搜索

[12621] 2018-04-23_浅谈软件供应链攻击与内网防御

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-04-23_浅谈软件供应链攻击与内网防御 浅 谈 软 件 供 应 链 攻 击 与 内 网 防 御 C h u a n F i l e   F r e e B u f   2 0 1 8 - 0 4 - 2 3 随 着 软 件 供 应 链 攻 击 的 越 来 越 多 ， 相 信 大 家 已 经 对 这 种 攻 击 方 式 有 所 了 解 了 ， 修 改 软 件 下 载 源 头 的 软 件 代 码 ， 随 着 软 件 供 应 链 攻 击 的 越 来 越 多 ， 相 信 大 家 已 经 对 这 种 攻 击 方 式 有 所 了 解 了 ， 修 改 软 件 下 载 源 头 的 软 件 代 码 ， 植 入 恶 意 ， 诱 导 下 载 使 用 是 这 种 攻 击 的 主 要 特 征 。 植 入 恶 意 ， 诱 导 下 载 使 用 是 这 种 攻 击 的 主 要 特 征 。 X s h e l l   就 是 典 型 的 供 应 链 攻 击 ， 不 过 就 是 典 型 的 供 应 链 攻 击 ， 不 过   X s h e l l   是 其 官 网 网 站 的 是 其 官 网 网 站 的 程 序 包 被 放 入 修 改 后 的 恶 意 程 序 包 被 放 入 修 改 后 的 恶 意   d l l   导 致 ， 因 为 是 官 方 下 载 源 所 以 范 围 更 广 。 但 扩 展 看 ， 其 实 各 下 载 网 站 、 网 盘 、 导 致 ， 因 为 是 官 方 下 载 源 所 以 范 围 更 广 。 但 扩 展 看 ， 其 实 各 下 载 网 站 、 网 盘 、 甚 至 甚 至   i m   群 工 具 共 享 等 一 切 提 供 下 载 或 更 新 的 互 联 网 上 的 存 储 位 置 ， 都 可 以 作 为 供 应 链 劫 持 的 原 始 受 害 者 和 攻 群 工 具 共 享 等 一 切 提 供 下 载 或 更 新 的 互 联 网 上 的 存 储 位 置 ， 都 可 以 作 为 供 应 链 劫 持 的 原 始 受 害 者 和 攻 击 方 。 击 方 。 X c o d e   就 是 利 用 用 户 讨 厌 苹 果 官 网 下 载 就 是 利 用 用 户 讨 厌 苹 果 官 网 下 载   X c o d e   缓 慢 的 情 绪 ， 诱 导 大 家 从 百 度 网 盘 中 下 载 修 改 版 的 缓 慢 的 情 绪 ， 诱 导 大 家 从 百 度 网 盘 中 下 载 修 改 版 的 X c o d e ， 最 终 导 致 逐 步 扩 散 开 来 。 ， 最 终 导 致 逐 步 扩 散 开 来 。 如 果 全 民 软 件 q q 、 微 信 出 现 软 件 供 应 链 攻 击 。 。 。 后 果 ， 不 敢 想 ！ 那 怎 么 避 免 自 己 的 内 网 终 端 成 为 软 件 供 应 链 攻 击 的 受 害 者 呢 ？ 分 析 软 件 供 应 链 攻 击 者 的 思 路 ， 他 的 目 的 是 诱 导 下 载 运 行 ， 通 过 内 置 的 窃 密 代 码 窃 取 并 外 传 回 敏 感 数 据 ， 当 然 也 有 搞 僵 尸 的 。 站 在 这 个 目 的 的 基 础 上 ， 我 们 来 思 考 下 。 其 实 解 决 方 向 很 简 单 ， 但 是 实 现 细 节 需 要 我 们 进 一 步 抉 择 。 一 、 从 根 源 出 发 ， 只 用 自 己 的 一 、 从 根 源 出 发 ， 只 用 自 己 的 建 立 自 研 软 件 库 ， 全 部 工 具 软 件 ， 甚 至 娱 乐 软 件 均 自 行 实 现 ， 可 见 这 种 方 法 成 本 高 的 可 怕 ， 估 计 只 有 少 数 大 鳄 企 业 可 以 ， 如 g o o g l e 。 