搜索

[20967] 2020-04-18_【干货分享】日志管理与分析（三）--对日志系统的攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-04-18_【干货分享】日志管理与分析（三）--对日志系统的攻击 【 干 货 分 享 】 日 志 管 理 与 分 析 （ 三 ） - - 对 日 志 系 统 的 攻 击 原 创   l e m o n   S e c P u l s e 安 全 脉 搏   2 0 2 0 - 0 4 - 1 8 本 文 继 上 篇 《 日 志 管 理 与 分 析 （ 二 ） - - 日 志 系 统 分 析 与 报 告 》 ， 健 壮 的 日 志 分 析 系 统 ， 依 赖 于 所 分 析 日 志 数 据 的 完 整 性 。 该 系 统 必 须 对 修 改 和 删 除 数 据 的 企 图 有 适 应 能 力 ， 在 此 基 础 上 ， 它 还 必 须 对 日 志 数 据 的 访 问 进 行 细 粒 度 的 控 制 。 若 日 志 数 据 作 为 法 律 上 的 证 据 ， 说 明 日 志 数 据 完 整 性 的 能 力 ， 对 于 该 数 据 是 否 被 视 为 可 接 受 的 证 据 ， 有 着 很 大 的 影 响 。 攻 击 以 日 志 为 目 标 的 原 因 有 很 多 ， 这 里 不 做 赘 述 。 首 先 ， 攻 击 者 通 常 不 希 望 被 抓 住 ， 因 为 日 志 数 据 提 供 了 活 动 的 证 据 ， 所 以 要 避 免 这 些 信 息 被 发 现 。 而 更 聪 明 的 攻 击 者 更 可 能 通 过 误 导 来 隐 藏 他 的 痕 迹 ， 使 观 察 者 认 为 发 生 的 是 其 他 事 件 。 除 隐 藏 痕 迹 外 ， 攻 击 者 也 可 能 在 日 志 中 发 现 对 自 己 有 用 的 信 息 ， 例 如 事 务 数 据 ， 或 者 有 助 于 攻 击 其 他 系 统 的 信 息 ， 如 密 码 或 者 账 户 编 号 等 。 因 此 ， 攻 击 者 有 不 被 日 志 记 录 、 销 毁 日 志 、 修 改 日 志 的 动 机 ， 也 希 望 窥 探 来 自 各 种 系 统 的 日 志 ， 以 收 集 情 报 。 P a r t   2 对 日 志 系 统 的 攻 击 2 . 1 攻 击 什 么 ？ 攻 击 什 么 ？ 对 日 志 记 录 基 础 设 施 的 攻 击 可 以 在 基 础 设 施 的 任 何 一 点 进 行 ： 源 ： 日 志 消 息 生 成 的 主 机 ， 攻 击 系 统 或 者 日 志 记 录 应 用 程 序 本 身 都 是 可 行 的 选 择 。 传 输 ： 源 和 日 志 主 机 之 间 的 网 络 ， 或 者 处 理 和 存 储 之 间 的 网 络 。 收 集 器 或 者 收 集 日 志 的 代 理 ： 收 集 来 自 各 种 源 的 日 志 的 场 所 。 日 志 数 据 存 储 ： 存 储 日 志 信 息 的 数 据 库 系 统 ， 也 适 用 于 存 档 日 志 数 据 的 任 何 机 制 ， 包 括 利 用 训 练 有 素 的 、 以 备 份 磁 带 为 生 的 人 。 分 析 ： 完 成 分 析 的 系 统 和 分 析 过 程 本 身 。 最 后 ， 攻 击 者 可 以 攻 击 任 何 日 志 管 理 都 无 法 避 免 的 部 分 ， 查 看 数 据 和 作 出 决 策 的 分 析 人 员 。 攻 击 本 身 可 以 用 计 算 机 威 胁 分 析 的 “ C I A ” 模 型 分 类 ： C I A 即 ： C o n f i d e n c i a l i t y     机 密 性 ： 攻 击 者 读 取 日 志 数 据 的 能 力 。 I n t e g r i t y       完 整 性 ： 攻 击 者 修 改 、 破 坏 或 者 插 入 “ 构 造 的 ” 日 志 数 据 的 能 力 A v a i l a b i l i t y     可 用 性 ： 攻 击 者 删 除 日 志 数 据 或 者 禁 用 日 志 记 录 系 统 的 能 力 ， 或 者 拒 绝 分 析 功 能 操 作 的 能 力 。 例 如 ， 远 程 入 侵 者 使 用 r o o t k i t 中 常 常 发 现 一 种 简 单 的 攻 击 ， 即 删 除 / v a r / l o g 中 的 任 何 文 件 。 这 种 攻 击 可 以 通 过 使 用 加 固 的 集 中 日 志 主 机 来 缓 解 ， 在 原 始 主 机 上 的 数 据 仍 然 会 被 删 除 ， 但 是 日 志 主 机 上 还 有 可 用 的 拷 贝 。 另 一 种 简 单 的 攻 击 是 对 源 和 日 志 主 机 之 间 的 网 络 进 行 洪 水 攻 击 ， 造 成 丢 包 ， 阻 止 日 志 数 据 到 达 日 志 主 机 。
