搜索

[11009] 2017-02-09_有了漏洞扫描器，如何用好？一点不成熟的小总结

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2017-02-09_有了漏洞扫描器，如何用好？一点不成熟的小总结 有 了 漏 洞 扫 描 器 ， 如 何 用 好 ？ 一 点 不 成 熟 的 小 总 结 安 惞   F r e e B u f   2 0 1 7 - 0 2 - 0 9 * 本 文 原 创 作 者 ： 安 惞 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         昨 天 晚 上 做 梦 ， 梦 见 不 知 道 在 之 前 还 是 现 在 的 哪 家 公 司 ， 跟 同 事 老 板 谈 昨 天 晚 上 做 梦 ， 梦 见 不 知 道 在 之 前 还 是 现 在 的 哪 家 公 司 ， 跟 同 事 老 板 谈 h c ， 说 到 ， 当 前 最 大 的 问 题 是 ， 人 力 问 题 ， 是 人 力 ， 说 到 ， 当 前 最 大 的 问 题 是 ， 人 力 问 题 ， 是 人 力 不 够 。 只 有 人 力 解 决 了 ， 这 个 不 够 。 只 有 人 力 解 决 了 ， 这 个 t e a m 才 能 运 转 下 去 。 才 能 运 转 下 去 。 我 就 问 ， 那 你 们 团 队 是 做 啥 的 呢 ？ 他 说 做 扫 描 器 和 漏 洞 运 营 。 梦 里 就 开 始 回 想 在 以 前 公 司 中 ， 各 种 方 法 有 效 的 效 率 提 高 和 我 就 问 ， 那 你 们 团 队 是 做 啥 的 呢 ？ 他 说 做 扫 描 器 和 漏 洞 运 营 。 梦 里 就 开 始 回 想 在 以 前 公 司 中 ， 各 种 方 法 有 效 的 效 率 提 高 和 人 力 节 省 措 施 ， 我 就 回 了 一 句 ， 人 力 当 然 重 要 ， 不 然 事 情 做 不 起 来 ， 同 时 在 有 一 定 人 力 的 情 况 下 ， 方 法 更 重 要 。 人 力 节 省 措 施 ， 我 就 回 了 一 句 ， 人 力 当 然 重 要 ， 不 然 事 情 做 不 起 来 ， 同 时 在 有 一 定 人 力 的 情 况 下 ， 方 法 更 重 要 。 接 着 ， 就 开 始 就 扫 描 器 的 使 用 高 谈 阔 论 了 起 来 。 接 着 ， 就 开 始 就 扫 描 器 的 使 用 高 谈 阔 论 了 起 来 。 啥 ？ 扫 描 器 不 就 一 个 工 具 么 ？ 有 几 个 人 不 会 用 ？ 这 里 就 讲 一 讲 在 甲 方 互 联 网 公 司 ， 扫 描 器 在 具 体 实 践 中 的 用 法 ， 个 人 浅 见 ， 欢 迎 交 流 分 享 … … 头 次 发 文 ， 不 知 道 会 被 喷 到 多 惨 … … 一 、 扫 描 器 哪 里 来 ？ 一 、 扫 描 器 哪 里 来 ？ 以 前 就 职 的 两 家 公 司 里 ， 黑 盒 扫 描 器 都 是 自 研 ， 白 盒 扫 描 器 只 有 其 中 一 家 有 。 直 到 有 一 次 某 M 公 司 来 做 分 享 ， 才 知 道 ， 原 来 他 们 的 黑 白 盒 扫 描 器 都 是 靠 购 买 的 ， 乙 方 提 供 产 品 和 售 后 支 持 。 当 时 纳 闷 儿 ， 如 果 是 乙 方 提 供 ， 就 不 怕 到 时 候 也 不 知 道 代 码 ， 添 加 规 则 的 时 候 不 能 满 足 需 求 吗 ？ M 公 司 的 专 家 解 释 ， 以 前 M 也 是 自 研 扫 描 器 ， 但 是 发 现 的 问 题 是 ， 扫 描 器 的 开 发 维 护 团 队 的 目 标 ， 很 多 时 候 和 具 体 运 营 的 安 全 团 队 是 不 一 致 的 ， 更 新 规 则 的 效 率 效 果 也 比 较 不 好 说 ； 而 乙 方 由 于 提 供 给 多 家 服 务 ， 样 本 也 更 多 ， 产 品 更 专 业 ， 提 供 的 服 务 也 更 好 一 些 。 