分 析 员 工 的 软 件 使 用 习 惯 ， 从 3 6 0 的 全 民 应 用 的 软 件 分 类 中 总 结 下 ： 1 、 可 用 浏 览 器 替 代 的 ： 、 可 用 浏 览 器 替 代 的 ： 1 ) 各 类 视 频 播 放 器 ， 音 频 播 放 器 2 ) 游 戏 类 、 手 游 电 脑 版 。 p s : 上 班 玩 什 么 游 戏 ！ 3 ) 其 他 ， 如 ： 下 载 工 具 、 图 形 图 像 、 阅 读 翻 译 、 网 络 应 用 （ 云 盘 等 ） 、 主 题 壁 纸 、 教 育 学 习 2 、 可 用 浏 览 器 云 服 务 替 代 的 ： 、 可 用 浏 览 器 云 服 务 替 代 的 ： 1 ) 办 公 软 件 ， o f f i c e 系 列 、 w p s 系 列 等 ， 可 用 浏 览 器 访 问 的 云 办 公 替 代 ， 如 g o o g l e 的 云 办 公 、 微 软 的 o f f i c e 系 列
2 ) 输 入 法 ， q q 拼 音 输 入 法 、 g o o g l e 输 入 法 、 搜 狗 输 入 法 等 ， 可 用 云 输 入 法 代 替 ， 例 如 谷 歌 云 输 入 法 3 、 没 必 要 在 公 司 使 用 ， 建 议 禁 止 的 、 没 必 要 在 公 司 使 用 ， 建 议 禁 止 的 1 ) 系 统 工 具 ， 一 般 都 是 些 优 化 系 统 类 的 ， 员 工 使 用 必 要 性 不 大 ； 2 ) 手 机 数 码 ， 一 般 为 手 机 管 理 等 软 件 ， 且 手 机 会 自 动 给 电 脑 安 装 软 件 ， 所 以 不 建 议 员 工 在 公 司 使 用 ； 3 ) 股 票 网 银 ， 这 类 软 件 比 较 特 殊 ， 自 行 开 发 涉 及 到 隐 私 ， 可 禁 止 员 工 在 公 司 使 用 或 用 浏 览 器 代 替 ； 4 、 必 须 自 我 开 发 的 ： 、 必 须 自 我 开 发 的 ： 1 ) 浏 览 器 程 序 ， 这 个 肯 定 是 必 须 的 ； 2 ) 刻 录 工 具 可 提 供 专 门 的 i t 服 务 ， 压 缩 必 须 自 我 开 发 实 现 ； 3 ) 编 程 开 发 ， 如 v s 、 e c s l i p e s 等 ， 可 用 开 源 的 审 计 后 修 改 使 用 ， 当 然 也 可 以 自 己 开 发 5 、 、   需 要 审 计 供 应 商 的 ： 需 要 审 计 供 应 商 的 ： 1 ) 行 业 软 件 ， 这 类 就 是 大 型 的 专 业 软 件 了 ， 可 根 据 工 作 需 要 自 行 开 发 ， 或 以 担 保 方 式 购 买 综 上 ， 浏 览 器 程 序 、 办 公 软 件 、 输 入 法 类 、 压 缩 、 编 程 开 发 类 等 是 必 须 自 研 开 发 的 ， 显 而 易 见 g o o g l e 都 实 现 了 ， 如 果 你 够 牛 ， 你 也 可 以 参 考 ， 虽 然 成 本 巨 大 ， 但 是 彻 底 摆 脱 了 软 件 供 应 链 攻 击 。 二 、 建 立 安 全 软 件 库 ， 进 行 安 全 审 计 、 及 时 更 新 二 、 建 立 安 全 软 件 库 ， 进 行 安 全 审 计 、 及 时 更 新 建 立 自 己 的 安 全 软 件 库 ， 软 件 库 中 的 软 件 均 经 过 安 全 人 员 审 计 ， 并 及 时 推 动 更 新 ， 保 证 软 件 更 新 性 。 这 是 常 规 的 思 路 ， 也 就 是 把 从 互 联 网 下 载 的 软 件 审 查 一 遍 ， 确 定 安 全 性 后 放 入 公 司 内 部 的 软 件 库 。 因 为 绝 大 部 分 都 是 闭 源 软 件 ， 所 以 基 本 思 路 如 下 ： 1 、 杀 毒 软 件 检 测 作 为 第 一 层 、 杀 毒 软 件 检 测 作 为 第 一 层 1 ) 多 杀 软 检 测 环 境 搭 建 。 