搜索

[5282] 2018-07-18_论漏洞披露的正确姿势，俄罗斯可能走了个“极简”风格

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-16
2018-07-18_论漏洞披露的正确姿势，俄罗斯可能走了个“极简”风格 论 漏 洞 披 露 的 正 确 姿 势 ， 俄 罗 斯 可 能 走 了 个 “ 极 简 ” 风 格 原 创   E 安 全   E 安 全   2 0 1 8 - 0 7 - 1 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 7 月 1 8 日 讯   美 国 网 络 安 全 公 司   R e c o r d e d   F u t u r e 在 2 0 1 8 年 7 月 1 6 日 发 布 报 告 ， 总 结 分 析 了 俄 罗 斯 联 邦 技 术 出 口 管 制 局 （ 简 称   F S T E C ） 的 漏 洞 披 露 操 作 。 这 份 报 告 指 出 ， 俄 罗 斯 通 常 只 公 布 1 0 % 的 已 知 漏 洞 ， 且 发 布 时 间 比 中 国 的 国 家 漏 洞 数 据 库 滞 后 8 3 天 ， 比 美 国 的 滞 后 5 0 天 。 。 R e c o r d e d   F u t u r e 报 告 总 结 的 要 点 报 告 总 结 的 要 点 俄 罗 斯 的 漏 洞 数 据 库 由 联 邦 技 术 出 口 管 制 局 （ F S T E C ） 运 作 ， F S T E C   是 负 责 保 护 俄 罗 斯 国 家 机 密 ， 并 支 持 反 情 报 和 反 间 谍 行 动 的 军 事 单 位 。 ​ F S T E C   的 漏 洞 数 据 库 简 称 为   B D U （ Б а н к   д а н н ы х   у г р о з   б е з о п а с н о с т и   и н ф о р м а ц и и ） 。 在 已 被 美 国 国 家 漏 洞 数 据 库 （ N V D ）   公 布 的 1 0 万 7 9 0 1 个 漏 洞 中 ， B D U   只 公 布 了 1 万 1 0 3 6 个 漏 洞 ， 只 约 占 美 国 公 布 的 漏 洞 数 量 的 1 0 % 。 R e c o r d e d   F u t u r e 在 报 告 中 指 出 ， 大 部 分 ( 6 1 % ) 俄 罗 斯 国 家 支 持 型 威 胁 组 织 利 用 过 的 漏 洞 都 被   F S T E C   披 露 了 。 这 项 数 据 还 不 足 以 确 定 俄 罗 斯 情 报 机 构 对   F S T E C   漏 洞 披 露 的 影 响 。 ​ F S T E C   在 俄 漏 洞 数 据 库 （   B D U ）   披 露 的 主 要 是 对 俄 罗 斯 国 家 信 息 系 统 存 在 威 胁 的 漏 洞 。 美 媒 报 道 称 ， 若 要 进 入 俄 罗 斯 市 场 销 售 产 品 ， 外 国 的 软 件 和 安 全 公 司 须 将 产 品 提 交 给   F S T E C   和 相 关 机 构 ， 供 其 查 看 源 代 码 ， 美 媒 认 为 ， F S T E C   表 面 上 提 供 漏 洞 相 关 信 息 ， 实 则 可 能 是 以 此 收 集 外 国 软 件 的 情 报 ， F S T E C   有 能 力 通 过 技 术 检 查 发 现 漏 洞 ， 并 将 其 武 器 化 。
F S T E C 的 背 景 的 背 景 俄 罗 斯 联 邦 技 术 出 口 管 制 局 （ F S T E C ）   成 立 于 2 0 0 4 年 ， 隶 属 于 俄 罗 斯 国 防 部 。 F S T E C   在 莫 斯 科 设 有 中 心 办 公 室 ， 此 外 还 在 七 个 地 区 有 办 事 处 以 及 一 个 名 为 “ 国 家 技 术 信 息 保 护 问 题 科 学 与 研 究 实 验 研 究 院 ” （ 简 称   G N I I I   P T Z I ） 的 信 息 安 全 研 究 与 实 验 研 究 院 。 职 能 职 能 俄 罗 斯 总 理 官 网 在 2 0 1 6 发 布 的 一 份 文 件 显 示 ， F S T E C   负 责 执 行 政 府 政 策 ， 协 调 部 门 间 合 作 ， 并 在 国 家 安 全 领 域 行 驶 特 殊 职 能 。 这 些 国 家 安 全 领 域 包 括 ： 信 息 系 统 安 全 ； 打 击 针 对 俄 罗 斯 的 外 国 技 术 威 胁 ； 国 家 机 密 安 全 ； 出 口 控 制 。 在   F S T E C   四 大 职 能 之 中 ， 它 还 需 与 俄 罗 斯 国 家 安 全 局 （ 简 称   F S B ） 合 作 保 护 国 家 机 密 ， 支 持 技 术 性 反 情 报 和 反 间 谍 活 动 ， 而 且 有 权 监 控 负 责 国 家 机 密 事 务 官 员 的 通 信 。 F S T E C   虽 隶 属 于 俄 国 防 部 ， 但 其 权 力 范 围 很 广 ， 特 别 是 在 国 家 技 术 控 制 和 国 家 机 密 安 全 领 域 的 权 力 。 F S T E C   网 站 的 文 件 显 示 ， 该 机 构 还 能 管 控 化 学 和 核 武 器 的 商 用 周 边 材 料 以 及 反 技 术 情 报 。 F S T E C 的 高 级 委 员 会 组 成 的 高 级 委 员 会 组 成