回 想 起 原 来 就 职 的 两 家 公 司 里 ， 除 非 扫 描 器 的 开 发 运 维 和 安 全 工 程 师 就 在 一 个 小 团 队 ， 否 则 这 其 中 的 多 个 环 节 也 确 实 很 难 保 证 扫 描 器 的 快 速 迭 代 。 除 了 比 较 大 的 公 司 ， 如 果 是 初 创 公 司 或 者 是 快 速 增 长 期 的 公 司 ， 购 买 一 款 质 量 有 保 证 ， 售 后 服 务 好 的 扫 描 器 产 品 都 是 个 不 错 的 选 择 。 当 然 如 果 能 挖 到 专 业 的 扫 描 器 大 牛 过 来 ， 进 行 产 品 开 发 ， 不 仅 少 走 很 多 弯 路 ， 还 便 于 内 部 产 品 对 接 ， 就 更 好 了 。 二 、 扫 描 器 谁 来 用 ？ 二 、 扫 描 器 谁 来 用 ？ 刚 入 行 的 时 候 ， 发 现 扫 描 器 定 期 通 过 全 流 量 ， 域 名 或 i p ， 进 行 扫 描 ， 然 后 推 送 到 S O C 上 ， 安 全 工 程 师 来 进 行 报 警 运 维 ， 以 及 后 续 漏 洞 的 分 发 。 这 是 对 扫 描 器 最 早 的 用 户 的 认 识 。
随 着 时 间 的 增 长 ， 遇 到 了 一 群 群 特 别 牛 叉 的 小 伙 伴 儿 ， 见 识 了 ， 除 了 常 规 安 全 工 程 师 运 维 ， 还 可 以 将 安 全 工 程 师 以 外 的 员 工 动 员 起 来 ， 毕 竟 ， 安 全 不 仅 仅 是 一 个 安 全 团 队 的 事 情 ， 而 是 一 个 公 司 ， 甚 至 还 有 公 司 外 部 人 员 一 起 来 构 建 的 生 态 。 三 、 扫 描 器 怎 么 用 ？ 三 、 扫 描 器 怎 么 用 ？ 1 .   常 规 黑 盒 扫 描 常 规 黑 盒 扫 描 收 集 和 维 护 公 司 流 量 ， i p 和 域 名 信 息 ， 对 这 些 资 产 进 行 定 期 全 量 和 增 量 扫 描 。 全 量 扫 描 ， 重 点 在 于 ， 要 收 集 和 维 护 公 司 的 资 产 ， 并 对 资 产 进 行 有 效 的 去 重 策 略 。 周 期 要 比 增 量 扫 描 的 周 期 长 一 些 ， 这 里 的 重 点 在 于 全 ， 而 不 是 快 。 去 重 也 需 要 一 套 完 整 的 策 略 ， 不 过 此 处 不 作 过 多 展 开 。 增 量 扫 描 ， 对 比 原 有 资 产 库 ， 一 旦 发 现 有 新 增 资 产 ， 立 即 进 行 扫 描 ， 这 里 的 重 点 在 于 要 快 。 因 为 如 果 在 历 史 漏 洞 能 够 有 效 修 复 的 情 况 下 ， 新 增 资 产 出 现 新 漏 洞 或 高 危 漏 洞 的 可 能 性 更 大 ， 需 要 尽 快 发 现 并 处 理 。 2 .   黑 盒 插 件 扫 描 黑 盒 插 件 扫 描 据 N e t   M a r k e t   S h a r e   的 7 月 份 数 据 ， 占 据 全 球 浏 览 器 排 行 榜 首 位 的 是 C h r o m e 浏 览 器 ， 总 市 场 份 额 为 4 8 . 6 5 % 。 实 际 工 作 中 ， 也 确 实 不 少 的 程 序 员 喜 欢 用 C h r o m e 浏 览 器 。 甚 至 于 ， 不 少 浏 览 器 直 接 使 用 的 是 C h r o m e 的 内 核 。 在 这 个 前 提 下 ， 开 发 C h r o m e 浏 览 器 扫 描 插 件 成 为 了 可 能 。 由 于 黑 盒 扫 描 基 于 U R L 即 可 扫 描 发 现 漏 洞 的 特 性 ， 只 要 通 过 C h r o m e 或 其 内 核 浏 览 器 浏 览 过 的 U R L ， 都 可 以 通 过 插 件 进 行 收 集 抓 取 ， 并 进 一 步 进 行 黑 盒 扫 描 。 只 要 安 全 工 程 师 将 插 件 开 发 成 功 ， 并 推 广 到 公 司 的 开 发 和 测 试 安 装 使 用 ， 那 么 开 发 和 测 试 在 线 下 环 境 中 就 可 以 自 行 检 测 出 漏 洞 ， 只 要 安 全 工 程 师 准 备 好 相 应 漏 洞 的 修 复 方 案 ， 开 发 即 可 自 行 修 复 上 线 。 