搜索

[16102] 2020-11-17_泛在物联网终端设备安全检测的一般原则和方法

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-11-17_泛在物联网终端设备安全检测的一般原则和方法 泛 在 物 联 网 终 端 设 备 安 全 检 测 的 一 般 原 则 和 方 法 吞 龙   F r e e B u f   2 0 2 0 - 1 1 - 1 7 一 、 概 述 一 、 概 述 泛 在 物 联 网 通 俗 的 表 达 就 是 广 泛 存 在 的 物 联 网 ， 它 是 一 个 分 层 的 体 系 架 构 ， 自 下 至 上 由 终 层 、 网 络 层 、 平 台 层 和 业 务 层 组 成 。 终 端 层 作 为 物 联 网 的 “ 触 角 ” ， 主 要 由 具 有 各 种 感 知 能 力 的 业 务 终 端 组 成 ， 是 物 联 网 识 别 信 息 载 体 、 采 集 信 息 的 来 源 。 终 端 层 又 可 以 细 分 为 采 集 部 件 、 智 能 业 务 终 端 、 本 地 通 信 网 络 和 物 联 代 理 等 部 件 。 在 智 能 业 务 终 端 层 ， 包 含 了 芯 片 、 操 作 系 统 、 智 能 组 件 等 基 本 功 能 架 构 ， 并 以 A P P 方 式 实 现 向 业 务 终 端 制 造 厂 商 开 放 统 一 的 接 口 。 本 地 通 信 网 络 主 要 包 括 以 太 网 、 无 源 光 网 络 、 4 8 5 总 线 为 代 表 的 有 线 通 信 网 络 和 以 W i F i 、 Z i g b e e 、 红 外 、 蓝 牙 为 代 表 的 短 距 离 无 线 通 信 网 络 组 成 。 物 联 代 理 是 泛 在 物 联 网 与 传 统 物 联 网 的 不 同 所 在 ， 主 要 完 成 多 种 通 信 协 议 适 配 、 数 据 边 缘 智 能 处 理 、 终 端 安 全 接 入 、 数 据 模 型 统 一 化 等 功 能 。 通 过 物 联 代 理 和 物 联 网 管 理 平 台 的 引 入 ， 打 破 了 业 务 系 统 彼 此 孤 立 的 结 构 。 二 、 一 般 检 测 原 则 及 检 测 内 容 二 、 一 般 检 测 原 则 及 检 测 内 容 2 . 1 接 入 安 全 接 入 安 全 应 能 向 接 入 网 络 证 明 其 网 络 身 份 ， 至 少 支 持 如 下 身 份 鉴 别 机 制 之 一 ： (   1   )   基 于 网 络 身 份 标 识 的 鉴 别 ； (   2   )   基 于 M A C 地 址 的 鉴 别 ； (   3   )   基 于 通 信 协 议 的 鉴 别 ； (   4   )   基 于 通 信 端 口 的 鉴 别 ； (   5   )   基 于 对 称 密 码 机 制 的 鉴 别 ； (   6   )   基 于 非 对 称 密 码 机 制 的 鉴 别 。 接 入 认 证 的 作 用 是 确 保 只 有 合 法 终 端 / 授 权 用 户 才 能 接 入 到 物 联 网 系 统 ， 它 需 要 物 联 代 理 所 采 用 的 接 入 认 证 协 议 ， 或 至 少 能 够 向 物 联 代 理 证 明 自 己 的 网 络 身 份 。 本 地 网 络 大 多 采 用 无 线 通 信 ， 在 开 放 式 环 境 中 ， 无 线 通 信 缺 少 物 理 防 护 ， 只 要 在 网 络 传 输 覆 盖 范 围 内 ， 理 论 上 任 何 人 都 有 可 能 接 入 网 络 或 对 网 络 传 输 的 数 据 进 行 窃 听 ， 所 以 网 络 接 入 认 证 和 数 据 传 输 保 密 性 是 对 物 联 网 感 知 网 络 最 基 本 的 两 项 安 全 要 求 。 本 地 感 知 网 络 接 入 主 要 是 指 接 入 本 地 感 知 层 网 关 ， 所 使 用 的 接 入 认 证 协 议 通 常 与 感 知 网 络 所 采 用 的 通 信 方 式 直 接 相 关 。 例 如 ： 物 联 网 络 采 用 W I F I 通 信 ， 则 接 入 认 证 协 议 一 般 采 用 W P A / W P A 2 协 议 ， 物 联 网 络 采 用 L o R a W A N 通 信 ， 则 一 般 使 用 O T A A 或 A B P 协 议 。 通 常 每 种 主 流 通 信 方 式 都 有 与 之 相 应 的 网 络 接 入 认 证 协 议 。 以 M Q T T 协 议 为 例 ， 某 型 采 集 终 端 使 用 M Q T T 协 议 + J S O N 方 式 与 物 管 平 台 进 行 通 信 连 接 时 无 必 要 的 认 证 方 式 ， 通 过 分 析 相 关 通 信 规 约 后 ， 可 任 意 伪 造 订 阅 / 发 布 信 息 。 未 授 权 连 接 检 测 结 果 — - 通 过 M Q T T . f x 可 构 造 发 布 订 阅 信 息 进 行 数 据 交 换 ， 在 安 全 检 测 中 ， 本 项 检 测 即 不 符 合 (   1   )   基 于 网 络 身 份 标 识 的 鉴 别 要 求 。 2 . 2   设 备 安 全 设 备 安 全 2 . 2 . 1 操 作 系 统 安 全 设 备 安 全 主 要 是 针 对 物 联 终 端 自 身 安 全 ， 在 实 际 场 景 中 ， 物 联 终 端 又 分 为 “ 具 有 操 作 系 统 的 终 端 和 无 操 作 系 统 的 终 端 ” 。 本 文 所 面 向 的 是 具 有 嵌 入 式 操 作 系 统 的 终 端 ， 如 下 所 示 — — m s f 5   a u x i l i a r y ( s c a n n e r / m q t t / c o n n e c t )   >   e x p l o i t [ * ]   1 9 2 . 1 6 8 . * . * : 1 8 8 3             -   1 9 2 . 1 6 8 . * . * : 1 8 8 3   -   T e s t i n g   w i t h o u t   c r e d e n t i a l s [ + ]   1 9 2 . 1 6 8 . * . * : 1 8 8 3             -   D o e s   n o t   r e q u i r e   a u t h e n t i c a t i o n [ * ]   1 9 2 . 1 6 8 . * . * : 1 8 8 3             -   S c a n n e d   1   o f   1   h o s t s   ( 1 0 0 %   c o m p l e t e ) [ * ]   A u x i l i a r y   m o d u l e   e x e c u t i o n   c o m p l e t e d s y * * * * @ S * * * * * * * * A : ~ $   u n a m e   - a L i n u x   S * * * * * * * * A   3 . 