如果你是一名負責搭建嵌入式系統（或軟件、設備、網(wǎng)絡(luò )等）的工程師或開(kāi)發(fā)者，那么你排在最高優(yōu)先級之一的事情是（或應該是）鑒別并最大限度的減少潛在的數據安全漏洞。要想有效的實(shí)現這個(gè)目標，你需要了解系統是如何被黑客入侵的，最終要理解如何“像黑客一樣思考”。
黑客攻擊利用的是漏洞，這些其中可能是設計缺陷、訪(fǎng)問(wèn)控制薄弱、配置錯誤或者許多其他的問(wèn)題等。這篇文章會(huì )深入探討黑客的思維，正如你所看到的，他們在發(fā)現和利用漏洞方面的過(guò)程和思維方式與工程師如何處理系統開(kāi)發(fā)還是有很大不同的。 黑客的思維到底是怎樣的？下面的內容可能有趣、混亂或枯燥，所以準備一大杯咖啡讓我們深入探究一下。 黑客的心態(tài)和思維：執行任務(wù) 黑客與工程師之間最顯著(zhù)的區別在于他們如何應對挑戰，工程師（和科學(xué)家，就此而言）是系統性的，首先會(huì )定義和分析問(wèn)題，然后制定計劃（或假設），并對假設進(jìn)行測試，最后對測試結果進(jìn)行分析，不論成功和失敗都會(huì )得出結論。 這是科學(xué)的方法，數百年來(lái)人們都是采用這樣的流程，黑客則不會(huì )遵循這個(gè)流程。首先沒(méi)有什么計劃，而是當做是一個(gè)任務(wù)。黑客的計劃是不確定的，靈活的，記住一點(diǎn)黑客并不是在構建必須經(jīng)過(guò)時(shí)間考驗的工程，相反他們要做的就是破解。他們不需要讓管理者或CEO滿(mǎn)意，他們關(guān)注的是完成所定義的任務(wù)。 工程師做事是系統化的，黑客則是務(wù)實(shí)的，他們的方法非常的實(shí)際。雖然會(huì )有一些相似之處，但核心的不同之處在于黑客們會(huì )竭盡全力完成他們的任務(wù)，此外他們不會(huì )關(guān)注那些對自己沒(méi)有幫助的結果，而且無(wú)需向其他人作出解釋。 這有時(shí)也被描述為列表 vs 路徑思考： • 科學(xué)家和工程師對列舉的每一項都會(huì )報告結果 • 黑客遵循路徑，他們會(huì )按一個(gè)思路一直繼續下去，知道這條路走不通 總而言之，工程師的目標是徹底，黑客的目標是有效。這些看似微小的細微差別一旦付諸實(shí)施則會(huì )顯現巨大的差別和影響。 常見(jiàn)的模式：殺傷鏈 當黑客侵入到某個(gè)環(huán)境或者系統時(shí)，他們通常會(huì )遵循一個(gè)共同的模式，稱(chēng)為殺傷鏈（kill chain），當黑客對系統和網(wǎng)絡(luò )進(jìn)行攻擊時(shí)，他們會(huì )尋找該環(huán)境中更高級別的訪(fǎng)問(wèn)和操作權限（圖1）。最后當他們獲得足夠的訪(fǎng)問(wèn)權限時(shí)，他們就可以竊取想要的數據或者植入惡意代碼。
圖1：如果你能在殺傷鏈的早期抓住黑客，那么你才可以防止黑客攻擊的發(fā)生 黑客經(jīng)常會(huì )在一個(gè)入侵環(huán)境中停留很長(cháng)時(shí)間：平均100-140天，比如2013年零售連鎖企業(yè)遭遇了黑客攻擊，黑客使用了大概100多天的時(shí)間進(jìn)行了全面的攻擊，如果你能在殺傷鏈的早期發(fā)現黑客就可以阻止黑客攻擊的發(fā)生。 需要注意的是大多數的黑客攻擊都是使用機器人自動(dòng)完成的，雖然我們可以在描述實(shí)際執行這些操作是人為的，但是背后實(shí)際上是機器人完成了所有操作。 黑客的思維 黑客看待事物的角度是不同的，特別是以下幾點(diǎn)： • 觀(guān)察明顯的細節 • 想象最壞的情況 • 探索每一個(gè)潛在的訪(fǎng)問(wèn)入口 • 喜歡一切數據 • 理解人是薄弱的環(huán)節 • 喜歡晦澀難懂的信息 • 尋找并利用后門(mén) • 利用第三方漏洞 • 尋求憑據 • 清理垃圾 觀(guān)察明顯的細節 當你深入開(kāi)發(fā)時(shí)很容易忽略某個(gè)明顯的弱點(diǎn)，不妨后退一步問(wèn)問(wèn)自己一些基本的問(wèn)題，使用如下“五個(gè)為什么”評估一下： • 為什么你的產(chǎn)品要這樣做？ • 為什么有這個(gè)必要？ • 為什么要采用這種設計方式？ • 為什么這樣是好的？ • 為什么不換一種不同的方式？ • 這個(gè)練習的目的是找出明顯的薄弱環(huán)節，黑客會(huì )發(fā)現它們，而且會(huì )比你想象的要快得多。 想象最壞的情況 最壞的情況是什么？它發(fā)生的可能性有多大？黑客一般沒(méi)有道德標準。當你的網(wǎng)絡(luò )或應用正深陷泥潭并努力恢復時(shí)，他們并不會(huì )感到同情，因此你需要制定計劃來(lái)處理那些更糟糕的情況。 然而還是要小心不要卷入所謂的“僵尸場(chǎng)景”中，也就是由于一系列的荒唐事件而引發(fā)的災難，大多數僵尸電影都是基于這個(gè)前提的。 探索每一個(gè)潛在的訪(fǎng)問(wèn)入口 你必須知道任何人或任何事物訪(fǎng)問(wèn)你系統的每一種可能的方式，黑客會(huì )進(jìn)行所有的嘗試，并且很多次。你可能認為你的藍牙接口是超級安全的，但是有幾十種方法可以專(zhuān)門(mén)利用藍牙讓你的系統變得不安全，確保你對每個(gè)接口都進(jìn)行了積極的測試，無(wú)論你的系統設計有多么的復雜。 喜歡一切數據 黑客們更喜歡數據或某些類(lèi)型的數據，數據存儲也是黑客在環(huán)境中獲得持久性訪(fǎng)問(wèn)的一種方式，你必須分析你的系統數據： • 數據是怎樣存儲的？ • 數據是如何傳輸的？ • 誰(shuí)可以訪(fǎng)問(wèn)這些數據？ • 如何監控、管理和控制對數據的訪(fǎng)問(wèn)？ • 訪(fǎng)問(wèn)日志是怎樣的？這些數據都到哪里去了？ 理解人是薄弱的環(huán)節 黑客們明白人是數據安全方面的薄弱環(huán)節，我們不僅不穩定、不可靠，而且極易受到操縱，如果你的系統涉及任何這些有弱點(diǎn)的人（他確實(shí)有這些弱點(diǎn)），那么這就是你系統的弱點(diǎn)。 所有的信息安全問(wèn)題通常歸結為人類(lèi)的弱點(diǎn)。無(wú)論我們是否進(jìn)行了錯誤的配置或編寫(xiě)了錯誤的代碼，人都制造系統的一些弱點(diǎn)。假設用戶(hù)會(huì )犯錯誤，并且會(huì )有很多錯誤，因此我們要格外注意人的一些操作。 喜歡晦澀難懂的技術(shù)信息 黑客們都喜歡晦澀難懂的技術(shù)信息，他們會(huì )隨機挖掘出你幾年前存放的文檔，從而使用這些文檔的數據對你的系統發(fā)起攻擊，這也是破解新系統的樂(lè )趣之一。 當你向公眾發(fā)布某些技術(shù)數據類(lèi)型時(shí)要謹慎，假設黑客們會(huì )得到并進(jìn)行分析，如果你的產(chǎn)品是在一個(gè)開(kāi)放的環(huán)境中開(kāi)發(fā)的，那么你就更應該以更加安全的方式設計某些組件和功能特性。 尋找并利用后門(mén) 20世紀80年代的一部電影《戰爭游戲》讓很多黑客體驗到了黑客攻擊的滋味。電影中間有一個(gè)很棒的場(chǎng)景，一個(gè)計算機科學(xué)家責備他的書(shū)呆子同事把計算機系統的后門(mén)當做秘密：“Potatohead先生，這些后門(mén)不是秘密！” 他的話(huà)在現在看來(lái)一樣的真實(shí)，應用程序或設備的后門(mén)非常的常見(jiàn)，黑客們會(huì )尋找它們，它是侵入系統最古老和最可靠的技術(shù)之一，在《戰爭游戲》中就有展示，當然在今天也仍然適用。 利用第三方漏洞 盡管你可能會(huì )深切關(guān)注系統的安全性問(wèn)題，但是你的供應商或合作伙伴是否也和你一樣的關(guān)注？黑客們通常會(huì )將第三方組件作為目標，因為通過(guò)獲取某一項技術(shù)就可以攻擊大量的相關(guān)目標。