搜索

[13175] 2018-09-12_卡巴斯基2017年企业信息系统的安全评估报告

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-09-12_卡巴斯基2017年企业信息系统的安全评估报告 卡 巴 斯 基 2 0 1 7 年 企 业 信 息 系 统 的 安 全 评 估 报 告 v i t a m i n s e c u r i t y   F r e e B u f   2 0 1 8 - 0 9 - 1 2 引 言 引 言 卡 巴 斯 基 实 验 室 的 安 全 服 务 部 门 每 年 都 会 为 全 球 的 企 业 开 展 数 十 个 网 络 安 全 评 估 项 目 。 在 本 文 中 ， 我 们 提 供 了 卡 巴 斯 基 实 验 室 的 安 全 服 务 部 门 每 年 都 会 为 全 球 的 企 业 开 展 数 十 个 网 络 安 全 评 估 项 目 。 在 本 文 中 ， 我 们 提 供 了 卡 巴 斯 基 实 验 室 卡 巴 斯 基 实 验 室 2 0 1 7 年 开 展 的 企 业 信 息 系 统 网 络 安 全 评 估 的 总 体 概 述 和 统 计 数 据 。 年 开 展 的 企 业 信 息 系 统 网 络 安 全 评 估 的 总 体 概 述 和 统 计 数 据 。 本 文 的 主 要 目 的 是 为 现 代 企 业 信 息 系 统 的 漏 洞 和 攻 击 向 量 领 域 的 I T 安 全 专 家 提 供 信 息 支 持 。 我 们 已 经 为 多 个 行 业 的 企 业 开 展 了 数 十 个 项 目 ， 包 括 政 府 机 构 、 金 融 机 构 、 电 信 和 I T 公 司 以 及 制 造 业 和 能 源 业 公 司 。 下 图 显 示 了 这 些 企 业 的 行 业 和 地 区 分 布 情 况 。 目 标 企 业 的 行 业 和 地 区 分 布 情 况 漏 洞 的 概 括 和 统 计 信 息 是 根 据 我 们 提 供 的 每 种 服 务 分 别 总 结 的 ： 外 部 渗 透 测 试 外 部 渗 透 测 试 是 指 针 对 只 能 访 问 公 开 信 息 的 外 部 互 联 网 入 侵 者 的 企 业 网 络 安 全 状 况 评 估 内 部 渗 透 测 试 内 部 渗 透 测 试 是 指 针 对 位 于 企 业 网 络 内 部 的 具 有 物 理 访 问 权 限 但 没 有 特 权 的 攻 击 者 进 行 的 企 业 网 络 安 全 状 况 评 估 。 W e b * * 应 用 安 全 评 估 * * 是 指 针 对 W e b 应 用 的 设 计 、 开 发 或 运 营 过 程 中 出 现 的 错 误 导 致 的 漏 洞 （ 安 全 漏 洞 ） 的 评 估 。 本 出 版 物 包 含 卡 巴 斯 基 实 验 室 专 家 检 测 到 的 最 常 见 漏 洞 和 安 全 缺 陷 的 统 计 数 据 ， 未 经 授 权 的 攻 击 者 可 能 利 用 这 些 漏 洞 渗 透 公 司 的 基 础 设 施 。 针 对 外 部 入 侵 者 的 安 全 评 估 针 对 外 部 入 侵 者 的 安 全 评 估 我 们 将 企 业 的 安 全 等 级 划 分 为 以 下 评 级 ： 非 常 低 非 常 低 低 低
中 等 偏 下 中 等 偏 下 中 中 中 等 偏 上 中 等 偏 上 高 高 我 们 通 过 卡 巴 斯 基 实 验 室 的 自 有 方 法 进 行 总 体 的 安 全 等 级 评 估 ， 该 方 法 考 虑 了 测 试 期 间 获 得 的 访 问 级 别 、 信 息 资 源 的 优 先 级 、 获 取 访 问 权 限 的 难 度 以 及 花 费 的 时 间 等 因 素 。 安 全 级 别 为 非 常 低 对 应 于 我 们 能 够 穿 透 内 网 的 边 界 并 访 问 内 网 关 键 资 源 的 情 况 （ 例 如 ， 获 得 内 网 的 最 高 权 限 ， 获 得 关 键 业 务 系 统 的 完 全 控 制 权 限 以 及 获 得 关 键 的 信 息 ） 。 此 外 ， 获 得 这 种 访 问 权 限 不 需 要 特 殊 的 技 能 或 大 量 的 时 间 。 安 全 级 别 为 高 对 应 于 在 客 户 的 网 络 边 界 只 能 发 现 无 关 紧 要 的 漏 洞 （ 不 会 对 公 司 带 来 风 险 ） 的 情 况 。 目 标 企 业 的 经 济 成 分 分 布 目 标 企 业 的 安 全 等 级 分 布 根 据 测 试 期 间 获 得 的 访 问 级 别 来 划 分 目 标 企 业