一 般 仅 包 括 卡 巴 斯 基 、 赛 门 铁 克 、 微 软 等 几 大 主 流 厂 商 ， 小 厂 经 常 跟 风 报 毒 、 过 度 依 赖 启 发 式 等 问 题 ， 误 报 大 ， 不 建 议 作 为 衡 量 标 准 2 ） 多 引 擎 ， 如 v i r u s t o t a l ， 这 里 需 要 上 传 全 部 需 要 检 测 的 文 件 ， 毕 竟   m d 5   检 测 存 在 很 多 不 存 在 m d 5 的 情 况 ， 写 批 量 上 传 的 脚 本 工 具 ， 请 参 考   h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / d o c u m e n t a t i o n / p u b l i c - a p i / ， 当 然 也 可 以 用 v i r u s t o t a l   提 供 的 工 具 V i r u s T o t a l   W i n d o w s   U p l o a d e r   ， 右 键 全 选 多 个 文 件 后 进 行 手 工 上 传 ， 如 ：
上 传 后 浏 览 器 会 自 动 打 开 对 应 数 量 的 结 果 页 面 ， 且 会 以 s h a 2 5 6 标 识 b 、 主 机 、 主 机 h i p s 监 控 第 二 层 监 控 第 二 层 建 议 使 用 M a l w a r e   D e f e n d e r ， 可 到 h t t p : / / l a b s . 3 6 0 . c n / 下 载 ， 通 过 设 置 监 控 规 则 ， 可 记 录 每 个 程 序 的 文 件 、 注 册 表 、 网 络 等 全 部 行 为 ， 如 下   然 后 分 析 确 认 是 否 存 在 黑 i o c 。 c 、 专 家 分 析 作 为 第 三 层 、 专 家 分 析 作 为 第 三 层 这 个 取 决 于 分 析 能 力 ， 一 般 利 用 虚 拟 机 运 行 软 件 ， 然 后 分 析 主 机 日 志 、 网 络 日 志 、 进 程 、 服 务 、 启 动 项 等 等 i o c 。 方 法 与 安 全 监 控 没 有 本 质 却 别 ， 只 是 日 志 更 多 。 d 、 大 数 据 分 析 作 为 最 后 一 层 、 大 数 据 分 析 作 为 最 后 一 层 — - 第 四 层 第 四 层 当 前 热 的 一 塌 糊 涂 。 提 取 数 据 、 定 义 特 征 ， 使 用 聚 类 等 分 析 方 法 确 定 正 常 软 件 和 非 正 常 软 件 。 但 据 了 解 安 全 监 测 应 用 大 数 据 分 析 还 不 是 很 成 熟 ， 但 也 算 是 一 个 方 案 吧 。         ! [ 浅 谈 软 件 供 应 链 攻 击 与 内 网 防 御 ] ( h t t p : / / i m a g e . 3 0 0 1 . n e t / i m a g e s / 2 0 1 8 0 4 1 8 / 1 5 2 4 0 1 7 3 6 8 5 4 0 3 . p n g ! s m a l l )
但 虽 然 我 们 做 了 这 么 多 ， 但 是 这 里 有 几 个 问 题 无 法 避 免 a 、 审 查 无 法 排 除 1 0 0 % 的 问 题 ， 这 涉 及 到 安 全 人 员 的 技 术 水 平 和 业 内 攻 击 的 手 段 更 新 情 况 ， 尤 其 是 0 d a y 的 漏 洞 根 本 是 无 法 检 测 出 。 所 以 无 法 做 到 较 高 的 安 全 性 。 b 、 软 件 更 新 频 繁 ， 需 要 大 量 人 力 复 杂 ， 运 营 成 本 高 。 