把握時(shí)代脈搏,信息安全與時(shí)俱進(jìn)

1、,智恒科技 2012年10月,把握時(shí)代脈搏,信息安全與時(shí)俱進(jìn)--江西地稅信息安全培訓(xùn),,,,,五.案例講解,二.安全現(xiàn)狀分析,一.公司簡介,四.智恒科技解決方案,目錄,三.應(yīng)用安全防護(hù)措施,,一、公司介紹,,一.公司介紹,,,北京智恒聯(lián)盟科技有限公司是國內(nèi)專注于WEB安全以及數(shù)據(jù)保密安全的領(lǐng)軍企業(yè)，現(xiàn)有員工300多人，全國擁有30余家分支及合作機(jī)構(gòu)，基于多年的持續(xù)安全技術(shù)研究，尤其在黑客攻擊及防御技術(shù)、信息數(shù)據(jù)加密、磁盤數(shù)據(jù)銷毀、

2、深度木馬檢測、服務(wù)器操作系統(tǒng)安全加固以及應(yīng)用層深度威脅檢測等領(lǐng)域積累了豐富的經(jīng)驗(yàn)，也是國內(nèi)最早專注于研究開發(fā)第三代網(wǎng)頁防篡改技術(shù)的公司。 公司的產(chǎn)品和技術(shù)研究成果近幾年來得到了全國眾多用戶的青睞和支持，并與國內(nèi)多個(gè)高校建立了長期深入的科研合作，特別是在國家部級機(jī)關(guān)、電信、金融等重要領(lǐng)域得到了高度認(rèn)可。 智恒科技致力成為您身邊最值得信賴 的專業(yè)級信息安全服務(wù)商,公司介紹,,,,智恒

3、科技產(chǎn)品體系,zhihengIT,,,,,Web安全檢測系列,,,內(nèi)網(wǎng)安全系列,公司產(chǎn)品體系,,,智恒科技發(fā)展歷程,,,,,,,,08年9月,07年4月,06年10月,06年1月,,09年5月,10年,08年10月,12年,,,,11年,,,智恒科技部分資質(zhì)榮譽(yù),,,,二、安全現(xiàn)狀分析,,,,數(shù)據(jù)大集中——風(fēng)險(xiǎn)也更集中了；系統(tǒng)復(fù)雜了——安全問題解決難度加大；云計(jì)算——安全已經(jīng)不再是自己可以控制的；3G 、物聯(lián)網(wǎng)、三網(wǎng)合一——IP

4、網(wǎng)絡(luò)中安全問題引入到了電話、手機(jī)、廣播電視中；web2.0 、微博、人肉搜索——網(wǎng)絡(luò)安全與日常生活越來越貼近。,新應(yīng)用導(dǎo)致新的安全問題,,,信息安全問題的分析,,,因?yàn)橛泻诳蛦幔?因?yàn)橛新┒磫幔?,因?yàn)橛胁《締幔?信息安全問題的根源,,,安全問題根源外因—來自對手的威脅,,,,,常見應(yīng)用安全漏洞,,,應(yīng)用安全漏洞分析——常見安全漏洞,,,,,應(yīng)用安全現(xiàn)狀,Web應(yīng)用相關(guān)的漏洞快速增長。,70%以上的攻擊基于應(yīng)用系統(tǒng)。,三大威脅

5、 1、網(wǎng)頁篡改 2、網(wǎng)站掛馬 3、網(wǎng)站仿冒(釣魚網(wǎng)站),,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,湖北石首市群體性事件，“躲貓貓”事件，政府網(wǎng)站被黑,,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,2009年8月 國內(nèi)某政府網(wǎng)站被恐怖分子入侵,,,,,,,應(yīng)用安全事件回顧——政府網(wǎng)站,2010年1月4日幾名黑客入侵公安部物證鑒定中心的中英文網(wǎng)站，將原網(wǎng)站內(nèi)容替換，并且不停修改頁面內(nèi)容，甚至留下網(wǎng)絡(luò)聯(lián)絡(luò)號碼和網(wǎng)名。,,,,,,

6、,應(yīng)用安全事件回顧——媒體網(wǎng)站,2008年12月，CCTV官方網(wǎng)站音樂頻道被黑春晚辦的不好，央視網(wǎng)站被黑。,,,,,,,應(yīng)用安全事件回顧——企業(yè)網(wǎng)站,2009年6月，“樓市走向”繼續(xù)成為網(wǎng)絡(luò)熱議話題，知名地產(chǎn)網(wǎng)站相繼被掛馬。,,,,,,,應(yīng)用安全事件回顧——企業(yè)網(wǎng)站,2010年1月，百度首頁被黑,2010年3月，微軟官方網(wǎng)站被黑客攻擊，頁面嵌入成人網(wǎng)站內(nèi)容,,,,,,,應(yīng)用安全事件回顧——教育網(wǎng)站,2010年6月30日，北京師范大學(xué)網(wǎng)

