搜索

[17277] 2015-11-16_【Geekon视频】褚诚云：微软安全策略–从防御到云端检测

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2015-11-16_【Geekon视频】褚诚云：微软安全策略–从防御到云端检测 【 G e e k o n 视 频 】 褚 诚 云 ： 微 软 安 全 策 略   –   从 防 御 到 云 端 检 测 原 创   G e e k P w n   G e e k P w n   2 0 1 5 - 1 1 - 1 6 褚 诚 云 在 极 棒 2 0 1 5 安 全 峰 会 G e e k o n 中 的 演 讲 《 微 软 安 全 策 略   –   从 防 御 到 云 端 检 测 》 演 讲 概 要 作 为 微 软 厂 商 的 代 表 ， 在 安 全 会 议 上 ， 我 们 往 往 是 处 于 一 个 非 常 特 殊 的 位 置 ， 第 一 ， 我 们 不 是 攻 击 方 ， 我 们 很 少 展 示 漏 洞 利 用 等 等 非 常 酷 的 技 术 ； 我 们 也 并 不 是 传 统 的 安 全 厂 商 ， 比 如 讨 论 防 火 墙 的 设 计 、 I D S 、 I P S 等 等 ； 我 们 是 作 为 一 个 产 品 和
系 统 这 一 级 的 开 发 厂 商 ， 怎 么 考 虑 一 揽 子 提 升 整 个 业 界 的 安 全 水 平 。 我 现 在 在 微 软 的 云 安 全 部 门 ， 我 今 天 讨 论 的 话 题 是 涵 盖 从 微 软 的 客 户 端 的 安 全 到 云 安 全 的 过 渡 。 有 一 个 题 外 广 告 ， 虽 然 我 现 在 已 经 不 是 在 微 软 的 安 全 响 应 工 作 了 ， 但 是 安 全 响 应 中 心 有 非 常 好 的 安 全 奖 励 计 划 ， 来 自 中 国 的 安 全 研 究 人 员 在 这 里 面 起 到 了 非 常 关 键 的 作 用 ， 比 如 现 在 腾 讯 的 T K 或 者 绿 盟 的 安 全 成 员 张 云 海 ， 他 们 都 获 得 了 非 常 好 的 奖 励 ， 我 也 希 望 有 更 多 的 来 自 国 内 的 安 全 人 员 获 得 我 们 的 奖 励 ， 贡 献 最 新 的 安 全 研 究 技 术 。 其 实 微 软 对 大 陆 的 安 全 人 员 非 常 重 视 ， 在 今 年 微 软 的 T O P 1 0 0 安 全 研 究 人 员 的 奖 励 名 单 上 ， 来 自 大 陆 的 ， 不 管 是 腾 讯 还 是 3 6 0 ， 已 经 占 据 了 非 常 好 的 位 置 。 我 们 相 信 会 有 越 来 越 多 的 华 人 面 孔 在 这 里 出 现 ， 我 对 这 一 点 是 坚 信 不 疑 的 。 现 在 是 一 个 转 折 点 ， 企 业 的 I T 系 统 ， 不 管 是 数 据 ， 还 是 日 常 的 工 作 I T 系 统 往 云 端 迁 移 的 趋 势 已 经 是 不 可 逆 转 了 。 比 如 前 不 久 微 软 发 表 了 业 绩 报 告 ， 有 两 个 数 据 是 值 得 关 注 的 ， 一 个 是 微 软 云 端 服 务 的 增 长 率 ， 传 统 部 署 的 软 件 服 务 下 降 了 一 些 ， 但 是 基 于 云 端 的 部 署 7 0 % 到 8 0 % 的 增 长 。 