OuTian's 芭樂閣

本週大事

2007-09-25 02:26

這幾天比較大的資安新聞 , 絕對就是這件事了吧 -

HiNet、PTT 個人帳號外洩
PChome 原始碼遭盜取
台灣深藍學生論壇、卡提諾論壇、EZpeer、無名小站、艾噹洛學院、及桃園縣部份國中資料庫遭竊
Yahoo、Google 登入程序遭破解 (並非入侵, 而是指可使用他人帳號登入)

根據下面參考的報導, 可以看出幾乎都是針對 Web 層的應用程式作攻擊

事實上, 稍有資安意識的人都知道,
目前由於防火牆(Firewall)、入侵防禦系統(IPS)技術漸趨成熟,
以及作業系統層/服務層的弱點愈來愈少,
因此近幾年來, 約有 70% 的攻擊是針對 Web 應用程式層.

常見的弱點如 OWASP 所提出的 top 10 2007 web application vulnerabilities -

Cross Site Scripting

Injection Flaws

Malicious File Execution

Insecure Direct Object Reference

Cross Site Request Forgery

Information Leakage and Improper Error Handling

Broken Authentication and Session Management

Insecure Cryptographic Storage

Insecure Communications

Failure to Restrict URL Access

另外, 也有幾點也是在弱點資料庫中常見的 -

Cookie/Parameter Tampering(Poisoning or Spoofing)

Upload File Mis-Handling

Buffer Overflow

Web 的弱點這麼多、這麼常見, 那到底該如何防範呢 ?
　
在個人的工作經驗中, 有一系列的邏輯是可以參考的 -

但在台灣的環境裡, 要做到上述每一項, 我相信幾乎是不可能的,
多數都是功能需求提出後, 就要 Programmer 拼命的趕趕趕, 絕對不能比別人晚上線這樣 ...
　
但事實上, 統計指出, 愈晚開始進行資安的考量, 所耗費的 Cost 愈高,
例如一個網站都已經上線運作了, 才開始請人滲透測試、才開始 Review Source Code,
那即使找出了問題, 也難確保是否早就有人利用弱點取得資料、甚至入侵系統、還種下後門了 ....
　
　
Web AP Security 是國外早就熱了好幾年的話題, 但國內的企業在部署機房的 infrastructure 時,
卻老是以為只要疊上層層的防火牆(Firwall)、入侵偵測系統(IDS)、入侵防禦系統(IPS),
再花錢請最高級的 Verisign 發個 SSL Certificate ,
就可以把頭埋在土裡, 高枕無憂了 ~
(真的, 我有遇過知名網站主管問我說, 他們全程使用 https 傳輸資料, 這樣也會被入侵嗎 ?)
　
　
資訊安全, 是需要每個階級的人員 (CEO、各級主管、MIS、Programmer、Operator、... )
都有相對應的 Sense ,
才有可能落實的,
台灣身處一個幾乎算是世界的資安第一線,
所有對岸的強大網軍開發出的 0day、Worm、Virus、... 絕對都以台灣的網站為實驗場,