<4D F736F F F696E74202D20B2C43033B3F55FADD3B8EAACAABA7CBB50BADDC249A8BEC540BAEBB5D8AAA95FC1BFB871A7F3B7732E BACDBAE65BCD

Size: px

Start display at page:

Download "<4D F736F F F696E74202D20B2C43033B3F55FADD3B8EAACAABA7CBB50BADDC249A8BEC540BAEBB5D8AAA95FC1BFB871A7F3B7732E BACDBAE65BCD"

杭孙
5 years ago
Views:

1 網路攻防戰之個資洩漏與端點防護 ( 精華版 ) 大綱使用者端的個資洩漏從上網的風險從電子郵件的風險伺服器端的個資洩漏檢視 Web Server 的安全檢視 Web 應用程式資料庫的安全檢視搜尋引擎造成的風險網路架構的端點防護從弱點修補的觀點從防毒防駭的觀點從閘道端設備的觀點從網路佈署的的觀點 1

2 使用者端的個資洩漏從上網的風險從電子郵件的風險從上網的風險網路相簿網路購物 2

3 網路相簿現在年輕人喜歡將照片放在網路相簿可是? 將相片放在網路上就安全嗎? 基本防護設定 : 我有設定禁止按右鍵另存照片我有設定相簿鎖密碼過濾訪客這樣應該就安全了吧! 網路相簿雖然禁止按右鍵無法另存照片, 但是可以利用抓檔軟體, 遠端下載 3

4 網路相簿那使用相簿鎖密碼過濾來訪客, 沒有密碼就無法看圖呢? 重點是? 你確定你的密碼設定的很完善? 不會被有心人士隨便猜一猜就猜到? Recuva 檔案救援軟體官方下載 : 功能 : 每個檔案儲存在硬碟時都會占據一個位置, 當你在硬碟刪除檔案後, 其實檔案的痕跡還是會遺留在原本的磁區上, 只要這個磁區位置還沒有被新的檔案占去, 那麼妳就有機會救回誤刪的檔案而 Recuva 正是利用了這個原理, 幫你去掃描搶救已經刪除的檔案 ( 已經從資源回收桶中移除或直接刪除的檔案 ), 而從其原理來看, 一個很重要的前提是,Recuva 通常只能救回最近刪除的檔案, 當你發現不小心誤刪了某個檔案時, 不要去進行其它操作, 立刻搶救檔案比較有效 4

5 網路相簿的注意事項不要上傳太私密的照片相簿要記得鎖密碼 ( 英文大小寫數字特殊符號 ) 不要在網路相簿網站留下太多個人資料想要上傳照片就要知道會有被他人下載及流傳的風險網路相簿也不是無限空間, 免費服務能放的照片有限, 通常會要求付費才會有更大空間及其它服務就算照片放在硬碟內也是一樣, 當電腦維修時, 同時就是資料外洩的最好時機 5

6 網路購物網路購物有二大風險 : 購物網站本身 : 購物網站管理不當 ( 產生漏洞植入木馬 ) 購物程式設計不當 ( 產生被人入侵的管道 ) 購物的流程管理不當 ( 經手訂單的員工廠商疏失 ) 消費者本身 : 電腦本身遭受感染木馬被竊取每個網站均使用同一組帳號及密碼而洩漏誤入假的購物網站遭騙於網拍貪小便宜匯款卻收不到商品網路購物的注意事項購物網站端 : 做好網站及程式設計的安全控管落實客戶資料的保護使用者端 : 定期更改密碼多留意購物網站的公告及新聞做任何金融交易前, 請先確認所使用的電腦當時環境是 [ 乾淨且無毒 ] 的確認該 [ 購物網站 ] 網站是正確的定期更新防毒軟體的病毒碼並搭配線上掃毒 6

