ZOHO在2021年9月初宣布，將對(duì)ManageEngine ADSelfService Plus的密碼管理解決方案中的一個(gè)重要安全更新使用新的補(bǔ)丁更新。該漏洞被跟蹤為CVE-2021-40539，它涉及繞過(guò)REST API身份驗(yàn)證，并可能導(dǎo)致任意遠(yuǎn)程代碼執(zhí)行(RCE)。ZOHO進(jìn)一步表示，他“注意到了漏洞被利用的跡象”，因此緊急提醒相關(guān)用戶(hù)盡快修復(fù)。
一個(gè)月前，安全419以簡(jiǎn)訊的形式報(bào)告了紅十字國(guó)際委員會(huì)數(shù)據(jù)被盜的情況。當(dāng)時(shí)相關(guān)發(fā)言人并沒(méi)有透露太多關(guān)于襲擊的信息。他們當(dāng)時(shí)的說(shuō)法是:“我不知道是誰(shuí)對(duì)一家存儲(chǔ)其數(shù)據(jù)的瑞士公司實(shí)施了網(wǎng)絡(luò)攻擊，也不知道這些數(shù)據(jù)是否已經(jīng)被泄露或公開(kāi)共享。”
我們也持續(xù)關(guān)注事件的進(jìn)一步演變，現(xiàn)在進(jìn)一步的消息已經(jīng)披露。紅十字國(guó)際委員會(huì)隨后表示，攻擊者利用一個(gè)未打補(bǔ)丁的嚴(yán)重漏洞于2021年11月9日入侵，此次入侵中利用的漏洞是ZOHO此前在幾個(gè)月前發(fā)布補(bǔ)丁的CVE-2021-40539。至此，這次襲擊成了一個(gè)“生動(dòng)的案例”。
未修補(bǔ)的漏洞依然是黑客展開(kāi)攻擊的主要利用方式換句話說(shuō)，這是另一個(gè)典型的未打補(bǔ)丁的Nday漏洞。
此前，行業(yè)相關(guān)報(bào)道曾披露，未打補(bǔ)丁的漏洞仍是黑客攻擊的主要方式。他們的觀點(diǎn)是，無(wú)論是最新漏洞還是舊漏洞，只要對(duì)攻擊入侵者有效，攻擊者就不會(huì)放過(guò)。在他們的攻擊武器庫(kù)中，脆弱性仍然是主力。
有什么好擔(dān)心的？根據(jù)一些安全組織的數(shù)據(jù)，在2021年之前發(fā)現(xiàn)的223個(gè)舊漏洞中，56%仍被勒索軟件集團(tuán)頻繁使用。里面有兩個(gè)字“利用”和“依然存在”，說(shuō)明老漏洞對(duì)于攻擊依然有效。就像這次紅十字國(guó)際委員會(huì)的攻擊，官方在兩個(gè)月前就修復(fù)了漏洞，但是他們沒(méi)有選擇更新安全補(bǔ)丁。
應(yīng)對(duì)方法論的建立是關(guān)鍵 重視程度和預(yù)算緊缺亦是主因我知道于闖404實(shí)驗(yàn)室主任隋剛就此話題接受安全419采訪時(shí)表示，微妙的網(wǎng)絡(luò)安全形勢(shì)正是如此。企業(yè)和組織之所以總是被已經(jīng)爆發(fā)的漏洞攻擊(突破)，是因?yàn)槿匀挥写罅康钠髽I(yè)沒(méi)有建立有效的響應(yīng)方法論，包括應(yīng)急計(jì)劃、安全防護(hù)產(chǎn)品和工具。
“如果企業(yè)沒(méi)有受到攻擊，他不會(huì)認(rèn)為網(wǎng)絡(luò)安全問(wèn)題是個(gè)大問(wèn)題。這是一種普遍存在的僥幸心理，但對(duì)于被攻擊的企業(yè)來(lái)說(shuō)，通常無(wú)法承受攻擊帶來(lái)的嚴(yán)重傷害?！笨梢?jiàn)，造成這種現(xiàn)象的深層原因其實(shí)是企業(yè)對(duì)安全不夠重視。
企業(yè)也應(yīng)該有同樣的認(rèn)知。種種安全跡象表明，相關(guān)運(yùn)維人員即使只靠自己的力量對(duì)抗黑客攻擊，也很難兼顧自身的安全。
