搜索

[11996] 2017-11-11_补卡的糟糕经历引发的思考：一点黑客技术让我们不再泄露那么多数据

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-11-11_补卡的糟糕经历引发的思考：一点黑客技术让我们不再泄露那么多数据 补 卡 的 糟 糕 经 历 引 发 的 思 考 ： 一 点 黑 客 技 术 让 我 们 不 再 泄 露 那 么 多 数 据 C h u a n F i l e   F r e e B u f   2 0 1 7 - 1 1 - 1 1 * 本 文 作 者 ： C h u a n F i l e ； 本 文 属   F r e e B u f   原 创 奖 励 文 章 ， 未 经 许 可 禁 止 转 载 。 概 述 ： 概 述 ： 笔 者 因 为 孩 子 生 病 n 次 去 医 院 输 液 ， 终 于 在 最 后 一 次 打 吊 针 的 时 候 被 人 偷 走 了 手 机 （ 医 院 果 然 是 作 案 高 发 区 ） ， 于 是 有 了 我 补 办 手 机 卡 的 经 历 。 一 张 电 信 手 机 卡 在 电 信 营 业 厅 提 供 了 身 份 证 + 照 相 人 脸 识 别 后 顺 利 补 办 成 功 ， 另 一 张 移 动 手 机 卡 却 遭 遇 了 困 境 ， 移 动 要 求 身 份 证 + 服 务 密 码 + 3 个 月 内 的 任 意 5 次 拨 出 记 录 ， 但 我 的 移 动 手 机 是 备 机 + 对 外 注 册 机 （ 接 收 各 种 骚 扰 ） ， 3 个 月 内 也 就 拨 出 过 极 少 的 一 两 个 电 话 ， 在 丢 失 手 机 的 情 况 下 我 根 本 不 可 能 记 得 拨 出 的 号 码 ， 而 且 如 果 想 查 通 话 记 录 必 须 手 机 的 随 机 短 信 密 码 才 可 以 ， 身 份 证 + 服 务 密 码 + 本 人 也 不 行 ， 这 样 我 就 陷 入 了 死 循 环 !   移 动 给 的 方 案 是 ： 停 机 保 号 3 个 月 ， 然 后 再 补 卡 就 不 验 证 通 话 记 录 了 ， 我 就 。 。 。 。 。 ， 作 为 一 名 中 国 公 民 ， 我 竟 然 没 法 证 明 我 是 我 了 ！ ！ ！ 此 问 题 当 前 已 解 决 ， 但 作 为 搞 安 全 的 同 学 不 得 不 多 思 考 下 这 个 经 典 的 安 全 问 题 ， 移 动 为 什 么 设 置 这 个 策 略 ， 他 此 问 题 当 前 已 解 决 ， 但 作 为 搞 安 全 的 同 学 不 得 不 多 思 考 下 这 个 经 典 的 安 全 问 题 ， 移 动 为 什 么 设 置 这 个 策 略 ， 他 们 是 用 什 么 逻 辑 证 明 这 个 关 于 我 的 问 题 ： 们 是 用 什 么 逻 辑 证 明 这 个 关 于 我 的 问 题 ： 1 、 你 是 你 、 你 是 你   2 、 设 备 是 你 的 、 设 备 是 你 的 3 、 你 在 用 你 的 设 备 。 、 你 在 用 你 的 设 备 。 我 们 详 细 分 析 下 这 个 问 题 ： 我 们 详 细 分 析 下 这 个 问 题 ： 商 家 的 目 的 和 解 决 方 案 商 家 的 目 的 和 解 决 方 案 1 、 你 要 证 明 你 是 你 ： 带 着 身 份 证 来 我 就 认 为 你 是 你 ， 当 然 还 要 抬 头 看 看 你 是 不 是 你 ， 高 科 技 的 方 式 就 是 加 上 人 脸 识 别 ； 2 、 你 要 证 明 设 备 是 你 的 ： 对 于 商 家 ， s i m 卡 就 是 他 的 设 备 ， 那 提 供 服 务 密 码 就 可 以 证 明 设 备 是 你 的 了 （ 电 信 是 默 认 身 份 证 后 六 位 ， 存 在 安 全 隐 患 ） ； 3 、 你 要 证 明 你 在 