7 從電子郵件的風險垃圾郵件匿名郵件及偽造郵件攻擊郵件附件檔可疑檔案上傳分析垃圾郵件匿名郵件及偽造郵件攻擊利用匿名郵件 ( 例如 : 要求回信 ) 利用好康郵件 ( 例如 : 程式下載中獎 ) 利用連鎖信 ( 例如 : 佛像郵件 ) 利用尋人郵件 ( 例如 : 尋找失蹤兒 ) 利用愛心郵件 ( 例如 : 骨髓配對勵志小故事 ) 利用銀行郵件利用廣告郵件 ( 例如 : 折價卷 ) 利用情色郵件 7

8 郵件附件檔將附件檔另存新檔後掃描病毒, 不可以直接點選 2 下打開修補 Microsoft Office Adobe Reader 等的相關讀取程式的弱點如果不確定所收到的檔案是否有問題, 使用可疑檔案上傳分析確認可疑檔案上傳分析 : 利用各家防毒軟毒軟體的掃描引擎, 同時對單一一個檔案, 作是否為病毒木馬檔案的分析可協助檢測確認檔案本身是否異常 VirusTotal: 免費線上病毒和惡意軟體掃瞄 VirSCAN.org: 線上防毒引擎掃描網站 v1.00 目前支援 36 款防毒引擎 Online malware scan 8

9 伺服器端的個資洩漏檢視 Web Server 的安全檢視 Web 應用程式資料庫的安全檢視搜尋引擎造成的風險檢視 Web Server 的安全 IIS/Apache 都會有安全弱點, 必須時常留意一些原廠或著名單位所公告之網站修正 com/taiwan/technet/security/de fault.mspx 不當的管理與設定不安全的預設網站路徑與 LOG 檔案配置沒有更改預設的管理者密碼不當設定讓使用者能存取任何網頁目錄過於寬鬆的網頁權限設定沒有刪除不必要之網站或虛擬目錄所有首頁或各主網頁名稱都是叫 default or index? 9

10 解決方法定時注意著名網站的漏洞公告定時且定期修正定期修 Web Server 的漏洞確認 IIS / Apache 的安全設定刪除不必要的虛擬目錄 CGI 程式可行的話首頁名稱不要叫做 default or index 設定網頁所在的檔案資料夾 NTFS 權限設定瀏覽的權限更改或自訂顯示錯誤的代碼網頁更改 Web 預設 LOG 檔案的存放位置 Microsoft Urlscan Filter v3.0 英文版免費的 IIS 外掛套件 URLScan 是 ISAPI 篩選器, 可讓網站系統管理員限制由 Web 伺服器處理的 HTTP 要求類型藉由封鎖特定 HTTP 要求, URLScan 篩選器可預防具有潛在危害的要求語法或指命傳到伺服器, 進而造成 Web 伺服器的損害 UrlScan 在 3.0 的版本中, 特別加強了對常見的 SQL Injection 的入侵指令進行攔截與防護 10

11 檢視 Web 應用程式與資料庫的安全資料庫隱碼 (SQL Injection) 攻擊跨網站指令碼 (XSS) 攻擊網頁木馬 11

12 網頁木馬網頁木馬就是將木馬和網頁結合在一起, 打開網頁的同時也會執行木馬最初的網頁木馬原理是利用 IE 瀏覽器的 ActiveX 控制項, 執行網頁木馬後會彈出一個控制項下載提示, 只有點擊確認後才會運行其中的木馬這種網頁木馬在當時網路安全意識普遍不高的情況下還是有一點使用價值的, 但是其缺點是顯而易見的, 就是會出現 ActiveX 控制項下載提示當然現在很少會有人去點選那莫名其妙的 ActiveX 控制項下載確認視窗在這種情況下, 新的網頁木馬誕生了這類網頁木馬通常利用了 IE 瀏覽器或系統的漏洞, 在運作執行的時候沒有絲毫提示, 因此隱藏性極高 12

13 網站網頁掛馬掛馬 : 掛馬這個行為就是駭客採用系統漏洞網頁漏洞 SQL Injection XSS 等技巧入侵了一些網站後, 將自己編寫的網頁木馬語法嵌入被駭網站的主頁中, 利用被駭網站的流量將自己的網頁木馬傳播開去, 以達到自己植入真正木馬的目的註 : 也可能先入侵後再上傳具有 FSO 功能的網頁木馬稱為 WebShell, 再利用該木馬將其它正常網頁掛馬好處是只要原來的 WebShell 不被殺掉, 就可一直重複掛馬網頁木馬流程駭客知名的官方網站 [ 上傳 ] 具 FSO 功能的網頁木馬不知情的一般使用者首頁 [ 掛馬 ] 將首頁或其他網頁植入 <ifrme> 隱藏框架引導到跳版網站跳版網站原生型木馬漏洞型網馬 13