1 0 . 1 0 8   # 9   S M P   W e d   A p r   2 2   1 4 : 2 3 : 5 5   C S T   2 0 2 0   a r m v 7 l   a r m v 7 l   a r m v 7 l   G N U / L i n u x s y * * * * @ S * * * * * * * * A : ~ $   c a t   / p r o c / v e r s i o n L i n u x   v e r s i o n   3 . 1 0 . 1 0 8   ( r o o t @ u b u n t u - w o r k )   ( g c c   v e r s i o n   4 . 6 . 3   2 0 1 2 0 2 0 1   ( p r e r e l e a s e )   ( c r o s s t o o l - N G   l i n a r o - 1 . 1 3 . 1 - 2 0 1 2 . 0 2 - 2 0 1 2 0 2 2 2   -   L i n a r o   G C C   2 0 1 2 . 0 2 )   )   # 9   S M P   W e d   A p r   2 2   1 4 : 2 3 : 5 5   C S T   2 0 2 0 s y * * * * @ S * * * * * * * * A : ~ $   c a t   / p r o c / c p u i n f o p r o c e s s o r   :   0 m o d e l   n a m e   :   A R M v 7   P r o c e s s o r   r e v   5   ( v 7 l ) B o g o M I P S     :   4 8 . 0 0 F e a t u r e s     :   s w p   h a l f   t h u m b   f a s t m u l t   v f p   e d s p   n e o n   v f p v 3   t l s   v f p v 4   i d i v a   i d i v t   v f p d 3 2 C P U   i m p l e m e n t e r     :   0 x 4 1 C P U   a r c h i t e c t u r e :   7
如 需 深 入 测 试 ， 可 以 使 用 主 机 漏 扫 等 对 终 端 进 行 扫 描 ， 尤 其 关 注 提 权 漏 洞 问 题 。 针 对 操 作 系 统 主 要 检 测 内 容 有 — a . 用 户 标 识 与 鉴 别 。 要 求 终 端 的 操 作 系 统 用 户 应 具 有 唯 一 标 识 ， 且 用 户 登 录 时 ， 需 要 对 用 户 进 行 身 份 鉴 别 ， 用 户 口 令 应 满 足 一 定 复 杂 度 要 求 ； b . 访 问 控 制 ，   “ 应 能 控 制 操 作 系 统 用 户 的 访 问 权 限 ” 和 “ 操 作 系 统 用 户 应 仅 被 授 予 完 成 任 务 所 需 的 最 小 权 限 ” 。 测 试 时 可 分 别 以 不 同 角 色 用 户 （ 如 操 作 员 、 审 计 员 ） 登 录 操 作 系 统 ， 查 看 操 作 系 统 为 各 类 用 户 分 配 的 权 限 是 否 合 理 （ 如 操 作 员 无 权 删 除 审 计 记 录 、 审 计 员 无 权 执 行 业 务 操 作 ） ， 同 时 考 察 权 限 分 配 是 否 符 合 最 小 权 限 原 则 ; c . 终 端 应 提 供 安 全 措 施 控 制 对 其 远 程 配 置 ， 很 多 物 联 终 端 的 远 程 配 置 采 用 私 有 协 议 或 W E B 方 式 ， 测 试 时 需 考 察 其 配 置 方 式 是 否 有 安 全 防 护 机 制 （ 如 身 份 鉴 别 、 加 密 认 证 等 ） ； d . 日 志 审 计 ，   “ 应 能 为 操 作 系 统 事 件 生 成 审 计 记 录 ， 审 计 记 录 应 包 括 日 期 、 时 间 、 操 作 用 户 、 操 作 类 型 等 信 息 ” ， “ 应 能 由 安 全 审 计 员 开 启 和 关 闭 操 作 系 统 的 审 计 功 能 ” ， “ 应 能 提 供 操 作 系 统 的 审 计 记 录 查 阅 功 能 ” 。 e . 配 置 检 查 ， 应 对 操 作 系 统 的 配 置 信 息 进 行 检 查 。 采 用 配 置 检 查 工 具 l y n i s 对 嵌 入 式 操 作 系 统 进 行 检 查 的 结 果 — - C P U   a r c h i t e c t u r e :   7 C P U   v a r i a n t     :   0 x 0 C P U   p a r t     :   0 x c 0 7 C P U   r e v i s i o n     :   5 p r o c e s s o r   :   1 m o d e l   n a m e   :   A R M v 7   P r o c e s s o r   r e v   5   ( v 7 l ) B o g o M I P S     :   4 8 . 0 0 F e a t u r e s     :   s w p   h a l f   t h u m b   f a s t m u l t   v f p   e d s p   n e o n   v f p v 3   t l s   v f p v 4   i d i v a   i d i v t   v f p d 3 2 C P U   i m p l e m e n t e r     :   0 x 4 1 C P U   a r c h i t e c t u r e :   7 C P U   v a r i a n t     :   0 x 0 C P U   p a r t     :   0 x c 0 7 C P U   r e v i s i o n     :   5 S * * * * * * * * * * * * A : ~ / S e c T o o l / l y n i s $   . / l y n i s   a u d i t   s y s t e m [   L y n i s   3 . 0 . 