F S T E C   有 一 个 高 级 政 府 官 员 组 成 的 委 员 会 ， 包 括 俄 罗 斯 军 方 总 参 谋 部 副 部 长 、 内 务 部 副 部 长 、 俄 罗 斯 联 邦 安 全 局 （ F S B ） 下 的 经 济 安 全 司 司 长 、 俄 罗 斯 对 外 情 报 局 （ S V R ） 副 局 长 等 。 该 委 员 会 的 主 要 职 能 是 设 置 并 管 理   F S T E C   预 算 以 及 协 调 部 门 间 的 职 能 。 据   F S T E C   的 官 方 文 件 透 露 ， 2 0 1 5 年 该 机 构 被 指 派 了 1 1 1 1 名 员 工 ， 还 不 包 括 安 全 、 保 护 和 维 护 人 员 。 在 这 1 1 1 1 名 员 工 中 ， 有 2 2 5 人 在 其 莫 斯 科 总 部 就 职 ， 其 他 则 分 布 在 另 外 七 个 地 区 办 事 处 。 报 告 就 报 告 就 F S T E C 和 中 国 和 中 国 C N I T S E C 做 了 对 比 做 了 对 比 R e c o r d e d   F u t u r e   的 报 告 指 出 ， F S T E C   的 主 要 任 务 非 常 明 确 且 是 明 文 规 定 ， 国 家 安 全 是 其 首 要 任 务 。 和 其 他 国 家 的 类 似 组 织 不 同 （ 如 中 国 信 息 安 全 测 评 中 心   C N I T S E C ） ， F S T E C   没 有 言 明 自 己 提 供 公 共 服 务 的 任 务 ， 而 发 布 的 都 是 对 俄 罗 斯 国 家 信 息 系 统 存 在 威 胁 的 漏 洞 。 所 以   F S T E C   不 同 于   C N I T S E C ， 它 是 一 个 公 开 的 国 家 秘 密 组 织 。 鉴 于   F S T E C   是 一 个 公 开 的 军 事 机 构 ， 那 么 对 于 它 主 要 披 露 的 漏 洞 类 型 ， 以 及 为 何 不 披 露 某 些 漏 洞 也 就 不 言 而 喻 了 。 关 于 关 于 F S T E C 漏 洞 披 露 分 析 漏 洞 披 露 分 析 F S T E C   于 2 0 1 4 年 开 始 披 露 漏 洞 数 据 ， 比 美 国   N V D   晚 了 十 五 年 。 如 下 所 示 ， F S T E C   在 2 0 1 4 年 发 布 的 漏 洞 量 很 小 ， 2 0 1 5 年 出 现 激 增 ， 而 后 在 2 0 1 6 到 2 0 1 8 年 间 又 出 现 回 落 。 俄 罗 斯 漏 洞 数 据 库 俄 罗 斯 漏 洞 数 据 库 B D U 收 录 不 全 收 录 不 全 研 究 人 员 对 照 检 查   F S T E C   的 漏 洞 数 据 库   B D U   漏 洞 标 识 符 和   N V D   的   C V E   漏 洞 标 识 符 时 发 现 ， 并 不 存 在 一 一 对 应 的 关 系 。 F S T E C   有 时 会 把 多 个   C V E   漏 洞 综 合 成 一 个 单 独 的   B D U   漏 洞 ， 而 有 时 候 又 会 把 不 同 操 作 系 统 的 多 个   B D U   漏 洞 综 合 成 一 个 C V E   漏 洞 。 B D U   披 露 了 1 1 3 0 6 个 漏 洞 ， 接 近 美 国   N V D   披 露 的 十 分 之 一 。 这 一 差 异 并 不 单 单 因 为   F S T E C   起 步 晚 所 致 ， 因 为 F S T E C   覆 盖 的 2 5 % 的 漏 洞 都 在   F S T E C   运 营 前 几 年 就 有 了 。 报 告 显 示 ， F S T E C   在 2 0 1 5 年 发 布 的 漏 洞 量 远 超 其 他 年 份 。 或 许 是 因 为 2 0 1 5 年 是   B D U   数 据 库 用 来 实 验 的 一 年 ， 在 这 一 年 F S T E C   对 自 身 的 职 能 进 行 了 评 估 。 尽 管   F S T E C   在 2 0 1 5 年 度 活 动 报 告 中 并 未 对   B D U   这 一 年 的 实 验 做 出 总 结 ， 但 从 数 据 可 以 看 出 ， F S T E C   决 定 大 幅 减 少 漏 洞 披 露 的 范 围 和 数 量 。 更 窄 的 范 围 与 该 数 据 库 的 公 共 任 务 相 符 ， 即 集 中 报 告 与 国 家 信 息 系 统
