搜索

[10358] 2016-08-01_【行研】FreeBuf发布2016年上半年金融行业应用安全态势报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-08-01_【行研】FreeBuf发布2016年上半年金融行业应用安全态势报告 【 行 研 】 F r e e B u f 发 布 2 0 1 6 年 上 半 年 金 融 行 业 应 用 安 全 态 势 报 告 F r e e B u f 研 究 院   F r e e B u f   2 0 1 6 - 0 8 - 0 1 * F r e e B u f 研 究 院 荣 誉 出 品 ， 转 载 请 联 系 m k t @ f r e e b u f . c o m 随 着 互 联 网 随 着 互 联 网 + 已 席 卷 中 国 热 潮 ， 互 联 网 与 金 融 行 业 结 合 越 发 紧 密 ， 一 方 面 为 金 融 机 构 的 竞 争 与 发 展 拓 展 了 新 的 空 间 ， 已 席 卷 中 国 热 潮 ， 互 联 网 与 金 融 行 业 结 合 越 发 紧 密 ， 一 方 面 为 金 融 机 构 的 竞 争 与 发 展 拓 展 了 新 的 空 间 ， 公 众 的 资 金 和 投 资 管 理 也 变 得 十 分 便 利 ， 但 同 时 更 多 的 数 据 泄 露 和 业 务 中 断 使 得 金 融 行 业 网 络 安 全 的 风 险 也 随 之 增 公 众 的 资 金 和 投 资 管 理 也 变 得 十 分 便 利 ， 但 同 时 更 多 的 数 据 泄 露 和 业 务 中 断 使 得 金 融 行 业 网 络 安 全 的 风 险 也 随 之 增 加 。 加 。 F r e e B u f 半 年 间 走 访 数 十 家 企 业 ， 通 过 企 业 半 年 间 走 访 数 十 家 企 业 ， 通 过 企 业 I T 安 全 团 队 问 卷 调 查 ， 安 全 团 队 问 卷 调 查 ， 合 作 伙 伴 漏 洞 盒 子 、 合 作 伙 伴 漏 洞 盒 子 、 中 国 国 家 信 息 安 全 漏 洞 库 （ 中 国 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 、 七 牛 云 提 供 的 数 据 支 持 ， 采 集 了 ） 、 七 牛 云 提 供 的 数 据 支 持 ， 采 集 了 1 4 6 6 3 项 数 据 ， 并 经 过 技 术 专 家 及 专 业 安 全 团 队 组 成 的 评 定 小 组 通 过 对 数 据 进 行 分 析 。 项 数 据 ， 并 经 过 技 术 专 家 及 专 业 安 全 团 队 组 成 的 评 定 小 组 通 过 对 数 据 进 行 分 析 。 最 终 从 传 统 金 融 （ 银 行 、 保 险 、 证 券 ） ， 互 联 网 金 融 （ 最 终 从 传 统 金 融 （ 银 行 、 保 险 、 证 券 ） ， 互 联 网 金 融 （ P 2 P 、 分 期 、 众 筹 、 第 三 方 支 付 、 大 数 据 金 融 ） 、 分 期 、 众 筹 、 第 三 方 支 付 、 大 数 据 金 融 ） 8 个 金 融 行 业 细 分 领 个 金 融 行 业 细 分 领 域 ， 针 对 应 用 安 全 脆 弱 性 及 安 全 漏 洞 态 势 进 行 综 合 分 析 和 评 定 。 域 ， 针 对 应 用 安 全 脆 弱 性 及 安 全 漏 洞 态 势 进 行 综 合 分 析 和 评 定 。 本 次 调 研 报 告 的 目 的 是 从 一 定 程 度 上 呈 现 2 0 1 6 年 上 半 年 金 融 行 业 整 体 安 全 状 态 ， 使 企 业 安 全 人 员 与 管 理 者 更 加 了 解 金 融 企 业 潜 在 的 安 全 风 险 与 脆 弱 面 ， 以 及 洞 察 未 来 金 融 行 业 信 息 安 全 发 展 走 向 。 报 告 关 键 报 告 关 键
