搜索

[15893] 2020-09-26_“拔网线”，解决不了安全产品0Day问题

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-26_“拔网线”，解决不了安全产品0Day问题 “ 拔 网 线 ” ， 解 决 不 了 安 全 产 品 0 D a y 问 题 F r e e B u f   2 0 2 0 - 0 9 - 2 6 日 前 ， 一 年 一 度 的 大 型 线 上 攻 防 对 抗 大 赛 已 圆 满 落 下 帷 幕 。 但 今 年 的 演 习 尤 其 热 闹 ， 乙 方 安 全 产 品 频 频 被 曝 出 0 D a y 漏 洞 ， 各 种 真 假 消 息 满 天 飞 ， 让 甲 方 企 业 每 天 都 惴 惴 不 安 ， 开 始 用 看 “ 内 鬼 ” 的 眼 光 看 待 自 己 的 安 全 防 线 。 为 应 对 安 全 产 品 0 D a y 问 题 ， 有 的 甲 方 企 业 甚 至 采 用 了 关 机 、 拔 网 线 、 下 线 安 全 产 品 等 极 端 方 式 ， 直 接 让 业 务 系 统 处 于 “ 裸 奔 ” 状 态 。 这 种 乱 象 不 禁 让 业 界 陷 入 深 思 。 甲 方 企 业 平 日 几 乎 不 会 遇 到 0 D a y 攻 击 ， 但 在 攻 防 对 抗 大 赛 期 间 ， 平 日 精 心 构 筑 的 安 全 体 系 集 中 被 曝 出 多 个 0 D a y 漏 洞 。 这 真 是 巧 合 ？ 有 业 内 专 家 推 测 ， 这 极 有 可 能 是 攻 击 方 将 前 期 早 已 积 累 好 的 0 D a y 武 器 库 ， 在 这 段 时 间 内 集 中 曝 出 ， 让 防 守 方 措 手 不 及 。 但 这 种 完 全 失 去 了 攻 防 演 练 初 衷 的 行 为 真 的 可 取 吗 ？ 在 不 知 道 这 些 漏 洞 是 否 也 被 其 他 别 有 用 心 的 人 或 组 织 掌 握 的 情 况 下 ， 为 什 么 不 尽 早 通 知 相 关 企 业 和 厂 商 进 行 修 复 ？ 在 今 天 这 种 复 杂 的 国 际 形 势 下 ， 如 果 这 些 0 D a y 漏 洞 一 旦 被 敌 对 势 力 获 取 ， 后 果 将 不 堪 设 想 。 那 么 我 们 该 如 何 看 待 0 D a y 漏 洞 ？ 0 D a y 漏 洞 曝 出 后 ， 企 业 该 如 何 应 对 ？ 安 全 从 业 者 又 该 如 何 树 立 正 确 的 “ 漏 洞 观 ” 呢 ？ 不 要 幻 想 安 全 产 品 没 有 漏 洞 不 要 幻 想 安 全 产 品 没 有 漏 洞 只 要 有 代 码 ， 就 有 漏 洞 。 只 要 有 代 码 ， 就 有 漏 洞 。 据 公 开 数 据 显 示 ， 每 1 0 0 0 行 代 码 就 会 有 4 - 6 个 漏 洞 ， 这 一 规 律 也 同 样 适 用 于 安 全 产 品 。 因 此 ， 将 “ 天 下 无 洞 ” 的 使 命 ， 全 交 给 安 全 产 品 来 承 担 ， 不 现 实 也 不 可 能 。 0 D a y 漏 洞 本 身 就 是 个 永 恒 的 问 题 ， 它 是 对 一 种 未 公 开 漏 洞 的 特 殊 称 呼 ， 本 质 来 说 还 是 一 种 漏 洞 ， 不 过 这 种 漏 洞 还 未 被 公 开 。 I T 系 统 的 0 D a y 一 直 层 出 不 穷 ， 从 操 作 系 统 、 中 间 件 、 应 用 系 统 、 软 件 以 及 使 用 的 开 发 库 、 插 件 等 都 会 出 现 各 种 0 D a y ， 可 以 说 ， 0 D a y 漏 洞 就 是 伴 随 着 各 类 I T 产 品 的 出 现 而 产 生 。 因 此 ， 专 门 有 部 分 安 全 产 品 是 为 了 防 止 0 D a y 攻 击 而 存 在 的 。 