2 . 2 对 机 密 性 的 攻 击 对 机 密 性 的 攻 击 对 日 志 数 据 的 机 密 性 攻 击 ， 通 常 与 隐 藏 痕 迹 的 入 侵 者 无 关 ， 而 与 收 集 情 报 相 关 。 这 里 所 说 的 情 报 可 能 是 关 于 系 统 和 网 络 的 信 息 ， 这 种 信 息 可 以 用 于 其 他 攻 击 ， 信 息 的 收 集 可 能 本 身 就 是 攻 击 。 即 使 数 据 本 身 不 是 敏 感 的 ， 法 律 或 者 公 司 政 策 可 能 将 该 数 据 的 曝 光 视 为 违 规 。 那 么 ， 入 侵 者 可 能 在 你 的 日 志 中 找 到 什 么 呢 ？ 你 正 在 运 行 的 应 用 程 序 ， 以 及 运 行 他 们 的 主 机 。 日 志 往 往 显 示 应 用 程 序 版 本 ， 也 可 能 包 括 有 关 应 用 程 序 配 置 的 信 息 。 所 有 这 些 数 据 可 以 用 来 寻 找 漏 洞 。 你 在 日 志 中 可 能 注 意 到 什 么 ， 这 是 为 了 确 定 如 何 避 免 被 注 意 ， 或 者 为 了 不 被 记 入 日 志 。 有 用 的 信 息 片 段 ， 如 谁 有 访 问 特 权 ， 员 工 合 适 登 录 登 。 偶 然 曝 光 的 证 书 。 例 如 ： 用 户 在 提 示 输 入 用 户 名 时 不 小 心 输 入 了 他 们 的 密 码 ， 直 到 身 份 认 证 失 败 之 后 才 发 觉 。 错 误 输 入 的 密 码 可 能 会 被 当 作 用 户 名 记 入 日 志 中 的 “ 登 录 失 败 ” 消 息 。 可 以 窃 取 的 数 据 或 者 事 务 记 录 的 位 置 ， 这 可 能 是 攻 击 的 真 正 目 标 。 2 . 2 . 1 源 机 密 性 源 机 密 性 得 到 日 志 数 据 的 最 简 单 方 法 是 访 问 生 成 这 些 数 据 的 地 方 - - 消 息 源 消 息 源 。 过 高 的 权 限 或 者 间 接 访 问 可 能 使 攻 击 者 能 够 阅 读 日 志 数 据 。 下 面 的 简 单 例 子 ， 日 志 文 件 可 以 被 任 何 人 阅 读 ： 如 果 非 特 权 用 户 能 够 读 取 日 志 文 件 ， 他 们 就 更 加 容 易 诊 断 自 己 的 问 题 ， 但 是 他 们 也 可 能 去 阅 读 一 些 不 应 该 阅 读 的 内 容 - - 例 如 系 统 管 理 员 在 用 户 名 （ r o o t ） 的 位 置 输 入 了 自 己 的 密 码 。 为 了 避 免 这 类 攻 击 ， 验 证 日 志 文 件 及 目 录 的 权 限 ， 必 须 严 格 限 制 在 特 权 用 户 上 。 还 要 确 保 日 志 所 有 上 级 目 录 只 能 由 特 权 用 户 写 入 。 否 则 ， 攻 击 者 可 以 重 命 名 目 录 和 文 件 ， 并 创 建 他 可 以 读 取 的 文 件 。 如 果 有 需 要 访 问 日 志 的 用 户 ， 可 创 建 一 个 单 独 的 组 并 为 该 组 提 供 读 取 权 限 。 还 应 该 在 磁 盘 和 分 区 设 备 上 检 查 权 限 。 确 保 任 何 日 志 轮 转 程 序 在 文 件 上 设 置 了 合 适 的 权 限 。 除 了 对 文 件 的 直 接 访 问 之 外 ， 如 果 攻 击 者 能 够 修 改 s y s l o g 配 置 文 件 ， 他 就 可 以 在 另 一 个 位 置 建 立 日 志 的 第 二 拷 贝 ， 或 者 将 日 志 转 发 到 另 一 台 主 机 。 配 置 文 件 默 认 情 况 下 一 般 不 是 所 有 人 可 读 的 ， 你 应 该 保 持 这 种 配 置 。 实 际 上 ， 很 少 有 理 由 将 任 何 常 规 的 文 件 设 置 为 所 有 人 可 读 。 当 然 ， 具 有 根 权 限 的 攻 击 者 仍 然 能 够 修 改 该 文 件 ， 但 是 这 样 的 攻 击 者 可 以 做 任 何 事 情 ， 所 以 这 时 你 所 要 考 虑 的 问 题 比 日 志 文 件 要 严 重 很 多 。   有 些 人 建 议 将 配 置 文 件 保 存 在 另 一 个 位 置 ， 这 样 日 志 所 在 位 置 就 不 会 那 么 明 显 。 而 且 试 图 修 改 这 些 文 件 的 自 动 化 r o o t k i t 使 用 默 认 的 位 置 ， 无 法 完 成 这 种 攻 击 。 r o o t k i t 是 一 组 入 侵 工 具 包 ， 它 们 往 往 设 计 为 自 动 删 除 痕 迹 并 安 装 后 门 。 是 否 耗 费 精 力 去 混 淆 日 志 文 件 的 位 置 ， 完 全 取 决 于 实 施 人 员 。 2 . 2 . 2 传 输 中 的 机 密 性 传 输 中 的 机 密 性 如 果 你 打 算 将 日 志 数 据 转 发 到 一 台 集 中 日 志 主 机 ， 具 有 源 和 日 志 主 机 之 间 网 络 访 问 权 限 的 攻 击 者 ， 可 能 会 拦 截 传 输 中 的 数 据 。 这 类 攻 击 可 以 在 任 一 端 点 、 利 用 对 任 一 主 机 上 网 络 设 备 的 访 问 权 限 ， 或 通 过 两 台 主 机 之 间 任 意 网 络 上 的 嗅 探