用 于 穿 透 网 络 边 界 的 攻 击 向 量 用 于 穿 透 网 络 边 界 的 攻 击 向 量 大 多 数 攻 击 向 量 成 功 的 原 因 在 于 不 充 分 的 内 网 过 滤 、 管 理 接 口 可 公 开 访 问 、 弱 密 码 以 及 W e b 应 用 中 的 漏 洞 等 。 尽 管 8 6 % 的 目 标 企 业 使 用 了 过 时 、 易 受 攻 击 的 软 件 ， 但 只 有 1 0 % 的 攻 击 向 量 利 用 了 软 件 中 的 未 经 修 复 的 漏 洞 来 穿 透 内 网 边 界 （ 2 8 % 的 目 标 企 业 ） 。 这 是 因 为 对 这 些 漏 洞 的 利 用 可 能 导 致 拒 绝 服 务 。 由 于 渗 透 测 试 的 特 殊 性 （ 保 护 客 户 的 资 源 可 运 行 是 一 个 优 先 事 项 ） ， 这 对 于 模 拟 攻 击 造 成 了 一 些 限 制 。 然 而 ， 现 实 中 的 犯 罪 分 子 在 发 起 攻 击 时 可 能 就 不 会 考 虑 这 么 多 了 。 建 议 ： 建 议 ： 除 了 进 行 更 新 管 理 外 ， 还 要 更 加 注 重 配 置 网 络 过 滤 规 则 、 实 施 密 码 保 护 措 施 以 及 修 复 W e b 应 用 中 的 漏 洞 。
利 用 利 用 W e b 应 用 中 的 漏 洞 发 起 的 攻 击 应 用 中 的 漏 洞 发 起 的 攻 击 我 们 的 2 0 1 7 年 渗 透 测 试 结 果 明 确 表 明 ， 对 W e b 应 用 安 全 性 的 关 注 仍 然 不 够 。 W e b 应 用 漏 洞 在 7 3 % 的 攻 击 向 量 中 被 用 于 获 取 网 络 外 围 主 机 的 访 问 权 限 。 在 渗 透 测 试 期 间 ， 任 意 文 件 上 传 漏 洞 是 用 于 穿 透 网 络 边 界 的 最 广 泛 的 W e b 应 用 漏 洞 。 该 漏 洞 可 被 用 于 上 传 命 令 行 解 释 器 并 获 得 对 操 作 系 统 的 访 问 权 限 。 S Q L 注 入 、 任 意 文 件 读 取 、 X M L 外 部 实 体 漏 洞 主 要 用 于 获 取 用 户 的 敏 感 信 息 ， 例 如 密 码 及 其 哈 希 。 账 户 密 码 被 用 于 通 过 可 公 开 访 问 的 管 理 接 口 来 发 起 的 攻 击 。 建 议 ： 建 议 ： 应 定 期 对 所 有 的 公 开 W e b 应 用 进 行 安 全 评 估 ； 应 实 施 漏 洞 管 理 流 程 ； 在 更 改 应 用 程 序 代 码 或 W e b 服 务 器 配 置 后 ， 必 须 检 查 应 用 程 序 ； 必 须 及 时 更 新 第 三 方 组 件 和 库 。 用 于 穿 透 网 络 边 界 的 W e b 应 用 漏 洞 利 用 W e b 应 用 漏 洞 和 可 公 开 访 问 的 管 理 接 口 获 取 内 网 访 问 权 限 的 示 例
第 一 步 利 用 S Q L 注 入 漏 洞 绕 过 W e b 应 用 的 身 份 验 证 第 二 步 利 用 敏 感 信 息 泄 露 漏 洞 获 取 W e b 应 用 中 的 用 户 密 码 哈 希 第 三 步 离 线 密 码 猜 测 攻 击 。 可 能 利 用 的 漏 洞 ： 弱 密 码 第 四 步 利 用 获 取 的 凭 据 ， 通 过 X M L 外 部 实 体 漏 洞 （ 针 对 授 权 用 户 ） 读 取 文 件 第 五 步 针 对 获 取 到 的 用 户 名 发 起 在 线 密 码 猜 测 攻 击 。 可 能 利 用 的 漏 洞 ： 弱 密 码 ， 可 公 开 访 问 的 远 程 管 理 接 口 第 六 步 在 系 统 中 添 加 s u 命 令 的 别 名 ， 以 记 录 输 入 的 密 码 。 该 命 令 要 求 用 户 输 入 特 权 账 户 的 密 码 。 这 样 ， 管 理 员 在 输 入 密 码 时 就 会 被 截 获 。
