搜索

[8310] 2014-09-28_用实际危害说话：评定产品安全性的新指标

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-09-28_用实际危害说话：评定产品安全性的新指标 用 实 际 危 害 说 话 ： 评 定 产 品 安 全 性 的 新 指 标 d a w n e r   F r e e B u f   2 0 1 4 - 0 9 - 2 8 对 产 品 或 应 用 的 安 全 性 做 出 科 学 的 评 判 是 一 项 很 困 难 的 事 。 相 关 机 构 一 般 的 做 法 ， 只 是 会 根 据 操 作 系 统 和 热 门 应 用 对 产 品 或 应 用 的 安 全 性 做 出 科 学 的 评 判 是 一 项 很 困 难 的 事 。 相 关 机 构 一 般 的 做 法 ， 只 是 会 根 据 操 作 系 统 和 热 门 应 用 程 序 披 露 的 漏 洞 个 数 ， 来 衡 量 其 安 全 性 。 程 序 披 露 的 漏 洞 个 数 ， 来 衡 量 其 安 全 性 。 评 定 安 全 性 的 老 办 法 ： 只 根 据 漏 洞 个 数 评 定 安 全 性 的 老 办 法 ： 只 根 据 漏 洞 个 数 通 常 来 说 ， 复 杂 的 环 境 可 能 导 致 不 同 的 结 果 。 来 自 马 里 兰 大 学 的 研 究 人 员 ， 在 本 周 于 瑞 典 召 开 的 《 攻 击 、 渗 透 与 防 御 研 究 》 的 专 题 讨 论 会 中 ， 发 表 了 这 次 的 研 究 成 果 ， 他 们 希 望 引 入 一 组 新 的 、 基 于 真 实 环 境 下 收 集 的 漏 洞 利 用 的 数 据 指 标 。 他 们 在 报 告 中 写 道 ， 《 不 一 样 的 漏 洞 ： 在 真 实 环 境 下 研 究 漏 洞 和 攻 击 》 ， 其 中 提 出 了 另 一 种 概 念 。 安 全 研 究 人 员 以 前 之 所 以 过 去 把 漏 洞 的 个 数 当 作 评 估 系 统 和 应 用 程 序 安 全 性 的 最 好 的 方 法 ， 是 因 为 大 多 数 漏 洞 并 没 有 被 实 际 利 用 过 ， 攻 击 条 件 也 是 一 种 不 准 确 的 指 标 ， 因 为 用 户 经 常 往 操 作 系 统 里 安 装 应 用 程 序 ， 或 者 更 改 里 面 的 配 置 。 “ 现 有 的 安 全 指 标 ， 如 一 个 产 品 的 漏 洞 数 量 ， 或 是 其 理 论 上 的 攻 击 条 件 ， 并 没 有 考 虑 到 以 上 这 些 影 响 因 素 。 ” 团 队 的 研 究 人 员 – K a r t i k   N a y a k ,   D a n i e l   M a r i n o ,   P e t r o s   E f s t a t h o p o u l o s 和 T u d o r   D u m i t r a s 在 他 们 的 报 告 中 陈 述 道 。 细 数 新 定 指 标 细 数 新 定 指 标 对 此 ， 研 究 人 员 提 出 了 两 个 新 的 评 估 指 标 ： 对 此 ， 研 究 人 员 提 出 了 两 个 新 的 评 估 指 标 ： 一 个 可 以 衡 量 漏 洞 是 否 得 到 利 用 ， 而 另 一 个 则 可 以 衡 量 漏 洞 的 利 用 频 一 个 可 以 衡 量 漏 洞 是 否 得 到 利 用 ， 而 另 一 个 则 可 以 衡 量 漏 洞 的 利 用 频 率 。 率 。 新 定 指 标 相 关 内 容 为 ： 新 定 指 标 相 关 内 容 为 ： 1 . 从 一 批 可 靠 的 数 据 来 源 中 ， 我 们 收 集 到 了 真 实 环 境 下 实 施 利 用 的 漏 洞 ， 其 中 的 来 源 包 括 国 家 漏 洞 库 、 供 应 商 的 I P S 以 及 反 病 毒 签 名 库 。 