7、站被掛馬,清華大學(xué)網(wǎng)站被篡改,,,,應(yīng)用安全漏洞分析——常見漏洞,,漏洞簡介 WEB程序?qū)⒖蛻舳溯斎氘?dāng)作SQL語句執(zhí)行漏洞成因 對用戶輸入中包含的SQL關(guān)鍵字過濾不嚴(yán)漏洞威脅 修改數(shù)據(jù)庫內(nèi)容 刪除數(shù)據(jù)庫表 竊取數(shù)據(jù)到本地 執(zhí)行系統(tǒng)命令,注入漏洞,,,,,注入漏洞——說明及演示,,漏洞簡介 利用WEB程序生成的SQL語句具有邏輯錯(cuò)誤攻擊漏洞成因 對用戶輸入中包含的SQL關(guān)鍵字和特殊字符

8、過濾 不嚴(yán)漏洞威脅 身份驗(yàn)證繞過,邏輯錯(cuò)誤漏洞,,,邏輯錯(cuò)誤漏洞——說明及演示,漏洞說明,漏洞演示,,文件型Cookie欺騙 保存在硬盤上會(huì)話型Cookie欺騙 保存在內(nèi)存中,,,Cookie欺騙,,,,,Cookie欺騙—文件型,修改硬盤上保存的Cookie使用工具IECookiesView修改直接發(fā)送Cookie直接使用curl發(fā)送Cookiecurl http://target/in

9、dex.php -b "admin=1" -d "other_action=todo",,獲取HTTP響應(yīng)頭，偽造Cookie 使用NetCat連接目標(biāo)，獲取HTTP響應(yīng)頭，修改 Cookie字段。虛假代理，發(fā)送Cookie 使用NetCat監(jiān)聽端口，發(fā)送Cookie到瀏覽器，NC –vv –l –p 9090<Cookie.txt； 設(shè)置瀏覽器代理為127.0.0.

10、1:9090，訪問目標(biāo)。,Cookie欺騙—會(huì)話型,,,跨站漏洞,漏洞簡介攻擊者通過誘騙受害者點(diǎn)擊特殊編碼的URL竊取Cookie資料漏洞成因WEB程序?qū)tml參數(shù)過濾不嚴(yán),,,跨站漏洞—說明,漏洞說明,,,信息泄漏,泄露物理路徑請求不存在文件猜解正確用戶名輸入錯(cuò)誤用戶名時(shí)，返回”該用戶不存在”暴露數(shù)據(jù)庫路徑請求http://target/news%5creadnews.asp?newid=1暴露Access數(shù)據(jù)庫路徑

11、,,耗時(shí)數(shù)據(jù)庫查詢大量代理分布式查詢突破一般防火墻,,拒絕服務(wù)攻擊,,漏洞簡介 敏感目錄或者敏感文件權(quán)限設(shè)置不當(dāng)導(dǎo)致被攻擊者查看漏洞成因 WEB程序權(quán)限設(shè)置不嚴(yán)格 WEB服務(wù)器權(quán)限設(shè)置不當(dāng),,訪問控制漏洞,,,,訪問控制漏洞—說明及演示,漏洞說明,漏洞演示,,,工作計(jì)算機(jī),員工在使用,移動(dòng)介質(zhì),內(nèi)網(wǎng)中的其它系統(tǒng),單位連接因特網(wǎng),電話撥號上網(wǎng),連接其它單位網(wǎng)絡(luò),無線網(wǎng)絡(luò),安全問題根源內(nèi)因—系統(tǒng)越來越復(fù)雜,,,,,,

12、風(fēng)險(xiǎn)隱患,某通信公司,,,某通信公司的通信卡系統(tǒng)被集成公司人員預(yù)留了口令，核心 數(shù)據(jù)被修改，導(dǎo)致通信損失達(dá)千萬元，最后被判刑。導(dǎo)致公司名譽(yù)，口碑受到傷害。,1、非正常的手段訪問數(shù)據(jù)庫，賬號無集中管理，以用自己預(yù)留的身份修改卡號和費(fèi)用信息； 2、偽裝成內(nèi)部訪問行為，不受防火墻、接入和授權(quán)限制以及網(wǎng)絡(luò)安全措施的監(jiān)控。 3.沒有有效的監(jiān)督，監(jiān)控手段，導(dǎo)致運(yùn)維人員為所欲為。,內(nèi)因威脅—安全事故一,,,,,,,1、移動(dòng)經(jīng)營數(shù)據(jù)事件：,,系統(tǒng)集

