └── 社交安全 ├── 信息分享 ├── 陌生人接触 └── 电话验证 ``` ### 钓鱼邮件测试 ``` 钓鱼测试流程: ├── 1. 测试设计 │ ├── 设计钓鱼场景 │ ├── 准备钓鱼邮件 │ └── 设置监控 ├── 2. 测试执行 │ ├── 发送邮件 │ ├── 监控行为 │ └── 记录数据 ├── 3. 结果分析 │ ├── 打开率 │ ├── 点击率 │ └── 上报率 └── 4. 改进建议 ├── 意识培训 ├── 技术防护 └── 流程改进 ``` ``` 钓鱼场景示例: ├── IT 支持场景 │ └── "密码即将过期,请立即更新" ├── HR 场景 │ └── "工资单已更新,请查看" ├── 高管场景 │ └── "紧急:需要您处理" ├── 福利场景 │ └── "年终奖金发放通知" └── 培训场景 └── " mandatory 安全培训通知" ``` ### 电话钓鱼测试 ``` 电话钓鱼测试: ├── IT 支持场景 │ └── "您好,我是 IT 部门,需要验证您的账户" ├── 高管场景 │ └── "我是王总,有急事需要你帮忙" ├── 供应商场景 │ └── "我是 XX 公司,需要确认订单信息" └── 银行场景 └── "您的账户有异常,需要验证" ``` ``` 测试记录模板: ├── 员工信息 (匿名) ├── 测试场景 ├── 测试时间 ├── 员工反应 ├── 信息泄露程度 ├── 验证行为 └── 风险评估 ``` --- ## 内部文件发现 ### 文件发现方法 ``` 文件发现渠道: ├── 网络共享 │ ├── SMB 共享 │ ├── NFS 共享 │ └── FTP 共享 ├── 云存储 │ ├── 企业网盘 │ ├── 个人云盘 │ └── 协作平台 ├── 邮件附件 │ ├── 内部邮件 │ └── 外部邮件 ├── 即时通讯 │ ├── 企业微信 │ ├── 钉钉 │ └── 微信 └── 本地存储 ├── 办公电脑 ├── 移动设备 └── 打印设备 ``` ### 共享文件夹扫描 ```bash # SMB 共享扫描 # 1. 扫描共享 nmap -sV --script smb-enum-shares 192.168.1.0/24 # 2. 枚举共享内容 smbclient -L //192.168.1.100 -N # 3. 访问共享 smbclient //192.168.1.100/share -N # 4. 搜索敏感文件 # 在共享中搜索 dir *.pdf dir *.doc dir *.xls # 5. 检查权限 # 检查是否需要认证 # 检查写入权限 ``` ```bash # 敏感文件搜索关键词 # 财务相关 财务 | 预算 | 报销 | 工资 | 奖金 | 合同 | 发票 # 人事相关 人事 | 员工 | 简历 | 绩效 | 考勤 | 培训 # 技术相关 技术 | 代码 | 设计 | 架构 | 接口 | API # 客户相关 客户 | 销售 | 订单 | 报价 | 联系 | 协议 # 敏感词 机密 | 秘密 | 内部 | 保密 | 严禁外传 ``` ### 云盘文件发现 ``` 云盘文件检查: ├── 企业网盘 │ ├── 共享文件夹 │ ├── 公共区域 │ └── 权限设置 ├── 个人云盘 │ ├── 工作文件 │ ├── 共享链接 │ └── 权限配置 └── 协作平台 ├── 文档共享 ├── 团队空间 └── 外部协作 ``` ``` 云盘检查要点: ├── 文件分类 │ ├── 公开文件 │ ├── 内部文件 │ └── 机密文件 ├── 共享设置 │ ├── 内部共享 │ ├── 外部共享 │ └── 链接分享 ├── 权限配置 │ ├── 读取权限 │ ├── 编辑权限 │ └── 下载权限 └── 审计日志 ├── 访问日志 ├── 修改日志 └── 分享日志 ``` --- ## 敏感数据泄露测试 ### 敏感数据识别 ``` 敏感数据类型: ├── 个人信息 │ ├── 身份证号 │ ├── 手机号 │ ├── 邮箱地址 │ └── 家庭地址 ├── 财务信息 │ ├── 银行卡号 │ ├── 工资信息 │ ├── 财务报表 │ └── 税务信息 ├── 认证信息 │ ├── 密码 │ ├── 密钥 │ ├── Token │ └── 证书 ├── 商业机密 │ ├── 客户列表 │ ├── 合同协议 │ ├── 技术方案 │ └── 商业计划 └── 运营数据 ├── 销售数据 ├── 运营报告 ├── 用户数据 └── 业务数据 ``` ### 数据泄露渠道测试 ``` 泄露渠道测试: ├── 邮件发送 │ ├── 误发送给外部 │ ├── 抄送错误 │ └── 回复全部 ├── 文件分享 │ ├── 链接分享 │ ├── 权限设置 │ └── 外部协作 ├── 即时通讯 │ ├── 群聊泄露 │ ├── 私聊泄露 │ └── 文件传输 ├── 云盘同步 │ ├── 自动同步 │ ├── 误同步 │ └── 同步冲突 └── 打印复印 ├── 打印遗留 ├── 复印留存 └── 传真发送 ``` ### 数据泄露检测 ```python # 敏感数据检测脚本示例 import re import os class SensitiveDataDetector: def __init__(self): # 定义敏感数据模式 self.patterns = { '身份证': r'\d{17}[\dXx]', '手机号': r'1[3-9]\d{9}', '邮箱': r'[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}', '银行卡': r'\d{4}[- ]?\d{4}[- ]?\d{4}[- ]?\d{4}', '密码': r'(?i)(password|passwd|pwd)\s*[=:]\s*\S+', '密钥': r'(?i)(api_key|secret|token)\s*[=:]\s*\S+', } def scan_file(self, filepath): """扫描文件中的敏感数据""" results = [] try: with open(filepath, 'r', encoding='utf-8', errors='ignore') as f: content = f.read() for data_type, pattern in self.patterns.items(): matches = re.findall(pattern, content) if matches: results.append({ 'file': filepath, 'type': data_type, 'count': len(matches), 'samples': matches[:3] # 只显示前 3 个 }) except Exception as e: pass return results def scan_directory(self, dirpath): """扫描目录""" all_results = [] for root, dirs, files in os.walk(dirpath): for file in files: filepath = os.path.join(root, file) results = self.scan_file(filepath) all_results.extend(results) return all_results # 使用示例 detector = SensitiveDataDetector() results = detector.scan_directory('/shared/folder') for result in results: print(f"文件:{result['file']}") print(f"类型:{result['type']}") print(f"数量:{result['count']}") ``` --- ## 共享文件夹测试 ### 共享权限测试 ``` 共享权限测试: ├── 访问控制测试 │ ├── 无需认证访问 │ ├── 弱认证访问 │ └── 认证绕过 ├── 权限测试 │ ├── 读取权限 │ ├── 写入权限 │ └── 删除权限 ├── 越权测试 │ ├── 部门越权 │ ├── 角色越权 │ └── 级别越权 └── 审计测试 ├── 访问日志 ├── 修改日志 └── 删除日志 ``` ```bash # 共享文件夹权限测试 # 1. 检查匿名访问 smbclient //server/share -N # 如果成功,说明匿名访问启用 # 2. 检查默认凭证 smbclient //server/share -U guest smbclient //server/share -U administrator # 3. 