白帽子渗透行为监控方案

对于白帽子行为监控方案，一般常用的技术手段是 VPN 加上跳板机。VPN 是帮助外部白帽子能够 VPN 拨入到客户的内部网络，对不接入公网的内部系统进行访问。确保内部系统不直接对公网开放。如果是放在公网上的系统，不能限制路由，VPN 的方案不适用。

监控白帽子的行为，现有两种可能的方案，需要评估哪种更可行：

1.批量生成云主机，把云主机账户给到白帽子使用，白帽子通过分配的云主机对目标系统进行漏洞挖掘。需要在分配给白帽子的云主机上，实现自动操作命令的收集，并且这些 log 不存在本地，实时送到目标 Log 日志服务器上。需要进行操作系统内核编译，禁止白帽子对日志进行修改的权限。

2.提供一台跳板机给所有白帽子，通过跳板机跳到分配给白帽子的云主机上，白帽子从云主机发起对目标客户的扫描和漏洞分析。需要在跳板机上记录所有白帽子的操作，跳板机自动跳转到分配给白帽子的云主机上，白帽子可以利用云主机进行安全扫描工具的下载与渗透侦测。

对比两种白帽子行为监控模式

拥有独立公网 IP 地址，可以进行反弹后门操作，通过 IP 区分不同白帽子

拥有独立公网 IP 地址，可以建立隧道，绕过监控，在未监控的主机上操作

（例如本地记录篡改、内核模块监控、防止远程隧道、修改路由日志服务不可用）

（内核审计方向[复杂+难绕过]、bash 审计方向[简单+用户约束]）

优势：白帽子在进入操作机的时候，已经通过了一层透明的跳板机，在跳板机记录行为，无感知无法篡改。只有内网 IP 地址，能够通过 nat 上网，不能建立隧道。不需开发监控程序，跳板机完成监控记录
劣势：需要一个跳板机、操作机、NAT 网络的拓扑结构，共用外网 IP 地址。只有内网 IP 地址，一些测试和工具无法使用。
可行性：环境搭建维护工作量大，时间较短。