2 . 漏 洞 利 用 率 指 的 是 在 一 定 时 段 内 利 用 的 时 候 ， 产 品 漏 洞 被 捕 获 的 那 部 分 的 利 用 率 。 ( 比 如 在 产 品 某 版 本 发 布 的 头 几 个 月 内 ) 3 . 攻 击 当 量 ： 计 算 某 产 品 在 特 殊 时 间 段 被 攻 击 的 频 繁 程 度 。 4 . 攻 击 条 件 ： 特 定 时 间 段 内 符 合 攻 击 条 件 的 区 域 ， 实 质 上 这 反 映 了 主 机 上 漏 洞 利 用 的 数 量 。 真 实 环 境 下 的 研 究 真 实 环 境 下 的 研 究
研 究 人 员 实 验 中 使 用 的 一 些 数 据 来 源 ， 其 中 包 括 国 家 漏 洞 库 ， 以 及 来 自 六 千 三 百 多 万 主 机 上 的 反 病 毒 和 入 侵 防 护 数 据 。 他 们 检 查 了 每 个 版 本 的 W i n d o w s ， 从 W i n x p 到 W i n 7 ， 以 及 新 版 本 的 A d o b e   R e a d e r , O f f i c e 和 I E 浏 览 器 ， 最 后 得 出 结 论 ： 这 些 程 序 已 披 露 的 漏 洞 ， 在 单 独 进 行 攻 击 时 的 利 用 率 在 3 5 % 以 下 。 但 是 当 综 合 利 用 各 产 品 漏 洞 时 ， 其 比 例 下 降 到 了 1 5 % ， 而 随 着 新 版 产 品 的 发 布 ， 该 比 例 还 在 下 降 。 举 个 例 子 ， A S L R 和 D E P 的 展 示 将 W i n 7 放 到 了 W i n d o w s 产 品 历 史 中 前 所 未 有 的 高 度 。 同 样 的 情 形 也 在 A d o b e   R e a d e r 的 介 绍 沙 盒 时 重 演 。 研 究 人 员 表 示 ， 踏 出 实 验 室 在 真 实 环 境 里 进 行 研 究 是 非 常 有 必 要 的 踏 出 实 验 室 在 真 实 环 境 里 进 行 研 究 是 非 常 有 必 要 的 。 准 确 率 的 提 升 准 确 率 的 提 升 “ 因 为 漏 洞 计 数 和 攻 击 条 件 能 预 估 出 攻 击 者 成 功 的 几 率 。 虽 然 这 种 方 法 不 一 定 非 常 准 确 ， 但 我 们 还 是 转 而 专 注 于 在 该 领 域 进 行 突 破 ， ” 研 究 人 员 写 道 。 “ 结 合 现 有 的 指 标 ， 加 上 进 行 安 全 漏 洞 和 攻 击 行 为 对 真 实 环 境 的 影 响 的 考 量 ， 可 以 对 网 络 攻 击 的 风 险 做 出 更 准 确 的 评 估 。 ” 研 究 人 员 称 ， 新 指 标 可 以 帮 助 系 统 或 网 络 管 理 员 获 取 一 个 更 加 准 确 的 风 险 评 估 ， 若 有 漏 洞 可 以 提 前 获 得 修 补 。 F r e e B u f ： 原 文 描 述 有 些 复 杂 ， 译 文 中 加 入 了 一 些 改 动 和 注 释 ， 但 大 意 不 变 ， 希 望 能 让 读 者 更 方 便 理 解 。 ： 原 文 描 述 有 些 复 杂 ， 译 文 中 加 入 了 一 些 改 动 和 注 释 ， 但 大 意 不 变 ， 希 望 能 让 读 者 更 方 便 理 解 。 [ 参 考 信 息 来 源 参 考 信 息 来 源 t h r e a t p o s t . c o m ， 译 ， 译 / F r e e B u f 实 习 小 编 实 习 小 编 d a w n e r ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理