用 你 自 己 的 设 备 ： 提 供 你 最 近 3 个 月 打 过 哪 些 电 话 ， 也 就 证 明 s i m 卡 这 个 设 备 是 你 自 己 用 的 （ 这 个 电 信 没 有 这 个 步 骤 ， 估 计 是 因 为 电 信 起 步 晚 ， 起 步 的 时 候 已 经 开 始 实 名 制 ） ， 其 实 移 动 设 置 这 个 的 目 的 是 历 史 遗 漏 问 题 ， 以 前 没 实 名 制 的 时 候 ， 很 多 卖 卡 的 用 自 己 的 身 份 证 注 册 并 设 置 服 务 密 码 ， 然 后 卖 给 其 他 人 ， 那 其 实 他 并 没 有 在 使 用 s i m 卡 。 如 果 仅 仅 验 证 1 、 2 ， 则 存 在 卖 卡 人 代 替 使 用 人 补 卡 的 问 题 。 但 其 实 这 里 有 个 b u g ， 证 明 你 在 用 你 的 设 备 ， 只 需 要 1 0 0 8 6 拨 打 使 用 者 电 话 ， 然 后 回 访 姓 名 身 份 证 对 照 注 册 信 息 即 可 （ 这 个 1 0 0 8 6 已 经 对 笔 者 做 过 此 操 作 ， 但 1 0 0 8 6 没 有 用 这 个 验 证 逻 辑 ） 。 此 外 验 证 来 电 也 是 个 很 好 的 操 作 （ 为 防 止 恶 意 拨 打 ， 建 议 仅 验 证 补 办 一 周 前 通 话 时 长 较 长 且 频 繁 的 来 电 ， 这 样 使 用 者 有 时 间 补 办 ， 也 防 止 了 冒 用 者 ） ， 也 可 以 解 决 我 这 种 只 用 来 当 备 机 + 对 外 注 册 机 使 用 的 用 户 了 。 扩 展 下 这 个 安 全 届 的 通 用 问 题 扩 展 下 这 个 安 全 届 的 通 用 问 题 1 、 身 份 认 证 ， 确 定 用 户 身 份 ， 一 般 来 说 p c 都 是 采 取 系 统 登 陆 认 证 、 w e b 服 务 登 陆 认 证 等 ， 账 户 密 码 就 是 用 户 的 身 份 证 2 、 设 备 认 证 ， 确 定 设 备 所 属 ， 一 般 采 集 设 备 的 i d ， 这 个 i d 是 通 过 购 买 和 发 放 和 用 户 关 联 起 来 的 ， 你 知 道 这 个 i d 就 证 明 设 备 的 合 法 性 ， 设 备 是 你 的 。 这 个 i d 就 相 当 于 用 户 的 服 务 密 码 了 3 、 行 为 认 证 ， 确 定 用 户 在 用 自 己 的 身 份 在 使 用 自 己 的 设 备 ， 这 就 需 要 提 取 用 户 行 为 ， 如 网 络 行 为 、 文 件 操 作 行 为 、 软 件 启 动 行 为 等 ， 用 户 确 认 行 为 是 否 为 自 己 所 为 ， 这 也 就 是 类 似 确 认 通 话 记 录 的 过 程 了 。 但 这 里 仅 能 类 比 不 能 等 同 ， 因 为 p c 设 备 的 行 为 过 多 ， 完 全 确 认 无 法 做 到 ， 而 且 总 是 让 用 户 确 认 行 为 会 造 成 用 户 抵 触 ， 无 法 取 得 安 全 和 服 务 的 平 衡 点 ， 最 终 安 全 措 施 无 法 落 地 。 黑 客 就 是 利 用 这 个 漏 洞 ， 潜 伏 在 p c 设 备 ， 实 时 破 坏 活 动 或 信 息 窃 取 。 那 我 们 怎 么 才 能 解 决 这 个 问 题 发 现 黑 客 呢 ？
