把握時(shí)代脈搏,信息安全與時(shí)俱進(jìn)

1、,智恒科技 2012年10月,把握時(shí)代脈搏,信息安全與時(shí)俱進(jìn)--江西地稅信息安全培訓(xùn),,,,,五.案例講解,二.安全現(xiàn)狀分析,一.公司簡(jiǎn)介,四.智恒科技解決方案,目錄,三.應(yīng)用安全防護(hù)措施,,一、公司介紹,,一.公司介紹,,,北京智恒聯(lián)盟科技有限公司是國(guó)內(nèi)專注于WEB安全以及數(shù)據(jù)保密安全的領(lǐng)軍企業(yè)，現(xiàn)有員工300多人，全國(guó)擁有30余家分支及合作機(jī)構(gòu)，基于多年的持續(xù)安全技術(shù)研究，尤其在黑客攻擊及防御技術(shù)、信息數(shù)據(jù)加密、磁盤數(shù)據(jù)銷毀、

2、深度木馬檢測(cè)、服務(wù)器操作系統(tǒng)安全加固以及應(yīng)用層深度威脅檢測(cè)等領(lǐng)域積累了豐富的經(jīng)驗(yàn)，也是國(guó)內(nèi)最早專注于研究開發(fā)第三代網(wǎng)頁防篡改技術(shù)的公司。 公司的產(chǎn)品和技術(shù)研究成果近幾年來得到了全國(guó)眾多用戶的青睞和支持，并與國(guó)內(nèi)多個(gè)高校建立了長(zhǎng)期深入的科研合作，特別是在國(guó)家部級(jí)機(jī)關(guān)、電信、金融等重要領(lǐng)域得到了高度認(rèn)可。 智恒科技致力成為您身邊最值得信賴 的專業(yè)級(jí)信息安全服務(wù)商,公司介紹,,,,智恒

3、科技產(chǎn)品體系,zhihengIT,,,,,Web安全檢測(cè)系列,,,內(nèi)網(wǎng)安全系列,公司產(chǎn)品體系,,,智恒科技發(fā)展歷程,,,,,,,,08年9月,07年4月,06年10月,06年1月,,09年5月,10年,08年10月,12年,,,,11年,,,智恒科技部分資質(zhì)榮譽(yù),,,,二、安全現(xiàn)狀分析,,,,數(shù)據(jù)大集中——風(fēng)險(xiǎn)也更集中了；系統(tǒng)復(fù)雜了——安全問題解決難度加大；云計(jì)算——安全已經(jīng)不再是自己可以控制的；3G 、物聯(lián)網(wǎng)、三網(wǎng)合一——IP

4、網(wǎng)絡(luò)中安全問題引入到了電話、手機(jī)、廣播電視中；web2.0 、微博、人肉搜索——網(wǎng)絡(luò)安全與日常生活越來越貼近。,新應(yīng)用導(dǎo)致新的安全問題,,,信息安全問題的分析,,,因?yàn)橛泻诳蛦幔?因?yàn)橛新┒磫幔?,因?yàn)橛胁《締幔?信息安全問題的根源,,,安全問題根源外因—來自對(duì)手的威脅,,,,,常見應(yīng)用安全漏洞,,,應(yīng)用安全漏洞分析——常見安全漏洞,,,,,應(yīng)用安全現(xiàn)狀,Web應(yīng)用相關(guān)的漏洞快速增長(zhǎng)。,70%以上的攻擊基于應(yīng)用系統(tǒng)。,三大威脅

5、 1、網(wǎng)頁篡改 2、網(wǎng)站掛馬 3、網(wǎng)站仿冒(釣魚網(wǎng)站),,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,湖北石首市群體性事件，“躲貓貓”事件，政府網(wǎng)站被黑,,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,2009年8月 國(guó)內(nèi)某政府網(wǎng)站被恐怖分子入侵,,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,2010年1月4日幾名黑客入侵公安部物證鑒定中心的中英文網(wǎng)站，將原網(wǎng)站內(nèi)容替換，并且不停修改頁面內(nèi)容，甚至留下網(wǎng)絡(luò)聯(lián)絡(luò)號(hào)碼和網(wǎng)名。,,,,,,

