方兴 基于安全漏洞的攻防与发展 (1)

大会官方网站与资料下载地址：全球架构师峰会！分享产品与技术分享腾讯与互联网更多精彩内容架构之美：开放环境下的网络架构QQ空间技术架构之峥嵘岁月QQ基础数据库架构演变之路查看更多©2011Vulnhunt,Inc.Allrightsreserved.基于安全漏洞的攻防技术与未来发展南京翰海源信息技术有限公司⽅方兴[e-mail]©2011Vulnhunt,Inc.Allrightsreserved.⽅方兴（FlashSky）— 启明攻防实验室经理、美国EEYE高级研究员、美国微软特聘安全测试专家、南京翰海源CEO      ©2011Vulnhunt,Inc.Allrightsreserved.主题— 安全漏洞与当前网络安全攻防形势  — 安全漏洞基础知识  — 安全漏洞的危害  — APT分析  — APT案例  — 当前防护体系与思路  — APT如何穿透当前防护体系  — 安全思考  — 提升产品安全性  — 防御未知安全漏洞  — 国内外研究态势©2011Vulnhunt,Inc.Allrightsreserved.什么是安全漏洞？— 为什么黑客能在不知不觉远程入侵你的系统？打开一个网页你的电脑就中招被植入木马了呢？  — 系统就是这么设计的？  — 安全漏洞是系统在设计、开发、配置、部署时留下的，让攻击者可以非法获取信息或执行特定行为的缺陷。⿊黑客⼊入侵蠕⾍虫病毒传播安全漏洞©2011Vulnhunt,Inc.Allrightsreserved.NDAY/0DAY— 漏洞已被厂商知道，厂商已修复一段时间的称为NDAY  — 以前人们没有打安全补丁的习惯，导致NDAY也造成了很大损失，从冲击波开始人们逐步养成了打补丁的习惯，安全厂商也根据公开漏洞信息检测攻击。  — 漏洞已被攻击者发现未被厂商知道的，称为0DAY  — 这种漏洞用于针对重要目标发起攻击，现有安全防御体系比较难发现  — 漏洞已被厂商知道，厂商刚修复的的称为1DAY  — 这种漏洞用于在用户打上补丁之前的时间窗发起攻击  ©2011Vulnhunt,Inc.Allrightsreserved.安全漏洞与安全攻防— 攻击者路径  — 通过漏洞获取权限-­‐木马控制-­‐窃取信息资产  — 系统/程序安全漏洞是  — 攻击者风险最小收益最高的方式：远程不接触/可跨国界/电子证据少/用户难以发现，情报收集  — 是发起其他攻击的先导，如电子战，电子压制  — 因此在实际攻防对抗中，特别针对重要目标的攻击，安全漏洞及其利用占很重要的位置，但很少被大众知晓。  ©2011Vulnhunt,Inc.Allrightsreserved.安全漏洞的种类— Web类  — Sql注入  — XSS  — CSRF  — 跨域漏洞  — 任意文件上传漏洞  — 任意文件读写  — 其他逻辑漏洞  ©2011Vulnhunt,Inc.Allrightsreserved.安全漏洞的种类— 二进制类  — 堆栈溢出  — 堆溢出  — 整型溢出  — 格式化串溢出  — 任意读写/删除文件漏洞  — 目录遍历漏洞  — Use  after  free  — 其他逻辑漏洞  ©2011Vulnhunt,Inc.Allrightsreserved.安全漏洞的危害案例— 第一次进入大众视野的安全事件：莫里斯蠕虫  — UNIX    sendmail/Finger服务溢出漏洞  — 互联网前身瘫痪    — 单次损失达到数十亿美金以上的全球蠕虫事件  — SQL蠕虫：SQL  SERVER  2000查询服务器溢出漏洞  — 冲击波：RPC  DCOM  溢出漏洞  — 震荡波：RPC  DCOM  溢出漏洞  — 尼姆达：IIS溢出漏洞    ©2011Vulnhunt,Inc.Allrightsreserved.攻击对抗技术的发展— Exploit技术©2011Vulnhunt,Inc.Allrightsreserved.攻击对抗技术的发展— 对抗技术©2011Vulnhunt,Inc.Allrightsreserved.想突围？©2011Vulnhunt,Inc.Allrightsreserved.APT— Advanced  Persistent  Threat  — 高级-有全方位的情报搜集技术，可能包括计算机入侵技术和工艺  — 持久性–  目的性和针对性特强，长期持续利益的信息  — 有组织，有充足的资金。©2011Vulnhunt,Inc.Allrightsreserved.APT案例：极光— 信息收集  — FACEBOOK收集人际关系  — 选择攻击原点：GOOGLE员工好友：摄影小白  — 攻击与渗透  — 控制小白  — 搭建伪冒相片服务器放置IE    0DAY攻击代码  — 以小白身份发送IM消息给GOOGLE员工成功攻击此员工  — 再以GOOGLE员工渗透逐步获得最高权限信息  — 回传  — 分布，加密，使用HTTPS合法通道©2011Vulnhunt,Inc.Allrightsreserved.APT案例：RSA— 信息收集  — 搜集RSA部门和分支机构信息  — 选择攻击原点：RSA跨域办事处部门  — 攻击与渗透  — 控制RSA跨域办事处部门人员主机  — 构造包含FLASH    0DAY的EXCEL表  — 以办事处部人员发送财务审批请求的邮件给财务总监成功攻击财务总监  — 在以财务总监身份渗透拿到securid的种子  — 回传  — 使用合法通道©2011Vulnhunt,Inc.Allrightsreserved.APT案例：震⺴⽹网— 信息收集  — 搜集核电站员工和家人信息  — 选择攻击原点：员工家人电脑  — 攻击与渗透  — 控制员工家人电脑  — 利用WINDOWS  3个0DAY+1Nday，可从PC攻击移动介质，也可从移动介质攻击PC，成功摆渡进核电站网络  — 利用西门子3个0DAY，渗透进控制系统软件，修改控制参数，并修改PLC显示层欺骗用户— 持续  — 不断感染传递  ©2011Vulnhunt,Inc.Allrightsreserved.APT案例：夜⻰龙— 信息收集  — 搜集能源部站点  — 选择攻击原点：能源部许可员工交互的站点  — 攻击与渗透  — 利用站点SQL注射安全漏洞，入侵许可员工交互的站点  — 在交互站点上挂出多个IE  1DAY和0DAY漏洞的挂马页面。  — 在员工访问交互站点时控制员工机器渗透进内网— 回传  — 增加IE代理，合法通道将用户访问的信息收集  ©2011Vulnhunt,Inc.Allrightsreserved.APT案例:Flame⽕火焰— 攻击指定国家：伊朗、黎巴嫩、叙利亚、苏丹、其他中东和北非国家  — 可能存活时间已经5-­‐8年  — Nday:  CVE-­‐2010-­‐2729，CVE-­‐2010-­‐2568(震网中)  — 复杂程度是震网的20倍，里面还支持lua脚本©2011Vulnhunt,Inc.Allrightsreserved.其他重⼤大APT攻击案例— 韩国农协银行  — VERISIGN  — 洛克-­‐马丁  — NASA  — Duqu  — ……©2011Vulnhunt,Inc.Allrightsreserved.现有的防护体系：AV— 防护原理  — 特征匹配  — 注册表和系统目录写入检查  — 弱点  — 特征匹配  — 需要有样本  — 流传很少的特马难以发现  — 注册表和系统目录等关键点写入检查  — 太繁琐，用户不理解常常忽略  — 很难全面— 太复杂的体系下，可以利用已知缺陷关闭绕过其检查  ©2011Vulnhunt,Inc.Allrightsreserved.现有的防护体系：HIPS— 防护原理  — 调用序列检查  — 内核链检查ROOTKIT  — 弱点  — 调用序列检查  — 需要有样本  — 可以绕过调用序列  — 内核链检查ROOTKIT  — 对抗，容易不稳定  — 需要用户具备较强的知识与能力— 太复杂的体系下，可以利用已知缺陷关闭绕过其检查  ©2011Vulnhunt,Inc.Allrightsreserved.现有的防护体系：FW— 防护原理  — 限定端口  — 限定IP  — 弱点  — 基于通道限定  — 攻击者基于被许可的应用的漏洞发起©2011Vulnhunt,Inc.Allrightsreserved.现有的防护体系：IDS/IPS— 防护原理  — 已知漏洞特性  — 异常流量特性  — 弱点  — 已知漏洞特性  — 检查不了0DAY  — 需要升级，1DAY有一定时间差，且可能升级通道被阻断  — 很多漏洞结构不公开，很难机理上检查，容易被绕过— 异常流量特性  — 知道规则就可以绕过©2011Vulnhunt,Inc.Allrightsreserved.现有的防护体系：审计— 防护原理  — 敏感字  — 敏感操作异常  — 弱点  — 敏感字  — 合法加密通道— 敏感操作异常  — 模拟用户习惯  — 与用户操作同步©2011Vulnhunt,Inc.Allrightsreserved.⿊黑客怎么攻破防护森严的系统— 社工  — 0DAY  — 合法加密链接  — 分布缓慢渗透  ©2011Vulnhunt,Inc.Allrightsreserved.现有安全体系的薄弱环节持续性同发性个人终端突破多攻击向量社工0DAY社工跳板可信通道加密缓慢长期长期窃取战略控制深度渗透©2011Vulnhunt,Inc.Allrightsreserved.当前防护体系之痛— 基于已知知识  — 0DAY  — 特马    — 基于规则  — 基于应用以及与合法渠道：FW等检测失效  — 分布缓慢合法模拟  — 合法加密链路    — 缺乏深度智能分析  — 社工结合：需要深度检测与分析  — 各自为战，偏重单一事件的异常，缺乏事件智能综合分析能力©2011Vulnhunt,Inc.Allrightsreserved.事后追责安全体系的失效— 现实生活中低成本的安全依赖于事后追责体系  — 追责和法律风险大大降低犯罪收益  — 信任的前提是：相信一旦违反信任，对方会遭受更大损失  — IT系统安全和现实安全的区别  — 非接触性  — 证据非物理性  — 跨域性  — 损害非及时可知性  — 事前事中防范不低于事后追责作用  — 事中危害及时发现能力是事后追责体系的依赖  ©2011Vulnhunt,Inc.Allrightsreserved.让安全成为IT系统基础属性— 现代IT系统是复合的  — 自身可控部分的安全  — 意识与能力  — 安全开发  — 安全验证  — 自身依赖不可控部分的安全  — 供应链安全保证  — 未知危害感知能力  — 整体  — 纵深的安全防御与监控体系— IT教育与培训体系©2011Vulnhunt,Inc.Allrightsreserved.思考1：提升产品安全性— 能否将安全漏洞发现的能力演变成一种系统化的安全测试手段  — 漏洞挖掘能力-­‐〉安全测试能力  — 使用安全测试能力提前降低安全风险  ©2011Vulnhunt,Inc.Allrightsreserved.安全测试与漏洞挖掘©2011Vulnhunt,Inc.Allrights