0   ] [ + ]   I n i t i a l i z i n g   p r o g r a m - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #     #                                                                                                                                   #     #       非 特 权 扫 描 模 式   （ 非 r o o t ）                                                                           #     #                                                                                                                                   #     # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #   说 明 :     - - - - - - - - - - - - - -     *   某 些 测 试 将 被 跳 过   ( 无 r o o t 权 限 )     *   某 些 测 试 将 会 给 出 不 同 的 结 果 或 者 没 有 输 出 -   O S 侦 测 . . .                                                                                       [ 完 成   ] -   检 查 文 件 . . .                                                                                     [ 完 成   ]     - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     P r o g r a m   v e r s i o n :                       3 . 0 . 0     O p e r a t i n g   s y s t e m :                     L i n u x     O p e r a t i n g   s y s t e m   n a m e :           U b u n t u     O p e r a t i n g   s y s t e m   v e r s i o n :     1 6 . 0 4
    K e r n e l   v e r s i o n :                         3 . 1 0 . 1 0 8     H a r d w a r e   p l a t f o r m :                   a r m v 7 l     H o s t n a m e :                                     * * * * * * * * * *     - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     P r o f i l e s :                                     / h o m e / s y s a d m / S e c T o o l / l y n i s / d e f a u l t . p r f     L o g   f i l e :                                     / h o m e / s y s a d m / l y n i s . l o g     R e p o r t   f i l e :                               / h o m e / s y s a d m / l y n i s - r e p o r t . d a t     R e p o r t   v e r s i o n :                         1 . 0     P l u g i n   d i r e c t o r y :                     . / p l u g i n s     - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     A u d i t o r :                                       [ N o t   S p e c i f i e d ]     L a n g u a g e :                                     e n     T e s t   c a t e g o r y :                               a l l     T e s t   g r o u p :                                 a l l     - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   P r o g r a m   u p d a t e   s t a t u s . . .                                                                     [   跳 过   ] [ 1 ]   系 统 工 具 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   S c a n n i n g   a v a i l a b l e   t o o l s . . .     -   C h e c k i n g   s y s t e m   b i n a r i e s . . . [ 2 ]   插 件   ( p h a s e   1 ) - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - N o t e :   p l u g i n s   h a v e   m o r e   e x t e n s i v e   t e s t s   a n d   m a y   t a k e   s e v e r a l   m i n u t e s   t o   c o m p l e t e     -   P l u g i n s   允 许                                                                                       [   无   ] [ 3 ]   起 动 及 服 务 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   S e r v i c e   M a n a g e r                                                                                       [   制 度   ]         -   B o o t   l o a d e r                                                                                           [   未 发 现   ]     -   C h e c k   r u n n i n g   s e r v i c e s   ( s y s t e m c t l )                                                         [ 完 成   ]                 R e s u l t :   完 成   1 4   r u n n i n g   s e r v i c e s     -   C h e c k   允 许   s e r v i c e s   a t   b o o t   ( s y s t e m c t l )                                           [ 完 成   ]                 R e s u l t :   完 成   1 5   允 许   s e r v i c e s     -   C h e c k   s t a r t u p   f i l e s   ( p e r m i s s i o n s )                                                             [   O K   ] [ 4 ]   内 核 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   C h e c k i n g   d e f a u l t   r u n   l e v e l                                                                 [   R U N L E V E L   5   ]     -   C h e c k i n g   k e r n e l   v e r s i o n   a n d   r e l e a s e                                                   [ 完 成   ]     -   C h e c k i n g   k e r n e l   t y p e                                                                             [ 完 成   ]     -   C h e c k i n g   l o a d e d   k e r n e l   m o d u l e s                                                         [ 完 成   ]             完 成   3 6   活 动 模 块     -   C h e c k i n g   L i n u x   k e r n e l   c o n f i g u r a t i o n   f i l e                                     [   完 成   ]
附 操 作 系 统 检 测 全 图 — — 图 1       操 作 系 统 安 全 检 测 全 图 2 . 2 . 2 设 备 本 体 安 全 a . 采 取 插 卡 方 式 进 行 网 络 身 份 鉴 别 时 ， 应 采 取 措 施 防 止 卡 片 被 拔 除 或 替 换 ； b . 对 于 存 储 加 密 数 据 或 密 钥 的 存 储 器 应 具 有 强 拆 自 毁 机 制 ， 并 有 明 显 警 告 标 识 防 止 误 操 作 ;     -   C h e c k i n g   L i n u x   k e r n e l   c o n f i g u r a t i o n   f i l e                                     [   完 成   ] g r e p :   / e t c / k e r n e l - i m g . c o n f :   N o   s u c h   f i l e   o r   d i r e c t o r y     -   C h e c k i n g   f o r   a v a i l a b l e   k e r n e l   u p d a t e                                             [   未 知   ]     -   C h e c k i n g   c o r e   d u m p s   c o n f i g u r a t i o n         -   c o n f i g u r a t i o n   i n   s y s t e m d   c o n f   f i l e s                                           [   D E F A U L T   ]         -   c o n f i g u r a t i o n   i n   e t c / p r o f i l e                                                         [   D E F A U L T   ]         -   ' h a r d '   c o n f i g u r a t i o n   i n   s e c u r i t y / l i m i t s . c o n f                               [   D E F A U L T   ]         -   ' s o f t '   c o n f i g u r a t i o n   i n   s e c u r i t y / l i m i t s . c o n f                                 [   D E F A U L T   ]         -   C h e c k i n g   s e t u i d   c o r e   d u m p s   c o n f i g u r a t i o n                                 [   禁 用   ]     -   C h e c k   i f   r e b o o t   i s   n e e d e d                                                                   [   未 知   ] [ 5 ]   内 存 与 进 程 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   C h e c k i n g   / p r o c / m e m i n f o                                                                         [   完 成   ]     -   S e a r c h i n g   f o r   d e a d / z o m b i e   p r o c e s s e s                                                 [   未 发 现   ]     -   S e a r c h i n g   f o r   I O   w a i t i n g   p r o c e s s e s                                                       [   未 发 现   ]     -   S e a r c h   p r e l i n k   t o o l i n g                                                                             [   未 发 现   ]