第 七 步 获 取 企 业 内 网 的 访 问 权 限 。 可 能 利 用 的 漏 洞 ： 不 安 全 的 网 络 拓 扑 利 用 管 理 接 口 发 起 的 攻 击 利 用 管 理 接 口 发 起 的 攻 击 虽 然 “ 对 管 理 接 口 的 网 络 访 问 不 受 限 制 ” 不 是 一 个 漏 洞 ， 而 是 一 个 配 置 上 的 失 误 ， 但 在 2 0 1 7 年 的 渗 透 测 试 中 它 被 一 半 的 攻 击 向 量 所 利 用 。 5 7 % 的 目 标 企 业 可 以 通 过 管 理 接 口 获 取 对 信 息 资 源 的 访 问 权 限 。 通 过 管 理 接 口 获 取 访 问 权 限 通 常 利 用 了 以 下 方 式 获 得 的 密 码 ： 利 用 目 标 主 机 的 其 它 漏 洞 （ 利 用 目 标 主 机 的 其 它 漏 洞 （ 2 7 . 5 % ） 。 ） 。 例 如 ， 攻 击 者 可 利 用 W e b 应 用 中 的 任 意 文 件 读 取 漏 洞 从 W e b 应 用 的 配 置 文 件 中 获 取 明 文 密 码 。 使 用 使 用 W e b 应 用 、 应 用 、 C M S 系 统 、 网 络 设 备 等 的 默 认 凭 据 （ 系 统 、 网 络 设 备 等 的 默 认 凭 据 （ 2 7 . 5 % ） 。 ） 。 攻 击 者 可 以 在 相 应 的 文 档 中 找 到 所 需 的 默 认 账 户 凭 据 。 发 起 在 线 密 码 猜 测 攻 击 （ 发 起 在 线 密 码 猜 测 攻 击 （ 1 8 % ） 。 ） 。 当 没 有 针 对 此 类 攻 击 的 防 护 措 施 / 工 具 时 ， 攻 击 者 通 过 猜 测 来 获 得 密 码 的 机 会 将 大 大 增 加 。 从 其 它 受 感 染 的 主 机 获 取 的 凭 据 （ 从 其 它 受 感 染 的 主 机 获 取 的 凭 据 （ 1 8 % ） 。 ） 。 在 多 个 系 统 上 使 用 相 同 的 密 码 扩 大 了 潜 在 的 攻 击 面 。 在 利 用 管 理 接 口 获 取 访 问 权 限 时 利 用 过 时 软 件 中 的 已 知 漏 洞 是 最 不 常 见 的 情 况 。 利 用 管 理 接 口 获 取 访 问 权 限
通 过 何 种 方 式 获 取 管 理 接 口 的 访 问 权 限 管 理 接 口 类 型
建 议 ： 建 议 ： 定 期 检 查 所 有 系 统 ， 包 括 W e b 应 用 、 内 容 管 理 系 统 （ C M S ） 和 网 络 设 备 ， 以 查 看 是 否 使 用 了 任 何 默 认 凭 据 。 为 管 理 员 帐 户 设 置 强 密 码 。 在 不 同 的 系 统 中 使 用 不 同 的 帐 户 。 将 软 件 升 级 至 最 新 版 本 。 大 多 数 情 况 下 ， 企 业 往 往 忘 记 禁 用 W e b 远 程 管 理 接 口 和 S S H 服 务 的 网 络 访 问 。 大 多 数 W e b 管 理 接 口 是 W e b 应 用 或 C M S 的 管 理 控 制 面 板 。 访 问 这 些 管 理 控 制 面 板 通 常 不 仅 可 以 获 得 对 W e b 应 用 的 完 整 控 制 权 ， 还 可 以 获 得 操 作 系 统 的 访 问 权 。 获 得 对 W e b 应 用 管 理 控 制 面 板 的 访 问 权 限 后 ， 可 以 通 过 任 意 文 件 上 传 功 能 或 编 辑 W e b 应 用 的 页 面 来 获 取 执 行 操 作 系 统 命 令 的 权 限 。 在 某 些 情 况 下 ， 命 令 行 解 释 程 序 是 W e b 应 用 管 理 控 制 面 板 中 的 内 置 功 能 。 建 议 ： 建 议 ： 严 格 限 制 对 所 有 管 理 接 口 （ 包 括 W e b 接 口 ） 的 网 络 访 问 。 只 允 许 从 有 限 数 量 的 I P 地 址 进 行 访 问 。 在 远 程 访 问 时 使 用 V P N 。 利 用 管 理 接 口 发 起 攻 击 的 示 例 利 用 管 理 接 口 发 起 攻 击 的 示 例 第 一 步 第 一 步 检 测 到 一 个 只 读 权 限 的 默 认 社 区 字 符 串 的 检 测 到 一 个 只 读 权 限 的 默 认 社 区 字 符 串 的 S N M P 服 务 服 务 * * 第 二 步   |   通 过 S N M P 协 议 检 测 到 一 个 过 时 的 、 易 受 攻 击 的 思 科 I O S 版 本 。 