隋剛認(rèn)為，這與信息系統(tǒng)的復(fù)雜性有關(guān)，整個(gè)軟硬件供應(yīng)鏈的每一個(gè)環(huán)節(jié)都可能暴露威脅。所以安全能力的建立，包括工具、防御產(chǎn)品和服務(wù)，都需要第三方專(zhuān)業(yè)網(wǎng)絡(luò)安全廠商來(lái)提供。
隋剛指出，企業(yè)應(yīng)評(píng)估保證網(wǎng)上業(yè)務(wù)持續(xù)運(yùn)行的重要性，以及被攻擊后的損失，從而進(jìn)一步評(píng)估撥出足夠預(yù)算建設(shè)相應(yīng)安全能力的必要性。
”還是以最有效的漏洞攻擊為例。比如利用威脅情報(bào)等安全服務(wù)提前了解相關(guān)威脅，然后通過(guò)安全產(chǎn)品隨時(shí)檢查資產(chǎn)，進(jìn)而進(jìn)行全面的修復(fù)加固，就是有效的應(yīng)對(duì)方案?！?/strong>隋剛說(shuō)。
在線業(yè)務(wù)必須保障連續(xù)性 硬性的防護(hù)產(chǎn)品必不可少以漏洞攻擊為例，安全419觀察發(fā)現(xiàn)，上游供應(yīng)鏈已經(jīng)開(kāi)始嘗試使用新的方法來(lái)緩解用戶(hù)拖延更新安全補(bǔ)丁的傳統(tǒng)“壞習(xí)慣”。比如在全球擁有大量企業(yè)用戶(hù)的WordPress，最近通過(guò)強(qiáng)制安裝更新解決了一個(gè)最近發(fā)現(xiàn)的高危漏洞。
隋剛認(rèn)為WordPress的目的值得鼓勵(lì)，但行為本身需要進(jìn)一步觀察。
他指出，一方面需要及時(shí)修復(fù)漏洞，但也要考慮用戶(hù)業(yè)務(wù)系統(tǒng)部署的實(shí)際場(chǎng)景。以企業(yè)的關(guān)鍵業(yè)務(wù)和服務(wù)公眾的關(guān)鍵基礎(chǔ)設(shè)施為例，必須保證在線業(yè)務(wù)的連續(xù)性，不允許服務(wù)中斷。這也是一些特殊行業(yè)在修復(fù)漏洞時(shí)面臨的困境之一；另一方面，這種強(qiáng)制更新推送機(jī)制本身也存在安全隱患。如果黑客找到可用的方法，入侵將更加直接。
“所以還是把選擇權(quán)放在用戶(hù)手里比較好。系統(tǒng)的任何變化都需要謹(jǐn)慎處理，因此硬網(wǎng)絡(luò)安全防護(hù)產(chǎn)品在解決企業(yè)全方位網(wǎng)絡(luò)安全問(wèn)題中仍然必不可少?！彼鍎傔M(jìn)一步表示，比如知道于闖云防護(hù)服務(wù)，保證在線業(yè)務(wù)的持續(xù)運(yùn)行，用戶(hù)端其實(shí)不必受到漏洞攻擊的干擾。
這也是云防御的高價(jià)值所在。所有為企業(yè)在線業(yè)務(wù)提供安全保障的技術(shù)手段都先進(jìn)到云端，用戶(hù)可以有充足的時(shí)間規(guī)劃和解決復(fù)雜系統(tǒng)漏洞的安全更新問(wèn)題。
法律明確規(guī)定漏洞補(bǔ)救辦法 安全廠商可以做的更多我國(guó)《網(wǎng)絡(luò)安全法》規(guī)定，“網(wǎng)絡(luò)產(chǎn)品和服務(wù)的提供者發(fā)現(xiàn)其網(wǎng)絡(luò)產(chǎn)品和服務(wù)存在安全缺陷、漏洞等風(fēng)險(xiǎn)時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，及時(shí)告知用戶(hù)，并按照規(guī)定向有關(guān)主管部門(mén)報(bào)告?！?；“網(wǎng)絡(luò)產(chǎn)品和服務(wù)的提供者應(yīng)當(dāng)持續(xù)為其產(chǎn)品和服務(wù)提供安全維護(hù)；在規(guī)定或者約定的期限內(nèi)，不得終止提供安全維護(hù)?！?/p>