图 2   某 型 加 密 装 置 防 拆 警 告 c . 失 效 保 护 ,   “ 物 联 终 端 应 能 自 检 出 已 定 义 的 设 备 故 障 并 进 行 告 警 ， 确 保 设 备 未 受 故 障 影 响 部 分 的 功 能 正 常 ” ， 此 条 的 重 点 是 故 障 告 警 功 能 和 可 用 性 。 测 试 时 可 模 拟 传 感 器 故 障 、 网 络 故 障 等 ， 查 看 感 知 终 端 能 否 发 出 告 警 ， 并 考 察 其 他 功 能 是 否 受 影 响 。 对 于 控 制 类 设 备 ， 要 求 通 信 故 障 不 应 影 响 控 制 功 能 。 2 . 2 . 3 容 容 器 安 全 a . 容 器 环 境 中 秘 密 信 息 的 加 密 检 测 ， 对 容 器 环 境 中 所 存 储 秘 密 信 息 的 加 密 算 法 的 检 测 ； b . 容 器 镜 像 安 全 漏 洞 检 测 ， 对 容 器 环 境 执 行 安 全 扫 描 ； c . 容 器 账 户 安 全 检 测 , 检 测 容 器 账 户 安 全 策 略 是 否 存 在 问 题 ; d   容 器 镜 像 一 致 性 检 测 , 检 测 容 器 镜 像 签 名 与 可 信 源 是 否 一 致 。 运 行 于 终 端 的 容 器 可 以 导 出 为 文 件 方 便 分 析 ： 图 3   容 器 导 出 容 器 分 析 工 具 有 很 多 选 择 ， 这 里 以 开 源 工 具 d o c k e r s c a n 为 例 说 明 ： i n f o 采 集 镜 像 基 本 信 息 — - [ r o o t @ l o c a l h o s t   t m p ] #   d o c k e r s c a n   i m a g e   i n f o   b a s i c i m g . t a r [   *   ]   S t a r t i n g   a n a l y z i n g   d o c k e r   i m a g e . . . [   *   ]   S e l e c t e d   i m a g e :   ' b a s i c i m g . t a r ' [   *   ]   A n a l y s i s   f i n i s h e d .   R e s u l t s : [   *   ]   -   H o s t   n a m e   =   3 8 2 7 e f b 8 b 9 b 3 [   *   ]   -   E n t r y   p o i n t : [   *   ]       >   / u s r / l o c a l / m o n i t o r / a p p c t l - d a e m o n [   *   ]   -   C r e a t e d   d a t e   =   2 0 1 0 - 1 0 - 2 3 T 1 7 : 0 3 : 3 7 . 9 5 1 9 0 9 8 1 Z [   *   ]   -   D o c k e r   v e r s i o n   =   1 8 . 0 9 . 6 [   *   ]   -   E n v i r o n m e n t : [   *   ]       >   P A T H = / u s r / l o c a l / s b i n : / u s r / l o c a l / b i n : / u s r / s b i n : / u s r / b i n : / s b i n : / b i n A n a l y z e 分 析 运 行 权 限 ： [ r o o t @ l o c a l h o s t   t m p ] #   d o c k e r s c a n   i m a g e   a n a l y z e   b a s i c i m g . t a r [   *   ]   S t a r t i n g   t h e   a n a l y s i s   o f   d o c k e r   i m a g e . . . [   *   ]   S e l e c t e d   i m a g e :   ' b a s i c i m g . t a r ' [   *   ]   A n a l y s i s   f i n i s h e d .   R e s u l t s : [   *   ]   -   R u n n i n g   u s e r   =   r o o t E x t r a c t 提 取 镜 像 文 件 ： [ r o o t @ l o c a l h o s t   t m p ] #   d o c k e r s c a n   i m a g e   e x t r a c t   / t m p / b a s i c i m g . t a r   / b a s i c
镜 像 文 件 目 录 结 构 如 下 图 — - 图 4   容 器 镜 像 文 件 目 录 查 看 密 码 文 件 — - 加 载 c o n t a i n e r 进 入 容 器 操 作 : B i n / b a s h 无 法 登 入 可 以 尝 试 b i n / s h 。 可 以 在 容 器 中 对 数 据 库 、 应 用 等 进 行 更 加 深 入 的 测 试 。 2 . 2 . 4 固 件 安 全 固 件 （ f i r m w a r e ） 是 写 入 特 殊 应 用 集 成 电 路 （ A S I C ） 或 可 编 程 逻 辑 器 件 （ P L D ） 之 中 的 闪 存 或 E R O M 、 E P R O M ( 可 编 程 只 读 存 储 器 ) 中 的 程 序 ， 通 俗 的 理 解 是 “ 固 化 的 软 件 ” 。 [   *   ]   S t a r t i n g   t h e   e x t r a c t i o n   o f   d o c k e r   i m a g e . . . [   *   ]   S e l e c t e d   i m a g e :   ' b a s i c i m g . t a r ' [   *   ]   I m a g e   c o n t e n t   e x t r a c t e d [ r o o t @ l o c a l h o s t   / ] #   c a t   / b a s i c / e t c / p a s s w d r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / a s h b i n : x : 1 : 1 : b i n : / b i n : / s b i n / n o l o g i n d a e m o n : x : 2 : 2 : d a e m o n : / s b i n : / s b i n / n o l o g i n a d m : x : 3 : 4 : a d m : / v a r / a d m : / s b i n / n o l o g i n l p : x : 4 : 7 : l p : / v a r / s p o o l / l p d : / s b i n / n o l o g i n s y n c : x : 5 : 0 : s y n c : / s b i n : / b i n / s y n c s h u t d o w n : x : 6 : 0 : s h u t d o w n : / s b i n : / s b i n / s h u t d o w n h a l t : x : 7 : 0 : h a l t : / s b i n : / s b i n / h a l t m a i l : x : 8 : 1 2 : m a i l : / v a r / s p o o l / m a i l : / s b i n / n o l o g i n n e w s : x : 9 : 1 3 : n e w s : / u s r / l i b / n e w s : / s b i n / n o l o g i n u u c p : x : 1 0 : 1 4 : u u c p : / v a r / s p o o l / u u c p p u b l i c : / s b i n / n o l o g i n o p e r a t o r : x : 1 1 : 0 : o p e r a t o r : / r o o t : / b i n / s h m a n : x : 1 3 : 1 5 : m a n : / u s r / m a n : / s b i n / n o l o g i n [ r o o t @ l o c a l h o s t   / ] #   c a t   / b a s i c / e t c / s h a d o w 也 可 将 容 器 镜 像 导 入 至 虚 拟 机 环 境 ， 并 进 入 容 器 环 境 内 进 一 步 分 析 - - - S * * * * * * * * * * * A : ~ $   d o c k e r   p s   - a C O N T A I N E R   I D                 I M A G E                                       C O M M A N D                                     C R E A T E D                           S T A T U S                                             P O R T S                               N A M E S E * * * * * * * * d                 b a s i c _ i m g - a r m 2 : l a t e s t       " / u s r / l o c a l / m o n i t o r / … "       9   d a y s   a g o                     E x i t e d   ( 0 )   9   d a y s   a g o                                                       r o m a n t i c _ s w a n s o n E * * * * * * * * 4                 b a s i c _ i m g - a r m 2 : l a t e s t       " / u s r / l o c a l / m o n i t o r / … "       2   m o n t h s   a g o S * * * * * * * * * * A : ~ $   d o c k e r   s t a r t   e * * * * * * * * * * 4 E * * * * * * * * * * * 4 S * * * * * * * * * * A : ~ $   d o c k e r   e x e c   - i t   e * * * * * * * * * * * 4     b i n / b a s h E * * * * * * * * * * * * 4
a . 应 禁 止 固 件 通 过 公 网 升 级 （ F T P 、 H T T P ） ， 关 闭 非 必 要 端 口 ； b . 应 支 持 远 程 安 全 升 级 更 新 ； c . 应 采 取 措 施 由 禁 止 外 部 直 接 读 取 存 储 器 ， 防 止 绕 过 控 制 设 备 控 制 器 （ 或 处 理 器 ） 直 接 读 取 芯 片 中 内 容 ； d . 应 控 制 M C U （ 或 处 理 器 ） 的 B o o t l o a d e r 中 读 取 F l a s h 的 流 程 ， 防 止 数 据 通 过 通 信 总 线 输 出 到 主 机 端 （ 如 P C ） ； e . 应 禁 用 硬 件 开 发 调 试 时 所 使 用 的 接 口 ， 包 括 但 不 限 于 J T A G / S W D 和 U A R T 等 接 口 。 对 于 固 件 的 检 测 ， 应 首 先 检 测 终 端 电 路 是 否 暴 露 调 试 接 口 ， 如 存 在 调 试 接 口 ， 可 能 导 致 固 件 信 息 被 导 出 的 风 险 。 在 获 取 固 件 文 件 的 情 况 下 （ 通 常 由 厂 商 提 供 ） ， 可 以 从 以 下 方 面 进 行 （ 部 分 ） 检 测 — — 序 号 序 号 检 测 项 目 检 测 项 目 1 文 件 h a s h e s 2 C P U 架 构 3 操 作 系 统 4 文 件 系 统 5 固 件 格 式 6 用 户 密 码 信 息 泄 露 风 险 7 证 书 文 件 和 密 钥 泄 露 风 险 8 软 件 成 分 识 别 9 恶 意 软 件 检 测 1 0 整 数 溢 出 缺 陷 检 测 1 1 安 全 缓 解 机 制 检 测 1 2 调 试 信 息 泄 露 公 网 有 不 少 固 件 检 测 平 台 ， 未 免 广 告 嫌 疑 就 不 一 一 列 举 了 。 