来 完 成 。 拦 截 网 络 流 量 使 用 t c p d u m p 、 w i r e s h a r k 就 可 以 实 现 。 该 操 作 不 像 查 看 日 志 文 件 那 么 容 易 ， 对 于 攻 击 者 来 说 却 已 足 够 。 缓 解 日 志 数 据 的 网 络 拦 截 问 题 ， 有 各 种 不 同 的 方 法 ， 它 们 都 基 于 传 输 中 日 志 数 据 的 加 密 。 s y s l o g 可 靠 R F C 提 供 日 志 数 据 流 的 加 密 ， 如 果 你 使 用 支 持 R F C 的 s y s l o g 客 户 端 和 服 务 器 ， 就 可 运 用 这 一 功 能 。 如 果 你 使 用 了 基 于 T C P 的 日 志 传 输 ， 流 量 还 可 以 用 s s l w r a 、 s t u n n e l 通 过 S S L 隧 道 传 输 ， 或 者 使 用 一 个 S S H 隧 道 。 注 意 ， 控 制 其 中 一 个 端 口 的 攻 击 者 可 以 在 日 志 数 据 加 密 前 拦 截 ， 或 者 拦 截 加 密 秘 钥 。 使 用 公 钥 加 密 方 式 ， 可 以 不 将 私 钥 保 存 在 源 或 者 日 志 主 机 ， 从 而 缓 解 后 一 种 攻 击 。 如 果 你 相 信 自 己 很 好 的 控 制 了 客 户 端 和 日 志 主 机 间 的 网 络 ， 可 以 选 择 不 担 心 日 志 流 量 的 拦 截 问 题 ， 这 取 决 于 你 自 己 的 判 断 和 风 险 分 析 。 2 . 2 . 3 日 志 主 机 的 机 密 性 日 志 主 机 的 机 密 性 保 护 源 上 的 数 据 机 密 性 所 涉 及 的 所 有 问 题 ， 都 适 用 于 日 志 主 机 。 此 外 ， 由 于 日 志 主 机 一 般 只 用 于 收 集 和 检 查 日 志 数 据 ， 你 可 以 将 日 志 主 机 上 的 账 户 限 制 在 需 要 访 问 日 志 数 据 或 者 管 理 日 志 主 机 的 账 户 。 对 于 一 些 环 境 ， 隐 藏 的 日 志 主 机 可 能 更 为 必 要 。 隐 藏 的 日 志 主 机 在 网 络 上 不 可 见 ， 但 是 网 络 上 的 主 机 仍 然 可 以 向 其 发 送 日 志 。 2 . 2 . 4 日 志 存 储 的 机 密 性 日 志 存 储 的 机 密 性 存 储 日 志 的 数 据 库 是 机 密 性 攻 击 的 另 一 个 向 量 。 保 护 日 志 主 机 同 样 也 适 用 。 此 外 ， 具 有 数 据 库 用 户 名 和 密 码 的 攻 击 者 ， 可 能 连 接 到 数 据 库 并 查 询 数 据 ， 或 者 拦 截 日 志 主 机 和 数 据 库 服 务 器 之 间 传 输 的 事 务 。 数 据 库 服 务 器 应 该 同 日 志 主 机 一 样 重 视 ， 并 以 相 同 的 方 式 保 护 。 数 据 库 连 接 应 限 制 在 日 志 主 机 和 用 于 日 志 分 析 的 系 统 上 。 这 些 连 接 需 加 密 以 避 免 拦 截 。 数 据 库 用 户 的 访 问 规 则 应 该 加 以 限 制 ， 使 得 只 有 授 权 用 户 能 够 查 询 数 据 。 将 日 志 放 入 数 据 库 中 有 许 多 方 法 ， 所 有 数 据 库 都 支 持 直 接 网 络 连 接 ， 使 用 不 同 的 身 份 认 证 级 别 。 在 数 据 库 中 存 放 日 志 的 另 一 种 方 法 是 使 用 文 件 传 输 机 制 ， 从 日 志 主 机 将 数 据 “ 拉 ” 数 据 库 服 务 器 ， 然 后 从 本 地 文 件 中 将 数 据 加 载 到 数 据 库 。 大 部 分 数 据 库 都 提 供 数 据 库 访 问 的 某 些 控 制 方 法 ， 可 以 通 过 主 机 和 用 户 限 制 。 m y s q l 使 用 G R A N T 语 句 ， 为 两 种 限 制 提 供 相 同 的 机 制 。 P o s t g r e s q l 有 类 似 的 访 问 控 制 ， 但 是 实 现 的 方 式 不 同 。 主 机 和 用 户 的 访 问 控 制 被 放 入 文 件 p g _ h b a . c o n f 。 O r a c l e 用 另 一 种 机 制 提 供 类 似 的 访 问 权 限 。 “ 拉 ” 方 法 的 好 处 是 数 据 库 不 一 定 要 允 许 任 何 网 络 连 接 ， 消 除 了 数 据 库 的 一 个 攻 击 向 量 。 