漏 洞 ： c i s c o - s a - 2 0 1 7 0 6 2 9 - s n m p （ h t t p s : / / t o o l s . c i s c o .   c o m / s e c u r i t y / c e n t e r / c o n t e n t / C i s c o S e c u r i t y A d v i s o r y / c i s c o - s a - 2 0 1 7 0 6 2 9 - s n m p ） 。 该 漏 洞 允 许 攻 击 者 通 过 只 读 的 S N M P 社 区 字 符 串 进 行 提 权 ， 获 取 设 备 的 完 全 访 问 权 限 。 利 用 思 科 发 布 的 公 开 漏 洞 信 息 ， 卡 巴 斯 基 专 家 A r t e m   K o n d r a t e n k o 开 发 了 一 个 用 来 演 示 攻 击 的 漏 洞 利 用 程 序 （ h t t p s : / / g i t h u b . c o m / a r t k o n d / c i s c o - s n m p - r c e ） 。   | |   第 三 步   |   利 用 A D S L - L I N E - M I B 中 的 一 个 漏 洞 以 及 路 由 器 的 完 全 访 问 权 限 ， 我 们 可 以 获 得 客 户 的 内 网 资 源 的 访 问 权 限 。 完 整 的 技 术 细 节 请 参 考 h t t p s : / / k a s . p r / 3 w h h * *   | 最 常 见 漏 洞 和 安 全 缺 陷 的 统 计 信 息 最 常 见 漏 洞 和 安 全 缺 陷 的 统 计 信 息 最 常 见 的 漏 洞 和 安 全 缺 陷
针 对 内 部 入 侵 者 的 安 全 评 估 针 对 内 部 入 侵 者 的 安 全 评 估 我 们 将 企 业 的 安 全 等 级 划 分 为 以 下 评 级 ： 非 常 低 非 常 低 低 低 中 等 偏 下 中 等 偏 下 中 中 中 等 偏 上 中 等 偏 上 高 高 我 们 通 过 卡 巴 斯 基 实 验 室 的 自 有 方 法 进 行 总 体 的 安 全 等 级 评 估 ， 该 方 法 考 虑 了 测 试 期 间 获 得 的 访 问 级 别 、 信 息 资 源 的 优 先 级 、 获 取 访 问 权 限 的 难 度 以 及 花 费 的 时 间 等 因 素 。 安 全 级 别 为 非 常 低 对 应 于 我 们 能 够 获 得 客 户 内 网 的 完 全 控 制 权 的 情 况 （ 例 如 ， 获 得 内 网 的 最 高 权 限 ， 获 得 关 键 业 务 系 统 的 完 全 控 制 权 限 以 及 获 取 关 键 的 信 息 ） 。 此 外 ， 获 得 这 种 访 问 权 限 不 需 要 特 殊 的 技 能 或 大 量 的 时 间 。 安 全 级 别 为 高 对 应 于 在 渗 透 测 试 中 只 能 发 现 无 关 紧 要 的 漏 洞 （ 不 会 对 公 司 带 来 风 险 ） 的 情 况 。 在 存 在 域 基 础 设 施 的 所 有 项 目 中 ， 有 8 6 % 可 以 获 得 活 动 目 录 域 的 最 高 权 限 （ 例 如 域 管 理 员 或 企 业 管 理 员 权 限 ） 。 在 6 4 % 的 企 业 中 ， 可 以 获 得 最 高 权 限 的 攻 击 向 量 超 过 了 一 个 。 在 每 一 个 项 目 中 ， 平 均 有 2 - 3 个 可 以 获 得 最 高 权 限 的 攻 击 向 量 。 这 里 只 统 计 了 在 内 部 渗 透 测 试 期 间 实 践 过 的 那 些 攻 击 向 量 。 对 于 大 多 数 项 目 ， 我 们 还 通 过 b l o o d h o u n d 等 专 有 工 具 发 现 了 大 量 其 它 的 潜 在 攻 击 向 量 。
这 些 我 们 实 践 过 的 攻 击 向 量 在 复 杂 性 和 实 践 步 骤 数 （ 从 2 步 到 6 步 ） 方 面 各 不 相 同 。 平 均 而 言 ， 在 每 个 企 业 中 获 取 域 管 理 员 权 限 需 要 3 个 步 骤 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理