2 . 3 应 用 安 全 应 用 安 全 2 . 3 . 1   A P P 安 全 a . 物 联 网 终 端 应 用 软 件 （ A P P ） 产 品 应 将 代 码 中 的 各 种 元 素 ， 如 变 量 、 函 数 、 类 的 名 字 改 写 成 无 意 义 的 名 字 ， 以 实 现 混 淆 的 目 的 ; b 对 物 联 网 终 端 应 用 软 件 （ A P P ） 产 品 进 行 加 固 ， 以 有 效 防 止 移 动 应 用 被 破 解 、 盗 版 、 二 次 打 包 、 注 入 、 反 编 译 等 ， 保 障 程 序 的 安 全 性 、 稳 定 性 ; c . 物 联 网 终 端 应 用 软 件 （ A P P ） 应 采 用 认 证 签 名 机 制 ; d . 物 联 网 终 端 应 用 软 件 （ A P P ） 宜 支 持 密 码 保 护 解 除 锁 定 状 态 ， 例 如 口 令 、 图 案 、 生 物 特 征 识 别 等 多 种 形 态 的 密 码 ; e . 物 联 网 终 端 应 用 软 件 （ A P P ） 应 提 供 文 件 类 用 户 数 据 的 授 权 访 问 能 力 ， 当 第 三 方 应 用 访 问 被 保 护 的 用 户 数 据 时 ， 应 在 用 户 确 认 的 情 况 下 才 能 访 问 。 文 件 类 用 户 数 据 包 括 图 片 、 视 频 、 音 频 和 文 档 等 ; f . 未 经 授 权 的 任 何 实 体 应 不 能 从 物 联 网 终 端 应 用 软 件 （ A P P ） 的 加 密 存 储 区 域 的 数 据 中 还 原 出 用 户 私 密 数 据 的 真 实 内 容 ; g . 物 联 网 终 端 应 用 软 件 （ A P P ） 应 提 供 数 据 彻 底 删 除 功 能 ， 以 保 证 被 删 除 的 用 户 数 据 不 可 再 恢 复 出 来 ; 2 . 3 . 2   W E B 应 用 安 全 a . 恶 意 代 码 防 范 ： 通 过 代 码 层 屏 蔽 常 见 恶 意 攻 击 行 为 ， 防 止 非 法 数 据 提 交 ； 如 ： S Q L 注 入 ； b . 双 因 子 授 权 认 证 ： 应 对 同 一 用 户 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别 ； c . 密 码 复 杂 度 ： 强 制 用 户 首 次 登 录 时 修 改 初 始 口 令 ； 口 令 长 度 至 少 为 8 位 ， 并 由 数 字 、 大 小 字 母 与 特 殊 字 符 组 成 ； d . 会 话 过 期 与 超 时 ： 浏 览 器 C o o k i e 过 期 、 无 动 作 过 期 、 强 制 过 期 、 保 持 会 话 等 进 行 限 制 ； e . 安 全 审 计 功 能 ： 一 、 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ， 如 ： 登 录 、 退 出 、 添 加 、 删 除 、 修 改 或 覆 盖 等 ； 二 、 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 。 2 . 3 . 3   W E B 安 全 风 险 检 测 要 求 W E B 检 测 一 般 可 使 用 W E B 漏 扫 开 展 ， 常 用 W E B 漏 扫 有 A W V S ， N E S S U S 等 。 安 全 风 险 内 容 安 全 风 险 内 容 风 险 描 述 风 险 描 述 跨 站 脚 本 （ X S S ） 恶 意 攻 击 者 往 W E B 页 面 里 插 入 恶 意 的 h t m l 代 码 ， 当 用 户 浏 览 该 页 面 时 ， 嵌 入 其 中 的 h t m l 代 码 会 被 执 行 ， 从 而 达 到 恶 意 用 户 的 特 殊 目 的 ； （ 钓 鱼 、 盗 取 c o o k i e 、 操 纵 受 害 者 的 浏 览 器 、 蠕 虫 攻 击 ） S Q L 注 入 漏 洞 用 户 输 入 的 数 据 未 经 验 证 就 用 来 构 造 S Q L 查 询 语 句 ， 查 询 数 据 库 中 的 敏 感 内 容 , 绕 过 认 证 添 加 、 删 除 、 修 改 数 据 、 拒 绝 服 务 。 X M L 注 入 如 果 在 查 询 或 修 改 时 ， 如 果 没 有 做 转 义 ， 直 接 输 入 或 输 出 数 据 ， 都 将 导 致 X M L 注 入 漏 洞 。 攻 击 者 可 以 修 改 X M L 数 据 格 式 ， 增 加 新 的 X M L 节 点 ， 对 数 据 处 理 流 程 产 生 影 响 。 跨 站 请 求 伪 造 ( C S R F ) 强 迫 受 害 者 的 浏 览 器 向 一 个 易 受 攻 击 的 W e b 应 用 程 序 发 送 请 求 , 最 后 达 到 攻 击 者 所 需 要 的 操 作 行 为 。 恶 意 请 求 会 带 上 浏 览 器 的 C o o k i e 。 受 攻 击 的 W e b 应 用 信 任 浏 览 器 的 C o o k i e 。 任 意 文 件 下 载 下 载 服 务 器 任 意 文 件 ， 如 脚 本 代 码 ， 服 务 及 系 统 配 置 文 件 等 ； 可 用 得 到 的 代 码 进 一 步 代 码 审 计 ， 得 到 更 多 可 利 用 漏 洞 文 件 上 传 W e b 应 用 程 序 在 处 理 用 户 上 传 的 文 件 时 ， 没 有 判 断 文 件 的 扩 展 名 是 否 在 允 许 的 范 围 内 ， 或 者 没 检 测 文 件 内 容 的 合 法 性 ， 就 把 文 件 保 存 在 服 务 器 上 ， 甚 至 上 传 脚 本 木 马 到 w e b 服 务 器 上 ， 直 接 控 制 w e b 服 务 器 。 （ 未 限 制 扩 展 名 、 未 检 查 文 件 内 容 、 病 毒 文 件 ） 远 程 命 令 执 行 可 远 程 执 行 代 码 ， 直 接 使 用 管 理 员 权 限 执 行 恶 意 命 令 ; 敏 感 信 息 泄 漏 泄 漏 敏 感 信 息 权 限 控 制 一 个 正 常 的 用 户 A 通 常 只 能 够 对 自 己 的 一 些 信 息 进 行 增 删 改 查 ， 但 是 由 于 程 序 员 的 一 时 疏 忽 ， 对 信 息 进 行 增 删 改 查 的 时 候 没 有 进 行 一 个 判 断 ， 判 断 所 需 要 操 作 的 信 息 是 否 属 于 对 应 的 用 户 ， 可 以 导 致 用 户 A 可 以 操 作 其 他 人 的 信 息 。 已 解 密 的 登 录 请 求 可 能 会 窃 取 诸 如 用 户 名 和 密 码 等 未 经 加 密 即 发 送 了 的 用 户 登 录 信 息 未 设 置 验 证 码 机 制 恶 意 攻 击 者 可 以 使 用 暴 力 破 解 的 手 段 猜 解 帐 号 和 密 码 A P P 检 测 推 荐 开 源 平 台 M o b S F 进 行 综 合 检 测 ， 该 平 台 支 持 I O S 及 A n d r o i d 应 用 。 部 分 检 测 结 果 截 图 如 下 — -