但 是 安 全 产 品 自 身 也 无 法 避 免 0 D a y 攻 击 ， 因 为 安 全 产 品 本 质 上 也 是 一 种 代 码 开 发 出 来 的 产 品 ， 哪 怕 是 国 际 的 一 线 安 全 厂 商 ， 比 如 P a l o   A l t o   N e t w o r k s 、 T r e n d   M i c r o 等 在 2 0 2 0 年 也 持 续 有 漏 洞 曝 出 。 因 此 ， 将 “ 安 全 漏 洞 ” 和 其 它 系 统 缺 陷 问 题 区 分 对 待 并 没 有 实 际 意 义 ， 因 为 任 何 一 个 缺 陷 在 某 种 条 件 下 都 可 能 成 为 一 个 安 全 漏 洞 。 绝 对 完 美 的 产 品 是 不 存 在 的 ， 任 何 软 件 和 硬 件 工 程 下 生 产 的 产 品 都 会 出 现 漏 洞 ， 只 是 还 没 有 被 发 现 或 还 没 有 被 利 用 ， 安 全 隐 患 始 终 存 在 。 面 对 漏 洞 不 可 因 噎 废 食 面 对 漏 洞 不 可 因 噎 废 食 正 如 L i n u x 的 创 始 人 L i n u s   T o r v a l d s 说 过 ： 我 们 需 要 尽 量 避 免 漏 洞 ， 但 不 可 能 完 全 消 除 。 技 术 本 是 中 性 ， 安 全 产 品 也 一 技 术 本 是 中 性 ， 安 全 产 品 也 一 定 存 在 漏 洞 ， 没 有 必 要 因 为 这 次 演 习 期 间 ， 被 真 真 假 假 的 漏 洞 吓 到 ， 就 因 噎 废 食 ， 开 始 怀 疑 安 全 产 品 的 价 值 。 定 存 在 漏 洞 ， 没 有 必 要 因 为 这 次 演 习 期 间 ， 被 真 真 假 假 的 漏 洞 吓 到 ， 就 因 噎 废 食 ， 开 始 怀 疑 安 全 产 品 的 价 值 。 没 被 曝 出 漏 洞 的 产 品 ， 不 代 表 就 比 已 经 被 曝 出 漏 洞 的 产 品 更 安 全 ， 可 能 只 是 漏 洞 未 被 发 现 。 安 全 产 品 的 价 值 是 减 少 I T 链 条 上 的 风 险 和 入 侵 ， 这 一 核 心 价 值 不 会 因 为 漏 洞 的 存 在 而 消 失 ， 合 理 部 署 安 全 防 护 产 品 仍 然 是 抵 御 网 络 攻 击 的 最 佳 方 式 。 作 为 用 户 ， 需 要 正 视 安 全 产 品 本 身 存 在 漏 洞 的 现 实 ， 但 更 要 认 识 到 ， 对 这 些 漏 洞 的 处 置 ， 也 是 和 常 见 的 操 作 系 统 、 数 据 库 、 网 络 产 品 的 漏 洞 一 样 。 面 对 0 D a y 漏 洞 ， 切 莫 闻 “ 洞 ” 色 变 ， 自 乱 阵 脚 ， 大 部 分 都 可 以 通 过 合 理 配 置 、 规 范 操 作 流 程 来 规 避 。 同 时 ， 建 立 良 好 的 安 全 意 识 和 运 维 习 惯 ， 就 可 以 做 到 对 常 见 安 全 事 件 “ 免 疫 “ 。 0 D a y 漏 洞 不 是 企 业 攻 防 常 态 。 漏 洞 不 是 企 业 攻 防 常 态 。 正 如 前 文 所 说 ， 0 D a y 在 日 常 安 全 工 作 中 并 不 多 见 。 微 软 曾 在 一 份 安 全 漏 洞 报 告 中 称 ， 所 谓 的 0 D a y 漏 洞 威 胁 被 夸 大 了 ， 由 0 D a y 漏 洞 引 入 的 病 毒 小 于 1 % 。 相 反 ， 一 些 社 会 工 程 攻 击 ， 如 钓 鱼 行 为 ， 占 所 有 恶 意 程 序 的 传 播 总 量 的 4 5 % 。 单 纯 依 靠 0 D a y 漏 洞 攻 击 成 功 事 件 所 占 比 例 ， 远 低 于 包 括 弱 密 码 、 不 合 规 配 置 、 安 全 意 识 不 够 等 基 础 工 作 不 到 位 引 发 的 安 全 事 件 。 这 就 犹 如 每 年 因 为 飞 机 失 事 导 致 死 亡 的 人 数 ， 远 低 于 其 他 交 通 事 故 的 死 亡 这 就 犹 如 每 年 因 为 飞 机 失 事 导 致 死 亡 的 人 数 ， 远 低 于 其 他 交 通 事 故 的 死 亡