很 有 意 思 的 是 A W S 的 云 端 增 长 率 也 是 7 0 % 到 8 0 % ， 不 是 说 微 软 把 亚 马 逊 ， 或 者 亚 马 逊 把 微 软 的 市 场 侵 占 ， 而 是 企 业 级 的 云 端 市 场 在 以 7 0 % 到 8 0 % 甚 至 一 年 一 倍 的 增 长 率 在 增 长 。 越 来 越 多 的 微 软 企 业 客 户 的 系 统 、 数 据 是 迁 移 到 云 端 的 。 这 是 第 一 个 趋 势 。 第 二 个 趋 势 ， 基 于 云 端 的 迁 移 ， 微 软 本 身 及 微 软 的 客 户 在 慢 慢 的 改 变 。 比 如 以 前 邮 件 服 务 微 软 是 给 自 己 用 ， 也 给 用 户 用 ， 现 在 邮 件 服 务 都 变 成 了 O f f i c e   3 6 5 的 一 部 分 ， 从 云 端 来 说 ， 微 软 本 身 使 用 的 服 务 和 客 户 使 用 的 服 务 完 全 是 同 一 个 系 统 ， 这 个 变 化 从 安 全 环 境 的 考 虑 来 看 是 完 全 不 一 样 的 。 因 为 我 们 以 前 是 独 立 的 两 个 系 统 ， 现 在 是 同 一 个 系 统 了 。 在 大 的 背 景 下 ， 微 软 的 安 全 团 队 也 做 了 很 大 调 整 ， 如 果 大 家 以 前 关 注 过 微 软 安 全 团 队 的 历 程 ， 可 以 知 道 微 软 最 开 始 的 安 全 团 队 是 从 W i n d o w s 里 面 起 来 的 ， 现 在 包 括 我 自 己 内 部 的 安 全 的 名 字 ， 域 名 ， 或 者 是 帐 户 名 ， 都 是 从 W i n d o w s 本 身 开 始 ， 后 来 变 成 一 个 独 立 的 安 全 团 队 ， 就 是 T W C 。 在 去 年 ， 这 个 部 门 绝 大 部 分 的 技 术 力 量 、 工 程 力 量 并 入 到 微 软 的 云 计 算 ， 这 些 变 化 都 是 和 整 个 的 业 界 云 端 的 安 全 趋 势 不 同 的 。 第 二 个 转 折 点 ， 在 以 往 的 很 多 关 于 0 d a y 的 对 抗 策 略 上 ， 我 们 当 时 摆 出 了 一 个 很 好 的 公 式 ， 利 用 漏 洞 的 经 济 学 ， 就 是 攻 击 者 的 代 价 、 防 御 者 的 代 价 这 个 图 。 当 时 的 攻 击 者 代 价 是 说 发 现 漏 洞 的 代 价 ， 实 现 漏 洞 的 代 价 ， 包 括 利 用 漏 洞 的 成 本 等 等 ， 我 们 希 望 采 取 各 种 各 样 的 措 施 ， 确 保 攻 击 者 因 为 有 成 本 的 考 虑 ， 就 降 低 他 针 对 攻 击 的 可 能 性 。 这 么 多 年 很 可 惜 的 一 件 事 情 ， 或 者 很 沮 丧 的 一 件 事 情 ， 我 们 发 现 攻 击 者 实 际 上 是 不 计 成 本 的 ， 他 的 成 本 考 虑 和 防 守 者 考 虑 的 成 本 是 完 全 不 对 称 的 ， 完 全 是 不 计 成 本 的 进 行 攻 击 ， 这 就 代 表 着 我 们 所 进 行 的 0 d a y 对 抗 策 略 就 不 能 完 全 从 系 统 这 一 级 的 防 御 开 始 ， 而 是 引 入 了 从 云 端 的 事 态 的 监 控 和 感 知 。 一 开 始 在 大 安 全 观 念 不 清 楚 ， 代 码 本 身 千 疮 百 孔 的 情 况 下 ， 我 们 需 要 更 加 好 的 安 全 机 制 ， 建 立 风 险 的 评 估 ， 建 立 代 码 的 分 析 ， 让 程 序 员 写 出 更 好 的 代 码 。 