搜索

[7999] 2014-04-29_一周海外安全事件回顾（20140421-0427）

文档创建者：s7ckTeam
浏览次数：47
最后更新：2025-01-17
2014-04-29_一周海外安全事件回顾（20140421-0427） 一 周 海 外 安 全 事 件 回 顾 （ 2 0 1 4 0 4 2 1 - 0 4 2 7 ） F r e e B u f   2 0 1 4 - 0 4 - 2 9 本 周 ， 我 们 不 谈 本 周 ， 我 们 不 谈 S t r u t s 2 补 丁 漏 洞 的 绕 过 问 题 ， 无 论 度 娘 还 是 谷 歌 ， 类 似 的 文 章 不 要 太 多 。 我 们 从 更 广 泛 的 角 度 谈 谈 补 丁 漏 洞 的 绕 过 问 题 ， 无 论 度 娘 还 是 谷 歌 ， 类 似 的 文 章 不 要 太 多 。 我 们 从 更 广 泛 的 角 度 谈 谈 数 据 泄 漏 这 个 老 话 题 。 你 知 道 吗 ， 黑 阔 对 数 据 泄 漏 这 个 老 话 题 。 你 知 道 吗 ， 黑 阔 对 P O S 系 统 的 入 侵 ， 系 统 的 入 侵 ， 5 1 % 是 秒 入 。 而 防 护 一 方 ， 是 秒 入 。 而 防 护 一 方 ， 8 5 % 的 响 应 时 间 以 周 来 计 的 响 应 时 间 以 周 来 计 算 。 这 尼 玛 还 叫 什 么 防 护 ？ 算 。 这 尼 玛 还 叫 什 么 防 护 ？ V e r i z o n   2 0 1 4   D a t a   B r e a c h   I n v e s t i g a t i o n s   R e p o r t 也 许 是 T a r g e t 和 M i c h a e l s 距 离 我 们 很 远 的 缘 故 ， 国 内 真 正 关 注 和 研 究 上 述 两 家 公 司 在 去 年 底 和 今 年 初 发 生 的 数 据 泄 漏 事 件 的 资 料 并 不 多 。 然 而 ， 事 实 上 这 两 个 公 司 发 生 的 用 户 信 息 泄 露 事 件 是 非 常 严 重 的 。 T a r g e t 用 户 支 付 卡 信 息 泄 露 涉 及 4 0 0 0 万 个 卡 和 1 . 1 亿 的 用 户 ， 而 且 这 些 卡 信 息 还 是 在 购 物 旺 季 丢 失 的 ， 因 此 其 价 值 不 可 估 量 。 M i c h a e l s 是 美 国 第 一 大 工 艺 品 销 售 连 锁 商 店 ， 在 美 国 和 加 拿 大 有 超 过 1 1 0 0 家 连 锁 店 。 M i c h a e l s 的 用 户 信 息 泄 露 规 模 到 底 有 多 大 还 没 有 一 个 明 确 的 结 论 。 入 侵 很 可 能 是 来 自 跨 国 黑 客 组 织 。 这 和 T a r g e t 的 事 件 很 相 像 。 在 T a r g e t 和 M i c h a e l s 数 据 泄 漏 事 件 发 生 的 同 时 ， 另 一 家 美 国 著 名 奢 侈 品 商 店 — — N e i m a n   M a r c u s 也 发 生 了 用 户 信 息 泄 露 事 件 ， 据 称 ， 受 影 响 的 用 户 达 到 1 1 0 万 。 在 本 周 ， 美 国 运 营 商 V e r i z o n 发 布 了 “ 2 0 1 4   D a t a   B r e a c h   I n v e s t i g a t i o n s   R e p o r t   ” （ 以 下 简 称 D B I R ） 。 作 为 美 国 最 大 的 本 地 电 话 和 无 线 通 信 运 营 商 和 市 值 已 超 过 谷 歌 的 巨 无 霸 ， 其 年 度 数 据 泄 露 调 查 报 告 在 数 据 安 全 领 域 具 有 很 重 要 的 参 考 价 值 。 首 先 ， 看 看 D B I R 的 贡 献 者 列 表 就 已 经 非 常 震 惊 了 ： 毫 无 疑 问 ， 这 是 一 个 几 乎 完 美 的 全 集 ： 包 括 安 全 机 构 在 内 的 政 府 部 门 ， 金 融 机 构 、 通 信 运 营 商 、 大 型 企 业 、 安 全 研 究 机 构 、 安 全 公 司 、 商 业 咨 询 公 司 。 从 数 据 的 来 源 看 ， D B I R 这 份 报 告 更 是 货 真 价 实 。 报 告 收 集 的 数 据 跨 度 长 达 1 0 年 ， 有 来 自 全 球 的 5 0 家 企 业 为 报 告 提 供 数 据 资 料 。 报 告 对 1 3 6 7 起 已 确 定 的 与 数 据 泄 露 相 关 事 件 、 6 3 4 3 7 起 攻 击 事 件 进 行 了 分 析 ， 事 件 涉 及 9 5 个 国 家 。 这 份 长 达 6 0 页 的 年 度 报 告 中 最 有 价 值 的 内 容 ， 毫 无 疑 问 ， 是 V e r i z o n 在 分 析 重 大 的 数 据 泄 漏 和 攻 击 事 件 后 ， 根 据 攻 击 模 式 把
