搜索

[14534] 2019-08-31_云服务已成为新的攻击热点

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-08-31_云服务已成为新的攻击热点 云 服 务 已 成 为 新 的 攻 击 热 点 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 3 1 公 共 云 越 来 越 受 欢 迎 ， 公 共 云 越 来 越 受 欢 迎 ， 2 0 1 8 年 报 告 的 云 基 础 设 施 总 开 支 增 长 了 年 报 告 的 云 基 础 设 施 总 开 支 增 长 了 4 5 . 6 % 。 亚 马 逊 。 亚 马 逊 A W S 保 持 领 先 地 位 ， 在 云 服 务 提 保 持 领 先 地 位 ， 在 云 服 务 提 供 商 市 场 占 有 供 商 市 场 占 有 3 1 . 3 % 的 份 额 ， 其 次 是 微 软 的 份 额 ， 其 次 是 微 软 A z u r e 和 谷 歌 云 平 台 。 云 服 务 提 供 商 （ 和 谷 歌 云 平 台 。 云 服 务 提 供 商 （ C S P ） 提 供 各 种 ） 提 供 各 种 “ 服 务 服 务 ” 模 型 ， 使 模 型 ， 使 企 业 能 够 灵 活 地 扩 展 操 作 ， 而 不 必 担 心 基 础 设 施 。 但 是 ， 一 个 不 安 全 的 配 置 可 能 会 使 整 个 基 础 设 施 处 于 危 险 之 企 业 能 够 灵 活 地 扩 展 操 作 ， 而 不 必 担 心 基 础 设 施 。 但 是 ， 一 个 不 安 全 的 配 置 可 能 会 使 整 个 基 础 设 施 处 于 危 险 之 中 。 中 。 概 述 概 述 研 究 人 员 专 注 于 从 公 开 的 主 机 评 估 公 共 云 ， 收 集 信 息 包 括 公 开 的 服 务 、 服 务 版 本 和 服 务 漏 洞 ， 以 确 定 每 个 主 机 的 安 全 状 态 。 研 究 人 员 还 调 查 了 公 共 云 中 恶 意 I P 与 已 知 漏 洞 之 间 的 相 关 性 。 分 析 显 示 ： 1 、 A z u r e 上 4 7 % 的 s s h 服 务 器 易 受 到 过 暴 力 攻 击 2 、 公 网 中 3 2 % 的 公 共 云 主 机 打 开 了 s s h 服 务 器 3 、 公 网 中 2 4 % 的 公 共 云 主 机 具 有 已 知 的 漏 洞 4 、 公 网 中 5 0 % 公 共 云 漏 洞 已 被 发 现 至 少 两 年 5 、 公 网 中 6 1 % 的 公 共 云 主 机 仍 然 使 用 T L S V 1 . 1 或 更 旧 版 本 （ 分 别 在 2 0 0 8 年 和 2 0 1 8 年 发 布 了 v 1 . 2 和 v 1 . 3 ） 有 证 据 表 明 ， 攻 击 者 正 在 利 用 公 共 云 作 为 网 络 攻 击 的 跳 板 。 根 据 N I S T 国 家 漏 洞 数 据 库 （ N V D ） ， A W S 、 A z u r e 和 G C P 各 自 在 2 0 1 8 年 的 C V E 少 于 2 0 个 ， 而 W i n d o w s 或 L i n u x 每 年 发 现 数 千 个 漏 洞 。 但 在 所 有 的 C S P 中 ， 云 安 全 事 件 经 常 出 现 ， 例 如 泄 露 投 票 机 密 码 、 泄 露 印 度 公 民 记 录 和 泄 露 用 户 工 作 档 案 等 。 R e d l o c k 、 N e t s k o p e 和 M c A f e e 之 前 的 研 究 表 明 ， 大 多 数 云 安 全 事 件 都 是 由 云 客 户 的 错 误 配 置 造 成 的 ， 而 不 是 由 C S P 造 成 的 。 