14 2008/9 月新增惡意鏈結的跳板網站 363xx.com dnd.3322.org real.kav2008.com gf.ccves.cn good00.net adasas.cn net yeapple.com xyxy68.8u8.net winzheng.126.com girlchinese.com youlove.3322.net tty.yyun.net i5t.cn page.taobao.com search.taobao.com taobao.com 資料來源 : 相關參考資料 CGI 漏洞攻擊整理扔掉工具使用 ASP 手工注入扔掉工具使用 ASP 手工注入! 補完篇之一 ASP 木馬 Webshell 安全解決方案 14

15 相關參考資料 SQL Injection 規避入侵檢測技術 injection.html XSS 測試語法大全爆庫法取得資料庫 com/2007/10/blog 老掉牙的 SQL Injection 卻造成你的網站在裸奔檢視搜尋引擎造成的風險網路搜尋的惡意手法有二 : 利用特殊語法取得隱藏資訊 (Google Hacking) 成功後, 利用該資訊取得個人資料, 或不公開的文件利用關鍵字廣告連結惡意網頁成功後, 利用該惡意網頁植入木馬後竊取個人資料 15

16 進階語法與關鍵字 "access denied for user" "using password" "Index of /backup" allinurl: admin mdb inurl:passlist.txt " -FrontPage-" ext:pwd inurl:(service authors administrators users) "ASP.NET_SessionId" "data source=" "AutoCreate=TRUE password=*" "Index of /" +password.txt "Index of /password" "mysql dump" filetype:sql "pcanywhere EXPRESS Java Client" "VNC Desktop" inurl:5800 "phpmyadmin MySQL-Dump" "INSERT INTO" -"the "phpmyadmin MySQL-Dump" filetype:txt t t "phpmyadmin" "running on" inurl:"main.php "robots.txt" "Disallow:" filetype:txt intitle:"remote Desktop Web Connection" inurl:tsweb intitle:"welcome to Windows 2000 Internet Services" inurl:"printer/main.html" intext:"settings intitle:index.of administrators.pwd 搜尋存在漏洞的網站搜尋 URL 網址中含有 asp?id= 或 php?id= 語法為 inurl:asp?id= 或 inurl:php?id= 原因為類似這樣的 URL 傳值是最容易有 SQL Injection 的網頁但並不是凡是這樣撰寫網頁應用程式均有 SQL Injection 的漏洞, 只是以攻擊者的角度來想, 搭配搜尋引擎的尋找常見的 SQL Injection URL 語法可以降低在茫茫大海撈針中一個一個猜測網站的時間, 再搭配一些 Google Hacks 的組合搜尋字串, 很快就可找到入侵的目標網站 16

17 如何防止 Google Hacking 在網站伺服器上的根目錄, 增加一個 robots.txt 檔案然後在這個檔案中加入 User-agent: allow: Disallow: 這參數進行設定, 一般來說都可以阻止有道德的搜尋引擎程式讀取並儲存您的網頁例如 : User-agent:Googlebot Disallow:/*.* 其它語法與關鍵字 Johnny ihackstuff Google Hacking Database (GHDB) 找尋 Vulnerable Servers 語法 =summary&cat=9 找尋 Web Server Detection 語法 =summary&cat=7 17

18 網路架構的端點防護從弱點修補的觀點從防毒防駭的觀點從閘道端設備的觀點從網路佈署的的觀點依資料狀態採取不同保護措施從防範資料外洩的角度來看, 依狀態可分為 : 使用中資料 : 放在使用者端的資料傳送中資料 : 經由網路以各種通訊協定進行傳輸的資料閒置中資料 : 放在 File Server 或儲存裝置裡的資料主要的防範方式 : 控管資料或使用者權限資料傳輸加密 18

