日本免费精品视频,男人的天堂在线免费视频,成人久久久精品乱码一区二区三区,高清成人爽a毛片免费网站

及時部分 Part 1

準 備 戰 場

第1章網站駐防

第2章漏洞檢測與修復

第3章給黑客的陷阱

故用兵之法，無恃其不來，恃吾有以待之。

——孫子《孫子兵法》

"我們的網站安全嗎？"如果你們公司的首席執行官這樣問你，你會怎么回答？如果你回答說"是"，CEO可能會說："證明給我看"。你會怎樣證明你的網站防護得很好了呢？這里列舉了部分回答并說明了每一個回答的缺陷。及時個：

我們的網站符合支付卡產業數據安全標準(Payment Card Industry Data Security Standard，PCI DSS)，所以是安全的。

與其他標準一樣，PCI DSS是低限度的標準。這意味著，達到了標準并不能確保你的站點不會被入侵。PCI DSS本質上是關于風險轉移而不是風險消除(從信用卡公司轉移到商業銀行)。如果企業不真正的接受通過加固他們的應用環境來消除風險這一觀念，而只是做到PCI DSS要求的，這一套標準認證流程只不過是一紙空文。雖然PCI是值得信賴的，但請記住：

如果你的站點是安全的，通過PCI審計很容易，而只是通過了PCI審計，卻不一定代表你的站點就是安全的。

通常來講，標準都是以控制為目的的，往往以實際的措施為中心，但不分析或者監控這些措施在實際操作中能產生的效果。一位德高望重的安全領域領袖Richard Bejtlich，生動地說明了這個問題：

想象一個場景：一只美式足球隊想要在一個季度賽中評估他們成功的概率。足球隊管理人員決定量取每位球員的身高和體重、記錄40碼沖刺的速度、記錄每位球員畢業的大學，他們收集了許多各方面的統計數據，并且花時間來討論哪一個指標能好地衡量他們球隊取勝的概率。是需要體重超過300磅呢？還是接球員的鞋子要大于11碼呢？抑或是首發陣容的球員都來自東北部呢？這些因素從分析來看似乎都與這支隊伍的成敗極其相關。但如果一名旁觀者看到這種情況只會說："看看計分板吧，你們的分數落后了42比7，你們有個1勝6敗的記錄了。真是一群失敗者。"

這就是安全領域投入導向與輸出導向的本質區別。只有到了線上環境，你才能知道為安全所做的準備是有用的，還是毫無用處的。由于開發環境與預環境很少能保持與線上環境一致，只有到了真正有惡意用戶攻擊的時候，你才能真正知道你的網站的安全性。

我們的網站部署了商業的Web安全設備，所以我們的Web應用是安全的。

如此回答是對安全廠商的過度信任而導致的。安全廠商的網站或產品說明書上說他們的產品會使網站更安全，而在實際環境中并非如此。如果使用不當，安全產品與其所防護著的網站一樣會有問題。如果不恰當地配置和部署，它們甚至可能成為攻擊者操縱或繞過的潛在問題。

由于我們使用了SSL，所以我們是安全的。

許多電子商務網站在顯眼的地方顯示一張鎖的圖片。這表明他們使用了從的認證授權機構(CA)購買的Secure Socket Layer(SSL)證書來確保網站安全。使用SSL證書有助于避免如下攻擊：

網絡層截取。沒使用SSL的話，數據是通過非加密通道在網上傳輸的。這意味可以從傳輸通道的路徑的任意節點上截取到完整的網絡流量。

網絡詐騙。沒有有效的SSL站點的證書，攻擊者很難模仿真正的站點進行釣魚詐騙。

SSL的使用有助于緩解這兩類問題，但有一個明顯的弱點：SSL無法阻止一個惡意用戶直接攻擊網站。事實上，許多攻擊者更喜歡把目標鎖定在使用了SSL的網站上，因為這些加密通道可以在其他網絡監控設備的監控下掩護他們的攻擊。

我們有警報顯示我們阻斷了Web攻擊，所以我們的Web應用是安全的。

阻斷攻擊嘗試的證據有說服力但并不足夠。當管理人員詢問網站是否安全時，他們真正想知道的是，在網絡攻防戰中表現如何。CEO想要知道的是能否成功地在攻擊中防護住網站的安全。從這個角度來講，你并沒有正面回答這個問題。再一次拿Richard Bejtlich的美式足球的例子來說明，這樣的回答就像有人問你"誰贏得了超級碗美式足球賽"，你卻用比賽的統計數據來回答，比如比賽局數，比賽耗時，取得的碼數，而不是直接告訴他最終的分數。這不是真正需要的答案吧？提供被阻斷的攻擊的證據是一個有用的指標，但管理人員真正想要知道的是，有沒有發生過成功的入侵。