6、,應(yīng)用安全事件回顧——媒體網(wǎng)站,2008年12月，CCTV官方網(wǎng)站音樂頻道被黑春晚辦的不好，央視網(wǎng)站被黑。,,,,,,,應(yīng)用安全事件回顧——企業(yè)網(wǎng)站,2009年6月，“樓市走向”繼續(xù)成為網(wǎng)絡(luò)熱議話題，知名地產(chǎn)網(wǎng)站相繼被掛馬。,,,,,,,應(yīng)用安全事件回顧——企業(yè)網(wǎng)站,2010年1月，百度首頁被黑,2010年3月，微軟官方網(wǎng)站被黑客攻擊，頁面嵌入成人網(wǎng)站內(nèi)容,,,,,,,應(yīng)用安全事件回顧——教育網(wǎng)站,2010年6月30日，北京師范大學(xué)網(wǎng)

7、站被掛馬,清華大學(xué)網(wǎng)站被篡改,,,,應(yīng)用安全漏洞分析——常見漏洞,,漏洞簡(jiǎn)介 WEB程序?qū)⒖蛻舳溯斎氘?dāng)作SQL語句執(zhí)行漏洞成因 對(duì)用戶輸入中包含的SQL關(guān)鍵字過濾不嚴(yán)漏洞威脅 修改數(shù)據(jù)庫(kù)內(nèi)容 刪除數(shù)據(jù)庫(kù)表 竊取數(shù)據(jù)到本地 執(zhí)行系統(tǒng)命令,注入漏洞,,,,,注入漏洞——說明及演示,,漏洞簡(jiǎn)介 利用WEB程序生成的SQL語句具有邏輯錯(cuò)誤攻擊漏洞成因 對(duì)用戶輸入中包含的SQL關(guān)鍵字和特殊字符

8、過濾 不嚴(yán)漏洞威脅 身份驗(yàn)證繞過,邏輯錯(cuò)誤漏洞,,,邏輯錯(cuò)誤漏洞——說明及演示,漏洞說明,漏洞演示,,文件型Cookie欺騙 保存在硬盤上會(huì)話型Cookie欺騙 保存在內(nèi)存中,,,Cookie欺騙,,,,,Cookie欺騙—文件型,修改硬盤上保存的Cookie使用工具IECookiesView修改直接發(fā)送Cookie直接使用curl發(fā)送Cookiecurl http://target/in

9、dex.php -b "admin=1" -d "other_action=todo",,獲取HTTP響應(yīng)頭，偽造Cookie 使用NetCat連接目標(biāo)，獲取HTTP響應(yīng)頭，修改 Cookie字段。虛假代理，發(fā)送Cookie 使用NetCat監(jiān)聽端口，發(fā)送Cookie到瀏覽器，NC –vv –l –p 9090<Cookie.txt； 設(shè)置瀏覽器代理為127.0.0.

10、1:9090，訪問目標(biāo)。,Cookie欺騙—會(huì)話型,,,跨站漏洞,漏洞簡(jiǎn)介攻擊者通過誘騙受害者點(diǎn)擊特殊編碼的URL竊取Cookie資料漏洞成因WEB程序?qū)tml參數(shù)過濾不嚴(yán),,,跨站漏洞—說明,漏洞說明,,,信息泄漏,泄露物理路徑請(qǐng)求不存在文件猜解正確用戶名輸入錯(cuò)誤用戶名時(shí)，返回”該用戶不存在”暴露數(shù)據(jù)庫(kù)路徑請(qǐng)求http://target/news%5creadnews.asp?newid=1暴露Access數(shù)據(jù)庫(kù)路徑