隔離及強制將不符規範設備由網路隔離個別使用者 MAC 及 IPbased 隔離更新及治療

19 網路存取控制 (NAC) : 4 項重要功能使用網路進行政策執行, 以確保連接裝置符合規範認証及授權強制執行認証政策及授權支援多種使用者角色掃描及評估代理程式掃描所需的系統修補防毒版本等網路掃描蠕蟲病毒及服務弱點隔離及強制將不符規範設備由網路隔離個別使用者 MAC 及 IPbased 隔離更新及治療提供以網路為基礎的弱點修補工具 IT Help-desk 整合網路存取控制 (NAC) : 4 佈署模式圖文資料引用來源 :ithome 企業資安專刊 : 端點安全防護 19

20 網路存取控制 (NAC) : 4 佈署模式圖文資料引用來源 :ithome 企業資安專刊 : 端點安全防護網路存取控制 (NAC) : 4 佈署模式圖文資料引用來源 :ithome 企業資安專刊 : 端點安全防護 20

: 有線無線 DHCP 還是需要特殊規格安全檢查項目 : 作業系統版本修補程式病毒碼版本登錄機碼

21 網路存取控制 (NAC) : 4 佈署模式圖文資料引用來源 :ithome 企業資安專刊 : 端點安全防護 NAC 採購注意事項價格 :Server 端價格與 Client 授權數代理程式 (agent) 佈署方式 : 有線無線 DHCP 還是需要特殊規格安全檢查項目 : 作業系統版本修補程式病毒碼版本登錄機碼檢查特定檔案格式等更新方式 : 線上更新手動更新中央控管機制及報表內容管理介面及報表是中文 or 英文 21

22 10 個你必須問的 NAC 問題 : 1. NAC 方案是否支援現有的防毒軟體? 2. NAC 方案是否僅支援特定廠商的設備與軟體? 3. NAC 方案與現有應用的相容度? 4. NAC 方案與現有身分認證機制的支援度? 5. NAC 方案支援何種作業系統與版本? 6. 要強制遵循的資安政策有哪些? 7. 現有交換器是否支援 IEEE802.1x 標準? 8. 哪些終端電腦該納入 NAC 機制中? 9. 路由路徑是否會造成 NAC 機制的漏洞? 10. 網路架構變更對企業營運影響有多大? DLP 防範注意事項 ( 管理面 ) 技術面無法防止內部人員經合法管道故意竊取資料, 而 Log 與稽核程序已經是屬於事後追蹤於事無補落實防範資料外洩的關鍵不在技術, 而是在管理妥善規劃並落實內部風險控管措施, 包括分權控管異地備援緊急應變措施等, 其實比資安技術重要的多 22

23 從弱點修補的觀點 Client 端的弱點修補 : Microsoft 作業系統的漏洞修補 :Windows Update WSUS SMS 等 Microsoft 應用程式的漏洞修補 :Microsoft Update Offcie Update 等常用應用程式的漏洞修補 :Acrobat FLASH Media Player 等影音播放程式圖片瀏覽軟體等 Server 端的弱點修補 : Web Server 上面開發的應用程式更新 PHP Apache 版本更新 Microsoft.NET Framework 版本更新 DNS Mail server FTP 版本更新從弱點修補的迷思所有 Client 端弱點及漏洞都需要修正? 所有 Server 端弱點及漏洞都需要修正? Microsoft 的產品可以自動 Update, 那非 Microsoft 的產品呢? 可以遠端派送更新, 那無法派送的軟體呢? 手動更新? 沒有更新功能選項的軟體, 要怎樣更新? 網路沒有對外連通的環境是否需要進行漏洞更新? 管不到的移動式裝置呢? 需不需要修補? Web Server 上的應用程式需不需要更新或改版? 23