c 、   存 储 环 境 也 需 很 完 备 ， 尤 其 是 批 量 拉 取 更 新 等 ， 机 器 性 能 重 要 三 、 开 放 下 载 三 、 开 放 下 载 开 放 下 载 的 同 时 要 建 立 网 络 封 闭 的 软 件 运 行 环 境 ， 禁 止 任 何 未 授 权 的 软 件 外 联 行 为 ， 解 决 黑 客 窃 取 敏 感 数 据 的 开 放 下 载 的 同 时 要 建 立 网 络 封 闭 的 软 件 运 行 环 境 ， 禁 止 任 何 未 授 权 的 软 件 外 联 行 为 ， 解 决 黑 客 窃 取 敏 感 数 据 的 关 键 点 。 关 键 点 。 这 个 思 路 比 较 独 特 ， 黑 客 供 应 链 攻 击 的 目 的 是 控 制 终 端 ， 无 论 是 窃 取 敏 感 数 据 还 是 控 制 机 器 都 需 要 软 件 外 联 ， 那 其 实 除 了 更 新 我 们 不 需 要 让 软 件 做 任 何 外 联 行 为 ， 甚 至 我 可 以 不 让 它 自 动 更 新 ， 仅 允 许 去 官 网 主 动 下 载 。 那 么 问 题 的 难 点 就 演 变 成 ， 区 分 进 程 和 网 络 行 为 的 对 应 关 系 。 这 个 可 以 开 发 程 序 实 现 ， 如 果 懒 得 写 代 码 也 可 以 用 一 些 工 具 （ 如 c p o r t s 等 ） 记 录 日 志 获 得 ， 也 可 用 主 机 防 火 墙 日 志 ， 这 个 方 法 还 是 挺 多 ， 大 家 任 意 发 挥 即 可 。 联 网 控 制 具 体 做 法 如 下 ： 1 、 分 析 软 件 外 联 ， 不 区 分 是 否 恶 意 、 分 析 软 件 外 联 ， 不 区 分 是 否 恶 意 想 分 析 出 每 个 外 联 请 求 的 原 因 是 难 度 系 数 极 高 的 事 情 ， 加 密 网 络 协 议 、 加 密 内 容 、 混 淆 内 容 、 私 有 协 议 包 装 等 让 分 析 人 员 无 法 判 定 外 联 发 出 的 请 求 包 内 容 ， 无 法 判 定 外 联 目 的 ， 如 下 : 没 人 能 肯 定 软 件 为 什 么 外 联 ， 也 许 官 方 说 我 在 上 报 状 态 ， 我 在 更 新 ， 我 在 传 输 报 错 数 据 ， 那 你 就 真 的 可 以 相 信 吗 ？ g o o g l e 的 c h r o m e 浏 览 器 最 近 不 是 爆 出 因 为 b u g 上 传 个 人 下 载 文 件 元 数 据 的 事 情 嘛 。 这 里 可 以 像 作 者 一 样 用 工 具 监 控 程 序 外 联 进 行 分 析 ， 当 然 也 可 以 通 过 网 络 层 日 志 + 主 机 日 志 等 分 析 程 序 外 联 共 性 等 。 2 、 控 制 外 联 、 控 制 外 联 i p ， 屏 蔽 一 切 外 联 ， 屏 蔽 一 切 外 联 可 以 用 w i n d o w s 防 火 墙 ， 也 可 以 用 一 些 第 三 方 的 防 火 墙 ， 笔 者 直 接 用 火 绒 屏 蔽 了 联 网 。 当 然 这 个 屏 蔽 不 是 很 全 面 ， 例 如 我 用 p o w e r s h e l l 的 w g e t 操 作 就 没 有 拦 截 ， 火 绒 的 内 置 策 略 我 没 深 入 研 究 。 还 是 建 议 用 专 业 的 防 火 墙 ， 似 乎 毛 豆 个 人 防 火 墙 不 错 ， 只 是 配 置 似 乎 很 复 杂 。 此 外 ， 实 现 公 司 级 别 网 络 策 略 控 制 还 需 要 考 虑 很 多 1 ） 统 一 控 制 是 必 要 的 ） 统 一 控 制 是 必 要 的
