搜索

[4508] 2017-11-06_分享？不分享？手握漏洞好纠结！

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-11-06_分享？不分享？手握漏洞好纠结！ 分 享 ？ 不 分 享 ？ 手 握 漏 洞 好 纠 结 ！ 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 0 6 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 6 日   今 年 的 W a n n a C r y 勒 索 软 件 攻 击 以 及 E q u i f a x 公 司 经 历 的 大 规 模 数 据 泄 露 事 件 再 一 次 给 我 们 敲 响 警 钟 ， 同 时 也 强 调 了 威 胁 信 息 共 享 、 安 全 研 究 协 作 以 及 开 源 安 全 工 具 发 展 的 重 要 意 义 。 然 而 ， 在 安 全 专 业 人 员 之 间 传 递 威 胁 信 息 以 指 导 防 御 工 作 本 身 也 会 带 来 一 定 的 固 有 风 险 ， 即 此 类 资 讯 很 可 能 被 恶 意 攻 击 者 用 于 实 施 入 侵 活 动 。 根 据 分 析 企 业 G a r t n e r 公 司 发 布 的 《 2 0 1 7 年 威 胁 前 景 状 态 报 告 》 ， 到 2 0 2 0 年 ， 9 9 % 的 安 全 漏 洞 利 用 行 为 都 将 被 安 全 及 I T 专 家 们 所 知 晓 。 事 实 上 ， E q u i f a x 公 司 经 历 的 数 据 泄 露 事 件 即 是 如 此 — — 攻 击 者 们 所 利 用 安 全 漏 洞 存 在 于 A p a c h e   S t r u t s   这 一 被 各 类 企 业 所 广 泛 采 用 的 W e b 应 用 软 件 当 中 。 A p a c h e 软 件 基 金 会 已 经 于 今 年 3 月 发 布 了 相 关 修 复 补 丁 ， 并 在 超 过 2 个 月 的 时 间 内 发 布 通 告 以 提 醒 用 户 采 取 预 防 措 施 ， 从 而 尽 量 降 低 相 关 风 险 。 漏 洞 披 露 的 两 种 方 式 漏 洞 披 露 的 两 种 方 式 安 全 研 究 人 员 可 以 采 取 哪 些 步 骤 来 降 低 其 发 现 及 概 念 验 证 代 码 遭 到 滥 用 的 可 能 性 ？ 作 为 日 常 工 作 的 重 要 组 成 部 分 ， 安 全 研 究 人 员 经 常 会 破 解 计 算 机 、 网 络 或 者 软 件 系 统 的 防 御 机 制 ， 从 而 证 明 特 定 攻 击 手 段 具 备 可 行 性 ； 此 外 ， 他 们 还 需 要 在 恶 意 攻 击 者 实 际 利 用 漏 洞 之 前 找 到 响 应 的 补 救 方 法 。 但 在 发 布 研 究 发 现 及 相 关 利 用 方 式
的 过 程 中 ， 研 究 人 员 们 也 面 临 着 其 代 码 成 果 被 网 络 犯 罪 分 子 用 于 创 建 新 型 漏 洞 或 者 恶 意 工 具 的 风 险 。 为 了 尽 可 能 降 低 研 究 成 果 遭 到 滥 用 的 风 险 ， 安 全 研 究 业 界 一 直 采 取 以 下 两 种 主 要 披 露 模 式 ： 一 种 是 完 全 披 露 模 式 。 安 全 研 究 人 员 会 尽 早 公 布 所 发 现 的 漏 洞 详 细 信 息 ， 并 以 不 加 任 何 限 制 的 方 式 将 信 息 公 开 传 播 ， 例 如 公 开 发 布 （ 包 括 用 于 概 念 验 证 的 漏 洞 利 用 方 法 ） 于 在 线 论 坛 或 者 网 站 上 。 完 全 披 露 方 法 的 支 持 者 们 认 为 ， 以 往 未 知 漏 洞 的 潜 在 受 害 者 们 应 当 与 利 用 这 些 漏 洞 的 攻 击 者 们 掌 握 相 同 的 威 胁 信 息 。 