因 为 攻 击 者 无 法 直 接 通 过 网 络 攻 击 数 据 库 服 务 器 。 2 . 2 . 5 分 析 的 机 密 性 分 析 的 机 密 性 分 析 系 统 需 要 日 志 数 据 的 访 问 权 限 ， 因 此 也 是 获 取 日 志 数 据 访 问 权 限 以 及 日 志 分 析 方 法 相 关 信 息 的 攻 击 点 。 和 数 据 库 及 日 志 主 机 一 样 ， 分 析 工 作 站 应 该 通 过 将 访 问 权 限 限 制 在 使 用 工 具 的 人 、 验 证 文 件 权 限 和 加 密 流 量 ， 加 以 保 护 。 2 . 3 对 完 整 性 的 攻 击 对 完 整 性 的 攻 击 对 日 志 完 整 性 的 攻 击 是 通 过 重 写 或 者 插 入 虚 假 数 据 、 删 除 日 志 ， 破 坏 真 实 数 据 的 能 力 。 攻 击 者 破 坏 数 据 通 常 是 为 了 掩 盖 活 动 的 证 据 。 最 常 见 的 方 法 是 删 除 相 关 的 数 据 。 更 聪 明 的 攻 击 者 可 能 只 删 除 表 示 其 在 系 统 上 的 活 动 的 日 志 消 息 ， 或 者 简 单 地 修 改 消 息 ， 使 得 它 们 看 上 去 像 是 合 法 的 ， 因 而 不 会 引 起 注 意 。 内 部 攻 击 者 甚 至 可 能 想 要 修 改 日 志 ， 以 “ 陷 害 ” 其 他 人 ， 或 者 让 人 觉 得 其 他 人 犯 了 错 误 。 上 述 的 几 类 攻 击 者 都 想 通 过 插 入 表 示 其 他 活 动 发 生 的 虚 假 消 息 ， 分 散 人 们 的 注 意 力 ， 使 他 们 忽 视 攻 击 者 的 活 动 。 例
如 ， 攻 击 者 可 能 插 入 虚 假 的 错 误 消 息 ， 使 系 统 管 理 员 忙 于 跟 踪 根 本 不 存 在 的 问 题 。 另 一 种 技 术 是 显 示 同 一 网 络 上 的 另 一 个 主 机 发 起 的 虚 假 攻 击 。 如 果 日 志 数 据 用 于 提 供 证 据 ， 能 够 断 定 日 志 数 据 的 完 整 性 ， 对 于 日 志 是 否 被 接 受 为 证 据 可 能 有 影 响 。 攻 击 者 如 果 可 以 说 明 日 志 不 能 免 遭 破 坏 ， 就 可 以 声 称 日 志 是 伪 造 的 ， 不 能 作 为 其 不 法 行 为 的 证 据 。 2 . 3 . 1 源 完 整 性 源 完 整 性 和 上 面 提 到 的 机 密 性 的 问 题 类 似 ， 不 合 适 的 权 限 可 能 使 攻 击 者 在 日 志 数 据 存 储 时 直 接 修 改 。 例 如 ， 假 定 系 统 上 的 用 户 “ a o t u h o ” 正 在 做 坏 事 ， 不 希 望 这 些 活 动 和 他 联 系 起 来 ， 如 果 a o t u h o 能 够 修 改 存 储 的 日 志 文 件 ， 他 就 可 以 用 “ a o t o i u ” 替 代 日 志 中 所 有 的 “ a o t u h o ” ， 将 对 该 活 动 的 职 责 转 嫁 给 他 人 。 可 以 采 用 和 机 密 性 中 我 们 所 讨 论 的 相 同 方 法 验 证 日 志 数 据 、 设 备 、 配 置 文 件 等 。 此 外 ， 将 日 志 转 发 到 一 台 集 中 日 志 主 机 虽 然 不 能 避 免 这 种 攻 击 ， 但 是 创 建 了 另 一 组 日 志 ， 攻 击 者 必 须 修 改 它 才 能 有 效 地 隐 藏 自 己 的 痕 迹 。 多 组 日 志 和 多 个 日 志 信 息 来 源 更 容 易 检 测 到 攻 击 者 的 活 动 ， 即 使 某 些 日 志 文 件 遭 到 修 改 也 仍 然 如 此 。 “ 黑 客 ” 被 发 现 时 往 往 试 图 提 出 其 他 人 进 行 攻 击 的 证 据 。 来 自 多 个 源 的 日 志 有 时 候 能 够 对 此 提 出 证 明 。 不 仅 在 l i n u x 上 ， w i n d o w s 系 统 上 也 可 能 进 行 类 似 的 攻 击 ， 其 他 平 台 也 会 受 到 影 响 。 对 于 事 件 日 志 ， 攻 击 稍 难 一 些 ， 因 为 文 件 是 二 进 制 格 式 ， 需 要 一 个 工 具 来 读 取 和 写 入 文 件 ， 这 只 需 要 少 量 编 程 。 对 日 志 定 时 的 攻 击 可 以 看 作 对 完 整 性 的 一 种 特 殊 而 具 破 坏 性 的 攻 击 。 2 . 3 . 2 传 输 中 的 完 整 性 传 输 中 的 完 整 性 标 准 的 s y s l o g 消 息 通 过 U D P 传 输 ， U D P 数 据 包 报 头 中 的 I P 地 址 没 有 认 证 ， 所 以 没 有 办 法 知 道 它 是 否 来 自 所 声 称 的 主 机 。 