搜索

[10992] 2017-02-05_基于开源程序漏洞的攻击在2017年将增长20%

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-02-05_基于开源程序漏洞的攻击在2017年将增长20% 基 于 开 源 程 序 漏 洞 的 攻 击 在 2 0 1 7 年 将 增 长 2 0 % A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 2 - 0 5 现 在 ， 无 论 是 商 业 软 件 还 是 程 序 员 自 行 开 发 的 小 程 序 ， 开 源 代 码 已 经 变 得 越 来 越 普 遍 了 ， 而 开 源 似 乎 也 已 经 成 为 了 一 种 趋 现 在 ， 无 论 是 商 业 软 件 还 是 程 序 员 自 行 开 发 的 小 程 序 ， 开 源 代 码 已 经 变 得 越 来 越 普 遍 了 ， 而 开 源 似 乎 也 已 经 成 为 了 一 种 趋 势 。 但 需 要 注 意 的 是 ， 势 。 但 需 要 注 意 的 是 ， B l a c k   D u c k 软 件 公 司 的 研 究 人 员 根 据 他 们 对 开 源 项 目 所 收 集 到 的 统 计 数 据 预 测 到 ， 基 于 开 源 软 件 漏 软 件 公 司 的 研 究 人 员 根 据 他 们 对 开 源 项 目 所 收 集 到 的 统 计 数 据 预 测 到 ， 基 于 开 源 软 件 漏 洞 的 网 络 攻 击 活 动 数 量 在 洞 的 网 络 攻 击 活 动 数 量 在 2 0 1 7 年 将 增 长 年 将 增 长 2 0 % 。 。 B l a c k   D u c k 软 件 公 司 的 安 全 策 略 副 总 裁 M i k e   P i t t e n g e r 表 示 ， 商 业 软 件 项 目 的 免 费 版 本 数 量 已 经 超 过 了 5 0 % 甚 至 更 多 ， 而 开 源 软 件 产 品 所 占 比 重 从 2 0 1 1 年 的 3 % 增 长 到 了 现 在 的 3 3 % 。 平 均 每 一 款 商 业 软 件 都 会 使 用 超 过 1 0 0 个 开 源 组 件 ， 而 且 三 分 之 二 的 商 业 应 用 代 码 中 已 知 是 存 在 安 全 漏 洞 的 。 最 糟 糕 的 是 ， 买 家 和 用 户 通 常 都 没 有 办 法 知 道 他 们 所 购 买 的 产 品 使 用 了 哪 些 开 源 组 件 。 一 般 来 说 ， 公 司 在 这 一 方 面 做 的 都 不 是 很 到 位 ， 有 些 公 司 可 能 会 给 客 户 提 供 一 份 产 品 组 件 清 单 ， 但 这 些 清 单 所 名 列 出 的 组 件 数 量 和 类 型 往 往 是 不 完 整 的 。 如 果 你 打 算 在 没 有 得 到 厂 商 允 许 的 情 况 下 对 产 品 代 码 进 行 分 析 ， 那 么 你 很 有 可 能 会 违 反 他 们 的 产 品 许 可 协 议 ， 而 这 将 会 给 你 带 来 一 大 堆 麻 烦 ， 所 以 我 们 不 建 议 用 户 这 样 做 。 但 是 由 于 行 业 地 位 和 影 响 力 等 因 素 ， 某 些 大 型 企 业 在 购 买 第 三 方 软 件 产 品 时 会 要 求 厂 商 提 供 产 品 的 完 整 技 术 细 节 ， 并 且 还 会 请 类 似 B l a c k   D u c k 这 样 的 第 三 方 厂 商 来 对 产 品 代 码 进 行 安 全 审 查 。 P i t t e n g e r 认 为 ， 避 免 使 用 开 源 软 件 其 实 并 不 可 取 。 很 多 开 源 代 码 库 的 开 发 是 完 全 符 合 行 业 标 准 的 ， 而 重 复 造 车 轮 绝 对 是 在 浪 费 时 间 ， 这 样 不 仅 会 延 迟 产 品 的 上 市 时 间 ， 而 且 还 会 使 公 司 的 行 业 竞 争 力 大 大 降 低 。 因 此 ， 越 来 越 多 的 商 业 软 件 开 发 商 会 开 始 在 自 己 的 产 品 中 使 用 开 源 代 码 ， 而 这 种 趋 势 目 前 正 在 加 速 发 展 。 目 前 ， 任 何 一 个 活 跃 的 开 源 项 目 背 后 都 有 社 区 的 积 极 支 持 ， 而 这 将 会 给 这 款 产 品 带 来 可 靠 的 安 全 保 证 和 稳 定 的 功 能 更 新 。 在 某 些 情 况 下 ， 如 何 某 款 产 品 允 许 用 户 自 行 对 软 件 源 码 进 行 安 全 审 计 ， 或 者 可 以 对 该 产 品 进 行 高 度 定 制 ， 那 么 将 会 对 产 品 的 安 全 性 提 升 有 很 大 的 帮 助 。 