图 5   A P P 检 测 结 果 2 . 3 . 4 数 据 库 安 全 a . 应 对 注 册 到 数 据 库 管 理 系 统 中 的 用 户 进 行 标 识 。 用 户 标 识 信 息 是 公 开 的 信 息 ， 一 般 以 用 户 名 和 用 户 I D 实 现 。 为 管 理 方 便 ， 可 将 用 户 分 组 ， 也 使 用 别 名 。 无 论 用 户 名 、 用 户 I D 、 用 户 组 还 是 用 户 别 名 ， 都 要 遵 守 标 识 的 唯 一 性 原 则 ； b . 用 对 登 录 到 数 据 库 的 用 户 进 行 身 份 真 实 性 鉴 别 。 通 过 对 用 户 所 提 供 的 “ 鉴 别 信 息 ” 的 验 证 ， 证 明 该 用 户 确 有 所 声 称 的 某 种 身 份 ， 这 些 “ 鉴 别 信 息 ” 必 须 是 保 密 的 ， 不 易 伪 造 的 ； c . 应 由 数 据 库 子 语 言 定 义 ， 并 与 数 据 一 起 存 放 在 数 据 字 典 中 。 对 任 何 S Q L 对 象 进 行 操 作 应 有 明 确 的 权 限 许 可 ， 并 且 权 限 随 着 操 作 和 对 象 的 变 化 而 变 化 ， 安 全 系 统 应 有 能 力 判 断 这 种 权 限 许 可 ； d . 应 以 访 问 控 制 表 或 访 问 矩 阵 的 形 式 表 示 ， 并 通 过 执 行 相 应 的 访 问 控 制 程 序 实 现 。 每 当 执 行 S Q L 语 句 、 有 访 问 要 求 出 现 时 ， 通 过 调 用 相 应 的 访 问 控 制 程 序 ， 实 现 对 访 问 要 求 的 控 制 ； e . 应 限 制 某 一 权 限 的 用 户 将 该 权 限 传 给 其 他 用 户 。 当 一 个 用 户 被 赋 予 某 权 限 ， 同 时 拥 有 该 将 权 限 授 予 其 他 用 户 的 权 力 时 ， 该 用 户 才 具 有 对 该 授 权 的 传 播 权 。 为 了 增 强 数 据 库 系 统 的 安 全 性 ， 需 要 对 授 权 传 播 进 行 某 些 限 制 。 在 实 际 检 测 过 程 发 现 ， 某 些 采 用 容 器 化 应 用 的 终 端 中 ， 使 用 S Q L l i t e 轻 量 化 数 据 存 储 业 务 数 据 ， 且 未 对 数 据 库 连 接 进 行 认 证 ， 存 在 数 据 库 泄 露 风 险 — — 基 于 S Q L l i t e 的 特 性 ， 一 个 d b 文 件 即 为 一 个 数 据 库 ， 可 直 接 导 出 文 件 连 接 数 据 库 ， 进 行 增 删 改 查 等 操 作 ， 没 有 任 何 访 问 控 制 措 施 。 图 6   导 出 的 部 分 数 据 表 2 . 4 数 据 安 全 数 据 安 全 2 . 4 . 1 数 据 可 用 性 为 确 保 终 端 数 据 可 用 性 ， 终 端 设 备 需 符 合 以 下 要 求 ： a . 应 能 够 存 储 终 端 的 配 置 数 据 信 息 ； b . 应 支 持 对 采 集 的 实 时 数 据 进 行 分 类 管 理 和 存 储 ， 时 间 不 少 于 三 个 月 ； c . 在 网 络 中 断 时 ， 应 能 缓 存 所 连 接 的 全 部 业 务 终 端 的 业 务 数 据 ； d . 在 与 物 联 管 理 平 台 的 网 络 连 接 中 断 并 重 新 连 接 后 ， 应 能 支 持 物 联 管 理 平 台 获 取 一 定 时 间 （ 时 间 可 配 置 ） 的 历 史 数 据 ； e . 上 报 物 联 管 理 平 台 的 管 理 控 制 交 互 消 息 ， 应 采 用 时 间 戳 进 行 标 识 。 对 于 采 集 终 端 而 言 ， 在 设 计 中 应 具 有 数 据 暂 存 功 能 ， 防 止 在 掉 电 、 断 网 时 暂 时 保 存 数 据 ， 恢 复 时 可 自 动 上 传 业 务 数 。 本 类 检 测 以 人 工 检 测 为 主 ， 可 构 建 模 拟 / 测 试 环 境 开 展 测 试 。 2 . 4 . 2   数 据 完 整 性 数 据 完 整 性 为 确 保 终 端 数 据 完 整 性 ， 终 端 设 备 需 符 合 以 下 要 求 ： a . 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 完 整 性 ； b . 应 集 成 硬 件 密 码 模 块 或 软 件 密 码 模 块 ， 实 现 与 安 全 接 入 网 关 之 间 的 身 份 认 证 和 数 据 传 输 机 密 性 和 完 整 性 保 护 ， 采 用 国 家 密 码 主 管 部 门 认 可 的 密 码 算 法 ， 通 过 统 一 密 码 基 础 设 施 （ 设 备 ） 提 供 数 字 证 书 或 密 钥 管 理 服 务 ； c . 应 具 备 对 传 输 数 据 完 整 性 校 验 机 制 ， 能 够 利 用 校 验 码 、 消 息 摘 要 、 数 字 签 名 等 技 术 实 现 隐 私 数 据 、 重 要 业 务 数 据 等 重 要 数 据 的 传 输 完 整 性 保 护 。 本 类 检 测 无 通 用 工 具 ， 一 般 通 过 人 工 抓 包 方 式 进 行 分 析 。 2 . 4 . 3   数 据 保 密 性 数 据 保 密 性 为 确 保 终 端 数 据 完 整 性 ， 终 端 设 备 需 符 合 以 下 要 求 ： a . 物 联 网 终 端 南 北 向 通 信 数 据 应 通 过 国 家 密 码 部 门 认 可 的 加 密 算 法 进 行 加 密 传 输 ； b . 宜 对 本 地 存 储 的 用 户 口 令 等 关 键 数 据 进 行 加 密 保 护 ; c . 应 采 用 加 密 技 术 保 护 数 据 信 息 中 的 时 间 序 列 ； d . 应 基 于 统 一 密 码 技 术 设 施 进 行 加 密 保 护 ， 可 采 用 安 全 芯 片 或 软 件 、 密 码 模 块 等 方 式 实 现 。 精 彩 推 荐 精 彩 推 荐 S * * * * * * * * * * A : ~ $   d o c k e r   e x e c   - i t   e * * * * * * * * 4     / b i n / s h /   #   f i n d   - n a m e   * . d b . / u s r / l o c a l / … / d b / f * * * * * * * * 1 . d b . / u s r / l o c a l / … / d b / T * * * * * * * * 5 . d b . / u s r / l o c a l / … / d b / r * * * * * * * * 5 . d b
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理