11、,,耗時(shí)數(shù)據(jù)庫(kù)查詢大量代理分布式查詢突破一般防火墻,,拒絕服務(wù)攻擊,,漏洞簡(jiǎn)介 敏感目錄或者敏感文件權(quán)限設(shè)置不當(dāng)導(dǎo)致被攻擊者查看漏洞成因 WEB程序權(quán)限設(shè)置不嚴(yán)格 WEB服務(wù)器權(quán)限設(shè)置不當(dāng),,訪問控制漏洞,,,,訪問控制漏洞—說明及演示,漏洞說明,漏洞演示,,,工作計(jì)算機(jī),員工在使用,移動(dòng)介質(zhì),內(nèi)網(wǎng)中的其它系統(tǒng),單位連接因特網(wǎng),電話撥號(hào)上網(wǎng),連接其它單位網(wǎng)絡(luò),無線網(wǎng)絡(luò),安全問題根源內(nèi)因—系統(tǒng)越來越復(fù)雜,,,,,,

12、風(fēng)險(xiǎn)隱患,某通信公司,,,某通信公司的通信卡系統(tǒng)被集成公司人員預(yù)留了口令，核心 數(shù)據(jù)被修改，導(dǎo)致通信損失達(dá)千萬元，最后被判刑。導(dǎo)致公司名譽(yù)，口碑受到傷害。,1、非正常的手段訪問數(shù)據(jù)庫(kù)，賬號(hào)無集中管理，以用自己預(yù)留的身份修改卡號(hào)和費(fèi)用信息； 2、偽裝成內(nèi)部訪問行為，不受防火墻、接入和授權(quán)限制以及網(wǎng)絡(luò)安全措施的監(jiān)控。 3.沒有有效的監(jiān)督，監(jiān)控手段，導(dǎo)致運(yùn)維人員為所欲為。,內(nèi)因威脅—安全事故一,,,,,,,1、移動(dòng)經(jīng)營(yíng)數(shù)據(jù)事件：,,系統(tǒng)集

13、成公司人員把連續(xù)2年的經(jīng)營(yíng)數(shù)據(jù)刪除，導(dǎo)致公司近2年的數(shù)據(jù)空白；,2、西安醫(yī)保事件：,,系統(tǒng)關(guān)鍵信息表被意外修改，導(dǎo)致全市2周不能使用醫(yī)?？?，造成社會(huì)嚴(yán)重影響事件。,3、韓國(guó)某銀行案例：,,韓國(guó)某銀行，內(nèi)部人員在數(shù)據(jù)庫(kù)運(yùn)維操作中，“誤”執(zhí)行了rm –d 指令，導(dǎo)致數(shù)據(jù)庫(kù)表和數(shù)據(jù)全部刪除。,內(nèi)因威脅—安全事故二,,,,三、應(yīng)用安全防護(hù)措施,,,,應(yīng)用安全防護(hù)措施,,,,安全配置,配置安全安全漏洞的防范 WEB程序級(jí)別過濾

14、WEB服務(wù)器級(jí)別過濾安全編程,,,,配置安全—身份鑒別機(jī)制,建立有效的身份鑒別機(jī)制系統(tǒng)用戶的身份標(biāo)識(shí)應(yīng)具有唯一性；應(yīng)對(duì)應(yīng)用系統(tǒng)的管理用戶進(jìn)行身份標(biāo)識(shí)和鑒別；管理系統(tǒng)用戶的身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期更新等；應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出,,,,配置安全—訪問控制機(jī)制,建立有效的服務(wù)器訪問控制機(jī)制 應(yīng)設(shè)置用戶對(duì)系統(tǒng)功能和用戶數(shù)據(jù)訪問和操作的權(quán)限；

15、 應(yīng)對(duì)數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限進(jìn)行分離，例如將管理與審計(jì)的權(quán)限分配給不同的數(shù)據(jù)庫(kù)系統(tǒng)用戶； 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系； 應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限。,,,,配置安全—漏洞檢測(cè)及補(bǔ)丁升級(jí),建立完善的漏洞掃描以及補(bǔ)丁升級(jí)機(jī)制應(yīng)定期對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行漏洞掃描分析；應(yīng)跟蹤安全漏洞和安全補(bǔ)丁的發(fā)展情況，及時(shí)進(jìn)行補(bǔ)丁升級(jí)，彌補(bǔ)安全漏洞。,編寫通用的安全