或 关 键 基 础 设 施 相 关 的 漏 洞 。 R e c o r d e d   F u t u r e 认 为 ， 尽 管   F S T E C   宣 称   B D U   适 用 于 开 发 人 员 、 安 全 专 家 、 测 试 实 验 室 或 其 它 组 织 ， 但 分 析 却 显 示 其 主 要 针 对 俄 罗 斯 政 府 及 基 础 设 施 所 使 用 系 统 的 安 全 漏 洞 。 在   B D U   发 布 最 快 的 漏 洞 中 ， 有 7 5 % 与 浏 览 器 或 工 业 控 制 软 件 有 关 。 漏 洞 披 露 滞 后 、 漏 洞 披 露 滞 后 、 “ 定 向 定 向 ” R e c o r d e d   F u t u r e   的 这 份 报 告 评 估 了 中 国 和 美 国 的 漏 洞 数 据 库 披 露 漏 洞 的 差 异 ， 并 指 出 中 国 在 漏 洞 披 露 方 面 的 平 均 速 度 上 快 于 美 国 。 研 究 人 员 对 比 2 0 1 7 - 2 0 1 8 年 的 漏 洞 披 露 情 况 后 发 现 ， 俄 罗 斯 的 漏 洞 披 露 时 间 严 重 滞 后 于 美 国 和 中 国 ， 俄 罗 斯 披 露 的 漏 洞 不 仅 数 据 不 完 整 ， 且 时 间 还 极 为 滞 后 。 B D U 收 录 的 漏 洞 多 被 收 录 的 漏 洞 多 被 A P T 组 织 关 注 组 织 关 注 R e c o r d e d   F u t u r e   发 布 报 告 披 露 了 俄 罗 斯   A P T   组 织 利 用 的 漏 洞 以 及 这 些   A P T   组 织 瞄 准 的 产 品 厂 商 （ 产 品 包 含 漏 洞 ） 。 研 究 人 员 经 过 对 比 发 现 ， 这 些 技 术 厂 商 均 出 现 在   F S T E C   关 注 的 领 域 。 这 就 意 味 着 ， F S T E C   对 这 些 厂 商 的 漏 洞 披 露 率 远 超 1 0 % 。 这 些 厂 商 的 软 件 在 全 球 范 围 内 得 到 广 泛 使 用 ， 所 以 俄 罗 斯   A P T   组 织 很 有 可 能 针 对 这 些 技 术 实 施 攻 击 。 为 了 更 深 入 地 探 索 ， R e c o r d e d   F u t u r e   研 究 人 员 还 对 俄 罗 斯   A P T   组 织 过 去 四 年 利 用 过 的 漏 洞 再 次 进 行 了 分 析 。 对 分 配 了   C V E 编 号 的 漏 洞 和 美 国   N V D   和 中 国   C N N V D   披 露 的 漏 洞 分 析 后 ， R e c o r d e d   F u t u r e   确 定 了 俄 罗 斯   A P T   团 队 在 这 段 时 间 内 利 用 过 的 4 9 个 漏 洞 。 其 中 的 3 0 个 漏 洞 （ 6 1 % ） 由   F S T E C   发 布 ， 这 远 高 于   F S T E C   漏 洞 发 布 的 平 均 值 1 0 % 。 此 外 ， 在 这 3 0 个 漏 洞 中 ， 有 1 8 个 漏 洞 被 黑 客 组 织   A P T 2 8   利 用 发 起 攻 击 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 8 5 2 7 3 5 4 6 6 . s h t m l 推 荐 阅 读 ： 美 国 2 0 1 8 “ 网 络 风 暴 ” 演 习 ： 关 注 漏 洞 披 露
美 国 “ 0 D a y 漏 洞 披 露 法 案 ” 已 获 得 众 议 院 通 过 中 国 网 络 安 全 漏 洞 披 露 效 率 远 超 美 国 美 国 发 布 “ C E R T 漏 洞 协 同 披 露 指 南 ” “ 散 弹 式 ” 攻 击 ！ 俄 A P T 2 8 黑 客 组 织 破 天 荒 改 变 策 略 ？ A P T 2 8 又 要 搞 事 情 ！ 租 用 英 国 服 务 器 ， 8 台 用 途 不 明 有 了 网 军 就 可 以 打 网 络 战 ？ 没 那 么 简 单 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理