有了這些概念作為背景知識，下面我列舉一些對于衡量網站安全策略效果的最重要指標：

日請求量，以數值(#)表示。它是網站流量的基準，提供其他指標的基礎。

檢測到的攻擊(真正)，以數值(#)和占日總請求數的百分比(%)表示。通常這個指標表示網站的惡意流量與安全檢測的性。

未檢測到的攻擊(漏報)，以數值(#)和占日總請求量的百分比(%)表示。通常這個指標能說明安全檢測度的有效性。這就是在回答網絡攻防戰中表現如何時，被回避的關鍵指標。

誤攔截的請求量(誤報)，以數值(#)和占日總請求量的百分比(%)表示。這個數據也能說明安全檢測的性。這個數據對于許多企業來說非常重要，因為阻斷了正常的流量意味著可能會影響收入。企業必須有一套有效地追蹤誤報率的方法，這會干擾到網站正常的請求流量。

攻擊檢測失敗率，以百分比(%)表示。通常等于誤報量與漏報量的和除以真正攻擊量。這個百分比提供了你的網站安全檢測率的總體衡量指標。

攻擊檢測失敗率提供了在整個攻防戰中表現的數據。可是，大部分企業都沒有收集到足夠獲得此類安全衡量標準的數據。

我們沒有檢測到任何非正常行為，所以我們的站點是安全的。

退一步來講，識別出網站中的異常行為似乎是對的。這種策略的不足就是需要收集到用于識別異常行為的數據。而大部分企業都沒有恰當地配置他們的網站來收集足夠的日志信息。他們默認使用Web服務器的如Common Log Format(CLF)的日志機制。這里是兩條從Apache服務器拿來的CLF日志：

查看這日志，我們可以看到一些可疑的或異常行為的跡象。及時個可疑點是User-Agent字段是一種已知的WordPress攻擊程序，WordPress Hash Grabber。第二個疑點是HTTP狀態碼，及時條日志是500系統內部異常的狀態碼，而第二條是200狀態碼。及時條日志的請求是用什么數據使網站產生一個錯誤呢？由于POST請求使用請求體來傳遞數據，而不是CLF日志格式記錄的QUERY_STRING字段，我們無法知道攻擊者傳遞了什么參數。這些請求服務器的響應內容是什么呢？這些都是很重要的問題，而CLF日志只記錄了完整請求相關數據中的一小部分。比如，它不記錄如Cookies等的請求頭部、POST的請求體，或者其他的響應內容。沒有恰當記錄HTTP響應信息使我們無法回答關鍵的問題："攻擊者盜取了什么數據？"企業無法對Web相關安全事件進行恰當的響應的主要原因之一就是：缺乏足夠的HTTP的審計日志。

我們在收集到的完整的HTTP審計日志中分析惡意行為的特征，并無發現任何異常行為，所以我們的Web應用是安全的。

很多企業犯的一個較大錯誤就是只使用以告警為中心的事件來識別潛藏的攻擊。如果只記錄已知的惡意行為的日志，怎么知道防護是否被繞過呢？新的攻擊方式層出不窮。所以，只分析已知的告警問題是不夠的。必須把所有HTTP請求的審計日志全部記錄這樣才能分析出多種特征惡意行為。

我們在收集到的完整的HTTP審計日志中分析惡意行為的特征，并沒有發現任何異常行為，同時，我們也會定期地對網站進行測試來查找存在的安全漏洞，所以我們的Web應用是安全的。

識別并阻斷網站攻擊很重要，但把這些攻擊的目標與已知存在的漏洞進行關聯更重要。假設你的企業通過安全信息事件管理系統(SIEM)來集中管理安全事件，而你是安全分析人員。有一次針對微軟的IIS服務器的漏洞的攻擊請求被標注為惡意行為，如果你沒有使用IIS服務器的話，應該把這種告警的威脅性調到足夠低。如果你看到針對osCommerce程序的漏洞的攻擊告警，且你的系統中使用了這個有漏洞的程序，則應該把這種告警的威脅性調高，因為這可能會造成危害。了解到部署了什么程序，以及它們是否存在特定的漏洞對于評估安全事件的危險等級非常重要。即使你對網站的漏洞進行了的評估，這個回答也依然不夠完整，下面是最終的回答，將會告訴你最終答案：

我們在收集到的完整的HTTP審計日志中分析惡意行為的特征，并沒有發現任何異常行為，同時，我們也會定期地對網站進行測試來查找存在的安全漏洞，還有定期測試我們的檢測能力和事件響應能力，所以我們Web應用是安全的。

看到這的回答，你就會明白為什么前面的回答都是不完整的。即使你知道你的網站哪里有漏洞，你也必須模擬攻擊來確認你的安全防御是有效的。安全人員發現了這些攻擊嗎？是否正確地實施了安全響應策略？他們花了多長時間來實施？實施是否有效？只有回答了這些問題，你才能真正地知道你的防御策略是否有效。

……