16、模塊優(yōu)勢(shì)：處理速度較好代碼編寫比較容易劣勢(shì)：要求程序員具有一定的WEB安全知識(shí)一時(shí)疏忽可能造成模塊使用遺漏要經(jīng)過大量驗(yàn)證測(cè)試,,,安全漏洞防范—WEB程序級(jí)過濾,,,,安全漏洞防范—服務(wù)器級(jí)過濾,安裝額外的安全模塊優(yōu)勢(shì)可以安全的部署第三方WEB安全模塊而不過于考慮WEB程序安全不易被特殊編碼繞過限制劣勢(shì)在性能上略有降低配置比較復(fù)雜,程序只實(shí)現(xiàn)指定的功能 每個(gè)函數(shù)或者文件只實(shí)現(xiàn)基本的功能，越簡(jiǎn)潔的程序

17、越不容易出現(xiàn)錯(cuò)誤 多個(gè)功能簡(jiǎn)單的函數(shù)或文件組成功能強(qiáng)大的程序 永遠(yuǎn)不要相信用戶的輸入 使用白名單方式，檢查輸入的每個(gè)字符是否都在合法字符集內(nèi)，而不是判斷是否存在非法字符,,,安全編程一,盡可能的捕獲錯(cuò)誤 盡量捕獲每一個(gè)意外情況，不泄露任何關(guān)于錯(cuò)誤的詳細(xì)信息（如只要用戶名和口令有一樣不正確，都顯示同樣的錯(cuò)誤信息，攻擊者無法識(shí)別有效用戶名。） 發(fā)現(xiàn)錯(cuò)誤之后立即停止執(zhí)行盡可能少的在客戶端存儲(chǔ)信息 盡量用在服務(wù)端的

18、Session驗(yàn)證,,,安全編程二,WEB應(yīng)用防火墻（WAF）提供對(duì)SQL Injection、XSS等WEB攻擊的監(jiān)測(cè)和阻 斷提供WEB加速功能支持HTTP/HTTPS模式提供對(duì)攻擊和掃描的阻斷模式提供對(duì)攻擊和掃描的告警模式提供By-Pass模式提供網(wǎng)頁防篡改功能,,,防護(hù)產(chǎn)品—WAF,安全審計(jì)系統(tǒng) 設(shè)置有效的安全審計(jì)系統(tǒng)，對(duì)來自重要服務(wù)器內(nèi)外部的操作進(jìn)行安全審計(jì)： 安全審計(jì)系統(tǒng)應(yīng)記錄重要服務(wù)器相關(guān)的安全事件，

19、包括重要用戶行為和重要系統(tǒng)功能的執(zhí)行等； 安全相關(guān)事件的記錄應(yīng)包括日期和時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等； 安全審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。,,,安全審計(jì)系統(tǒng),系統(tǒng)漏洞掃描器 提供AIX、UNIX、WINDOWS等系統(tǒng)漏洞的掃描和評(píng)估 提供對(duì)Oracle、SQL Server等數(shù)據(jù)庫(kù)漏洞的掃描和評(píng)估 提供對(duì)網(wǎng)絡(luò)CISCO、Juniper等數(shù)據(jù)庫(kù)漏洞的掃描和評(píng)估應(yīng)用漏洞掃描器（W

20、ebScan) 提供對(duì)SQL Injection、XSS等WEB應(yīng)用弱點(diǎn)的取證式掃描,,,漏洞檢測(cè)系統(tǒng),WEB日志防火墻日志數(shù)據(jù)庫(kù)日志IDS日志W(wǎng)EB目錄文件,,,定期安全檢查,,,,安全管理,建立有效的WEB應(yīng)用安全管理包括安全管理機(jī)構(gòu)安全操作管理制度系統(tǒng)安全運(yùn)維管理,,四、智恒科技解決方案,,,智恒科技解決方案,,發(fā)改委、公安部、國(guó)家保密局聯(lián)合下發(fā)通知，要求加強(qiáng)和規(guī)范國(guó)家電子政務(wù)工程建設(shè)項(xiàng)目信息安全風(fēng)險(xiǎn)評(píng)估工作。