13、成公司人員把連續(xù)2年的經(jīng)營數(shù)據(jù)刪除，導(dǎo)致公司近2年的數(shù)據(jù)空白；,2、西安醫(yī)保事件：,,系統(tǒng)關(guān)鍵信息表被意外修改，導(dǎo)致全市2周不能使用醫(yī)?？?，造成社會(huì)嚴(yán)重影響事件。,3、韓國某銀行案例：,,韓國某銀行，內(nèi)部人員在數(shù)據(jù)庫運(yùn)維操作中，“誤”執(zhí)行了rm –d 指令，導(dǎo)致數(shù)據(jù)庫表和數(shù)據(jù)全部刪除。,內(nèi)因威脅—安全事故二,,,,三、應(yīng)用安全防護(hù)措施,,,,應(yīng)用安全防護(hù)措施,,,,安全配置,配置安全安全漏洞的防范 WEB程序級別過濾

14、WEB服務(wù)器級別過濾安全編程,,,,配置安全—身份鑒別機(jī)制,建立有效的身份鑒別機(jī)制系統(tǒng)用戶的身份標(biāo)識(shí)應(yīng)具有唯一性；應(yīng)對應(yīng)用系統(tǒng)的管理用戶進(jìn)行身份標(biāo)識(shí)和鑒別；管理系統(tǒng)用戶的身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長度、復(fù)雜性和定期更新等；應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出,,,,配置安全—訪問控制機(jī)制,建立有效的服務(wù)器訪問控制機(jī)制 應(yīng)設(shè)置用戶對系統(tǒng)功能和用戶數(shù)據(jù)訪問和操作的權(quán)限；

15、 應(yīng)對數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限進(jìn)行分離，例如將管理與審計(jì)的權(quán)限分配給不同的數(shù)據(jù)庫系統(tǒng)用戶； 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系； 應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限。,,,,配置安全—漏洞檢測及補(bǔ)丁升級,建立完善的漏洞掃描以及補(bǔ)丁升級機(jī)制應(yīng)定期對數(shù)據(jù)庫系統(tǒng)進(jìn)行漏洞掃描分析；應(yīng)跟蹤安全漏洞和安全補(bǔ)丁的發(fā)展情況，及時(shí)進(jìn)行補(bǔ)丁升級，彌補(bǔ)安全漏洞。,編寫通用的安全

16、模塊優(yōu)勢：處理速度較好代碼編寫比較容易劣勢：要求程序員具有一定的WEB安全知識(shí)一時(shí)疏忽可能造成模塊使用遺漏要經(jīng)過大量驗(yàn)證測試,,,安全漏洞防范—WEB程序級過濾,,,,安全漏洞防范—服務(wù)器級過濾,安裝額外的安全模塊優(yōu)勢可以安全的部署第三方WEB安全模塊而不過于考慮WEB程序安全不易被特殊編碼繞過限制劣勢在性能上略有降低配置比較復(fù)雜,程序只實(shí)現(xiàn)指定的功能 每個(gè)函數(shù)或者文件只實(shí)現(xiàn)基本的功能，越簡潔的程序

17、越不容易出現(xiàn)錯(cuò)誤 多個(gè)功能簡單的函數(shù)或文件組成功能強(qiáng)大的程序 永遠(yuǎn)不要相信用戶的輸入 使用白名單方式，檢查輸入的每個(gè)字符是否都在合法字符集內(nèi)，而不是判斷是否存在非法字符,,,安全編程一,盡可能的捕獲錯(cuò)誤 盡量捕獲每一個(gè)意外情況，不泄露任何關(guān)于錯(cuò)誤的詳細(xì)信息（如只要用戶名和口令有一樣不正確，都顯示同樣的錯(cuò)誤信息，攻擊者無法識(shí)別有效用戶名。） 發(fā)現(xiàn)錯(cuò)誤之后立即停止執(zhí)行盡可能少的在客戶端存儲(chǔ)信息 盡量用在服務(wù)端的

18、Session驗(yàn)證,,,安全編程二,WEB應(yīng)用防火墻（WAF）提供對SQL Injection、XSS等WEB攻擊的監(jiān)測和阻 斷提供WEB加速功能支持HTTP/HTTPS模式提供對攻擊和掃描的阻斷模式提供對攻擊和掃描的告警模式提供By-Pass模式提供網(wǎng)頁防篡改功能,,,防護(hù)產(chǎn)品—WAF,安全審計(jì)系統(tǒng) 設(shè)置有效的安全審計(jì)系統(tǒng)，對來自重要服務(wù)器內(nèi)外部的操作進(jìn)行安全審計(jì)： 安全審計(jì)系統(tǒng)應(yīng)記錄重要服務(wù)器相關(guān)的安全事件，

