设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [16561] 2021-03-17_FreeBuf甲方群：BufforBug？聊聊攻 ...
返回列表 发新帖
查看: 1|回复: 0

[16561] 2021-03-17_FreeBuf甲方群：BufforBug？聊聊攻防演练中安全产品的安全性

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-03-17_FreeBuf甲方群：BufforBug？聊聊攻防演练中安全产品的安全性 F r e e B u f 甲 方 群   ： B u f f   o r   B u g ？ 聊 聊 攻 防 演 练 中 安 全 产 品 的 安 全 性 F r e e B u f   2 0 2 1 - 0 3 - 1 7 @ F r e e B u f 攻 防 演 练 时 防 守 队 最 怕 什 么 ？ 安 全 产 品 被 爆 出 漏 洞 应 该 是 其 中 之 一 。 原 本 用 来 安 全 防 护 的 产 品 ， 现 在 却 成 为 以 子 之 原 本 用 来 安 全 防 护 的 产 品 ， 现 在 却 成 为 以 子 之 矛 攻 子 之 盾 的 活 靶 子 ， 让 原 本 就 不 太 平 的 防 守 队 们 雪 上 加 霜 矛 攻 子 之 盾 的 活 靶 子 ， 让 原 本 就 不 太 平 的 防 守 队 们 雪 上 加 霜 … 讨 论 讨 论 1 ： 企 业 对 安 全 厂 商 高 危 漏 洞 爆 出 事 件 怎 么 看 ？ ： 企 业 对 安 全 厂 商 高 危 漏 洞 爆 出 事 件 怎 么 看 ？ 1 、 听 说 某 T Y 的 产 品 架 构 存 在 漏 洞 ， 这 个 洞 应 该 在 某 T 手 上 ， 主 要 问 题 是 出 在 主 机 灰 度 上 ， 好 像 可 以 未 授 权 访 问 ， 然 后 A g e n t 是 r o o t 权 限 ， 据 说 还 没 法 改 ， 懂 得 都 懂 。 2 、 关 于 第 一 点 0 d a y 问 题 ， 我 有 一 点 不 太 一 样 的 看 法 ， 之 前 有 收 到 信 息 ， 某 些 厂 商 对 某 X F   V P N 设 备 做 了 拆 解 ， 破 解 ， 对 某 T Y   H I D S 进 行 反 编 译 < 该 条 不 细 说 ， 没 具 体 证 据 > 。 由 于 安 全 圈 子 太 小 ， 人 员 流 动 大 ， 增 加 了 破 解 的 便 利 性 ， 所 有 要 打 市 场 的 厂 家 ， 都 会 对 潜 在 的 竞 争 对 手 进 行 分 析 ， 对 竞 品 做 破 解 ， 这 是 中 国 企 业 商 业 竞 争 的 传 统 了 ， 我 们 也 能 理 解 。 所 以 没 有 对 出 0 D a y 的 安 全 厂 商 过 多 苛 责 。 3 、 作 为 甲 方 ， 我 们 会 立 即 要 求 厂 商 过 来 修 补 ， 修 补 后 ， 并 验 证 p o c 是 否 有 效 。 如 果 合 同 付 款 方 式 为 3 3 3 1   o r 3 6 1 ， 可 能 会 依 据 合 同 内 容 进 行 扣 除 — — + 1 ， 我 这 边 确 实 也 在 考 虑 是 否 在 合 同 里 注 明 有 未 知 0 d a y 应 急 预 案 。 4 、 我 的 一 些 思 考 ： （ 1 ） 正 视 漏 洞 存 在 的 客 观 性 ； （ 2 ） 和 服 务 商 进 行 沟 通 ， 确 保 有 业 务 保 障 的 应 急 方 案 ； （ 3 ） 和 运 维 团 队 （ 如 果 可 能 的 话 ） 一 起 评 估 风 险 ， 并 制 定 紧 急 干 预 措 施 （ 如 果 可 行 ） ； （ 4 ） 事 后 复 盘 ， 评 估 服 务 商 的 综 合 能 力 。 5 、 我 说 下 我 的 观 点 ： 我 能 够 接 受 安 全 产 品 ， 因 为 是 干 安 全 这 一 行 的 ， 知 道 没 有 绝 对 的 安 全 。 但 是 我 会 比 较 关 注 厂 商 的 响 应 情 况 ， 会 不 会 主 动 联 系 修 复 漏 洞 、 漏 洞 修 复 要 多 久 等 等 ， 并 且 相 关 内 容 我 们 会 希 望 能 在 合 同 里 进 行 约 束 。 另 外 补 充 一 句 ， 有 点 接 受 不 了 一 些 很 简 单 很 愚 蠢 的 漏 洞 ， 证 明 厂 商 的 产 品 体 系 是 有 问 题 的 。 6 、 大 佬 们 你 们 安 全 建 设 已 经 到 如 此 高 的 地 步 了 吗 ， 关 注 安 全 产 品 自 身 安 全 性 ， 我 只 想 搞 定 弱 口 令 和 互 联 网 暴