而 且 s y s l o g 传 输 是 单 向 的 ； 服 务 器 不 向 客 户 端 发 送 任 何 确 认 。 由 于 服 务 器 接 收 的 数 据 包 被 当 成 来 自 显 而 易 见 的 发 送 者 接 收 ， 具 备 网 络 访 问 权 的 攻 击 者 可 以 注 入 看 上 去 是 从 网 络 上 合 法 主 机 发 送 而 来 的 伪 造 s y s l o g 消 息 。 具 有 源 和 目 标 之 间 网 段 访 问 权 限 的 攻 击 者 可 以 使 用 A R P 欺 骗 中 间 人 攻 击 拦 截 和 修 改 I P 流 量 （ 劫 持 会 话 ） 。 对 这 类 基 于 网 络 的 攻 击 ， 最 好 的 防 御 措 施 是 使 用 验 证 消 息 完 整 性 的 机 制 。 S y s l o g - s i g n 协 议 提 供 了 这 种 机 制 。 另 一 个 选 项 是 使 用 安 全 套 接 字 层 （ S S L ） 甚 至 I n t e r n e t 协 议 安 全 （ I P S E C ） 。 如 果 这 些 消 息 完 整 性 机 制 在 你 的 网 络 上 不 可 行 ， 你 可 以 在 网 络 边 界 实 施 合 适 的 防 欺 骗 过 滤 器 ， 并 限 制 日 志 主 机 接 受 的 消 息 来 源 主 机 ， 以 缓 解 这 类 攻 击 。 A R P 欺 骗 可 以 通 过 强 制 日 志 主 机 在 每 个 日 志 源 上 有 一 个 条 目 来 避 免 。 2 . 3 . 3 日 志 主 机 的 完 整 性 日 志 主 机 的 完 整 性 对 日 志 主 机 的 完 整 性 攻 击 基 本 和 源 上 的 攻 击 一 样 ， 适 用 相 同 的 保 护 技 术 。 但 是 ， 这 种 攻 击 的 影 响 比 对 单 一 源 的 攻 击 更 大 ， 因 为 日 志 主 机 收 集 的 所 有 数 据 的 完 整 性 都 收 到 威 胁 。 2 . 3 . 4 数 据 库 完 整 性 数 据 库 完 整 性 和 数 据 库 上 的 机 密 性 攻 击 一 样 ， 适 用 类 型 的 规 则 。 限 制 数 据 库 用 户 写 入 或 者 附 加 到 日 志 数 据 空 间 的 能 力 。 验 证 网 络 访 问 保 护 认 证 证 书 ， 并 且 能 够 避 免 会 话 劫 持 。 最 佳 的 方 法 是 除 访 问 规 则 之 外 ， 还 使 用 一 个 验 证 数 据 完 整 性 的 机 制 。 数 据 库 给 关 健 数 据 保 护 带 来 了 两 个 挑 战 ， “ 变 动 数 据 ” 和 “ 静 止 数 据 ” 的 处 理 。 前 者 指 的 是 到 达 数 据 库 的 数 据 ， 后 者 指 的 是 数 据 库 存 储 的 数 据 。 数 据 库 安 全 是 一 个 巨 大 的 知 识 领 域 。 变 动 数 据 通 常 通 过 加 密 从 应 用 程 序 到 数 据 库 的 连 接 ， 或 者 使 用 “ 推 ” 日 志 集 的 方 法 来 保 护 。 加 密 连 接 的 主 要 挑 战 在 于 ， 没 有 H T T P S 这 样 的 标 准 化 机 制 。 现 在 有 通 过 S S L 传 输 S Q L 命 令 和 数 据 的 “ S Q L S ” ， 但 是
没 有 广 泛 应 用 。 保 护 存 储 在 数 据 库 中 的 数 据 的 唯 一 可 靠 方 法 是 数 据 库 加 密 。 2 . 3 . 5 分 析 的 完 整 性 分 析 的 完 整 性 对 分 析 完 整 性 的 攻 击 试 图 动 摇 对 分 析 系 统 准 确 度 的 信 心 。 对 分 析 系 统 完 整 性 攻 击 的 三 个 位 置 ： 处 理 的 数 据 （ 输 入 ） 用 于 分 析 的 工 具 （ 系 统 ） 结 果 的 显 示 （ 输 出 ） 通 过 修 改 输 入 数 据 ， 攻 击 者 可 以 导 致 系 统 报 告 虚 假 的 攻 击 ， 或 者 不 报 告 实 际 的 攻 击 。 分 析 系 统 用 于 访 问 数 据 的 方 法 应 该 有 完 整 性 保 护 机 制 。 如 果 这 种 方 法 通 过 数 据 库 ， 则 适 用 于 存 储 访 问 的 相 同 规 则 。 如 果 通 过 文 件 服 务 器 ， 应 该 加 固 传 输 安 全 ， 避 免 会 话 劫 持 和 数 据 流 破 坏 。 以 分 析 系 统 为 目 标 ， 攻 击 者 可 以 更 改 分 析 工 具 ， 使 系 统 不 能 像 预 期 那 样 表 现 。 分 析 系 统 的 权 限 应 该 限 制 为 仅 供 授 权 用 户 使 用 ， 用 于 分 析 的 软 件 也 应 该 有 合 适 的 修 改 保 护 。 