19、包括重要用戶行為和重要系統(tǒng)功能的執(zhí)行等； 安全相關(guān)事件的記錄應(yīng)包括日期和時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)、事件的結(jié)果等； 安全審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。,,,安全審計(jì)系統(tǒng),系統(tǒng)漏洞掃描器 提供AIX、UNIX、WINDOWS等系統(tǒng)漏洞的掃描和評估 提供對Oracle、SQL Server等數(shù)據(jù)庫漏洞的掃描和評估 提供對網(wǎng)絡(luò)CISCO、Juniper等數(shù)據(jù)庫漏洞的掃描和評估應(yīng)用漏洞掃描器（W

20、ebScan) 提供對SQL Injection、XSS等WEB應(yīng)用弱點(diǎn)的取證式掃描,,,漏洞檢測系統(tǒng),WEB日志防火墻日志數(shù)據(jù)庫日志IDS日志W(wǎng)EB目錄文件,,,定期安全檢查,,,,安全管理,建立有效的WEB應(yīng)用安全管理包括安全管理機(jī)構(gòu)安全操作管理制度系統(tǒng)安全運(yùn)維管理,,四、智恒科技解決方案,,,智恒科技解決方案,,發(fā)改委、公安部、國家保密局聯(lián)合下發(fā)通知，要求加強(qiáng)和規(guī)范國家電子政務(wù)工程建設(shè)項(xiàng)目信息安全風(fēng)險(xiǎn)評估工作。

21、　 3部委要求，國家的電子政務(wù)網(wǎng)絡(luò)、重點(diǎn)業(yè)務(wù)信息系統(tǒng)、基礎(chǔ)信息庫以及相關(guān)支撐體系等國家電子政務(wù)工程建設(shè)項(xiàng)目，必須進(jìn)行完整信息安全風(fēng)險(xiǎn)評估工作。 　　　評估的主要內(nèi)容包括：分析信息系統(tǒng)資產(chǎn)的重要程度，評估信息系統(tǒng)面臨的安全威脅、存在的脆弱性、已有的安全措施和殘余風(fēng)險(xiǎn)的影響等　　電子政務(wù)項(xiàng)目涉密信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評估，由國家保密局涉密信息系統(tǒng)安全保密測評中心承擔(dān)。非涉密信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評估，由國家信息技術(shù)安全研究中心、中

22、國信息安全測評中心、公安部信息安全等級保護(hù)評估中心等三家專業(yè)測評機(jī)構(gòu)承擔(dān),中華人民共和國公安部令-第82號 第九條 提供互聯(lián)網(wǎng)信息服務(wù)的單位除落實(shí)本規(guī)定第七條規(guī)定的互聯(lián)網(wǎng)安全保護(hù)技術(shù)措施外，還應(yīng)當(dāng)落實(shí)具有以下功能的安全保護(hù)技術(shù)措施：　?。ㄒ唬┰诠残畔⒎?wù)中發(fā)現(xiàn)、停止傳輸違法信息，并保留相關(guān)記錄；　?。ǘ┨峁┬侣劇⒊霭嬉约半娮庸娴确?wù)的，能夠記錄并留存發(fā)布的信息內(nèi)容及發(fā)布時(shí)間,（三）開辦門戶網(wǎng)站、新聞網(wǎng)站、電子商務(wù)網(wǎng)站的，能

23、夠防范網(wǎng)站攻擊、網(wǎng)頁被篡改，被篡改后能夠自動(dòng)恢復(fù)；,（四）開辦電子公告服務(wù)的，具有用戶注冊信息和發(fā)布信息審計(jì)功能；　?。ㄎ澹╅_辦電子郵件和網(wǎng)上短信息服務(wù)的，能夠防范、清除以群發(fā)方式發(fā)送偽造、隱匿信息發(fā)送者真實(shí)標(biāo)記的電子郵件或者短信息。,,攘外—Web應(yīng)用防護(hù)政策,,,,,,,WebGuard網(wǎng)頁防篡改保護(hù)系統(tǒng),技術(shù)先進(jìn)，采用第三代防篡改技術(shù)，成熟、穩(wěn)定、可靠。 有效防止SQL、XSS、DDoS等各類應(yīng)用攻擊。 效率較高，對服務(wù)器資