露 面 。 7 、 产 品 有 漏 洞 是 正 常 的 ， 主 要 是 厂 商 要 正 视 自 己 的 漏 洞 ， 别 遮 遮 掩 掩 ， 给 人 爆 料 之 后 态 度 还 不 积 极 ， 给 甲 方 造 成 实 际 损 失 。 规 避 的 方 法 只 有 在 采 购 的 时 候 约 束 好 出 现 问 题 后 的 响 应 速 度 ， 修 复 时 间 等 措 施 ， 不 要 给 自 己 留 坑 。 — — 其 实 就 算 是 自 研 ， 也 没 法 避 免 漏 洞 ， 而 且 应 该 比 成 熟 厂 商 的 产 品 问 题 更 多 。 8 、 有 一 些 设 备 和 产 品 肯 定 要 做 好 安 全 加 固 ， 把 访 问 控 制 那 些 限 制 好 了 — — 但 是 很 多 安 全 设 备 的 确 是 要 权 限 的 ， 而 且 要 权 限 越 多 的 设 备 ， 出 漏 洞 的 概 率 更 高 ， 这 样 演 练 中 被 盯 上 的 可 能 性 也 更 高 。 9 、 安 全 产 品 本 身 是 特 权 类 的 设 备 ， 更 应 该 优 先 控 制 呀 。 而 且 如 果 因 为 安 全 产 品 管 理 不 当 ， 导 致 的 安 全 风 险 和 事 件 ， 就 很 尴 尬 了 啊 ， 会 把 在 公 司 内 部 的 权 威 性 降 低 很 多 。 1 0 、 其 实 所 有 的 问 题 都 围 绕 着 一 个 主 题 ， 增 加 攻 击 成 本 。 如 果 增 加 攻 击 成 本 的 系 统 本 身 出 了 问 题 。 那 么 他 就 处 于 这 个 网 络 攻 击 链 环 之 中 了 。 1 1 、 同 一 款 安 全 产 品 这 么 多 漏 洞 ， 反 反 复 复 的 话 ， 这 一 点 我 是 会 评 估 的 。 证 明 产 品 确 实 有 些 问 题 。 1 2 、 去 年 我 还 在 乙 方 钓 鱼 钓 到 的 甲 方 防 守 方 案 ， 邮 箱 是 重 点 攻 击 目 标 。 1 3 、 企 业 对 安 全 厂 商 爆 出 高 危 漏 洞 事 件 这 样 看 ， 一 方 面 越 来 越 缺 不 了 安 全 设 备 ， 一 方 面 又 束 手 无 策 ， 目 前 来 说 只 能 是 又 爱 又 恨 。 说 实 话 安 全 厂 商 的 研 发 能 力 总 体 不 如 软 件 公 司 ， 而 且 很 多 产 品 还 有 实 习 生 参 与 ， 现 阶 段 不 能 奢 望 安 全 设 备 自 身 的 安 全 性 有 多 强 ， 和 互 联 网 公 司 比 又 没 有 留 人 的 竞 争 力   一 些 老 产 品 甚 至 都 没 人 在 维 护 了 。 1 4 、 安 全 厂 商 爆 漏 洞 是 不 可 避 免 的 ， 毕 竟 很 多 安 全 厂 商 的 研 发 人 员 也 不 是 做 安 全 的 ， 做 出 来 的 安 全 产 品 也 一 定 会 有 安 全 问 题 ， 内 部 也 不 全 是 安 全 S D L 流 程 。 怕 就 怕 供 应 商 反 应 慢 ， 厂 商 不 承 认 ， 通 知 不 到 位 。 讨 论 讨 论 2 ： 面 对 这 类 问 题 ， 企 业 是 否 会 考 虑 在 重 点 安 全 建 设 方 面 转 向 自 研 之 路 或 者 采 取 其 他 方 式 减 轻 ： 面 对 这 类 问 题 ， 企 业 是 否 会 考 虑 在 重 点 安 全 建 设 方 面 转 向 自 研 之 路 或 者 采 取 其 他 方 式 减 轻 0 d a y 事 件 带 来 的 影 响 ？ 事 件 带 来 的 影 响 ？ 1 、 其 实 就 算 是 自 研 ， 也 没 法 避 免 漏 洞 ， 而 且 应 该 比 成 熟 厂 商 的 产 品 问 题 更 多 2 、 0 d a y   目 前 建 议 有 足 够 数 量 的 安 全 人 员 的 企 业 做 。 