检查权限 # 尝试上传文件 put test.txt # 尝试删除文件 del file.txt # 4. 检查目录遍历 cd .. cd ../.. # 5. 检查敏感文件 dir *.pdf dir *机密* dir *合同* ``` ### 共享内容检查 ``` 共享内容检查清单: ├── 文件类型 │ - [ ] 文档文件 (.doc, .pdf, .xls) │ - [ ] 代码文件 (.py, .java, .js) │ - [ ] 配置文件 (.conf, .xml, .json) │ - [ ] 备份文件 (.bak, .backup) │ - [ ] 压缩文件 (.zip, .rar) ├── 文件命名 │ - [ ] 包含敏感词 │ - [ ] 包含日期版本 │ - [ ] 包含项目名称 ├── 文件内容 │ - [ ] 敏感数据 │ - [ ] 凭证信息 │ - [ ] 商业机密 └── 文件权限 - [ ] 读取权限 - [ ] 写入权限 - [ ] 执行权限 ``` --- ## 邮件安全测试 ### 邮件泄露测试 ``` 邮件泄露场景: ├── 误发送 │ ├── 收件人错误 │ ├── 抄送错误 │ └── 回复全部 ├── 附件泄露 │ ├── 敏感附件 │ ├── 版本错误 │ └── 未脱敏 ├── 内容泄露 │ ├── 敏感信息 │ ├── 内部讨论 │ └── 决策内容 └── 转发泄露 ├── 外部转发 ├── 多次转发 └── 截图转发 ``` ### 邮件 DLP 测试 ``` 邮件 DLP 测试: ├── 外发测试 │ ├── 敏感词检测 │ ├── 附件检测 │ └── 收件人检测 ├── 规则绕过 │ ├── 加密绕过 │ ├── 压缩绕过 │ └── 图片绕过 ├── 审批流程 │ ├── 审批触发 │ ├── 审批流程 │ └── 审批记录 └── 审计日志 ├── 发送日志 ├── 拦截日志 └── 审批日志 ``` ``` 测试邮件示例: 测试 1: 敏感词检测 主题:工资单 内容:包含身份证号、银行卡号 附件:salary.xlsx (含敏感数据) 预期:被拦截或需要审批 测试 2: 大附件检测 主题:项目资料 附件:project.zip (100MB) 预期:被拦截或需要审批 测试 3: 外部收件人 主题:合同 收件人:external@gmail.com 内容:合同附件 预期:被拦截或需要审批 测试 4: 加密绕过 主题:资料 内容:密码在另一封邮件 附件:encrypted.zip 预期:可能绕过检测 ``` --- ## 即时通讯安全测试 ### 企业 IM 测试 ``` 企业 IM 测试: ├── 企业微信 │ ├── 群聊安全 │ ├── 文件传输 │ ├── 消息记录 │ └── 外部联系人 ├── 钉钉 │ ├── 群聊安全 │ ├── 文件传输 │ ├── 消息记录 │ └── 外部联系人 ├── 飞书 │ ├── 群聊安全 │ ├── 文件传输 │ ├── 消息记录 │ └── 外部联系人 └── 其他 ├── Skype ├── Teams └── Slack ``` ### IM 泄露测试 ``` IM 泄露场景: ├── 群聊泄露 │ ├── 误入外部群 │ ├── 敏感信息群聊 │ └── 群成员管理 ├── 文件传输 │ ├── 敏感文件 │ ├── 文件权限 │ └── 文件过期 ├── 消息记录 │ ├── 记录保存 │ ├── 记录导出 │ └── 记录删除 └── 截图分享 ├── 聊天截图 ├── 文件截图 └── 屏幕截图 ``` ``` IM 安全检查清单: ├── 配置检查 │ - [ ] 外部联系人限制 │ - [ ] 群聊创建权限 │ - [ ] 文件传输限制 │ - [ ] 消息记录保存 ├── 使用检查 │ - [ ] 敏感信息发送 │ - [ ] 文件分享习惯 │ - [ ] 群聊管理 │ - [ ] 外部联系人 └── 审计检查 - [ ] 消息审计 - [ ] 文件审计 - [ ] 行为审计 - [ ] 异常检测 ``` --- ## 云盘与协作工具测试 ### 云盘安全测试 ``` 云盘测试: ├── 企业网盘 │ ├── 百度企业网盘 │ ├── 腾讯企业微盘 │ ├── 阿里云盘 │ └── 自建网盘 ├── 个人云盘 │ ├── 百度网盘 │ ├── 腾讯微云 │ ├── 阿里云盘 │ └── 其他 └── 协作平台 ├── 石墨文档 ├── 腾讯文档 ├── 飞书文档 └── Google Docs ``` ### 共享链接测试 ``` 共享链接测试: ├── 链接权限 │ ├── 公开访问 │ ├── 密码保护 │ └── 有效期限制 ├── 链接传播 │ ├── 二次分享 │ ├── 外部访问 │ └── 搜索引擎 ├── 访问控制 │ ├── IP 限制 │ ├── 域名限制 │ └── 用户限制 └── 审计日志 ├── 访问记录 ├── 下载记录 └── 分享记录 ``` ``` 云盘检查要点: ├── 文件分类 │ ├── 个人文件 │ ├── 团队文件 │ └── 公司文件 ├── 共享设置 │ ├── 内部共享 │ ├── 外部共享 │ └── 公开分享 ├── 权限管理 │ ├── 查看权限 │ ├── 编辑权限 │ └── 下载权限 └── 审计功能 ├── 访问日志 ├── 操作日志 └── 分享日志 ``` --- ## 打印与物理泄露测试 ### 打印安全测试 ``` 打印安全测试: ├── 打印设备 │ ├── 网络打印机 │ ├── 共享打印机 │ └── 个人打印机 ├── 打印文件 │ ├── 敏感文件打印 │ ├── 打印队列 │ └── 打印历史 ├── 打印管理 │ ├── 打印审批 │ ├── 打印审计 │ └── 打印配额 └── 文件处理 ├── 打印遗留 ├── 复印留存 └── 传真发送 ``` ### 物理泄露测试 ``` 物理泄露场景: ├── 桌面文件 │ ├── 敏感文件放置 │ ├── 便签密码 │ └── 屏幕内容 ├── 会议室 │ ├── 白板内容 │ ├── 投影内容 │ └── 遗留文件 ├── 公共区域 │ ├── 公告栏 │ ├── 打印区 │ └── 休息区 └── 设备丢失 ├── 笔记本电脑 ├── 移动硬盘 └── USB 设备 ``` ``` 物理安全检查清单: ├── 办公区域 │ - [ ] 桌面清洁 │ - [ ] 文件收纳 │ - [ ] 屏幕保护 │ - [ ] 门禁管理 ├── 打印区域 │ - [ ] 打印审批 │ - [ ] 文件取走 │ - [ ] 废纸处理 │ - [ ] 设备管理 ├── 会议区域 │ - [ ] 白板清理 │ - [ ] 文件回收 │ - [ ] 设备关闭 │ - [ ] 门禁管理 └── 公共区域 - [ ] 公告内容 - [ ] 文件张贴 - [ ] 访客管理 - [ ] 监控覆盖 ``` --- ## 离职员工风险测试 ### 离职流程测试 ``` 离职流程测试: ├── 权限回收 │ ├── 系统权限 │ ├── 应用权限 │ └── 物理权限 ├── 设备回收 │ ├── 电脑设备 │ ├── 移动设备 │ └── 门禁卡 ├── 数据交接 │ ├── 文件交接 │ ├── 账户交接 │ └── 工作交接 └── 审计检查 ├── 权限审计 ├── 数据审计 └── 设备审计 ``` ### 离职风险测试 ``` 离职风险测试: ├── 权限残留 │ ├── 账户未禁用 │ ├── 权限未回收 │ └── 访问仍有效 ├── 数据带走 │ ├── 文件下载 │ ├── 邮件转发 │ └── 云盘复制 ├── 设备未还 │ ├── 电脑未还 │ ├── 手机未还 │ └── 门禁卡未还 └── 后续访问 ├── VPN 访问 ├── 邮箱访问 └── 系统访问 ``` ``` 离职检查清单: ├── 账户检查 │ - [ ] AD 账户禁用 │ - [ ] 邮箱禁用 │ - [ ] 应用账户禁用 │ - [ ] VPN 账户禁用 ├── 权限检查 │ - [ ] 文件权限回收 │ - [ ] 系统权限回收 │ - [ ] 门禁权限回收 │ - [ ] 停车权限回收 ├── 设备检查 │ - [ ] 电脑回收 │ - [ ] 手机回收 │ - [ ] 门禁卡回收 │ - [ ] 其他设备回收 └── 数据检查 - [ ] 文件交接 - [ ] 邮件交接 - [ ] 云盘交接 - [ ] 密码交接 ``` --- ## 数据防泄露 (DLP) 测试 ### DLP 策略测试 ``` DLP 策略测试: ├── 内容检测 │ ├── 敏感词检测 │ ├── 模式匹配 │ └── 指纹匹配 ├── 渠道检测 │ ├── 邮件 DLP │ ├── Web DLP │ ├── 终端 DLP │ └── 云 DLP ├── 响应动作 │ ├── 拦截 │ ├── 审批 │ ├── 加密 │ └── 审计 └── 