人 数 。 人 数 。 当 然 ， 这 并 不 是 说 安 全 厂 商 不 需 要 加 强 自 身 产 品 的 安 全 性 ， 相 反 ， 安 全 厂 商 更 需 要 加 大 对 产 品 安 全 性 的 投 入 。 对 于 安 全 从 业 者 而 言 ， 需 要 树 立 正 确 的 漏 洞 观 念 ： 漏 洞 不 可 怕 ， 可 怕 的 是 对 待 安 全 的 态 度 。 既 不 可 幻 想 漏 洞 不 可 怕 ， 可 怕 的 是 对 待 安 全 的 态 度 。 既 不 可 幻 想 “ 天 下 无 洞 天 下 无 洞 ” ， 也 ， 也 不 可 不 可 “ 因 噎 废 食 因 噎 废 食 ” 。 。 犹 如 火 的 出 现 推 动 了 社 会 进 步 ， 但 人 们 并 不 会 因 为 惧 怕 火 灾 所 造 成 的 伤 害 ， 就 倒 退 回 原 始 时 代 茹 毛 饮 血 的 生 活 。 建 立 正 确 建 立 正 确 的 漏 洞 披 露 机 制 的 漏 洞 披 露 机 制 既 然 漏 洞 不 可 避 免 ， 那 么 建 立 一 个 安 全 有 效 的 漏 洞 披 露 和 沟 通 机 制 就 至 关 重 要 。 既 然 漏 洞 不 可 避 免 ， 那 么 建 立 一 个 安 全 有 效 的 漏 洞 披 露 和 沟 通 机 制 就 至 关 重 要 。 目 前 这 种 集 中 曝 出 安 全 产 品 漏 洞 的 行 为 ， 不 仅 将 安 全 产 业 置 于 一 种 被 质 疑 的 尴 尬 境 地 ， 也 给 甲 方 企 业 带 来 了 极 大 的 安 全 风 险 ， 更 给 国 家 安 全 带 来 了 安 全 隐 患 。 不 管 是 一 时 的 炫 技 ， 还 是 有 针 对 性 地 行 为 ， 都 绝 不 是 一 种 负 责 任 的 态 度 。 目 前 ， 针 对 漏 洞 管 理 ， 国 家 层 面 有 C N N V D 、 C N V D 等 国 家 漏 洞 库 ， 由 国 家 相 关 职 能 部 门 维 护 运 营 ， 负 责 统 一 采 集 收 录 安 全 漏 洞 和 发 布 漏 洞 预 警 公 告 ， 有 着 较 为 完 善 的 漏 洞 资 源 收 集 、 通 报 以 及 消 控 机 制 。 漏 洞 库 收 录 漏 洞 后 ， 会 通 知 厂 商 采 取 漏 洞 修 补 或 防 范 措 施 后 再 予 以 公 开 ， 供 安 全 研 究 人 员 学 习 和 借 鉴 ， 帮 助 厂 商 及 时 查 缺 补 漏 ， 推 动 我 国 网 络 安 全 行 业 良 性 发 展 。 2 0 1 9 年 6 月 1 8 日 ， 工 业 和 信 息 化 部 发 布 了 《 公 开 征 求 对 < 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） > 的 意 见 》 （ 以 下 简 称 《 意 见 》 ） ， 全 文 共 十 二 条 ， 系 统 地 规 范 了 网 络 产 品 、 服 务 、 系 统 的 网 络 安 全 漏 洞 验 证 、 修 补 、 防 范 、 报 告 和 信 息 发 布 等 行 为 。 在 《 意 见 》 中 明 确 规 定 ， 第 三 方 组 织 或 个 人 向 社 会 发 布 网 络 安 全 漏 洞 信 息 的 要 求 ： 必 要 、 真 实 、 客 观 、 有 利 于 防 范 必 要 、 真 实 、 客 观 、 有 利 于 防 范 和 应 对 网 络 安 全 风 险 。 和 应 对 网 络 安 全 风 险 。 不 得 在 不 得 在 “ 官 宣 官 宣 ” 前 抢 先 向 社 会 发 布 前 抢 先 向 社 会 发 布 。 