虽 然 一 些 安 全 责 任 已 经 从 用 户 逐 渐 转 移 到 了 C S P ， 但 是 用 户 仍 要 负 责 一 些 安 全 设 计 和 决 策 。 公 共 云 简 介 公 共 云 简 介 C S P 提 供 各 种 服 务 ， 允 许 用 户 将 基 础 设 施 、 操 作 系 统 、 软 件 平 台 甚 至 功 能 委 托 给 云 。 下 图 显 示 了 用 户 和 云 服 务 提 供 商 之 间 的 共 享 责 任 。 将 基 础 设 施 委 托 给 云 （ 基 础 设 施 或 i a a s ） 可 以 让 用 户 在 将 功 能 委 托 给 云 （ 即 服 务 功 能 ， 或 f a a s ） 的 同 时 拥 有 最 高 的 管 理 控 制 权 ， 让 用 户 在 运 行 程 序 时 无 需 担 心 平 台 资 源 。 这 项 研 究 表 明 ， 当 更 多 的 责 任 转 移 到 云 提 供 商 时 ， 用 户 犯 的 安 全 错 误 会 更 少 。
由 于 a w s 、 a z u r e 和 g c p 共 同 占 据 了 超 过 6 0 % 的 云 市 场 份 额 ， 本 研 究 仅 关 注 这 三 个 c s p 。 根 据 对 每 个 C S P 发 布 的 I P 范 围 的 研 究 ， 目 前 ， A W S 、 A z u r e 和 G C P 各 自 拥 有 4 1 8 0 万 、 1 4 0 0 万 和 7 0 0 万 个 I P v 4 地 址 。 这 些 地 址 分 布 在 多 个 云 服 务 中 ， 如 图 所 示 ： 公 共 云 中 的 公 开 服 务 公 共 云 中 的 公 开 服 务 当 应 用 程 序 服 务 暴 露 在 互 联 网 上 时 ， 无 论 服 务 有 多 安 全 总 会 存 在 风 险 。 有 些 服 务 （ 如 h t t p 、 p o p 3 和 v p n ） 为 对 互 联 网 开 放 ， 以 便 用 户 可 以 方 便 访 问 它 们 。 但 许 多 应 用 程 序 服 务 不 需 要 对 互 联 网 开 放 。 例 如 ， 一 个 数 据 库 通 常 只 能 由 几 个 来 自 特 定 网 络 的 应 用 服 务 器 访 问 ， S M B 服 务 器 设 计 用 于 在 同 一 局 域 网 内 共 享 文 件 。 若 将 这 些 应 用 程 序 服 务 暴 露 在 互 联 网 中 就 会 很 容 易 遭 受 攻 击 。 为 了 找 到 公 共 云 上 公 开 的 主 机 和 服 务 ， 我 们 查 询 了 S h o d a n 和 C e n s y s ， 查 询 了 A W S 、 A z u r e 和 G C P 所 拥 有 的 I P 段 。 我 们 发 现 了 9 3 0 万 台 A W S 主 机 、 1 5 0 万 台 A z u r e 主 机 和 2 5 0 万 台 G C P 主 机 。 我 们 的 搜 索 集 中 在 八 个 不 安 全 的 服 务 ， 下 图 显 示 了 这 些 搜 索 的 结 果 。 公 共 云 中 3 2 % 的 公 开 主 机 都 开 放 了 s s h 服 务 。 虽 然 s s h 是 最 安 全 的 协 议 之 一 ， 但 是 将 这 项 服 务 公 开 给 整 个 互 联 网 仍 然 是 非 常 危 险 的 。 任 何 错 误 配 置 或 泄 漏 凭 证 都 可 导 致 主 机 被 攻 击 。 随 后 我 们 扫 描 了 公 共 云 中 托 管 的 2 8 0 万 个 位 于 美 国 的 s s h 服 务 器 。 为 了 增 强 安 全 性 ， s s h 服 务 应 该 只 使 用 公 钥 / 私 钥 进 行 身 份 验 证 ， 而 不 是 基 于 密 码 的 身 份 验 证 ， 因 为 密 码 验 证 方 式 容 易 受 到 暴 力 攻 击 。 但 是 在 A z u r e 上 ， 几 乎 5 0 % 的 s s h 服 务 启 用 了 密 码 登 录 ， 而 在 A W S 和 G C P 上 启 用 密 码 登 录 的 比 例