就 我 们 的 经 验 来 看 ， 如 果 某 一 款 商 业 工 具 可 以 做 到 这 件 事 情 的 话 ， 那 么 肯 定 会 有 相 应 的 开 源 工 具 可 以 做 到 同 样 的 事 情 。 但 是 ， 这 种 “ 多 渠 道 ” 的 漏 洞 检 查 方 法 并 不 总 是 百 分 之 百 有 效 的 ， 仍 然 会 有 很 多 开 源 代 码 中 的 漏 洞 会 成 为 漏 网 之 鱼 。 A l i e n V a u l t 公 司 的 安 全 顾 问 公 司 的 安 全 顾 问 J a v v a d   M a l i k 表 示 ： 表 示 ：
“ 任 何 人 都 可 以 对 代 码 进 行 审 计 ， 但 并 非 每 个 人 都 会 这 样 做 ， 因 为 似 乎 每 一 个 人 都 认 为 其 他 人 已 经 对 这 些 代 码 进 行 过 安 全 审 查 了 ， 这 也 就 是 问 题 之 所 在 。 ” 因 此 ， 管 理 开 源 组 件 的 问 题 已 经 成 为 了 一 个 非 常 棘 手 的 问 题 ， 而 且 网 络 犯 罪 分 子 们 似 乎 也 已 经 意 识 到 了 这 一 点 ， 并 逐 渐 开 始 利 用 我 们 的 这 一 薄 弱 点 来 实 施 攻 击 。 在 目 前 的 互 联 网 中 ， 开 源 代 码 几 乎 无 处 不 在 ， 所 以 攻 击 者 只 需 要 利 用 一 个 漏 洞 就 可 以 攻 击 大 量 的 目 标 。 对 开 源 代 码 的 追 踪 其 实 是 非 常 困 难 的 ， 隐 私 用 户 通 常 无 法 对 产 品 中 的 开 源 代 码 进 行 及 时 地 修 复 和 更 新 ， 所 以 攻 击 者 就 可 以 利 用 很 多 已 知 的 漏 洞 和 安 全 研 究 专 家 所 发 布 的 漏 洞 P o C 来 实 施 攻 击 。 除 此 之 外 ， 物 联 网 在 去 年 也 得 到 了 非 常 迅 速 的 发 展 ， 而 物 联 网 设 备 的 安 全 性 也 成 为 了 目 前 的 一 个 令 人 头 疼 的 问 题 。 毫 无 疑 问 ， 这 个 问 题 在 2 0 1 7 年 仍 将 困 扰 着 我 们 。 M a l i k 认 为 ， 现 在 很 多 智 能 设 备 和 物 联 网 设 备 都 会 使 用 大 量 的 开 源 工 具 ， 而 臭 名 昭 著 的 M i r a i 僵 尸 网 络 就 是 一 个 很 好 的 例 证 。 与 此 同 时 ， 开 发 人 员 通 常 都 不 会 去 检 测 开 源 代 码 中 的 安 全 漏 洞 ， 而 且 有 时 候 迫 于 产 品 开 发 期 限 的 压 力 ， 他 们 明 知 代 码 中 存 在 安 全 问 题 ， 却 仍 然 选 择 直 接 使 用 它 们 。 这 也 就 意 味 着 ， 即 便 是 开 源 项 目 的 维 护 人 员 及 时 发 布 了 更 新 ， 外 面 也 仍 然 存 在 很 多 未 打 补 丁 的 产 品 。 当 你 的 新 产 品 使 用 了 旧 版 本 的 开 源 组 件 时 ， 你 的 新 产 品 中 也 会 存 在 已 知 的 安 全 漏 洞 。 而 且 据 统 计 数 据 显 示 ， 商 业 软 件 项 目 中 的 安 全 漏 洞 平 均 年 龄 为 五 年 ， 有 些 产 品 中 的 某 一 漏 洞 甚 至 存 在 了 有 十 年 之 久 。 O p e n S S L 代 码 库 中 的 H e a r t b l e e d 漏 洞 在 2 0 1 4 年 初 被 发 现 ， 而 该 漏 洞 的 曝 光 也 引 起 了 业 界 的 广 泛 关 注 。 但 是 在 去 年 ， 仍 然 有 1 0 % 左 右 的 应 用 软 件 正 在 使 用 包 含 漏 洞 的 O p e n S S L 版 本 。 而 且 P i t t e n g e r 表 示 ， 安 全 研 究 专 家 平 均 每 一 年 都 可 以 在 开 源 软 件 中 找 出 2 0 0 0 到 4 0 0 0 个 安 全 漏 洞 。 解 决 这 个 问 题 则 需 要 软 件 厂 商 和 广 大 客 户 的 共 同 努 力 ， 而 且 企 业 的 软 件 开 发 人 员 也 需 要 培 养 良 好 的 安 全 意 识 。 但 我 们 应 该 做 好 心 理 准 备 ， 因 为 在 情 况 好 转 之 前 ， 目 前 的 安 全 状 况 只 会 变 得 更 加 糟 糕 。 *   参 考 来 源 ： c s o o n l i n e ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理