考 虑 对 使 用 软 件 和 修 改 软 件 的 用 户 进 行 权 限 分 离 。 应 该 采 用 修 订 控 制 或 者 用 其 他 软 件 跟 踪 对 软 件 的 变 更 （ 包 括 配 置 文 件 ） ， 并 定 期 验 证 软 件 的 完 整 性 。 最 后 ， 用 户 显 示 数 据 的 系 统 可 能 遭 到 篡 改 ， 以 更 改 或 者 抑 制 显 示 给 分 析 人 员 的 数 据 。 这 可 以 通 过 篡 改 系 统 创 建 的 报 告 、 创 建 虚 假 报 告 或 者 在 数 据 审 核 中 劫 持 会 话 来 实 现 。 输 出 数 据 的 安 全 应 该 和 输 入 数 据 的 安 全 同 样 看 待 ， 限 制 有 写 权 限 和 系 统 访 问 权 限 的 人 。 显 示 系 统 也 应 该 对 会 话 劫 持 免 疫 。 例 如 ， 如 果 使 用 一 个 w e b 服 务 器 审 核 报 告 ， 传 输 应 该 使 用 S S L 和 合 适 的 签 名 证 书 ， 以 及 密 码 控 制 访 问 。 2 . 4 对 可 用 性 的 攻 击 对 可 用 性 的 攻 击 对 可 用 性 的 攻 击 旨 在 阻 止 合 法 用 户 访 问 数 据 和 系 统 。 如 前 所 述 ， 攻 击 者 的 常 用 技 术 之 一 是 获 得 系 统 访 问 权 限 ， 删 除 日 志 文 件 。 有 些 可 用 性 攻 击 和 完 整 性 攻 击 非 常 类 似 ， 使 用 相 同 的 攻 击 向 量 。 其 他 攻 击 则 采 不 同 的 方 法 ， 例 如 ， 导 致 系 统 崩 溃 ， 以 组 织 访 问 。 2 . 4 . 1 源 的 可 用 性 源 的 可 用 性 最 简 单 的 可 用 性 攻 击 是 删 除 日 志 来 源 上 的 数 据 。 除 了 删 除 本 地 日 志 文 件 之 外 ， 可 以 杀 死 日 志 守 护 进 程 ， 有 效 阻 止 所 有 日 志 记 录 ， 包 括 转 发 日 志 到 日 志 主 机 。 S y s l o g 当 前 版 本 对 拒 绝 服 务 攻 击 不 敏 感 ， 但 是 较 旧 的 版 本 会 受 到 影 响 。 基 于 T C P 的 s y s l o g 守 护 进 程 可 能 遭 到 S Y N 洪 水 攻 击 ， 虽 然 有 一 些 试 验 性 的 技 术 有 助 于 避 免 这 种 攻 击 ， 但 是 最 简 单 的 方 法 是 除 了 所 处 网 络 之 外 ， 阻 止 对 日 志 守 护 进 行 的 网 络 访 问 。 此 外 ， 虽 然 我 们 都 理 解 U D P 数 据 包 在 繁 忙 的 网 络 中 可 能 丢 失 ， 但 是 我 们 注 意 到 一 个 有 趣 的 现 象 ： 这 些 数 据 包 甚 至 在 本 地 网 络 连 接 上 也 可 能 丢 失 。 攻 击 者 可 以 简 单 地 用 虚 假 流 量 对 日 志 守 护 进 程 发 动 洪 水 攻 击 ， 抑 制 守 护 进 程 记 录 的 消 息 。 这 样 的 攻 击 甚 至 可 以 在 主 机 上 用 非 特 权 用 户 进 行 。 对 于 本 地 洪 水 攻 击 的 补 救 方 法 不 多 。 但 是 ， 通 过 对 系 统 的 活 动 建 立 基 线 ， 并 搜 索 日 志 消 息 的 不 寻 常 数 量 ， 你 就 能 够 检 测 到 洪 水 攻 击 的 发 生 ， 类 似 的 方 法 还 可 以 用 来 检 测 崩 溃 的 日 志 服 务 器 ， 这 通 过 搜 索 来 自 某 台 主 机 的 消 息 缺 乏 的 情 况 来 完 成 。 抑 制 本 地 日 志 记 录 的 另 一 种 方 法 是 填 充 存 储 日 志 的 磁 盘 分 区 。 这 可 以 通 过 填 充 日 志 来 完 成 ， 攻 击 者 也 可 能 有 其 他 的 方 法 写 入 分 区 ， 一 定 要 验 证 用 户 无 法 写 入 日 志 所 在 分 区 。
销 毁 日 志 数 据 的 一 种 有 趣 的 间 接 方 法 是 利 用 日 志 轮 转 系 统 。 日 志 轮 转 用 户 保 护 日 志 记 录 服 务 器 免 遭 溢 出 ， 也 用 于 组 织 日 志 文 件 的 存 档 。 日 志 轮 转 意 味 着 存 储 旧 日 志 文 件 ， 并 将 日 志 记 录 切 换 到 一 个 新 文 件 ， 这 在 L i n u x 和 w i n d o w s 系 统 上 都 能 完 成 。 如 果 攻 击 者 知 道 日 志 在 达 到 特 定 尺 寸 时 将 被 轮 转 ， 他 可 能 会 生 成 足 以 导 致 轮 转 的 日 志 消 息 ， 删 除 他 的 活 动 证 据 。 W i n d o w s 根 据 大 小 轮 转 日 志 ， 默 认 设 置 只 保 留 很 小 的 量 ， 在 日 志 文 件 满 时 覆 盖 旧 条 目 。 