不 到 5 % 。 深 入 研 究 了 A z u r e 云 如 何 创 建 s s h 服 务 后 ， 很 快 找 到 了 解 释 ： A z u r e 虚 拟 机 上 的 大 多 数 s s h 服 务 都 是 在 虚 拟 机 创 建 过 程 中 配 置 的 。 下 显 示 了 A z u r e 上 s s h 配 置 的 屏 幕 截 图 。 A z u r e 为 用 户 提 供 了 两 个 选 项 ： 密 码 认 证 或 公 钥 认 证 。 一 半 的 用 户 会 选 择 密 码 认 证 可 能 是 因 为 不 知 道 公 钥 认 证 是 如 何 工 作 的 ， 也 不 知 道 如 何 创 建 密 钥 。 在 A W S 或 G C P 配 置 中 没 有 出 现 相 同 的 情 况 ， 它 们 都 没 有 提 供 密 码 登 录 作 为 配 置 选 项 。 公 共 云 中 的 漏 洞 公 共 云 中 的 漏 洞 在 公 共 云 中 暴 露 的 服 务 中 ， 在 A W S 中 发 现 了 2 9 0 0 万 个 漏 洞 、 A z u r e 中 1 7 0 万 个 和 G C P 中 4 0 0 万 个 。 平 均 而 言 ， 每 个 易 受 攻 击 的 主 机 都 有 1 1 个 漏 洞 。 三 个 C S P 中 的 前 1 0 个 漏 洞 基 本 相 同 ， 漏 洞 列 表 中 仅 有 o p e n s s h 和 h t t p 两 个 服 务 ， 如 下 图 所 示 ：
在 分 析 云 服 务 的 漏 洞 时 ， A W S 中 9 9 . 8 % 的 漏 洞 来 自 E C 2 ， A z u r e 中 9 9 . 8 % 的 漏 洞 来 自 A z u r e 虚 拟 机 。 A W S   E C 2 和 A z u r e 虚 拟 机 都 是 I a a S ， 允 许 用 户 部 署 和 管 理 整 个 操 作 系 统 。 但 大 多 数 用 户 不 优 先 考 虑 安 全 性 ， 并 且 不 知 道 系 统 中 存 在 的 漏 洞 。 下 图 显 示 了 公 共 云 中 不 同 数 量 漏 洞 的 主 机 数 量 。 横 轴 是 漏 洞 数 量 ， 纵 轴 是 主 机 数 量 。 其 中 有 2 5 % 的 A W S 主 机 、 8 % 的 A z u r e 主 机 和 2 7 % 的 G C P 主 机 易 受 攻 击 。 下 图 显 示 了 公 共 云 中 基 于 C V E 发 布 年 份 和 严 重 性 评 级 的 漏 洞 数 量 。 横 轴 是 C V E 年 份 ， 纵 轴 是 漏 洞 数 量 ， 颜 色 表 示 C V S S   v 2 的 严 重 性 。
如 图 所 示 ， 7 0 % 的 漏 洞 被 评 为 中 等 严 重 性 ， 1 7 % 被 评 为 高 严 重 性 。 A W S 中 1 8 % 的 漏 洞 、 A z u r e 中 2 1 % 的 漏 洞 和 G C P 中 1 2 % 的 漏 洞 超 过 5 年 。 S S L 和 T L S 是 W e b 应 用 程 序 安 全 的 基 础 ， 它 们 为 计 算 机 网 络 提 供 通 信 隐 私 和 数 据 完 整 性 。 在 早 期 版 本 协 议 中 发 现 了 许 多 漏 洞 ， 一 些 严 重 的 漏 洞 允 许 中 间 人 攻 击 。 