24、源消耗低于2%，遠(yuǎn)高于同類產(chǎn)品 。 汲取廣大網(wǎng)管員建議，操作及其簡便，大大提高工作人員效率。 系統(tǒng)運(yùn)行于系統(tǒng)低層，與Web應(yīng)用無關(guān)，能與應(yīng)用系統(tǒng)無縫連接。 全國數(shù)以千計(jì)的成功應(yīng)用案例。,攘外—Web應(yīng)用防護(hù)產(chǎn)品,WebGuard-WAF防護(hù)網(wǎng)關(guān),,,防篡改關(guān)鍵技術(shù)發(fā)展,,,,,,,,,,,多因子檢測時(shí)代,高級檢測,中級檢測,初級檢測,第一代技術(shù),第二代技術(shù),第三代技術(shù),原始技術(shù),,,防篡改關(guān)鍵技術(shù)對比,,,For Windows2

25、000/2003/2008/Linux/Unix/AIX/Solaries,擴(kuò) 展 性,WebGuard防篡改系統(tǒng)主要功能,,,WebGuard-WAF系統(tǒng)主要功能,,,WebGuard防護(hù)系統(tǒng)部署示意圖,,,DMZ,內(nèi)網(wǎng),外網(wǎng),,,,,,,,,,,,內(nèi)容管理系統(tǒng),Web服務(wù)器集群數(shù)據(jù)庫服務(wù)器群,,網(wǎng)站備份,管理中心,,,,防篡改系統(tǒng),,,,,,,,,數(shù)據(jù)庫管理員,系統(tǒng)管理員,網(wǎng)絡(luò)管理員,業(yè)務(wù)操作員,,,Windows服務(wù)器,Unix

26、服務(wù)器,業(yè)務(wù)系統(tǒng),網(wǎng)絡(luò)設(shè)備及安全設(shè)備等,,,,,,,,,,,核心資產(chǎn),資產(chǎn)使用,,中心,各網(wǎng)點(diǎn),分支機(jī)構(gòu),代維廠商,多點(diǎn)登陸,安內(nèi)—運(yùn)維現(xiàn)狀,,,,,,,管理問題,,,,,,,使用問題,密碼記憶 用戶需要記憶許多用戶名和密碼用于登錄各個(gè)系統(tǒng)，經(jīng)常出現(xiàn)忘記密碼的情況，有些管理直接使用相同的密碼，缺乏統(tǒng)一的用戶管理。頻繁登錄和注銷 管理不同的網(wǎng)絡(luò)設(shè)備需要分別登錄，操作繁瑣。,,,,,,,關(guān)鍵業(yè)

27、務(wù)系統(tǒng)數(shù)據(jù)被修改了，系統(tǒng)記錄是admin改的，到底是誰用這個(gè)帳號改的？,這么多系統(tǒng)，查看命令這么復(fù)雜，我怎么去使用這些命令去查看？,業(yè)務(wù)數(shù)據(jù)被修改，從日志中查，一天的日志量有幾百萬，我該從什么地方開始看，他到底在什么時(shí)間修改業(yè)務(wù)數(shù)據(jù)的？,每個(gè)系統(tǒng)的日志都這么多，不知道他們之間有什么關(guān)系？,審計(jì)問題,,,,,,,政策法規(guī)—等保要求,,,,,,,,政策法規(guī)—薩班斯法案,,,,,,,安內(nèi)—IT運(yùn)維管理審計(jì)核心理念,,轉(zhuǎn)變,邏輯上將人與目標(biāo)設(shè)備

28、分離，全局唯一身份標(biāo)識(shí)轉(zhuǎn)變傳統(tǒng)IT安全運(yùn)維的被動(dòng)響應(yīng)模式，建立面向用戶的集中、主動(dòng)的安全管控模式由面及點(diǎn)的管理方式，讓安全管理精確制導(dǎo)實(shí)現(xiàn)企業(yè)或單位IT內(nèi)控，滿足等保等合規(guī)要求,,益處,,智恒SAS運(yùn)維管理審計(jì)平臺(tái),,,,,,,SAS管理方式,,堡壘機(jī),IBM,SUN,HP,DELL,Intel,DAWNING,操作人員,User ID: Jimmy.ZhPassword: *JZ23,User ID: Bush.ACPass

29、word: *BC23,User ID: Tony.ZhPassword: *TA23,User ID: Adam.HcPassword: *Kejf,User ID: Apple.BcPassword: *Kefadsf,User ID: Jdfy.ZhPassword: *JZ23,安全策略,User ID: Jason.HwaPassword: *JH123,1. 邏輯串接部署（堡壘機(jī)）,2. 管理各個(gè)設(shè)備登錄賬戶,3.