数 据 泄 露 威 胁 划 分 为 9 大 类 ： 分 别 是 ：         -   P o S 系 统 入 侵 （ P O I N T - O F - S A L E   ( P O S )   I N T R U S I O N S ）         -   W e b 应 用 攻 击 （ W E B   A P P   A T T A C K S ）         -   内 部 人 员 / 权 限 滥 用 （ I N S I D E R   A N D   P R I V I L E G E   M I S U S E ）         -   物 理 偷 窃 / 丢 失 （ P H Y S I C A L   T H E F T   A N D   L O S S ）         -   各 种 失 误 （ M I S C E L L A N E O U S   E R R O R S ）         -   犯 罪 软 件 （ C R I M E W A R E ）         -   支 付 卡 信 息 窃 取 （ P A Y M E N T   C A R D   S K I M M E R S ）         -   网 络 间 谍 （ C Y B E R - E S P I O N A G E ）         -   拒 绝 服 务 攻 击 （ D E N I A L   O F   S E R V I C E   A T T A C K S ） D B I R 中 对 上 述 威 胁 分 析 的 角 度 也 是 非 常 丰 富 的 ， 包 括 内 外 部 因 素 、 攻 击 动 机 、 攻 击 频 率 、 被 攻 击 的 资 产 、 数 据 类 型 等 方 面 。 下 面 列 举 了 部 分 分 析 和 结 论 数 据 。 内 外 部 因 素 攻 击 动 机 攻 击 事 件 分 布 频 率
被 攻 击 资 产 变 化 在 报 告 中 ， 对 于 上 述 每 一 项 威 胁 分 类 还 有 具 体 的 分 析 和 阐 述 ， 以 P O S 系 统 入 侵 为 例 ， 下 面 列 举 了 主 要 的 分 析 数 据 ： 排 名 前 1 0 的 攻 击 方 式 入 侵 手 段
攻 防 时 间 窗 这 里 特 别 要 说 一 下 攻 击 时 间 窗 这 个 数 据 。 从 D B I R 的 分 析 来 看 ， 攻 击 与 防 护 的 对 抗 ， 单 纯 从 时 间 这 个 角 度 来 看 ， 防 护 一 方 几 乎 是 完 败 。 对 P O S 系 统 的 入 侵 ， 5 1 % 是 秒 入 （ 主 要 原 因 是 密 码 丢 失 或 弱 口 令 ） ， 而 防 护 一 方 ， 8 5 % 的 响 应 时 间 以 周 来 计 算 。 按 照 D B I R 的 解 释 ， 当 攻 击 一 方 在 各 个 渠 道 公 布 或 销 售 获 取 到 的 数 据 后 ， 防 护 一 方 才 意 识 到 自 己 的 数 据 被 盗 了 。 总 之 ， 这 是 一 份 非 常 N B 的 报 告 。 这 是 一 份 不 可 不 读 的 报 告 。 2 0 1 4   D a t a   B r e a c h   I n v e s t i g a t i o n s   R e p o r t 报 告 的 下 载 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 e Q 7 T N X o   （ 无 需 注 册 ， 直 接 下 载 ） 其 他 其 他 ［ 希 拉 里 批 评 斯 诺 登 帮 了 恐 怖 分 子 的 忙 ］ ［ 希 拉 里 批 评 斯 诺 登 帮 了 恐 怖 分 子 的 忙 ］ 希 拉 里 在 康 涅 狄 格 州 大 学 （ U n i v e r s i t y   o f   C o n n e c t i c u t   ） 回 答 媒 体 的 问 题 时 ， 批 评 了 斯 诺 登 的 泄 密 行 为 。 她 认 为 斯 诺 登 本 可 以 在 暴 露 N S A 的 众 多 问 题 后 获 得 很 好 的 帮 助 ， 而 不 是 跑 到 X X 和 俄 罗 期 去 。 更 为 严 重 的 是 ， 斯 诺 登 泄 露 的 很 多 绝 密 信 息 帮 助 了 恐 怖 组 织 。 因 此 ， 希 拉 里 称 ， 就 这 样 一 个 人 竟 然 获 得 了 俄 罗 斯 的 难 民 保 护 真 是 不 可 思 议 。 ［ ［ N I S T 最 终 放 弃 了 最 终 放 弃 了 “ N S A 后 门 后 门 ” ］ ］ 在 微 软 工 程 师 D a n   S h u m o w   和 N i e l s   F e r g u s o n 在 2 0 0 7 年 曝 光   D u a l _ E C _ D R B G   算 法 存 在 问 题 的 8 年 后 ， N I S T （ N a t i o n a l   I n s t i t u t e   o f   S t a n d a r d s   a n d   T e c h n o l o g y ， 隶 属 美 国 商 务 部 ） 终 于 下 定 决 心 把 D u a l _ E C _ D R B G   从 随 机 数 生 成 算 法 中 拿 掉 。 这 个 算 法 在 去 年 斯 诺 登 曝 光 美 国 N S A 与 R S A 存 在 1 千 万 美 元 的 桌 下 交 易 后 ， 引 起 了 整 个 安 全 行 业 的 震 惊 和 愤 怒 。 为 什 么 N I S T 决 定 放 弃 D u a l _ E C _ D R B G 花 了 这 么 多 年 。 。 。 谁 知 道 呢 ？ W e i b o @ B l a c k s c r e e n ， ， 2 0 1 4 / 4 / 2 7
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理