但 是 很 多 情 况 下 ， 这 个 实 际 上 太 困 难 了 ， 人 员 的 流 动 ， 教 育 培 训 ， 老 的 漏 洞 刚 刚 解 决 ， 新 的 漏 洞 又 来 了 ， 代 码 中 没 有 漏 洞 太 难 了 。 所 以 慢 慢 过 渡 ， 我 们 认 为 系 统 中 总 有 漏 洞 ， 但 是 我 们 怎 么 样 让 漏 洞 很 难 带 来 实 际 性 的 危 害 ？ 我 们 就 做 了 很 多 关 于 漏 洞 利 用 的 对 抗 措 施 。 后 来 我 们 也 发 现 ， 这 个 事 情 也 是 太 难 了 ， 我 们 是 在 不 稳 定 的 系 统 上 不 停 的 打 补 丁 ， 如 果 一 个 系 统 有 非 常 非 常 多 的 漏 洞 ， 你 加 各 种 各 样 动 态 的 保 护 措 施 ， 实 际 上 还 是 不 稳 定 的 ， 还 是 达 不 到 一 个 真 正 很 好 的 效 果 。 我 们 又 往 后 走 一 点 ， 从 系 统 本 身 彻 底 的 改 变 这 个 结 构 ， 发 明 一 个 非 常 好 的 编 程 语 言 ， 包 括 大 家 现 在 看
到 的 W I N 1 0 ， 从 系 统 的 角 度 来 做 这 件 事 情 。 可 信 计 算 是 很 有 意 思 的 ， 也 许 能 改 变 这 一 切 ， 我 知 道 可 信 计 算 是 一 个 双 刃 剑 ， 它 到 底 在 安 全 圈 子 里 面 应 该 怎 么 用 ， 很 多 人 有 不 同 的 观 点 。 我 们 从 代 码 的 安 全 性 开 始 考 虑 ， 一 直 考 虑 到 系 统 的 安 全 ， 动 态 的 防 御 等 等 ， 这 就 像 一 个 安 全 的 轮 回 一 样 ， 我 们 在 这 个 里 面 转 圈 子 ， 始 终 无 法 达 到 一 个 确 保 系 统 安 全 。 在 这 个 过 程 中 ， 我 们 换 一 个 思 路 考 虑 一 下 ， 实 际 上 人 写 的 系 统 ， 就 不 可 避 免 的 有 漏 洞 ， 不 可 避 免 的 有 基 于 这 些 漏 洞 的 攻 击 ， 这 是 完 全 无 法 阻 止 的 。 这 个 过 程 中 ， 我 们 光 光 是 注 意 系 统 级 的 对 抗 、 防 御 ， 为 什 么 不 去 加 强 检 测 的 方 法 呢 ？ 如 果 我 们 真 正 能 够 感 知 ， 在 任 何 人 之 前 发 现 0 d a y 对 系 统 攻 击 造 成 的 危 害 ， 我 们 就 可 以 有 效 的 控 制 这 个 漏 洞 的 危 害 性 。 在 这 个 过 程 中 ， 实 际 上 也 是 达 到 了 我 们 的 目 的 ， 这 个 是 一 个 非 常 大 的 观 念 上 的 转 变 ， 我 们 希 望 这 是 对 安 全 人 员 不 同 思 路 之 间 的 来 回 摇 摆 的 一 个 非 常 好 的 补 充 。 这 么 多 年 在 微 软 的 安 全 实 践 中 ， 我 们 越 来 越 意 识 到 这 一 点 ， 在 后 台 的 大 规 模 数 据 分 析 可 以 保 证 对 0 d a y 攻 击 达 到 一 个 有 效 的 监 控 和 预 防 。 我 们 说 了 很 多 的 防 御 ， 但 是 从 来 没 有 在 会 上 跟 大 家 提 到 我 们 检 测 这 方 面 的 努 力 ， 今 天 我 们 第 一 次 比 较 公 开 的 讲 我 们 怎 么 做 0 d a y 的 检 测 。 这 个 事 情 是 非 常 有 意 思 的 ， 有 时 候 也 有 一 定 的 敏 感 性 。 我 说 一 个 真 正 发 生 的 故 事 ， 0 8 0 6 7 ， 不 知 道 大 家 有 没 有 熟 悉 这 个 漏 洞 ？ 