搜索

[13286] 2018-10-11_美国GAO武器系统安全报告：先进武器装备多存在安全漏洞

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-18
2018-10-11_美国GAO武器系统安全报告：先进武器装备多存在安全漏洞 美 国 G A O 武 器 系 统 安 全 报 告 ： 先 进 武 器 装 备 多 存 在 安 全 漏 洞 a n g 0 1 0 e l a   F r e e B u f   2 0 1 8 - 1 0 - 1 1 美 国 政 府 问 责 局 （ 美 国 政 府 问 责 局 （ G o v e r n m e n t A c c o u n t a b i l i t y O f f i c e ， ， G A O ） 日 前 发 布 报 告 称 ， 美 国 国 防 部 开 发 的 武 器 系 统 都 ） 日 前 发 布 报 告 称 ， 美 国 国 防 部 开 发 的 武 器 系 统 都 存 在 安 全 漏 洞 ， 攻 击 者 可 以 控 制 这 些 武 器 系 统 ， 甚 至 破 坏 其 功 能 。 存 在 安 全 漏 洞 ， 攻 击 者 可 以 控 制 这 些 武 器 系 统 ， 甚 至 破 坏 其 功 能 。 美 国 国 防 部 计 划 在 开 发 先 进 武 器 装 备 方 面 投 入 1 . 6 6 万 亿 美 元 ， 美 国 G A O 的 报 告 显 示 几 乎 所 有 正 在 开 发 中 的 武 器 系 统 都 存 在 致 命 漏 洞 。 测 试 团 队 使 用 普 通 工 具 和 技 术 测 试 了 武 器 系 统 应 对 网 络 攻 击 的 能 力 ， 包 括 控 制 目 标 或 使 目 标 系 统 不 能 正 常 工 作 。 测 试 人 员 发 现 ， 有 时 候 对 系 统 进 行 扫 描 都 可 能 使 其 停 止 工 作 。 G A O 还 发 现 整 个 凭 证 管 理 过 程 非 常 差 ， 测 试 记 录 显 示 测 试 团 队 甚 至 在 9 秒 钟 内 都 猜 出 了 系 统 的 管 理 密 码 ， 而 最 可 能 的 情 况 就 是 管 理 员 在 武 器 系 统 安 装 软 件 时 没 有 修 改 默 认 的 密 码 。 使 用 网 络 上 任 何 人 都 可 以 得 到 的 信 息 和 工 具 就 可 以 隐 藏 恶 意 活 动 或 绕 过 武 器 系 统 的 保 护 机 制 。 问 题 分 析 问 题 分 析 网 络 攻 击 红 队 在 入 侵 后 没 有 被 发 现 的 原 因 有 很 多 ， G A O 人 员 在 测 试 过 程 中 故 意 留 下 了 一 些 行 动 的 线 索 ， 但 系 统 管 理 人 员 仍 没 有 发 现 这 些 可 以 获 得 的 迹 象 。 预 警 系 统 配 置 错 误 是 其 中 一 个 原 因 ， 虽 然 报 告 中 都 提 到 入 侵 检 测 系 统 I D S 红 灯 了 ， 但 系 统 管 理 员 并 没 有 接 收 到 预 警 消 息 。 而 有 时 候 I D S 会 一 直 显 示 预 警 状 态 ， 所 以 这 也 有 可 能 导 致 让 管 理 人 员 不 再 信 赖 这 些 预 警 系 统 。