Heartbleed就是不安全的第三方組件造成系統風(fēng)險的一個(gè)例子，Heartbleed是OpenSSL設計實(shí)現的一個(gè)缺陷，OpenSSL被應用到數百萬(wàn)中產(chǎn)品中，這意味著(zhù)一個(gè)漏洞足以使數百萬(wàn)（可能是數十億）臺設備遭受到攻擊。 如果你的系統中集成有第三方組件，則會(huì )繼承該組件的所有弱點(diǎn)，雖然產(chǎn)品可能屬于其他人，但是你需要對其安全問(wèn)題負責。 尋找憑據 合法的用戶(hù)賬戶(hù)是黑客們最終想要獲取的，一旦他們獲取了憑據，黑客就會(huì )升級他們的權限從而進(jìn)入你的系統，此外使用合法憑據通常不會(huì )引發(fā)警報。 雖然你可能無(wú)法始終保護用戶(hù)的憑據（因為它在用戶(hù)的手中），但是你仍然可以防止惡意使用這些憑據，這就要從實(shí)施最小權限開(kāi)始，也就是說(shuō)用戶(hù)永遠不能擁有比他們需要更多的訪(fǎng)問(wèn)權限，此外你應該積極的測試系統對于權限升級類(lèi)型的攻擊。 清理你的垃圾 你的系統是整體的一部分嗎？一部分受到攻擊會(huì )讓其他部分也遭受到攻擊？給你的系統傳遞虛假數據會(huì )怎樣？這就是Stuxnet惡意軟件的工作方式。它會(huì )向工業(yè)控制系統提供虛假信息并讓系統過(guò)載，如果黑客們想竊取你的數據或進(jìn)行破壞操作，那么可能就會(huì )像過(guò)多的網(wǎng)絡(luò )流量一樣使你的系統過(guò)載。 拒絕服務(wù)類(lèi)型的攻擊很難阻止，當設計你的系統時(shí)，你需要考慮它是否有可能會(huì )過(guò)載，并建立相應的機制來(lái)阻止或忽略大量的輸入數據，此外時(shí)鐘都需要驗證發(fā)送給你系統的數據是否是可信任的，這一點(diǎn)非常的重要。 總結 作為一名設計工程師，確定并最大限度的減少潛在的數據安全漏洞是主要目標，黑客的工作方式與工程師工作方式大不相同，他們并不是采用系統化的方法，他們有屬于自己的殺傷鏈方法，按照這種方式他們會(huì )持續不斷的尋找到漏洞來(lái)利用，“像黑客一樣進(jìn)行思考”要求你以不同的方式來(lái)看待你設計的系統，其中一部分意味著(zhù)理解漏洞和解決方案的技術(shù)細節，然而更重要的部分是需要觀(guān)察一些明顯的缺陷，理解人所犯的一些錯誤和疏忽，了解黑客會(huì )尋找什么以及他們是如何利用這些線(xiàn)索的。 貿澤電子致力于幫助工程師開(kāi)發(fā)更安全的系統，參加“像黑客一樣思考”網(wǎng)絡(luò )研討會(huì )（與Anitian公司聯(lián)合舉辦）并且訂閱我們出版的數據安全電子雜志。 此外請大家繼續關(guān)注本系列博客的第2部分，將向大家介紹搭建安全系統的一些技巧。 現在就查看第2部分！ Andrew Plato是一名在信息安全行業(yè)有著(zhù)20年從業(yè)經(jīng)驗的資深人士，1995年當微軟開(kāi)始支持第一個(gè)互聯(lián)網(wǎng)電子商務(wù)網(wǎng)站時(shí)，Andrew無(wú)意中使用SQL注入的方式入侵了該網(wǎng)站。這次事件啟發(fā)Andrew成立了Anitian，其使命就是幫助人們了解保護數據和系統的復雜性，從那時(shí)起Andrew參與了數千個(gè)安全項目并撰寫(xiě)了大量的文章，而且還就IT安全相關(guān)的問(wèn)題進(jìn)行了數百次的演示。Andrew組建了一支出色的安全分析師團隊，他致力于搭建具有創(chuàng )新、協(xié)作式的高度信任的工作環(huán)境。Andrew對安全性、風(fēng)險、合規性方面提出的直率且務(wù)實(shí)的觀(guān)點(diǎn)使他成為備受矚目的演講者、作者和顧問(wèn)。 原文鏈接： https://www.mouser.cn/blog/think ... kill-chain-and-more
|