先 把 基 础 安 全 做 好 并 优 化 以 后 ， 干 的 事 情 。 毕 竟 需 要 人 力 和 财 力 支 持 ， 一 般 企 业 重 点 还 是 把 基 础 安 全 做 好 ， 策 略 规 则 优 化 监 控 告 警 为 主 。 并 不 建 议 投 入 太 多 人 力 自 研 安 全 产 品 或 者 系 统 。 应 该 往 加 大 并 优 化 监 控 范 围 （ 内 部 事 件 和 告 警 、 外 部 威 胁 情 报 等 ） ， 以 及 自 动 化 处 理 事 件 方 向 投 入 更 多 的 时 间 ， 通 过 加 快 响 应 时 间 和 处 理 效 率 ， 这 种 方 式 “ 曲 线 救 国 ” 。 3 、 在 我 们 这 边 的 话 自 研 的 可 能 性 为 零 ， 但 是 会 考 虑 采 取 其 他 方 式 减 轻 风 险 和 影 响 ， 例 如 组 网 调 整 隔 离 ， 限 制 受 影 响 的 设 备 或 服 务 的 网 络 可 达 范 围 避 免 影 响 其 他 业 务 。 4 、 现 在 好 多 内 网 安 全 设 备 都 启 用 了 H T T P S 如 何 监 控 它 们 没 被 搞 ？ — — H T T P S 的 都 把 证 书 给 到 N T A 设 备 做 解 密 — — 有 一 些 设 备 和 产 品 肯 定 要 做 好 安 全 加 固 ， 把 访 问 控 制 那 些 限 制 好 了 5 、 其 实 为 什 么 不 做 应 用 运 行 时 自 我 保 护 。 R A S P 就 是 一 个 很 好 的 解 决 方 案 — — 但 之 前 有 些 安 全 产 品 的 漏 洞 都 是 些 很 基 础 的 ， 可 能 还 达 不 到 R A S P 程 度 的 漏 洞 。 6 、 其 实 现 在 安 全 产 品 走 向 容 器 化 部 署 ， 本 身 就 是 个 大 势 所 趋 — — 容 器 化 就 算 产 品 有 漏 洞 。 你 也 只 能 拿 到 容 器 内 的 权 限 。 7 、 不 能 这 么 算 ， 虚 拟 机 还 有 逃 逸 呢 ， 本 地 提 权 只 是 一 种 形 式 ， 还 有 网 络 层 扩 散 的 问 题 呢 8 、 说 实 话 ， 现 在 最 怕 服 务 器 杀 毒 、 p c 杀 毒 这 种 强 制 人 人 都 装 的 东 西 出 问 题 ， 一 出 问 题 太 容 易 闹 大 了
9 、 关 于 第 二 个 问 题 ， 我 们 对 自 研 安 全 有 一 定 的 需 求 ， 但 是 没 能 力 ， 所 以 短 期 不 会 上 ， 合 作 研 发 ， 外 包 研 发 可 能 会 有 ， 之 前 提 到 某 单 位 和 某 单 位 合 作 研 发 单 兵 作 战 工 具 就 是 例 子 ， 我 们 也 期 待 这 样 的 合 作 。 短 期 我 们 解 决 0 d a y 的 方 式 ， 是 增 加 a p t 设 备 ， 对 攻 击 行 为 进 行 识 别 ， 毕 竟 0 d a y 不 具 备 可 预 见 性 ， 但 是 攻 击 行 为 是 有 一 定 模 式 的 ， 目 前 部 分 厂 商 搞 得 攻 击 模 型 ， 机 器 学 习 等 产 品 ， 我 们 都 很 感 兴 趣 。 1 0 、 现 在 稍 微 有 点 钱 的 企 业 已 经 开 始 重 金 挖 人 ， 自 研 安 全 设 备 只 是 对 内 安 全 建 设 的 任 务 之 一 ， 哪 怕 是 重 复 造 轮 子 ， 出 了 事 好 歹 能 自 己 修 复 ， 不 然 只 能 等 厂 家 更 新 ， 甚 至 厂 家 会 甩 锅 。 而 且 只 要 造 轮 子 的 时 候 指 纹 不 要 抄 的 那 么 明 显 ， 那 么 被 发 现 漏 洞 的 几 率 会 大 大 降 低 。 毕 竟 大 家 都 知 道 白 盒 能 挖 到 比 黑 盒 更 多 的 漏 洞 。 1 1 、 发 表 一 下 关 于 第 二 个 问 题 的 个 人 观 点 ： （ 1 ） 对 于 企 业 来 说 是 否 要 自 研 安 全 产 品 ， 更 重 要 的 应 该 是 安 全 团 队 是 否 有 能 力 做 这 个 事 情 ， 因 为 你 至 少 要 专 门 招 几 个 专 职 做 这 些 事 情 的 人 ， 在 H C 这 方 面 或 许 就 实 现 不 了 。 （ 2 ） 产 品 自 研 成 功 后 ， 便 需 要 专 人 进 行 维 护 ， 假 设 之 前 产 品 的 研 发 者 离 职 了 ， 于 是 需 要 重 新 招 人 ， 然 后 重 新 熟 悉 代 码 ， 再 进 行 专 职 维 护 更 新 。 （ 3 ） 假 设 是 从 0 到 1 开 始 的 ， 我 觉 得 还 是 先 买 商 业 化 产 品 ， 然 后 等 安 全 团 队 稳 定 了 ， 上 面 两 个 条 件 都 满 足 了 ， 再 考 虑 是 否 自 研 。 （ 4 ） 如 果 安 全 团 队 完 全 有 能 力 ， 那 么 肯 定 还 是 要 自 研 。 1 2 、 对 甲 方 而 言 ， 肯 定 自 建 的 产 品 最 靠 谱 可 控 ， 有 大 厂 已 经 在 做 或 者 投 资 安 全 公 司 在 搞 了 ， 但 是 绝 大 部 分 企 业 没 有 这 个 能 力 ， 当 前 阶 段 能 把 基 础 的 安 全 设 施 和 体 系 建 起 来 的 公 司 就 已 经 相 当 不 错 了 。 要 减 轻 0 d a y 的 影 响 考 虑 威 胁 情 报 和 漏 洞 响 应 与 管 理 这 两 块 更 现 实 一 点 。 1 3 、 目 前 很 多 厂 家 内 部 展 开 代 码 审 计 工 作 以 及 内 部 S R C 。 对 于 主 打 产 品 基 本 已 经 完 成 审 计 。 安 全 随 着 产 品 审 计 员 的 技 术 而 形 成 瓶 颈 。 对 外 部 而 言 ， 没 有 形 成 或 者 无 法 形 成 统 一 的 安 全 等 级 要 求 标 准 ， 缺 少 相 关 的 评 测 。 1 4 、 自 研 并 不 能 解 决 出 现 漏 洞 、 B U G 的 问 题 。 关 键 还 得 看 安 全 厂 商 的 响 应 速 度 。 火 眼 ， 卡 巴 ， p a l o   a l t o 、 c h e c k p o i n t 这 些 大 厂 没 少 出 问 题 ， 态 度 很 关 键 。 安 全 开 发 、 D e v S e c O p s ， 说 起 来 容 易 做 起 来 难 ， 微 软 不 也 沦 陷 了 吗 。 1 5 、 非 头 部 企 业 很 难 自 研 ， 毕 竟 没 有 积 累 成 本 太 高 ， 且 很 多 企 业 业 务 发 展 等 不 及 你 自 建 安 全 能 力 ， 采 用 成 熟 产 品 依 然 是 多 数 企 业 的 选 择 ， 对 于 供 应 商 的 安 全 要 求 ， 除 了 合 同 协 议 ， 服 务 质 量 也 要 求 更 高 ， 技 术 支 持 最 起 码 要 专 业 到 位 及 时 响 应 ， 叫 不 动 人 的 供 应 商 还 不 如 没 有 。 F r e e B u f 甲 方 交 流 分 享 群 甲 方 交 流 分 享 群 纯 甲 方 纯 甲 方 ： 囊 括 金 融 、 政 府 、 运 营 商 、 医 疗 、 互 联 网 企 业 等 多 行 业 甲 方 安 全 从 业 人 员 ， 具 备 严 格 的 入 群 审 核 机 制 ， 非 甲 方 安 全 从 业 人 员 拒 绝 进 群 真 实 有 料 真 实 有 料 ： 从 甲 方 企 业 C S O 到 安 全 工 程 师 ， 从 安 全 方 案 应 用 到 产 品 技 术 应 用 ， 社 群 定 期 组 织 相 关 主 题 话 题 讨 论 ， 共 同 交 流 最 真 实 有 趣 有 料 的 甲 方 安 全 建 设 经 验 专 属 权 益 专 属 权 益 ： 一 旦 认 证 成 为 F r e e B u f 甲 方 会 员 ， 即 可 享 受 F r e e B u f 报 告 在 线 免 费 阅 读 权 益 ， 同 时 参 与 社 群 话 题 讨 论 便 有 机 会 获 得 F V I P 月 卡 奖 励 。 更 多 权 益 ， 期 待 解 锁 i n g ~ F r e e B u f 甲 方 群 进 群 方 式 甲 方 群 进 群 方 式 扫 码 填 写 申 请 表 单 ， 通 过 审 核 后 即 可 入 群 ：
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.332867 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表