报 告 中 称 ， 测 试 团 队 通 过 重 启 系 统 模 拟 了 D O S 攻 击 ， 确 保 系 统 在 一 个 短 时 间 周 期 内 无 法 执 行 原 来 的 任 务 。 而 系 统 管 理 员 并 没 有 怀 疑 出 现 的 网 络 攻 击 ， 原 因 是 系 统 会 经 常 出 现 莫 名 其 妙 的 奔 溃 。 系 统 操 作 员 系 统 操 作 员 系 统 操 作 员 也 可 以 看 作 是 网 络 攻 击 活 动 的 帮 凶 。 一 些 网 络 攻 击 活 动 的 日 志 并 不 会 被 系 统 管 理 员 查 看 。 还 有 一 些 情 况 是 成 功 检 测 到 了 入 侵 ， 但 系 统 管 理 员 无 法 应 用 有 效 的 应 对 措 施 。 比 如 ， 测 试 团 队 绕 过 了 防 护 措 施 ； 另 一 个 案 例 中 恢 复 电 脑 需 要 外 部 的 帮 助 。 红 队 红 队 找 出 完 全 或 部 分 访 问 目 标 和 控 制 目 标 的 方 法 才 是 红 队 的 主 要 目 标 ， 测 试 团 队 评 估 武 器 系 统 的 漏 洞 状 态 也 很 有 趣 。 内 部 报 告 显 示 当 测 试 团 队 获 取 了 系 统 的 一 些 权 限 后 ， 可 以 进 行 权 限 提 升 ， 甚 至 可 以 看 到 目 标 系 统 操 作 人 员 的 每 一 步 动 作 。 复 制 、 删 除 、 修 改 数 据 与 发 现 漏 洞 一 样 简 单 ， 测 试 团 队 甚 至 窃 取 了 1 0 0 G B 的 数 据 。 测 试 人 员 甚 至 在 用 户 终 端 上 弹 出 显 示 “ i n s t r u c t i n g   t h e m   t o   i n s e r t   t w o   q u a r t e r s   t o   c o n t i n u e   o p e r a t i n g ” 。 根 源 分 析 根 源 分 析 G A O 的 审 计 从 2 0 1 7 年 7 月 开 始 到 2 0 1 8 年 1 0 月 ， 持 续 了 1 年 多 ， 期 间 测 试 了 2 0 1 2 到 2 0 1 7 年 之 间 的 一 些 武 器 系 统 。 还 检 查 了 美 国 国 防 部 改 善 武 器 系 统 安 全 性 方 面 采 取 的 措 施 ， 包 括 分 析 采 购 、 需 求 、 测 试 政 策 和 指 南 。 报 告 的 结 论 是 ： 美 国 在 应 对 网 络 攻 击 的 武 器 系 统 的 研 发 起 步 较 晚 ， 也 缺 乏 一 些 关 键 的 步 骤 。 网 络 防 御 主 要 是 针 对 基 础 设 施 和 网 络 ， 而 不 是 武 器 系 统 本 身 ， 所 以 网 络 系 统 也 需 要 同 样 级 别 的 重 视 。 造 成 美 国 国 防 部 武 器 系 统 当 前 安 全 状 况 的 原 因 有 很 多 ， 包 括 ： 武 器 系 统 计 算 机 化 和 网 络 化 的 本 质 ； 过 去 未 优 先 发 展 武 器 系 统 安 全 ； 以 及 国 防 部 对 如 何 最 好 的 开 发 更 多 的 网 络 安 全 的 武 器 系 统 的 不 全 面 的 理 解 。 同 时 ， 一 些 部 门 也 认 识 到 网 络 安 全 的 重 要 性 ， 并 在 系 统 设 计 和 互 联 方 面 加 入 了 安 全 的 考 虑 。 但 一 些 关 于 对 测 试 结 果 的 真 实 性 存 在 怀 疑 ， 坚 信 武 器 系 统 处 于 合 理 的 保 护 之 内 。
G A O 发 现 的 当 前 网 络 安 全 状 态 可 能 只 是 冰 山 一 角 ， 这 也 是 G A O 首 次 对 武 器 系 统 购 置 进 行 审 计 活 动 ， 这 还 不 包 括 对 供 应 商 设 施 、 物 联 网 设 备 和 工 控 系 统 安 全 的 测 试 和 审 计 。 * 参 考 来 源 ： G A O ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理