绕过测试 ├── 加密绕过 ├── 压缩绕过 ├── 图片绕过 └── 隐写绕过 ``` ### DLP 有效性测试 ``` DLP 测试场景: 场景 1: 邮件外发 内容:包含身份证号、银行卡号 收件人:外部邮箱 预期:被拦截或审批 场景 2: 云盘上传 文件:含敏感数据的文档 位置:个人云盘 预期:被拦截或审批 场景 3: USB 拷贝 文件:敏感文档 设备:USB 闪存盘 预期:被拦截或审计 场景 4: 即时通讯 内容:敏感信息 渠道:企业微信/钉钉 预期:被审计或拦截 场景 5: 打印输出 文件:敏感文档 设备:网络打印机 预期:需要审批或审计 ``` ``` DLP 测试报告模板: ├── 测试场景 ├── 测试时间 ├── 测试内容 ├── DLP 反应 │ ├── 是否检测 │ ├── 是否拦截 │ └── 是否审计 ├── 绕过方法 ├── 风险评估 └── 改进建议 ``` --- ## 内部监控与审计 ### 监控配置 ``` 内部监控配置: ├── 行为监控 │ ├── 登录行为 │ ├── 文件访问 │ ├── 数据操作 │ └── 异常行为 ├── 数据监控 │ ├── 数据流转 │ ├── 数据外发 │ ├── 数据复制 │ └── 数据删除 ├── 设备监控 │ ├── USB 使用 │ ├── 打印监控 │ ├── 网络监控 │ └── 应用监控 └── 审计日志 ├── 操作日志 ├── 访问日志 ├── 变更日志 └── 异常日志 ``` ### 异常检测 ``` 异常行为检测: ├── 时间异常 │ ├── 非工作时间访问 │ ├── 异常时间段 │ └── 频繁访问 ├── 行为异常 │ ├── 大量下载 │ ├── 批量复制 │ ├── 异常删除 │ └── 权限滥用 ├── 数据异常 │ ├── 敏感数据访问 │ ├── 数据外发 │ └── 数据导出 └── 设备异常 ├── USB 使用 ├── 打印异常 └── 网络异常 ``` ``` 异常检测规则示例: 规则 1: 非工作时间访问 条件:工作时间外访问敏感系统 动作:记录并告警 规则 2: 大量数据下载 条件:1 小时内下载>100 个文件 动作:记录并告警 规则 3: 敏感数据外发 条件:邮件包含敏感词 + 外部收件人 动作:拦截并告警 规则 4: 离职前异常 条件:离职前 30 天 + 大量访问 动作:记录并告警 规则 5: 权限变更 条件:权限突然提升 动作:记录并审批 ``` --- ## 实战案例 ### 案例一:企业内部威胁评估 #### 场景描述 ``` 客户:某大型企业 规模:5000+ 员工 环境:办公网络 + 云环境 时间:4 周 ``` #### 测试过程 ``` Week 1: 信息收集 ┌─────────────────────────────────────────────────────────┐ │ - 组织架构了解 │ │ - 部门结构 │ │ - 权限结构 │ │ - 数据分布 │ │ │ │ - 系统调研 │ │ - 办公系统 │ │ - 协作工具 │ │ - 云盘系统 │ │ │ │ - 策略了解 │ │ - 安全策略 │ │ - DLP 策略 │ │ - 监控策略 │ └─────────────────────────────────────────────────────────┘ Week 2-3: 测试执行 ┌─────────────────────────────────────────────────────────┐ │ - 安全意识测试 │ │ - 钓鱼邮件测试 (发送 1000 封) │ │ - 点击率:35% │ │ - 上报率:5% │ │ │ │ - 文件发现测试 │ │ - 共享文件夹扫描 │ │ - 发现敏感文件 500+ │ │ - 其中 50 个可匿名访问 │ │ │ │ - 数据泄露测试 │ │ - 邮件 DLP 测试 │ │ - 云盘 DLP 测试 │ │ - 绕过成功率:40% │ │ │ │ - 离职风险测试 │ │ - 抽查 10 个离职账户 │ │ - 3 个账户仍可访问 │ │ - 1 个账户权限未回收 │ └─────────────────────────────────────────────────────────┘ Week 4: 报告改进 ┌─────────────────────────────────────────────────────────┐ │ - 编写测试报告 │ │ - 提交改进建议 │ │ - 协助整改 │ │ - 复测验证 │ └─────────────────────────────────────────────────────────┘ ``` #### 发现的问题 ``` 严重 (5 个): ├── 1. 