1 .     随 着 移 动 端 技 术 使 用 率 、 占 比 增 大 ， 移 动 金 融 应 用 中 存 在 的 漏 洞 相 比 去 年 同 期 增 3 7 % ； 2 .     2 0 1 6 上 半 年 云 厂 商 的 防 护 措 施 ， 如 云 W A F ， 云 端 抗 D D o S 提 升 了 漏 洞 利 用 难 度 ， 使 得 漏 洞 增 长 率 放 缓 ； 3 .   金 融 厂 商 对 逻 辑 层 业 务 安 全 漏 洞 的 忽 视 ， 如 批 量 重 置 密 码 、 越 权 操 作 等 ， 使 其 增 长 趋 势 远 高 于 通 用 漏 洞 ； 4 .   传 统 金 融 在 漏 洞 数 量 上 明 显 多 于 互 联 网 金 融 ， 高 危 漏 洞 占 比 高 达 7 8 . 4 8 % ； 5 .   从 漏 洞 利 用 程 度 上 分 析 ， 互 联 网 金 融 更 加 “ 脆 弱 ” — — “ 非 常 容 易 利 用 ” 的 漏 洞 占 比 高 达 5 7 . 5 % ； 6 .   互 联 网 金 融 行 业 最 容 易 出 现 问 题 的 业 务 场 景 有 ： 用 户 注 册 及 登 录 场 景 ， 密 码 重 置 场 景 ， 支 付 场 景 ， 消 息 通 知 场 景 ， 登 录 场 景 ， 支 付 场 景 和 接 口 调 用 。 7 .   N o S Q L ， A p a c h e   S p a r k ， H a d o o p 三 种 技 术 在 2 0 1 6 上 半 年 在 金 融 风 控 领 域 的 应 用 发 展 迅 猛 ， 但 半 数 公 司 对 大 数 据 分 析 结 果 的 关 联 定 性 、 准 确 性 存 在 疑 问 。 最 易 出 现 安 全 风 险 的 业 务 场 景 最 易 出 现 安 全 风 险 的 业 务 场 景 1 ． 用 户 注 册 及 登 录 场 景 ． 用 户 注 册 及 登 录 场 景 注 册 场 景 出 现 较 多 的 是 任 意 账 号 批 量 注 册 漏 洞 。 任 意 账 号 注 册 给 羊 毛 党 薅 羊 毛 提 供 了 极 大 便 利 ， 是 互 联 网 金 融 较 为 突 出 的 问 题 。 登 陆 场 景 中 ， 撞 库 与 逻 辑 缺 陷 导 致 任 意 账 号 登 陆 问 题 最 为 普 遍 。 可 导 致 用 户 信 息 被 批 量 盗 取 ， 甚 至 资 金 安 全 。 2 ． 密 码 重 置 场 景 ． 密 码 重 置 场 景 密 码 重 置 过 程 中 ， 如 简 单 的 短 信 验 证 码 被 暴 力 破 解 、 抓 包 查 看 服 务 端 返 回 的 验 证 码 、 缺 乏 功 能 级 的 限 制 可 跳 到 修 改 密 码 步 骤 等 等 方 式 ， 攻 击 者 很 容 易 实 现 重 置 任 意 用 户 的 密 码 。 3 ． 业 务 功 能 操 作 场 景 ． 业 务 功 能 操 作 场 景 服 务 端 程 序 多 存 在 不 安 全 的 对 象 直 接 引 用 ， 直 接 危 害 体 现 就 是 可 越 权 编 辑 ， 查 看 ， 取 消 ， 删 除 其 他 用 户 信 息 。 4 ． 支 付 场 景 ． 支 付 场 景