这 和 现 在 的 安 卓 A P P 这 些 漏 洞 有 点 代 沟 了 ， 但 实 际 上 它 影 响 力 是 非 常 大 。 0 8 0 6 7 是 微 软 的 补 丁 的 一 个 代 表 号 ， 0 8 是 0 8 年 ， 0 6 7 是 0 8 年 的 第 6 7 号 补 丁 。 我 们 都 有 自 己 特 别 喜 欢 的 补 丁 代 号 ， 给 我 印 象 很 深 的 是 微 软 0 6 0 0 1 补 丁 ， 是 W M S 的 安 全 漏 洞 ， 为 什 么 对 这 个 漏 洞 非 常 印 象 深 刻 ， 因 为 漏 洞 爆 发 时 间 是 圣 诞 节 。 我 先 说 一 个 0 7 0 2 9 的 故 事 ， 这 是 基 于 R P C 的 漏 洞 ， 我 们 说 远 程 代 码 执 行 的 安 全 漏 洞 往 往 还 需 要 用 户 的 交 互 ， 但 0 7 0 2 9 这 一 系 列 的 远 程 漏 洞 ， 服 务 器 不 需 要 有 任 何 用 户 的 交 互 ， 攻 击 者 远 程 发 一 个 包 ， 就 获 得 服 务 器 的 完 整 的 权 限 ， 这 个 我 们 称 之 可 以 达 到 蠕 虫 效 果 的 漏 洞 。 这 个 漏 洞 为 什 么 有 意 思 ？ 我 们 在 这 个 漏 洞 的 开 始 过 程 中 引 入 了 G S 。 这 些 防 御 手 段 引 入 的 时 候 带 来 了 一 个 效 果 ， 当 我 检 测 到 有 类 似 的 G S 或 者 D E P 的 数 据 异 常 ， 系 统 的 手 段 是 崩 溃 ， 从 用 户 的 体 验 来 说 ， 这 是 非 常 不 好 的 体 验 ， 因 为 你 看 到 这 个 系 统 本 身 已 经 不 工 作 了 ， 但 是 我 们 认 为 宁 可 让 系 统 的 进 程 崩 溃 ， 也 比 整 个 机 器 被 人 远 程 控 制 要 好 很 多 。 崩 溃 的 时 候 带 来 了 一 个 很 有 意 思 的 效 果 ， 你 I E 崩 溃 了 ， 会 有 一 个 给 微 软 发 送 反 馈 报 告 的 界 面 ， 当 我 发 现 一 个 设 备 驱 动 造 成 了 很 多 的 崩 溃 ， 我 就 可 以 去 和 这 个 设 备 驱 动 的 厂 商 说 ， 你 这 儿 有 很 大 的 问 题 ， 或 者 说 微 软 本 身 的 部 件 有 很 多 的 问 题 ， 我 们 根 据 这 一 系 列 的 崩 溃 信 息 ， 去 提 高 系 统 的 代 码 质 量 。 在 这 个 过 程 中 ， 我 们 针 对 这 个 漏 洞 发 布 了 补 丁 ， 大 家 知 道 很 多 情 况 下 当 补 丁 发 布 以 后 会 有 复 制 性 的 攻 击 ， 有 人 趁 着 很 多 用 户 没 有 打 补 丁 ， 就 攻 击 一 把 ， 而 他 们 不 成 功 ， 就 会 造 成 系 统 崩 溃 ， 就 会 反 映 在 我 们 W E R 的 后 台 报 告 里 面 去 。 在 补 丁 没 有 发 布 之 前 ， 我 就 知 道 有 人 试 图 利 用 这 个 漏 洞 进 行 攻 击 。 这 是 一 个 非 常 非 常 重 要 的 事 态 的 感 知 行 为 ， 这 些 人 发 布 的 攻 击 ， 如 果 我 们 可 以 事 先 早 一 点 监 控 到 ， 就 可 以 看 到 基 于 微 软 系 统 的 0 d a y 攻 击 。 能 不 能 通 过 后 台 崩 溃 信 息 的 搜 集 ， 主 动 的 发 现 前 台 的 0 d a y ？ 