《網(wǎng)絡(luò)安全法》對(duì)企業(yè)端也有規(guī)定，指出“網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時(shí)處理系統(tǒng)漏洞、計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)入侵等安全風(fēng)險(xiǎn)”；“一旦發(fā)生危及網(wǎng)絡(luò)安全的事件，立即啟動(dòng)應(yīng)急預(yù)案，采取相應(yīng)的補(bǔ)救措施，并按規(guī)定向有關(guān)主管部門(mén)報(bào)告?！?/p>
這意味著來(lái)自漏洞攻擊的安全處置機(jī)制已經(jīng)被上位法明確，產(chǎn)品供應(yīng)商需要及時(shí)對(duì)漏洞采取補(bǔ)救措施。比如發(fā)布安全補(bǔ)丁，企業(yè)端需要及時(shí)響應(yīng)，以預(yù)案的形式有效應(yīng)對(duì)相應(yīng)的風(fēng)險(xiǎn)。具體解讀，包括漏洞的及時(shí)修復(fù)，以及防御能力的建設(shè)。
美國(guó)CISA(Network Security and infra structure Security Agency)今年年初發(fā)布的一份報(bào)告披露，一份已知被利用的漏洞列表包含15個(gè)漏洞，其中只有4個(gè)是最新的漏洞，屬于0day漏洞的范疇。其余11個(gè)漏洞可以追溯到更長(zhǎng)的歷史，它們都有自己的CVE編號(hào)。這也意味著相關(guān)廠商已經(jīng)為其提供了安全修復(fù)，而企業(yè)和組織修復(fù)漏洞的速度很慢。
根據(jù)此前Security 419對(duì)多家安全公司的采訪，這種現(xiàn)象在國(guó)內(nèi)也同樣存在，企業(yè)端的bug修復(fù)滯后現(xiàn)象普遍存在。
那么，在法律要求的閉環(huán)響應(yīng)措施中，現(xiàn)狀是仍然會(huì)有大量的安全威脅。最大的問(wèn)題是什么？其實(shí)就是企業(yè)方如何及時(shí)知道風(fēng)險(xiǎn)的發(fā)生。并不是所有的漏洞都像Apache Log4j2那么轟動(dòng)，幾乎所有的企業(yè)都在加班加點(diǎn)的修復(fù)。事實(shí)上，大量的安全漏洞并不為企業(yè)所知，這就導(dǎo)致了攻擊者更有效的利用。
隋剛進(jìn)一步表示，原安全廠商可以為企業(yè)做的更多，要知道于闖404實(shí)驗(yàn)室此前已經(jīng)根據(jù)他們開(kāi)發(fā)和維護(hù)的ZoomEye網(wǎng)絡(luò)空間搜索引擎和Seebug漏洞社區(qū)這兩款產(chǎn)品的能力，發(fā)布了最新的漏洞研究報(bào)告，為企業(yè)提供預(yù)警和修復(fù)?，F(xiàn)在由于政策監(jiān)管的原因，相關(guān)能力有所收緊。
寫(xiě)在最后：基于漏洞開(kāi)展攻擊只增不減當(dāng)全球網(wǎng)絡(luò)犯罪集中于勒索攻擊作為主要的最終攻擊形式時(shí)，這種更有目的性的(贖金)攻擊會(huì)逐漸放大對(duì)網(wǎng)絡(luò)安全的威脅。剝削是突破企業(yè)網(wǎng)絡(luò)最有效的方法。在威脅范圍更廣的勒索軟件即服務(wù)(ransomware-as-a-service)模式下，大量已有的漏洞被添加到了方便的工具中，沒(méi)有技術(shù)背景的攻擊者也能利用。
這也意味著，未來(lái)黑客基于漏洞的攻擊只會(huì)增加不會(huì)減少，企業(yè)必須采取有效措施積極應(yīng)對(duì)。
#網(wǎng)絡(luò)安全# #黑客#