很 容 易 产 生 更 多 的 日 志 记 录 ， 以 取 代 相 关 的 日 志 消 息 。 违 规 使 用 轮 转 的 缓 解 方 法 是 使 用 足 够 的 磁 盘 空 间 和 足 够 大 的 轮 转 容 量 ， 这 就 可 以 在 攻 击 者 填 满 日 志 文 件 之 前 发 现 违 规 行 为 。 2 . 4 . 2 传 输 中 的 可 用 性 传 输 中 的 可 用 性 如 前 所 述 ， 标 准 的 s y s l o g 传 输 机 制 使 用 U D P ， 通 常 称 为 “ 不 可 靠 ” 传 输 。 网 络 上 的 高 流 量 可 能 造 成 U D P 数 据 包 在 源 和 日 志 主 机 之 间 被 丢 弃 。 攻 击 者 可 以 用 流 量 对 网 络 进 行 洪 水 攻 击 ， 使 他 不 希 望 你 看 到 的 流 量 被 丢 弃 ， 从 而 隐 藏 痕 迹 。 洪 水 攻 击 并 不 一 定 要 使 用 日 志 流 量 ， 甚 至 不 需 要 使 用 针 对 网 络 真 实 主 机 的 流 量 。 攻 击 者 躲 避 跟 踪 的 好 方 法 之 一 是 用 完 全 虚 假 的 流 量 进 行 网 络 洪 水 攻 击 ， 其 目 标 是 现 有 主 机 上 未 用 的 端 口 ， 或 者 网 络 上 不 存 在 的 主 机 ， 甚 至 另 一 个 网 络 上 的 主 机 。 这 些 流 量 在 主 机 上 不 会 显 示 为 连 接 ， 也 不 会 以 任 何 其 他 明 显 的 方 式 出 现 ， 只 会 在 网 络 设 备 上 留 下 利 用 率 的 统 计 数 字 。 “ p i n g 洪 水 ” 是 网 络 洪 水 攻 击 的 最 简 单 方 式 之 一 ， 它 很 容 易 被 忽 略 ， P i n g 程 序 的 很 多 版 本 中 有 一 个 选 项 （ 通 常 是 “ - f ” ） ， 告 诉 程 序 以 至 少 每 秒 1 0 0 个 数 据 包 （ 最 高 为 主 机 能 够 响 应 的 速 度 ） 的 速 度 发 送 数 据 包 。 对 与 日 志 主 机 相 同 网 段 的 一 个 主 机 发 动 P i n g 洪 水 攻 击 ， 可 能 会 导 致 发 送 到 日 志 主 机 的 数 据 包 被 丢 弃 ， 在 日 志 主 机 上 不 会 有 出 现 问 题 的 指 示 。 实 际 上 ， 唯 一 不 正 常 的 指 示 是 路 由 器 或 者 交 换 机 上 的 流 量 计 数 器 会 显 示 丢 包 和 大 量 的 互 联 网 控 制 消 息 协 议 （ I C M P ） 流 量 。 网 络 洪 水 难 以 缓 解 。 如 何 区 分 合 法 的 流 量 和 虚 假 的 流 量 ？ 如 果 知 道 网 络 流 量 的 激 增 不 是 因 为 业 务 真 的 转 好 ？ 你 只 能 监 控 流 量 统 计 ， 搜 索 不 寻 常 的 事 件 。 2 . 4 . 3 日 志 主 机 可 用 性 日 志 主 机 可 用 性 和 网 络 洪 水 一 样 ， 日 志 主 机 也 可 能 遭 到 洪 水 攻 击 ， 用 虚 假 日 志 流 量 对 日 志 主 机 进 行 洪 水 攻 击 有 两 种 效 果 。 首 先 ， 它 可 能 造 成 合 法 的 流 量 被 网 络 或 者 日 志 主 机 的 内 核 丢 失 。 此 外 ， 日 志 数 据 可 能 填 充 日 志 文 件 分 区 ， 迫 使 日 志 主 机 停 止 记 录 任 何 数 据 。 （ 有 时 候 这 会 造 成 主 机 系 统 故 障 ） 基 于 T C P 的 s y s l o g 守 护 进 程 可 以 避 免 丢 包 ， 但 是 可 能 遭 受 S Y N 洪 水 攻 击 ， 这 种 攻 击 可 能 使 服 务 器 崩 溃 ， 至 少 造 成 其 拒 绝 接 受 更 多 连 接 ， 就 像 人 们 可 以 阻 塞 所 有 其 他 基 于 T C P 的 服 务 一 样 。 与 保 护 日 志 主 机 免 遭 完 整 性 攻 击 的 相 同 措 施 也 适 用 于 这 种 情 况 。 除 此 之 外 ， 日 志 主 机 和 日 志 源 一 样 容 易 遭 到 拒 绝 服 务 器 攻 击 ， 适 用 相 同 的 保 护 性 措 施 。 最 后 ， 数 据 库 和 日 志 主 机 一 样 容 易 遭 到 类 似 的 攻 击 — 网 络 洪 水 、 S Y N 洪 水 、 使 数 据 库 崩 溃 的 攻 击 ， 以 及 存 储 文 件 的 删 除 。 这 里 适 用 对 完 整 性 攻 击 的 相 同 建 议 。 2 . 4 . 4 分 析 的 可 用 性 分 析 的 可 用 性 除 了 禁 用 分 析 系 统 之 外 ， 用 分 析 数 据 淹 没 系 统 ， 可 能 使 其 陷 入 困 境 。 有 效 的 数 据 精 简 技 术 有 助 于 缓 解 这 种 攻 击 。 对 可 用 性 进 行 的 一 种 攻 击 很 有 趣 且 常 常 被 忽 视 ， 这 就 是 对 分 析 人 员 可 用 性 的 攻 击 。 攻 击 者 可 能 简 单 地 依 靠 执 行 足 够 的 不 同 攻 击 ， 或 者 注 入 数 据 使 其 看 起 来 像 攻 击 ， 从 而 避 开 他 们 的 视 线 。
