Title slide with picture

Size: px

Start display at page:

Download "Title slide with picture"

劈泗黄
5 years ago
Views:

1 從應用程式安全事件看開發面面觀 HP Presales Bill Lee 李柏厚

2 Agenda 資安事件面面觀從資安事件看應用程式安全開發應用程式安全檢測差異 HP 解決方案 Q&A

3 應用程式安全事件 3

4 SecurityFocus 4

5 PacketStrom 5

弄了那麼的鬼玩意, 為什麼還有問題啊 1 2 3 4 5 6 7 8 84% of breaches exploit vulnerabilities in the application layer Yet the ratio of spending between perimeter

6 弄了那麼的鬼玩意, 為什麼還有問題啊 % of breaches exploit vulnerabilities in the application layer Yet the ratio of spending between perimeter security and application security is 23-to-1 - Gartner Maverick Research: Stop Protecting Your Apps; It s Time for Apps to Protect Themselves (2014)

7 7

8 Cost 應用程式安全問題造成的成本上昇修改程式造成的成本支出 30X 15X 10X 5X 2X Requirements Coding Integration/ component testing System testing Production

9 應用程式問題傳統流程 2 IT 將不安全的 AP 散佈出去 1 如果只是單面修正問題, 可能會產生其它安全的問題 4 付出相當的高的成本請人來修正程式 3 可能被客戶或第三者告知程式有問題, 產生商譽的問題

10 The right approach > systematic, proactive, automated, repeatable 1 Software Security Assessment Leverage Security Gate to validate resiliency of internal or external code before Production 2 development Software Security Assurance Embed security into SDLC process 3 running Runtime Application Self-Protection Monitor and protect software in Production IN-HOUSE OUTSOURCED COMMERCIAL OPEN SOURCE IMPROVE SDLC POLICIES

Secure Agile Software Development Automating Security Activities to Reduce Effort and Match Development Speed Sprint 0 Design Review of Stories M A M Automated Manual Strategy & Metrics M Policy &

11 Secure Agile Software Development Automating Security Activities to Reduce Effort and Match Development Speed Sprint 0 Design Review of Stories M A M Automated Manual Strategy & Metrics M Policy & Compliance M Security Requirements M Secure Architecture M Environment Hardening A Threat Assessment M Code Analysis Security Verification A Testing A Operational Enablement M App Security Monitoring A Education & Guidance

12 資安事件分析

13 Gmail 事件始末在年末有的漏洞當使用者登入帳戶, 讓瀏覽器得到誘導使用者造訪一個惡意頁面, 而這頁面隱藏一個, 而這指向惡意的頁面中, 隱藏一個的地址指向寫的建構頁面而這個的建構頁面, 主要是把參數產生一個的表單, 並自動傳送這個案子可以讓攻擊者在受害者的郵件上產生一個, 讓信件到攻擊者

Cross-Site Request Forgery bank.com Go to Transfer Assets https://bank.com/fn?param=1 Select FROM Fund https://bank.com/fn?param=1 Select TO Fund https://bank.com/fn?param=1 Select Dollar Amount https://bank.

14 Cross-Site Request Forgery bank.com Go to Transfer Assets Select FROM Fund Select TO Fund Select Dollar Amount Submit Transaction Confirm Transaction attacker s post at blog.net 14

15 Using CSRF to Attack Internal Pages internal browser attacker.com CSRF TAG Allowed! Internal Site internal.mybank.com 15

16 Gmail CSRF 攻擊的分析攻擊者利用使用者身份控管缺乏的問題防禦的方式就是根據不可預測性原則, 同時利用下列方式來做防預儘量使用 POST 不要用 GET 檢查 HTTP refere header 來防止 (WAF) 可採用 Token 讓攻擊者無法預測在程式的開發中忽略身份控管機制 16

17 XcodeGhost 事件分析 17

18 事件分析主要下載程式來源沒有過濾, 而造成其開發程式都會有後門這些開發廠商並沒有針對開發程式做更進一步的掃描及分析, 而造成用戶端的問題 18

19 治本之法開發人員程式安全基本觀念應用程式安全檢測白箱檢測 ( 源碼檢測 - 靜態測試 ) 黑箱檢測 ( 應用程式測試 - 動態測試 ) 滲透測試 ( 邏輯測試 ) 19