分 析 总 结 分 析 总 结 带 着 这 个 疑 问 ， 首 先 我 们 分 析 下 黑 客 的 目 的 ， 我 们 聚 焦 下 专 业 黑 客 ， 他 们 的 目 的 是 为 了 窃 取 数 据 ， 根 据 这 些 年 互 联 网 公 布 的 入 侵 看 ， 被 窃 取 的 数 据 主 要 包 括 ： 用 户 信 息 （ 包 括 名 字 、 密 码 、 住 址 、 联 系 方 式 等 ） ， 用 于 倒 卖 或 登 录 获 取 更 多 有 用 数 据 ； 支 付 凭 据 （ 信 用 卡 、 社 保 信 息 等 ） ， 用 于 直 接 获 利 ； 游 戏 数 据 （ 账 号 、 密 码 、 级 别 、 资 产 等 ） ， 用 于 直 接 获 利 ； 虚 拟 资 产 数 据 （ 充 值 卡 号 、 充 值 卡 密 码 等 ） ， 用 于 直 接 获 取 。 其 次 我 们 再 分 析 下 窃 取 渠 道 ， 从 内 网 安 全 的 角 度 窃 取 的 通 道 是 : 内 网 服 务 器 - > p c 终 端 - > 外 网 黑 客 接 收 端 ； p c 终 端 - > 外 网 黑 客 接 收 端 两 种 形 式 ， 当 然 如 果 合 并 看 ， 仅 仅 认 为 只 存 在 p c 终 端 - > 外 网 黑 客 接 收 端 一 种 形 式 也 是 合 理 的 。 最 后 ， 我 们 分 析 下 被 窃 取 的 信 息 本 身 ， 信 息 的 重 要 性 不 是 由 大 小 决 定 ， 而 是 由 重 要 级 别 决 定 的 ， 敏 感 数 据 1 M   >   低 敏 感 度 数 据 1 G 的 道 理 每 个 人 都 懂 ， 但 大 多 数 企 业 无 法 做 到 数 据 敏 感 度 分 级 这 也 是 不 争 的 事 实 ， 那 一 般 留 给 安 全 人 员 的 就 只 有 把 控 泄 露 数 据 大 小 这 个 点 了 ， 但 多 少 泄 露 数 据 多 ？ 多 少 是 少 ？ 这 个 唯 一 的 决 定 权 就 是 决 策 者 （ 如 领 导 ） 了 ， 不 过 这 里 数 据 分 析 人 员 可 提 供 下 基 本 的 数 据 给 决 策 者 ， 如 平 均 外 传 大 小 等 此 外 ， 黑 客 入 侵 还 有 侦 查 、 投 递 、 漏 洞 利 用 、 感 染 植 入 、 控 制 C 2 、 扩 散 等 阶 段 ， 但 我 们 只 讨 论 最 后 的 收 割 阶 段 ， 因 为 如 果 一 木 马 病 毒 不 外 传 数 据 ， 在 没 有 人 力 的 情 况 下 ， “ 养 着 ” 也 未 尝 不 可 。 分 析 到 这 里 ， 我 们 已 经 可 以 聚 焦 了 ， 我 们 需 要 确 认 的 是 从 p c 传 出 去 过 量 数 据 的 行 为 是 用 户 主 动 的 还 是 非 主 动 的 ？ 实 现 思 路 ： 实 现 思 路 ： 1 、 记 录 进 程 实 时 流 量 大 小 ， 并 做 归 并 统 计 ， 主 要 统 计 上 传 数 据 量 ， 用 于 计 算 是 否 超 过 阈 值 ； 2 、 分 析 外 传 流 量 ， 获 取 外 传 目 的 和 外 传 时 间 区 间 ， 用 于 和 用 户 确 认 ； 3 、 设 置 阈 值 （ 可 结 合 进 程 黑 白 灰 检 测 进 一 步 缩 小 范 围 ） a )   同 一 终 端 单 个 进 程 > 1 G ， 对 抗 黑 客 利 用 单 一 进 程 外 传 的 场 景 ， 此 为 最 常 见 的 场 景 ； b )   同 一 终 端 同 一 目 的 > 1 G ， 对 抗 黑 客 利 用 多 个 进 程 同 时 外 传 的 场 景 ， 目 的 是 加 快 外 传 速 度 或 多 进 程 躲 避 检 测 等 ； c )   多 个 终 端 同 一 目 的 > 1 G ， 对 抗 黑 客 入 侵 多 台 终 端 外 传 的 场 景 ， 多 台 机 器 被 控 制 同 时 外 传 ， 从 几 率 分 析 此 场 景 较 少 ； d )   多 个 终 端 单 一 进 程 > 1 G ， 对 抗 黑 客 入 侵 多 台 终 端 外 传 的 场 景 ， 多 为 正 常 程 序 操 作 ， 仅 作 为 参 考 ， 相 关 机 器 可 作 为 重 点 关 注 对 象 ； 4 、 根 据 黑 客 利 用 几 率 设 置 预 警 级 别 ： 高 级 、 中 级 、 