共享文件夹匿名访问 │ └── 50 个敏感文件可匿名访问 ├── 2. 离职账户仍可访问 │ └── 3 个离职员工账户未禁用 ├── 3. DLP 可绕过 │ └── 加密/压缩可绕过检测 ├── 4. 敏感数据云盘公开 │ └── 20 个含敏感数据的文件公开分享 └── 5. 打印无审计 └── 打印无审批无审计 高 (10 个): ├── 6-10. 钓鱼邮件点击率高 ├── 11-15. 权限管理不当 中 (20 个): ├── 16-25. 配置问题 └── 26-35. 流程问题 低 (30 个): └── 其他改进项 ``` ### 案例二:金融机构数据防泄露评估 #### 场景描述 ``` 客户:某金融机构 规模:2000+ 员工 要求:合规 + 安全 时间:6 周 ``` #### 测试结果 ``` 发现: ├── 严重:3 个 │ ├── 客户数据可导出 │ ├── DLP 规则不完善 │ └── 离职权限未回收 ├── 高:8 个 │ ├── 钓鱼测试通过率高 │ ├── 共享文件权限过大 │ └── 打印无审计 ├── 中:15 个 │ ├── 配置问题 │ └── 流程问题 └── 低:25 个 建议: ├── 完善 DLP 策略 ├── 加强离职流程 ├── 实施打印审计 ├── 加强意识培训 └── 完善监控体系 ``` --- ## 总结与思考 ### 核心要点回顾 1. **内部威胁是主要风险** - 60% 泄露涉及内部人员 - 无意违规占 70% - 意识培训是关键 2. **数据泄露渠道多样** - 邮件、IM、云盘 - 打印、物理 - 需要全面防护 3. **DLP 不是万能的** - 可被绕过 - 需要多层防护 - 人员意识更重要 4. **监控审计必要** - 异常行为检测 - 操作审计 - 及时响应 5. **流程规范重要** - 入职流程 - 离职流程 - 变更流程 ### 实战建议 1. **对测试人员**: - 获得明确授权 - 遵守法律法规 - 保护员工隐私 - 以教育为目的 2. **对组织**: - 加强意识培训 - 完善技术防护 - 规范流程管理 - 建立监控体系 3. **对员工**: - 提高安全意识 - 遵守安全规范 - 及时报告异常 - 保护公司数据 --- ## 参考资料 ### 学习资源 - **SANS Internal Threat** - https://www.sans.org/internal-threat/ - **CERT Insider Threat** - https://insider.cert.org/ - **DLP Best Practices** - https://www.gartner.com/ ### 工具资源 | 工具 | 用途 | 链接 | |------|------|------| | **Gophish** | 钓鱼测试 | https://github.com/gophish/gophish | | **King Phisher** | 钓鱼测试 | https://github.com/secureworks/king-phisher | | **SMBMap** | SMB 扫描 | https://github.com/ShawnDEvans/smbmap | | **Sensitive Data Scanner** | 数据检测 | 自定义开发 | ### 书籍推荐 1. **《Insider Threat》** - 内部威胁权威指南 2. **《Data Loss Prevention》** - DLP 实施指南 3. **《Security Awareness》** - 安全意识培训指南 --- *365 天信息安全技术系列 | Day 255 | 渗透测试系列 | 内部威胁与数据泄露测试* *渗透测试系列完结篇 | 创建时间:2026-04-12 | 作者:安全专家 · 严谨专业版*
myh0st
2026年4月13日 23:20
分享文档
收藏文档
上一篇
下一篇
微信扫一扫
复制链接
手机扫一扫进行分享
复制链接
Markdown文件
分享
链接
类型
密码
更新密码