让 员 工 自 行 屏 蔽 外 联 是 不 可 能 的 ， 比 较 靠 谱 的 办 法 是 域 策 略 、 出 口 防 火 墙 等 ， 在 此 不 再 细 说 ， 相 信 大 家 这 方 面 都 了 解 很 多 了 。 2 ） 软 件 模 块 更 新 或 组 件 下 载 ） 软 件 模 块 更 新 或 组 件 下 载 例 如 e c l i p s e 这 类 工 具 ， 需 要 下 载 很 多 模 块 ， 一 般 都 是 要 联 网 下 载 的 ， 用 户 手 工 触 发 或 自 动 更 新 。 这 里 很 难 排 除 下 载 的 模 块 是 否 被 更 改 ， 但 下 载 地 址 可 配 置 （ 区 分 配 置 地 址 和 分 析 出 真 实 下 载 地 址 ， 建 立 员 工 申 请 开 通 流 程 ） 。 我 们 仅 开 通 此 部 分 下 载 源 的 外 联 ， 其 他 不 开 放 。 下 载 后 的 模 块 和 宿 主 程 序 作 为 一 体 对 待 ， 禁 止 其 他 外 联 （ 内 网 通 信 不 禁 止 ， 解 决 联 调 、 联 合 开 发 等 问 题 ） 。 3 ） 用 户 主 动 外 联 ） 用 户 主 动 外 联 如 g i t h u b 同 步 等 问 题 ， 如 不 允 许 外 联 则 会 造 成 无 法 同 步 等 问 题 。 好 在 地 址 是 可 分 析 后 提 前 开 通 的 。 虽 然 做 了 这 么 多 ， 但 是 这 里 有 几 个 问 题 无 法 避 免 或 者 说 需 要 进 一 步 优 化 a 、 放 开 互 联 网 下 载 ， 、 放 开 互 联 网 下 载 ， 那 么 浏 览 器 下 载 、 迅 雷 下 载 、 b i t 下 载 等 工 具 的 外 联 是 完 全 放 开 的 ， 如 果 这 些 工 具 被 利 用 ， 如 供 应 链 攻 击 、 注 入 、 漏 洞 等 ， 这 里 就 需 要 结 合 上 面 提 到 的 软 件 审 计 定 义 标 准 软 件 ， 还 要 使 用 E m e t 等 工 具 防 止 注 入 和 漏 洞 利 用 。 当 然 0 d a y 的 问 题 没 法 完 全 避 免 ， 但 因 为 阻 止 了 其 他 程 序 外 联 ， 那 么 黑 客 想 成 功 的 条 件 就 变 成 ： 当 前 版 本 下 载 工 具 的 0 d a y + 利 用 当 前 下 载 工 具 作 恶 ， 但 其 实 一 般 都 是 0 d a y 后 下 载 大 马 ， 独 立 运 作 ， 如 果 不 独 立 运 作 ， 作 恶 大 马 因 为 体 量 大 ， 注 入 到 当 前 版 本 下 载 工 具 无 法 利 用 0 d a y 漏 洞 注 入 ， 常 规 注 入 也 会 被 E m e t 发 现 。 这 个 安 全 风 险 就 大 大 降 低 了 。 b 、 、 这 种 方 式 容 易 造 成 员 工 抵 触 ， 例 如 很 多 工 具 无 法 使 用 ， 如 网 银 、 游 戏 等 工 具 ， 这 就 需 要 对 外 联 地 址 进 行 大 范 围 分 析 ， 不 过 外 联 地 址 都 很 固 定 ， 分 析 量 不 会 巨 大 ， 但 因 为 软 件 版 本 更 新 、 新 增 热 门 游 戏 等 问 题 ， 我 们 需 要 多 关 注 软 件 连 通 性 中 断 的 问 题 ， 实 时 监 控 ， 联 动 响 应 分 析 开 通 ， 最 大 限 度 降 低 员 工 抵 触 。 综 上 ， 对 抗 软 件 供 应 链 攻 击 还 是 很 复 杂 的 ， 每 一 种 方 法 都 有 其 优 缺 点 ， 从 根 本 解 决 成 本 太 大 ， 正 所 谓 没 有 绝 对 的 安 全 ， 只 有 不 断 的 对 抗 ！ 最 后 ， 虽 然 讲 了 很 多 方 面 ， 但 因 为 个 人 的 能 力 有 限 ， 无 法 全 面 覆 盖 ， 欢 迎 各 位 大 牛 私 信 探 讨 ， 谢 谢 ！ ！ ！ * 本 文 作 者 ： 本 文 作 者 ： C h u a n F i l e ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理