低 级 、 待 观 察 5 、 最 终 用 户 确 认 ， 如 非 本 人 行 为 则 触 发 事 件 a )   高 级 风 险 5 分 钟 确 认 b )   中 级 风 险 4 小 时 确 认 c )   低 级 风 险 2 4 小 时 确 认 实 现 验 证 ： 实 现 验 证 ： 1 、 、   通 过 网 络 数 据 分 析 或 软 件 记 录 流 量 并 分 析 通 过 网 络 数 据 分 析 或 软 件 记 录 流 量 并 分 析 A 方 法 ： 网 络 数 据 分 析 1 )   开 启 主 机 防 火 墙 日 志 ， 可 获 取 时 间 + 进 程 名 + 源 i p + 源 端 口 + 目 的 i p + 目 的 端 口
2 )   通 过 网 络 记 录 设 备 ， 如 s n o r t 等 ， 记 录 s e s s i o n ， 可 获 取 获 取 时 间 + 源 i p + 源 端 口 + 目 的 i p + 目 的 端 口 + s e s s i o n 大 小 , 我 们 这 里 用 w i r s h a r k 演 示 3 )   利 用 主 机 日 志 + 网 络 日 志 ， 最 终 确 定 每 个 进 程 的 外 传 流 量 （ 源 为 本 机 则 为 外 传 ，   不 区 分 是 否 主 动 外 传 ， 包 括 正 反 向 木 马 ） 大 小 例 如 ：
2 0 1 7 / 1 0 / 1 8   1 2 : 0 0 : 0 1   l i v e u p d a t e 3 6 0 . e x e   1 9 2 . 1 6 8 . 1 8 7 . 1 4 3   5 4 2 6 7 1 1 2 . 6 5 . 6 8 . 4 1   8 0   2 0 4 8 M B B 方 案 ： 独 立 开 发 软 件 记 录 火 绒 剑 演 示 ： 全 代 理 演 示 ： 2 、 归 并 计 算 分 析 是 否 达 到 阈 值 、 归 并 计 算 分 析 是 否 达 到 阈 值 a )   同 一 终 端 单 个 进 程 > 1 G ： y e s b )   同 一 终 端 同 一 目 的 > 1 G ： n o c )   多 个 终 端 同 一 目 的 > 1 G ： n o d )   多 个 终 端 单 一 进 程 > 1 G ： n o 3 、 判 定 报 警 级 别 ， 并 相 应 确 认 、 判 定 报 警 级 别 ， 并 相 应 确 认 a )   高 风 险 ， 5 分 钟 相 应 并 确 认 ， 非 本 人 操 作 则 为 事 件 综 上 ， 实 验 证 明 方 案 可 行 ， 通 过 此 方 案 可 监 控 终 端 进 程 的 外 传 情 况 ， 解 决 大 量 泄 露 问 题 ， 避 免 被 窃 取 大 量 数 据 而 不 自
知 的 场 景 （ 最 近 确 实 发 生 了 太 多 了 泄 露 事 件 ） ， 也 可 及 时 阻 断 泄 露 过 程 ， 有 效 控 制 损 失 量 。 当 主 机 被 入 侵 窃 取 大 量 数 据 时 ， 我 们 可 通 过 监 控 看 到 某 未 知 进 程 （ 或 已 知 进 程 被 注 入 未 知 模 块 ） 在 一 段 时 间 外 传 了 过 量 数 据 ， 我 们 可 及 时 发 现 并 预 警 阻 断 ； 当 员 工 主 动 泄 露 敏 感 数 据 时 ， 我 们 可 监 控 到 某 已 知 进 程 （ 如 百 度 云 盘 、 微 盘 等 ） 在 一 段 时 间 外 传 了 过 量 数 据 ， 及 时 发 现 并 要 求 其 确 认 ， 达 到 震 慑 和 确 认 目 的 。 * 本 文 作 者 ： C h u a n F i l e ； 本 文 属   F r e e B u f   原 创 奖 励 文 章 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理