互 联 网 金 融 行 业 涉 及 到 的 支 付 场 景 集 中 在 充 值 ， 购 买 ， 提 现 ， 转 账 等 。 5 ． 消 息 通 知 场 景 ． 消 息 通 知 场 景 重 复 调 用 短 信 接 口 ， 发 送 短 信 通 知 ， 对 其 进 行 短 信 轰 炸 。 部 分 接 口 在 给 用 户 发 送 数 据 时 ， 信 息 内 容 甚 至 可 以 被 控 制 。 金 融 公 司 应 用 安 全 态 势 象 限 （ 金 融 公 司 应 用 安 全 态 势 象 限 （ 2 0 1 6 年 上 半 年 ） 年 上 半 年 ） 根 据 “ 安 全 漏 洞 态 势 ” 和 “ 企 业 综 合 实 力 ” 两 项 指 数 进 行 科 学 有 效 的 计 算 ， 绘 制 了 金 融 公 司 应 用 安 全 态 势 象 限 ， 可 看 出 金 融 细 分 行 业 中 有 代 表 性 地 企 业 在 两 个 维 度 上 的 位 置 。 注 ： 图 片 可 点 击 放 大  
注 ： 图 片 可 点 击 放 大 注 ： 图 片 可 点 击 放 大
注 ： 图 片 可 点 击 放 大 漏 洞 统 计 漏 洞 统 计 T O P 1 0 互 联 网 金 融 互 联 网 金 融
传 统 金 融 传 统 金 融 金 融 企 业 地 域 分 布 金 融 企 业 地 域 分 布
技 术 应 用 及 展 望 技 术 应 用 及 展 望   随 着 信 息 技 术 的 高 速 发 展 ， 面 向 企 业 的 云 服 务 几 乎 无 所 不 在 。 企 业 为 了 降 低 运 营 成 本 、 便 捷 办 公 以 及 提 高 随 时 随 地 进 行 连 接 的 可 访 问 性 ， 众 多 金 融 行 业 义 务 反 顾 的 选 择 了 基 于 云 服 务 和 虚 拟 化 协 作 方 式 。 这 些 技 术 场 景 不 仅 应 用 在 银 行 、 保 险 、 证 券 等 传 统 金 融 机 构 ， 而 且 包 括 P 2 P 、 小 贷 、 众 筹 、 消 费 金 融 等 互 联 网 金 融 机 构 ， 都 普 遍 的 使 用 着 S a a S 、 P a a S 、 I a a S 等 服 务 。 具 体 的 例 如 弹 性 计 算 、 云 数 据 库 、 C D N 服 务 、 负 载 均 衡 、 虚 拟 化 技 术 、 云 存 储 / 备 份 、 安 全 管 理 等 服 务 。 纵 观 上 半 年 的 金 融 信 息 安 全 ， 很 多 企 业 在 安 全 防 御 上 投 入 增 加 。 但 安 全 形 势 依 然 严 峻 ， 很 多 攻 击 者 更 倾 向 于 利 用 业 务 逻 辑 层 的 安 全 问 题 ， 实 际 上 这 些 问 题 也 是 频 发 ， 造 成 了 企 业 的 资 产 损 失 和 名 誉 受 损 ， 传 统 的 安 全 防 御 设 备 应 对 类 似 攻 击 ， 收 效 甚 微 。 但 基 于 大 数 据 风 控 、 威 胁 情 报 和 金 融 反 欺 诈 等 技 术 也 渐 渐 趋 向 成 熟 ， 金 融 企 业 I T 部 门 已 经 开 始 尝 试 采 用 了 这 些 新 技 术 ， 对 于 企 业 的 风 险 管 理 起 到 了 很 大 的 帮 助 。

2 0 1 6 年 上 半 年 金 融 行 业 应 用 安 全 态 势 报 告 完 整 版 下 载 ： 年 上 半 年 金 融 行 业 应 用 安 全 态 势 报 告 完 整 版 下 载 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 j I p W 1 s a （ 提 取 密 码 ： g v 6 s ） * F r e e B u f 研 究 院 荣 誉 出 品 ， 转 载 请 联 系 m k t @ f r e e b u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理