我 们 能 不 能 利 用 有 效 的 数 据 采 集 的 手 段 ， 能 够 更 加 主 动 地 发 现 潜 在 的 0 d a y 攻 击 ？ 第 一 ， W E R 是 一 个 很 好 的 数 据 来 源 ， 你 必 须 要 有 一 个 足 够 好 的 数 据 来 源 。 第 二 ， 你 对 海 量 的 数 据 有 一 个 自 动 化 分 析 ， 这 个 自 动 化 分 析 和 人 工 分 析 要 结 合 在 一 起 。 自 动 化 分 析 真 正 给 你 带 来 比 其 他 人 先 一 步 的 事 态 感 知 ， 这 些 东 西 是 在 一 个 最 长 的 长 尾 里 面 ， 而 不 是 在 一 眼 就 可 以 看 到 的 数 据 里 面 。 自 动 化 的 分 析 可 以 处 理 海 量 数 据 ， 这 海 量 数 据 不 只 是 分 析 普 通 的 用 户 行 为 ， 而 是 分 析 少 见 的 行 为 ， 否 则 你 即 使 看 到 也 意 识 不 到 。
所 以 在 这 个 过 程 中 ， 我 们 一 方 面 是 继 续 加 强 前 端 的 安 全 防 御 技 术 ， 另 一 方 面 ， 我 们 开 始 更 加 注 重 后 端 的 建 设 。 我 们 对 漏 洞 前 的 监 控 已 经 过 渡 到 漏 洞 利 用 后 的 监 控 ， 还 有 数 据 分 析 。 微 软 每 对 每 个 崩 溃 信 息 是 有 排 列 的 。 现 在 的 数 据 和 云 端 慢 慢 的 结 合 到 一 起 ， 这 是 一 个 完 整 的 概 念 。 实 际 上 企 业 往 云 端 的 趋 势 是 不 可 逆 转 的 ， 而 且 在 云 端 的 过 程 中 ， 有 一 个 很 有 意 思 的 现 象 ， 你 可 以 攻 击 一 个 企 业 ， 这 个 企 业 发 现 不 了 ， 你 也 可 以 攻 击 很 多 企 业 ， 一 段 时 间 也 感 知 不 了 ， 但 是 我 们 这 边 通 过 云 端 一 定 会 可 以 看 到 攻 击 的 蛛 丝 马 迹 。 褚 诚 云 褚 诚 云 微 软 云 安 全 部 门 首 席 安 全 经 理 。 于 2 0 0 1 年 加 入 微 软 。 历 任 微 软 安 全 响 应 中 心 ( M i c r o s o f t   S e c u r i t y   R e s p o n s e   C e n t e r   –   M S R C )   防 御 和 检 测 团 队 主 管 ， 在 微 软 公 司 范 围 的 软 件 安 全 应 急 响 应 流 程 中 提 供 技 术 指 导 。 现 加 入 微 软 云 安 全 部 门 最 新 成 立 的 威 胁 情 报 中 心 （ M i c r o s o f t   T h r e a t   I n t e l l i g e n c e   C e n t e r   –   M S T I C ） ， 领 导 云 端 的 安 全 分 析 检 测 团 队 。 【 G e e k o n 视 频 】 于 旸 : 用 一 张 纸 入 侵 企 业 号 星 舰 【 G e e k o n 视 频 】 陈 良 ： O S   X 内 核 信 息 泄 露 的 艺 术 G e e k P w n 微 信 号 将 陆 续 推 出 G e e k o n 峰 会 精 彩 视 频 ， 关 注 G e e k P w n 公 众 号 ， 尽 享 前 沿 技 术 干 货 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理