无 需 等 待 产 品 上 线 ， 将 安 全 风 险 暴 露 到 外 面 后 ， 外 部 或 安 全 工 程 师 再 倒 推 给 开 发 修 复 。 不 仅 是 降 低 了 安 全 风 险 ， 也 节 省 了 安 全 工 程 师 的 工 作 成 本 。 3 .   黑 盒 自 助 扫 描 黑 盒 自 助 扫 描 仍 基 于 拿 到 U R L 即 可 扫 描 或 爬 取 漏 洞 的 特 性 ， 可 以 将 扫 描 器 后 台 功 能 ， 开 发 成 前 台 产 品 ， 供 对 漏 洞 了 解 并 未 达 到 专 业 程 度 的 开 发 或 测 试 使 用 。 产 品 形 态 可 以 就 是 简 单 的 输 入 框 ， 用 户 输 入 U R L ， 点 击 扫 描 ， 即 可 对 该 U R L 进 行 黑 盒 漏 洞 扫 描 。 对 于 更 深 度 的 用 户 ， 也 研 发 定 期 ， 批 量 ， 爬 虫 或 接 口 扫 描 等 功 能 … … 可 以 做 的 事 情 就 很 丰 富 了 。 4 . 服 务 器 扫 描 服 务 器 扫 描 这 个 原 理 是 ， 抓 取 开 发 或 测 试 的 服 务 器 上 的 日 志 ， 推 到 扫 描 器 ， 进 行 定 期 自 动 化 扫 描 。 好 处 是 一 旦 配 置 了 ， 就 能 准 确 的 收 集 到 最 新 变 动 的 代 码 的 日 志 ， 并 且 中 途 无 须 人 工 进 行 更 多 的 操 作 ， 只 需 等 待 结 果 即 可 。 需 要 注 意 的 是 ， 要 尽 量 开 发 封 装 的 a g e n t ， 而 不 仅 仅 是 接 口 ， 因 为 封 装 的 a g e n t 在 开 发 或 者 测 试 接 入 的 时 候 成 本 更 低 ， 推 广 起 来 也 更 容 易 。 如 果 公 司 内 w e b s e r v e r 类 型 不 统 一 ， 那 么 可 能 需 要 开 发 A p a c h e , N g n i x ， l i g h t t p d 等 多 个 适 用 版 本 来 进 行 接 入 。 5 .   白 盒 代 码 扫 描 白 盒 代 码 扫 描 白 盒 的 代 码 扫 描 ， 理 论 上 也 可 以 运 用 方 法 3 中 ， 输 入 代 码 路 径 的 方 式 进 行 自 主 扫 描 。 还 有 一 种 方 案 就 是 ， 将 白 盒 代 码 扫 描 ， 封 装 成 一 个 脚 本 或 者 包 ， 推 广 给 开 发 ， 在 开 发 常 规 开 发 的 时 候 ， 跑 一 遍 脚 本 或 者 包 ， 显 示 哪 里 的 代 码 可 能 会 产 生 安 全 漏 洞 。 这 个 方 案 的 难 点 有 两 点 。 一 是 ， 如 果 公 司 开 发 使 用 的 是 多 种 语 言 ， 那 么 包 的 适 配 和 开 发 上 可 能 就 需 要 花 比 较 多 的 心 思 。 二 是 ， 白 盒 扫 描 本 身 产 生 的 误 报 ， 想 做 好 控 制 也 比 较 难 ， 这 就 要 在 漏 报 和 误 报 间 做 好 权 衡 ， 至 少 选 择 添 加 误 报 达 到 某 一 基 准 线 的 规 则 ， 并 做 好 引 导 说 明 ， 否 则 容 易 败 R P 。 6 .   上 线 平 台 扫 描 上 线 平 台 扫 描 如 果 是 比 较 专 业 的 公 司 ， 代 码 上 线 ， 一 般 都 会 有 上 线 的 平 台 或 者 系 统 做 支 撑 。