另 一 种 方 案 则 为 负 责 任 披 露 。 大 多 数 I S V 社 区 、 C E R T （ 计 算 机 安 全 应 急 响 应 组 ） 以 及 S A N S 研 究 机 构 也 较 支 持 这 种 方 法 。 其 采 取 协 调 立 场 ， 由 安 全 研 究 人 员 向 供 应 商 提 交 漏 洞 咨 询 报 告 ， 此 报 告 采 用 屏 幕 截 图 或 代 码 片 段 以 证 明 漏 洞 位 置 ， 同 时 提 供 证 据 以 及 可 重 现 的 概 念 验 证 成 果 以 协 助 进 行 测 试 。 在 通 过 最 安 全 的 途 径 （ 例 如 加 密 电 子 邮 件 ） 将 报 告 提 交 给 供 应 商 之 后 ， 研 究 人 员 通 常 会 为 供 应 商 设 定 合 理 的 时 间 周 期 以 进 行 漏 洞 调 查 与 修 复 。 一 旦 补 丁 发 布 或 者 披 露 时 限 已 到 ， 研 究 人 员 即 可 将 其 发 现 及 分 析 结 果 公 之 于 众 。 在 这 样 的 背 景 下 ， C E R T 给 出 的 建 议 是 不 要 披 露 漏 洞 本 身 ， 因 为 能 够 从 漏 洞 信 息 当 中 获 取 收 益 的 群 体 可 能 会 利 用 这 些 资 讯 对 其 他 人 群 造 成 危 害 。 负 责 任 披 露 方 法 的 目 标 则 在 于 平 衡 公 众 需 求 ， 将 安 全 漏 洞 通 知 给 厂 商 并 为 其 提 供 充 足 的 时 间 以 作 出 有 效 响 应 。 虽 然 目 前 还 不 存 在 所 谓 “ 合 理 披 露 时 间 ” 之 类 的 共 识 ， 但 大 多 数 安 全 研 究 人 员 都 遵 循 着 C E R T 提 供   的 4 5 天 等 待 周 期 原 则 。 鉴 于 软 件 领 域 每 周 甚 至 每 天 都 会 曝 出 大 量 严 重 安 全 漏 洞 ， 因 此 最 终 用 户 社 区 的 命 运 明 显 取 决 于 安 全 研 究 人 员 是 否 愿 意 为 自 己 的 行 为 负 责 — — 只 有 负 责 的 安 全 人 员 才 能 确 保 其 发 现 被 更 多 地 用 于 限 制 恶 意 活 动 。 供 应 商 社 区 越 来 越 多 地 组 织 b u g 赏 金 项 目 ， 而 最 终 用 户 机 构 则 进 行 更 多 渗 透 测 试 ， 从 而 协 助 在 安 全 漏 洞 被 公 开 之 前 将 其 发
现 。 然 而 ， 发 现 漏 洞 只 是 整 个 流 程 的 一 半 ， 将 其 解 决 又 是 另 一 项 重 大 挑 战 。 正 因 为 如 此 ， G a r t n e r 公 司 才 强 调 称 “ 改 善 安 全 性 水 平 的 最 具 效 力 的 企 业 行 为 ， 正 是 切 实 有 效 的 补 丁 安 装 。 “ 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 2 4 0 5 1 6 5 1 . s h t m l 推 荐 阅 读 ： 振 动 棒 被 黑 客 攻 击 劫 持 ， 算 不 算 性 侵 ？ 漏 洞 收 割 机 现 b u g ， 谷 歌 自 己 都 惊 了 ！ 中 国 网 络 安 全 漏 洞 披 露 效 率 远 超 美 国 新 版 O W A S P   T O P   1 0 ： 这 三 类 新 型 安 全 漏 洞 上 榜 特 朗 普 政 府 计 划 制 定 新 的 “ 网 络 安 全 战 略 ” 香 港 推 新 规 ， 网 安 行 业 迎 （ 抢 ） 春 （ 人 ） 风 （ 了 ） ！ 漏 洞 收 割 机 现 b u g ， 谷 歌 自 己 都 惊 了 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理