即 不 得 在 网 络 产 品 或 服 务 提 供 商 和 网 络 运 营 商 向 社 会 或 用 户 发 布 漏 洞 补 救 或 防 范 措 施 之 前 发 布 相 关 漏 洞 信 息 ， 以 免 恶 意 攻 击 者 利 用 漏 洞 信 息 给 更 多 的 组 织 机 构 造 成 危 害 。 不 得 夸 大 影 响 ， 营 造 恐 慌 气 氛 不 得 夸 大 影 响 ， 营 造 恐 慌 气 氛 。 即 不 得 刻 意 夸 大 漏 洞 的 危 害 和 风 险 。 不 得 提 供 乘 人 之 危 的 方 法 、 程 序 和 工 具 不 得 提 供 乘 人 之 危 的 方 法 、 程 序 和 工 具 。 即 不 得 发 布 和 提 供 专 门 用 于 利 用 网 络 产 品 、 服 务 、 系 统 漏 洞 从 事 危 害 网 络 安 全 活 动 的 方 法 、 程 序 和 工 具 。 网 信 办 2 0 1 9 年 1 1 月 2 0 日 发 布 的 关 于 《 网 络 安 全 威 胁 信 息 发 布 管 理 办 法 （ 征 求 意 见 稿 ） 》 中 规 定 ， 不 利 用 网 络 安 全 威 胁 信 息 进 行 炒 作 、 牟 取 不 正 当 利 益 或 从 事 不 正 当 商 业 竞 争 ； 发 布 网 络 安 全 威 胁 信 息 ， 应 事 先 征 求 网 络 和 信 息 系 统 运 营 者 书 面 意 见 ， 并 必 须 向 主 管 部 门 报 告 。 同 时 ， 发 布 网 络 安 全 威 胁 信 息 不 得 危 害 国 家 安 全 和 社 会 公 共 利 益 ， 不 得 侵 犯 公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 。 总 结 总 结 甲 方 企 业 ： 针 对 安 全 产 品 漏 洞 ， 以 “ 拔 网 线 ” 为 代 表 的 过 度 反 应 ， 并 不 能 解 决 安 全 产 品 的 0 D a y 问 题 。 甲 方 企 业 需 要 接 受 漏 洞 不 可 避 免 的 现 实 ， 用 合 理 的 眼 光 看 待 安 全 产 品 的 漏 洞 ， 做 好 漏 洞 管 理 消 控 工 作 ， 切 不 可 因 噎 废 食 。 安 全 企 业 ： 在 当 前 的 安 全 新 形 势 下 ， 安 全 行 业 务 必 要 改 变 过 去 “ 重 业 务 ， 轻 安 全 ” 的 态 度 。 很 多 安 全 厂 商 虽 然 都 拥 有 自 己 的 攻 防 团 队 ， 但 是 在 自 家 产 品 的 安 全 性 投 入 上 远 远 不 够 。 打 铁 还 需 自 身 硬 ， 安 全 厂 商 需 要 把 安 全 的 第 一 道 防 线 放 在 自 己 产 品 的 源 头 ， 强 化 自 身 的 开 发 管 理 ， 加 强 产 品 的 安 全 性 ， 以 及 做 好 相 关 的 升 级 服 务 。 最 后 ， 要 充 分 认 识 到 漏 洞 披 露 的 重 要 性 。 在 网 络 空 间 博 弈 日 趋 激 烈 的 今 天 ， 漏 洞 已 经 成 为 一 种 战 略 资 源 ， 直 接 关 系 到 国 家 网 络 空 间 安 全 。 不 规 范 的 漏 洞 披 露 伤 害 的 是 用 户 和 产 业 ， 甚 至 危 及 国 家 安 全 。 维 护 网 络 安 全 ， 人 人 有 责 。 在 法 律 法 规 或 漏 洞 披 露 策 略 的 框 架 下 ， 通 过 安 全 合 理 的 漏 洞 披 露 渠 道 和 机 制 ， 才 能 够 促 进 安 全 社 区 的 健 康 发 展 和 安 全 技 术 的 进 步 ， 推 动 我 国 网 络 安 全 事 业 的 健 康 发 展 ， 为 我 国 整 体 网 络 安 全 防 线 贡 献 应 有 的 力 量 。
精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理