如 果 在 上 线 前 接 入 黑 盒 白 盒 扫 描 ， 并 对 漏 洞 进 行 修 复 ， 更 是 事 半 功 倍 。 需 要 注 意 的 几 个 事 情 是 ： 需 要 注 意 的 几 个 事 情 是 ： 第 一 ， 要 和 上 线 的 平 台 打 通 ， 取 得 相 应 平 台 ， 以 及 平 台 的 用 户 的 支 持 ， 这 部 分 建 议 还 是 先 走 试 点 然 后 逐 步 推 开 。 第 二 ， 接 入 黑 白 盒 扫 描 ， 不 要 等 到 最 终 上 线 那 一 刻 再 去 扫 描 ， 而 是 尽 量 将 扫 描 的 步 骤 提 前 ， 进 行 预 扫 描 ， 加 快 速 度 ， 提 高 用 户 体 验 。 第 三 ， 对 于 扫 描 的 结 果 ， 哪 些 可 以 不 修 复 就 上 线 ， 哪 些 必 须 修 复 后 上 线 ， 必 须 制 定 相 应 的 策 略 ， 明 确 不 修 复 上 线 的 风 险 确 认 方 式 。 第 四 ， 对 于 扫 描 器 扫 描 规 则 的 维 护 ， 需 要 在 安 全 自 己 的 系 统 中 ， 而 不 是 上 线 的 平 台 。 这 样 添 加 规 则 ， 设 置 白 名 单 ， 能 够 不 受 上 线 平 台 的 影 响 ， 自 己 掌 握 主 动 权 。 最 后 ， 任 何 一 种 扫 描 器 都 不 能 解 决 所 有 的 问 题 ， 有 必 要 的 情 况 下 ， 对 于 重 点 业 务 可 以 通 过 设 定 策 略 ， 添 加 人 工 测 试 。 四 、 扫 描 器 怎 么 维 护 ？ 四 、 扫 描 器 怎 么 维 护 ？ 衡 量 扫 描 器 好 坏 最 简 单 的 就 是 漏 报 和 误 报 率 ， 如 何 尽 量 降 低 漏 报 和 误 报 ， 是 扫 描 器 安 全 上 的 最 主 要 目 标 。 当 然 ， 稳 定 性 ， 效 率 ， 速 度 不 可 忽 视 ， 不 过 此 处 不 做 详 细 说 明 。 1 . 漏 报 漏 报 漏 报 是 难 免 的 ， 重 要 的 是 每 次 发 现 漏 报 后 能 够 更 好 的 处 理 和 解 决 ， 并 且 和 误 报 做 好 平 衡 取 舍 。 漏 洞 一 旦 通 过 各 种 非 扫 描 器 的 渠 道 上 报 后 ， 要 有 专 门 的 人 对 该 漏 洞 进 行 分 析 和 规 则 添 加 。 这 其 中 ， 疑 似 漏 报 的 漏 洞 的 通 知 规 则 和 方 式 ， 根 据 漏 洞 类 型 进 行 初 步 的 过 滤 和 筛 选 ， 以 及 后 续 的 规 则 添 加 都 可 以 进 行 策 略 制 定 ， 这 些 都 可 以 提 高 工 作 的 效 率 。 此 外 ， 对 于 基 础 资 产 ， 包 括 但 不 限 于 流 量 ， 域 名 ， i p ， 代 码 路 径 相 关 信 息 ， 进 行 收 集 和 维 护 ， 也 是 减 少 漏 报 的 重 要 途 径 。 不 过 ， 大 公 司 资 产 分 布 较 多 ， 初 创 公 司 基 础 建 设 又 有 可 能 不 完 整 ， 收 集 资 产 都 是 个 不 易 的 任 务 。 根 据 过 往 有 限 的 经 验 ， 如 果 安 全 团 队 有 人 力 的 话 ， 最 有 质 量 的 方 案 ， 是 将 资 产 梳 理 和 资 产 数 据 ， 通 过 各 种 方 式 ， 汇 总 到 自 己 的 平 台 上 ， 自 己 进 行 维 护 。 如 果 依 赖 其 他 平 台 运 维 ， 后 续 无 论 是 工 作 对 接 上 ， 还 是 保 证 数 据 准 确 性 上 ， 都 会 有 无 穷 无 尽 的 麻 烦 。 梳 理 资 产 确 实 是 个 比 较 需 要 耐 心 ， 恒 心 ， 毅 力 和 沟 通 能 力 的 工 作 。 2 . 误 报 误 报 这 里 涉 及 到 的 是 添 加 规 则 。 如 果 是 自 研 扫 描 器 ， 非 常 非 常 建 议 ， 添 加 规 则 是 通 过 动 态 配 置 ， 而 非 更 新 代 码 。 因 为 规 则 本 身 就 是 不 断 变 化 的 ， 如 果 每 次 规 则 变 化 都 依 赖 开 发 ， 后 续 的 麻 烦 ， 你 懂 的 。 最 后 ， 安 全 不 是 一 个 团 队 的 事 情 ， 而 是 联 合 公 司 内 外 各 种 力 量 建 立 起 来 的 生 态 。 任 何 一 种 扫 描 器 也 无 法 扫 描 出 全 部 的 漏 洞 。 向 奋 斗 在 第 一 线 的 安 全 从 业 人 员 致 敬 。 * 本 文 原 创 作 者 ： 安 惞 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理