24 從防毒防駭的觀點 Client 端的防毒防駭 : 防毒軟體的病毒碼更新頻率多久定期掃描? 防毒軟體的攔截率查殺率? Server 端的防毒防駭 : 中央控管的防毒軟體, 能看出使用者端什麼類型的檔案貴公司最容易感染? 中央控管的防毒軟體, 能說明來自怎樣的管道是貴公司中毒的主要來源? 閘道端的防毒防駭 : 閘道端設備的防毒模組到底阻擋了什麼東西? 防毒牆能顯示貴公司網路裡總是在流傳什麼病毒? 防毒牆能不能顯示貴公司病毒來源的 IP 國家及有效封鎖? 從防毒防駭的迷思因漏洞感染的病毒, 是要算漏洞的問題還是防毒的問題? 上網收發信過程中被植入木馬, 是要算上網收發信行為的問題還是防毒的問題? 防毒軟體一定要殺除所有的病毒及木馬? 請問貴單位最常感染的病毒或木馬是哪幾隻? 防毒是要防止感染還是防止擴散或者是防止竊取? 24

25 從閘到端設備網路佈署的觀點設備 : 路由器防火牆 IDS/IDP 防毒牆權限控管 VPN VLAN 資產管理軟體等等這些設備 : 會不會疊床架屋? 會不會反而拖垮整體效能? 設備是自己會操作還是都掌握在廠商手上? LOG 報表會不會判讀還是說根本就當不存在? 定時定期定檢? 還是說他根本不會壞? 從閘到端設備網路佈署的迷思資安與效能是反比, 越安全就越沒有效能那貴公司是追求安全還是效能? 你確定知道貴公司的血管暢通, 不會偶而來個心肌梗塞, 裝這麼多東西到底多有效? 通常我們都希望能在最低影響下透過閘道端的架設來控管使用者端, 但事後真的是最低影響嗎? 25

26 伺服器端的解決方案 SUS / WSUS 修補系統漏洞 Web DB 的權限控管檢視與設定資料夾的分享與 NTFS 權限移除不需要及罕用的服務變更系統與 Web 相關預設值阻擋搜尋引擎的不當搜尋透過 AD 的群組原則 (GPO) 做安全控管 gpedit.msc 設定本機安全性原則使用者帳號的需不需要有安裝程式的權限? 應用程式的解決方案修正應用程式的撰寫才是治本的方法短期間無法修正, 可以採用應用程式防火牆來救急治標老掉牙的 SQL Injection 卻造成你的網站在裸奔 26

27 個資洩漏與端點防護的重點使用者端 : 在使用網路服務 ( 上網收發信 P2P USB) 時重點 : 弱點修補防毒權限控管伺服器端 : 主機應用程式資料庫安全設定上重點 : 弱點修補安全的應用程式開發權限控管網路架構 : 身分驗證隔離與修補終端上網行為控管防毒 NAC 等屬於 DLP 的範疇重點 : 導入產品來控管還是先從改善網路自我體質著手? 結論使用者端的個資洩漏從上網的風險從電子郵件的風險伺服器端的個資洩漏檢視 Web Server 的安全檢視 Web 應用程式資料庫的安全檢視搜尋引擎造成的風險網路架構的端點防護從弱點修補的觀點從防毒防駭的觀點從閘道端設備的觀點從網路佈署的的觀點 27

28 問題與討論網路攻防戰部落格 28

<4D F736F F F696E74202D A67EABD7A7F0A8BEA4E2AA6BBEE3B27AB1B4B0515FC1BFB8712E BACDBAE65BCD2A6A15D>

<4D F736F F F696E74202D A67EABD7A7F0A8BEA4E2AA6BBEE3B27AB1B4B0515FC1BFB8712E BACDBAE65BCD2A6A15D> 2008 年度年度攻防手法整理探討案例 : 利用 WINRAR 壓縮程式漏洞掛馬 1 入侵環境條件 : 具有 MS06-001 wmf 漏洞的電腦安裝 WINRAR 壓縮 / 解壓縮軟體手法探討 : 製造遠端遙控型木馬 ( 原生型木馬 ) 製造 MS06-001 漏洞工具撰寫呼叫 wmf 檔案的掛馬網址使用 WINRAR 製做具有 XSS 的自動解壓縮檔案被害人點選自動解壓縮檔案後植入