21、　 3部委要求，國(guó)家的電子政務(wù)網(wǎng)絡(luò)、重點(diǎn)業(yè)務(wù)信息系統(tǒng)、基礎(chǔ)信息庫(kù)以及相關(guān)支撐體系等國(guó)家電子政務(wù)工程建設(shè)項(xiàng)目，必須進(jìn)行完整信息安全風(fēng)險(xiǎn)評(píng)估工作。 　　　評(píng)估的主要內(nèi)容包括：分析信息系統(tǒng)資產(chǎn)的重要程度，評(píng)估信息系統(tǒng)面臨的安全威脅、存在的脆弱性、已有的安全措施和殘余風(fēng)險(xiǎn)的影響等　　電子政務(wù)項(xiàng)目涉密信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估，由國(guó)家保密局涉密信息系統(tǒng)安全保密測(cè)評(píng)中心承擔(dān)。非涉密信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估，由國(guó)家信息技術(shù)安全研究中心、中

22、國(guó)信息安全測(cè)評(píng)中心、公安部信息安全等級(jí)保護(hù)評(píng)估中心等三家專業(yè)測(cè)評(píng)機(jī)構(gòu)承擔(dān),中華人民共和國(guó)公安部令-第82號(hào) 第九條 提供互聯(lián)網(wǎng)信息服務(wù)的單位除落實(shí)本規(guī)定第七條規(guī)定的互聯(lián)網(wǎng)安全保護(hù)技術(shù)措施外，還應(yīng)當(dāng)落實(shí)具有以下功能的安全保護(hù)技術(shù)措施：　　（一）在公共信息服務(wù)中發(fā)現(xiàn)、停止傳輸違法信息，并保留相關(guān)記錄；　?。ǘ┨峁┬侣?、出版以及電子公告等服務(wù)的，能夠記錄并留存發(fā)布的信息內(nèi)容及發(fā)布時(shí)間,（三）開辦門戶網(wǎng)站、新聞網(wǎng)站、電子商務(wù)網(wǎng)站的，能

23、夠防范網(wǎng)站攻擊、網(wǎng)頁被篡改，被篡改后能夠自動(dòng)恢復(fù)；,（四）開辦電子公告服務(wù)的，具有用戶注冊(cè)信息和發(fā)布信息審計(jì)功能；　?。ㄎ澹╅_辦電子郵件和網(wǎng)上短信息服務(wù)的，能夠防范、清除以群發(fā)方式發(fā)送偽造、隱匿信息發(fā)送者真實(shí)標(biāo)記的電子郵件或者短信息。,,攘外—Web應(yīng)用防護(hù)政策,,,,,,,WebGuard網(wǎng)頁防篡改保護(hù)系統(tǒng),技術(shù)先進(jìn)，采用第三代防篡改技術(shù)，成熟、穩(wěn)定、可靠。 有效防止SQL、XSS、DDoS等各類應(yīng)用攻擊。 效率較高，對(duì)服務(wù)器資

24、源消耗低于2%，遠(yuǎn)高于同類產(chǎn)品 。 汲取廣大網(wǎng)管員建議，操作及其簡(jiǎn)便，大大提高工作人員效率。 系統(tǒng)運(yùn)行于系統(tǒng)低層，與Web應(yīng)用無關(guān)，能與應(yīng)用系統(tǒng)無縫連接。 全國(guó)數(shù)以千計(jì)的成功應(yīng)用案例。,攘外—Web應(yīng)用防護(hù)產(chǎn)品,WebGuard-WAF防護(hù)網(wǎng)關(guān),,,防篡改關(guān)鍵技術(shù)發(fā)展,,,,,,,,,,,多因子檢測(cè)時(shí)代,高級(jí)檢測(cè),中級(jí)檢測(cè),初級(jí)檢測(cè),第一代技術(shù),第二代技術(shù),第三代技術(shù),原始技術(shù),,,防篡改關(guān)鍵技術(shù)對(duì)比,,,For Windows2