20 應用程式安全測試源始碼掃描 ( 靜態分析 ) 改善程式效能檢查程式可能發生漏洞協助導入軟体開發生命週期 (SDLC) 應用系統滲透測試 ( 動態分析 ) 預防系統問題發生找出系統發生的問題點 <script>alert( attack )</script> NO NO NO NO NO <script>alert( attack )</script> <script>alert( attack )</script> <img src= javascript: alert( attack ) /> /><body onload= alert( attack ) /> 20

21 安全測試的差異白箱 ( 源碼掃描 ) 弱點掃描 ( 源碼掃描 ) 黑箱 ( 網站滲透測試工具 ) 滲透測試程式安全及品質的檢查作業系統弱點找尋檢查網頁欄位及網站安全性為主網站及一般性程式碼網路作業系統網站系統及網頁程式及 web service 檢查應用程之邏輯性問題及對網站滲透工具做人為誤判過濾網路作業系統及網站等

22 安全檢測差異 22

23 網站源碼掃描能做到什麼

24 源碼無法協助項目網站系統弱點問題 - 例如 Tomcat 網站漏洞檢查認證系統問題 - 密碼太簡單或 SSL 協定問題授權不正確的問題 - 沒有保護的檔案及未經授權的頁面 24

25 網站滲透測試能做到什麼

26 滲透無法協助項目 Log 偽造問題 - 例如用程式來偽造系統的 log 記憶體溢出 - 由於疏忽或錯誤造成程式未能釋放已經不再使用的內部記憶體 Null Dereference 問題 -NULL Point 指向不正確的問題 26

27 HP 解決方案 27

28 HP Fortify Solution 安全測試工具產品 WI Agent

29 HP Fortify 安全測試 Static 靜態測試 / Dynamic 動態測試

30 HPE 的白箱解決方案 Fortify on Demand- 雲端解決方案 Fortify Static code analysis- 產品 Fortify Devinspect- 即時程式碼分析

31 Fortify on Demand- 雲端解決方案 Secure ALL your applications before deployment Web, Facebook, Mobile, Cloud In-house, out-sourced, third-party Security Testing Service Code Test Deploy Contract/Outsource Procure Security Gate

32 Advanced Static Analysis- 白箱測試 100% code coverage Root cause of vulnerabilities with line-of-code detail Language specific remediation strategies Pinpoint and remediate violations within IDE Build Integrated and automated ABAP/BSP ASP.NET C C# C++ Classic ASP COBOL ColdFusion Flex HTML Javascript/Ajax Java (+ Android) JSP Objective-C PHP PL/SQL Python Ruby T-SQL VB6 VBScript VB.NET XML

33 HPE DevInspect- 即時程式碼掃描 Continuous Dev Feedback (Security Assistant) Secure Code Analysis (SCA) Integrated Sec Testing (WI Attacks + Agent) ALL WITHIN DEVELOPER IDE

34 Dynamic Security Testing- 黑箱測試 Websites and Web Services Automated Security Testing Tools Authenticated security tests and Privilege Escalation Location specific vulnerabilities and mitigation strategies Human Business Logic Testing Production Safe Testing if Required VPN

35 黑箱工具即時掃描儀表板網站樹狀結構即時掃描統計排除 & 允許的網站列表區塊詳細的攻擊列表目前已發現的安全弱點

36 HPE Software Security Center Line of code vulnerability detail Vulnerabilities identified in the scan Remediation explanation and advice

37 Fortify 黑白箱檢測結果關聯分析 FPR File Log File FPR File Correlation Engine ( Fortify SSC Server ) 37

38 RAST is the key to correlation = + + URL: www. sales.company.com File: NewClass.java Line: 27 File: NewClass.java Line: 27 ID: 234 ID: 234 Source Code: <java.sql. Connection.xxx>

39 黑白箱交叉的結果

40 Q&A 40

<4D6963726F736F667420506F776572506F696E74202D20C8EDBCFEBCDCB9B9CAA6D1D0D0DEBDB2D7F92E707074>

<4D6963726F736F667420506F776572506F696E74202D20C8EDBCFEBCDCB9B9CAA6D1D0D0DEBDB2D7F92E707074> 软件架构师研修讲座胡协刚软件架构师 UML/RUP 专家 szjinco@public.szptt.net.cn 中国软件架构师网东软培训中心小故事 : 七人分粥当前软件团队的开发现状和面临的问题软件项目的特点解决之道 : 从瀑布模型到迭代模型解决项