在 检 查 了 配 置 了 s s l / t l s 的 所 有 公 开 主 机 之 后 ， 发 现 超 过 6 1 % 的 主 机 仍 在 使 用 早 于 t l s   v 1 . 2 的 协 议 ， 如 图 所 示 ： 公 有 云 成 为 攻 击 跳 板 公 有 云 成 为 攻 击 跳 板 公 共 云 不 仅 简 化 了 开 发 人 员 及 其 工 作 ， 也 为 黑 客 提 供 了 一 个 平 台 来 发 起 攻 击 。 从 攻 击 者 的 角 度 来 看 ， 攻 击 公 共 云 实 例 与 攻 击 本 地 服 务 器 没 有 太 大 的 区 别 。 然 而 ， 攻 击 者 基 于 云 服 务 可 以 更 好 地 对 漏 洞 进 行 武 器 化 利 用 。 研 究 人 员 发 现 攻 击 者 正 在 开 发 针 对 公 共 云 基 础 设 施 的 恶 意 软 件 。 研 究 人 员 分 析 了 F a c e b o o k   T h r e a t   E x c h a n g e 2 0 1 8 年 的 恶 意 I P 。 在 1 6 7 6 4 个 恶 意 I P 中 ， 9 8 5 个 来 自 A W S ， 1 0 9 个 来 自 A z u r e ， 3 4 个 来 自 G C P 。 报 告 的 I P 中 有 7 % 来 自 三 个 C S P 中
的 一 个 。 目 前 尚 不 清 楚 这 些 恶 意 I P 是 受 攻 击 者 攻 击 还 是 由 攻 击 者 创 建 的 主 机 。 我 们 检 查 了 恶 意 I P 在 其 活 动 期 间 的 漏 洞 情 况 。 下 图 显 示 了 恶 意 公 共 云 I P 的 漏 洞 统 计 信 息 。 左 图 是 具 有 已 知 漏 洞 的 I P 的 百 分 比 。 右 图 是 每 个 I P 上 发 现 的 平 均 漏 洞 数 。 在 1 1 2 8 个 恶 意 公 共 云 I P 中 ， 6 0 % 存 在 已 知 漏 洞 ， 每 个 主 机 平 均 有 2 8 个 漏 洞 。 这 些 数 字 与 以 下 事 实 相 比 具 有 统 计 意 义 ： 只 有 2 4 % 的 公 网 公 共 云 主 机 发 现 漏 洞 ， 每 个 主 机 平 均 有 1 1 个 漏 洞 。 根 据 这 些 数 据 ， 这 些 云 服 务 很 有 可 能 已 被 攻 陷 并 用 于 恶 意 活 动 。 最 后 ， 我 们 寻 找 与 大 量 短 期 域 名 相 关 联 的 恶 意 I P ， 短 期 域 名 是 恶 意 主 机 的 常 见 特 征 。 我 们 发 现 2 0 % 的 恶 意 公 共 云 I P 在 1 2 个 月 内 与 5 5 多 个 域 名 关 联 。 以 上 表 明 ， 公 共 云 正 在 成 为 攻 击 者 发 起 攻 击 的 跳 板 。 总 结 总 结 在 公 共 云 中 ， 安 全 性 是 C S P 和 用 户 之 间 的 共 同 责 任 。 由 于 公 共 云 中 有 许 多 云 服 务 ， 大 多 数 用 户 可 能 不 知 道 他 们 的 安 全 责 任 。 C S P 不 仅 应 该 保 护 他 们 的 云 服 务 ， 还 应 该 设 置 防 护 措 施 来 防 止 和 检 测 不 安 全 的 用 户 行 为 。 本 研 究 的 结 果 重 申 了 “ 默 认 安 全 ” 的 重 要 性 。 如 果 没 有 不 安 全 的 选 项 ， 用 户 就 不 可 能 做 出 不 安 全 的 决 定 。 如 果 C S P 主 动 监 控 用 户 行 为 并 向 用 户 发 出 可 操 作 的 补 救 警 报 ， 那 么 就 不 会 有 这 么 多 公 开 的 服 务 以 及 错 误 的 配 置 漏 洞 。 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理