而 且 ， 一 个 有 太 多 “ 假 报 警 ” 的 分 析 系 统 很 快 会 被 认 为 是 无 用 的 并 被 放 弃 。 这 种 攻 击 的 最 有 名 例 子 是 警 报 洪 水 攻 击 工 具 ， 如 s t i c k 、 s n e e z e 和 s n o t ， 这 些 工 具 会 造 成 早 期 入 侵 检 测 系 统 的 问 题 。 除 了 给 运 行 入 侵 检 测 软 件 的 系 统 造 成 压 力 之 外 ， 警 报 洪 水 攻 击 工 具 生 成 许 多 警 报 ， 使 监 控 系 统 的 人 员 茫 然 不 知 所 措 。 日 志 事 件 的 收 集 和 分 析 必 须 以 某 种 方 式 组 织 ， 最 大 程 度 地 降 低 外 部 人 员 注 入 伪 造 数 据 能 力 。 通 常 ， 加 密 有 助 于 解 决 这 个 问 题 。 至 少 ， 它 能 够 解 决 从 源 到 收 集 点 的 传 输 中 的 数 据 伪 造 问 题 。 例 如 ， 用 通 过 S S L 、 S S H 或 者 I P s e c 隧 道 的 可 靠 s y s l o g 代 替 基 于 U D P 的 s y s l o g ， 能 够 阻 止 攻 击 者 在 收 集 点 注 入 数 据 。 此 外 ， 某 些 机 制 还 支 持 源 身 份 认 证 ， 能 够 阻 止 攻 击 者 引 入 虚 假 的 日 志 记 录 来 源 ， 用 它 对 系 统 进 行 洪 水 攻 击 ， 压 垮 技 术 组 件 和 分 析 人 员 。   若 你 的 企 业 没 有 认 真 地 对 待 日 志 ， 说 明 你 的 企 业 对 I T 可 审 核 性 不 重 视 ， 这 也 就 是 日 志 记 录 成 为 一 种 完 善 的 依 从 性 技 术 ， 许 多 法 规 和 法 律 以 及 最 佳 实 践 框 架 都 对 此 作 出 强 制 性 要 求 的 原 因 。 日 志 管 理 与 分 析 （ 四 ） 重 点 在 于 根 据 日 志 管 理 与 分 析 （ 四 ） 重 点 在 于 根 据 P C I   D S S 以 及 以 及 I S O 2 7 0 0 1 标 准 的 日 志 的 管 理 规 程 标 准 的 日 志 的 管 理 规 程 往 期 精 彩 文 章 ： 往 期 精 彩 文 章 ： 【 资 讯 】 程 序 猿 的 愤 怒 ？ 有 史 以 来 【 资 讯 】 程 序 猿 的 愤 怒 ？ 有 史 以 来   G i t H u b   S t a r   数 上 涨 最 快 的 一 个 项 目 诞 生 数 上 涨 最 快 的 一 个 项 目 诞 生 【 干 货 】 日 志 管 理 与 分 析 （ 一 ） 【 干 货 】 日 志 管 理 与 分 析 （ 一 ） — — 日 志 收 集 及 来 源 日 志 收 集 及 来 源 【 赠 书 】 渗 透 实 战 指 南 【 赠 书 】 渗 透 实 战 指 南 — — 《 《 s q l m a p 从 入 门 到 精 通 》 从 入 门 到 精 通 》 G i t H u b 回 应 突 然 断 供 ： 回 应 突 然 断 供 ： 身 在 美 国 不 由 己 ， 无 权 提 前 通 知 预 警 身 在 美 国 不 由 己 ， 无 权 提 前 通 知 预 警 2 0 1 9 年 上 半 年 年 上 半 年 W e b 应 用 安 全 报 告 应 用 安 全 报 告 网 络 安 全 学 习 方 法 论 之 体 系 的 重 要 性 网 络 安 全 学 习 方 法 论 之 体 系 的 重 要 性 【 热 点 】 安 全 群 炸 了 ！ 【 热 点 】 安 全 群 炸 了 ！ ！ ！ ！ ！ 《 亲 爱 的 ， 热 爱 的 》 竟 用 三 行 代 码 搞 定 服 务 器 攻 击 《 亲 爱 的 ， 热 爱 的 》 竟 用 三 行 代 码 搞 定 服 务 器 攻 击 别 不 信 ， 垃 圾 分 类 ， 正 在 曝 光 你 的 隐 私 别 不 信 ， 垃 圾 分 类 ， 正 在 曝 光 你 的 隐 私 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 性 文 章 在 等 你 ！ 关 注 脉 搏 ， 有 更 多 安 全 资 讯 及 技 术 性 文 章 在 等 你 ！
↙ ↙ ↙   点 击   ” 阅 读 原 文 “   与 作 者 展 开 话 题 探 讨 , 直 面 交 流 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理