25、000/2003/2008/Linux/Unix/AIX/Solaries,擴(kuò) 展 性,WebGuard防篡改系統(tǒng)主要功能,,,WebGuard-WAF系統(tǒng)主要功能,,,WebGuard防護(hù)系統(tǒng)部署示意圖,,,DMZ,內(nèi)網(wǎng),外網(wǎng),,,,,,,,,,,,內(nèi)容管理系統(tǒng),Web服務(wù)器集群數(shù)據(jù)庫(kù)服務(wù)器群,,網(wǎng)站備份,管理中心,,,,防篡改系統(tǒng),,,,,,,,,數(shù)據(jù)庫(kù)管理員,系統(tǒng)管理員,網(wǎng)絡(luò)管理員,業(yè)務(wù)操作員,,,Windows服務(wù)器,Unix

26、服務(wù)器,業(yè)務(wù)系統(tǒng),網(wǎng)絡(luò)設(shè)備及安全設(shè)備等,,,,,,,,,,,核心資產(chǎn),資產(chǎn)使用,,中心,各網(wǎng)點(diǎn),分支機(jī)構(gòu),代維廠商,多點(diǎn)登陸,安內(nèi)—運(yùn)維現(xiàn)狀,,,,,,,管理問題,,,,,,,使用問題,密碼記憶 用戶需要記憶許多用戶名和密碼用于登錄各個(gè)系統(tǒng)，經(jīng)常出現(xiàn)忘記密碼的情況，有些管理直接使用相同的密碼，缺乏統(tǒng)一的用戶管理。頻繁登錄和注銷 管理不同的網(wǎng)絡(luò)設(shè)備需要分別登錄，操作繁瑣。,,,,,,,關(guān)鍵業(yè)

27、務(wù)系統(tǒng)數(shù)據(jù)被修改了，系統(tǒng)記錄是admin改的，到底是誰用這個(gè)帳號(hào)改的？,這么多系統(tǒng)，查看命令這么復(fù)雜，我怎么去使用這些命令去查看？,業(yè)務(wù)數(shù)據(jù)被修改，從日志中查，一天的日志量有幾百萬，我該從什么地方開始看，他到底在什么時(shí)間修改業(yè)務(wù)數(shù)據(jù)的？,每個(gè)系統(tǒng)的日志都這么多，不知道他們之間有什么關(guān)系？,審計(jì)問題,,,,,,,政策法規(guī)—等保要求,,,,,,,,政策法規(guī)—薩班斯法案,,,,,,,安內(nèi)—IT運(yùn)維管理審計(jì)核心理念,,轉(zhuǎn)變,邏輯上將人與目標(biāo)設(shè)備

28、分離，全局唯一身份標(biāo)識(shí)轉(zhuǎn)變傳統(tǒng)IT安全運(yùn)維的被動(dòng)響應(yīng)模式，建立面向用戶的集中、主動(dòng)的安全管控模式由面及點(diǎn)的管理方式，讓安全管理精確制導(dǎo)實(shí)現(xiàn)企業(yè)或單位IT內(nèi)控，滿足等保等合規(guī)要求,,益處,,智恒SAS運(yùn)維管理審計(jì)平臺(tái),,,,,,,SAS管理方式,,堡壘機(jī),IBM,SUN,HP,DELL,Intel,DAWNING,操作人員,User ID: Jimmy.ZhPassword: *JZ23,User ID: Bush.ACPass

29、word: *BC23,User ID: Tony.ZhPassword: *TA23,User ID: Adam.HcPassword: *Kejf,User ID: Apple.BcPassword: *Kefadsf,User ID: Jdfy.ZhPassword: *JZ23,安全策略,User ID: Jason.HwaPassword: *JH123,1. 邏輯串接部署（堡壘機(jī)）,2. 管理各個(gè)設(shè)備登錄賬戶,3.