回归最本质的信息安全

SANS研究所:7大最危险的攻击技术介绍

2017年2月20日发布

8,068
3
0

导语:很显然,网络攻击威胁已经从理论走入现实生活,无论是个人、企业还是国家重要基础设施都处在日益严峻的威胁之中。

很显然,网络攻击威胁已经从理论走入现实生活,无论是个人、企业还是国家重要基础设施都处在日益严峻的威胁之中。本周三(2月15日)在加利福尼亚州旧金山举办的RSA会议上,SANS小组成员Ed Skoudis、Michael Assante、Johannes Ullrich介绍了“7种最危险的新型攻击技术,以及未来的攻击技术”,向观众呈现了最危险的新攻击技术,解释了这些新攻击技术的运作方式,如何加以阻止,以及如何为未来做好准备。

1. 勒索软件

Ed Skoudis(Counter Hack Challenges创始人兼SANS研究员)表示,勒索软件结合加密货币已经成为恶意攻击者最有力的武器。现如今活跃着超过150种不同的、可用的加密勒索软件家族,调查机构表示这已经成为他们最担心的事情之一。

为什么勒索软件结合加密货币是恶意攻击者的理想武器呢?因为它不需要命令和控制(C&C)信道;他们不需要渗漏(exfiltrate)数据等。Skoudis制定了很多措施来防止勒索软件攻击,其中有一些措施安全专家已经早在RSA会议上发表过:保持系统和网络健康、保持用户权限有限以及最小化分享工作站环境。此外,他表示,制定一个计划也是非常重要的:“你是不是遭受勒索软件攻击了?谁来决定要不要支付赎金?你需要决定有谁来决定遭受攻击后的行动。”

2. 物联网攻击 

当越来越多的东西联网后,漏洞也就接踵而至了,随之而来的就是安全威胁。Skoudis表示,物联网已经成为拒绝服务攻击(DDOs)的攻击平台,未来也可能演化为其他类型攻击的攻击平台。想要抑制这种攻击的步骤是非常简单的:首先也是尤为重要的一点,更改默认密码。用户应该单独设立物联网账户,也就是说你用iTunes买东西或在Amazon上购物时使用的账户,不能和控制你的物联网设备(如灯、摄像头等)使用的账户一样。此外,企业组织应该进行渗透测试。与此同时,每个人也应该积极地推动供应商参与进来,从供应端降低安全风险。

3. 当勒索软件撞上物联网 

鉴于网络罪犯可以从勒索软件中获利,所以将这些工具用于物联网漏洞也是合乎逻辑的。就在最近,黑客劫持了奥地利酒店的电子房卡并索要赎金。观看完整视频

4. 工控系统攻击

工业控制系统(ICS-Industrial control system)是各式各样控制系统类型的总称,是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件,共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统。

Michael Assante(SANS研究所工控系统和基础设施主任)表示,2015和2016年针对乌克兰工控实体的攻击案件是高度协调的。Assante是在乌克兰遭遇攻击后提供帮助的美国团队的技术指导,他认为,攻击者正变得越来越复杂,而且攻击目标开始不仅仅针对工控系统(ICS)。

Assante表示,这就引出了一个问题,“多少的自动化才能称为过多?”显然,自动化可以实现更高的生产效率,但是你必须记住,正因如此我们才变得更加依赖技术。而以后攻击导致的全面停电可能不再以小时计算,很有可能是天。

5. 攻击随机数生成器

Johannes Ullrich(SANS科技研究所研究主任)表示,真正的随机数是良好加密的基础,能确保Wi-Fi和广泛的安全算法。但是CNCert(国家互联网应急中心)的一项针对25个开源比特币的研究项目发现,在这25个项目中存在162个不安全的随机数漏洞。同时,小型设备很难收集足够的随机事件来初始化创建随机数的算法,这也使得WPA2加密更加脆弱。

6. 依赖web服务作为软件组件 

Ullrich认为,新技术的日益流行,如容器和无需管理服务器(server-less computing)将软件暴露到了新的危险中。服务器需要身份验证,数据接收也需要验证。 

7. 针对NoSQL数据库的威胁

对于NoSQL数据库,如MongoDB或Elastic Search而言,研究人员不能依赖于预处理语句(prepared statements)或用户账户的适当配置来保障安全。复杂的数据类型,如JSON 和 XML会暴露新的反序列化威胁。

SANS研究所的网络风暴中心DShield传感器网络收到超过100万个活跃的IP地址,连续扫描脆弱的“NoSQL”数据库。一个脆弱的NoSQL数据库会在发现的数小时内被暴露在互联网上。所以如果你的确有一个不安全的MongoDB数据库,一切都已经太迟了。

本文参考来源于zdnet,如若转载,请注明来源于嘶吼: http://www.4hou.com/info/news/3412.html

点赞 0
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

小二郎

小二郎

这个人很懒,什么也没留下

发私信

发表评论

    程白凡
    程白凡 2017-02-20 14:07

    勒索软件?根本勒索不到我嘛~

    高坂穗乃果
    高坂穗乃果 2017-02-20 12:12

    nosql最近挺招风的…

    天海 春香
    天海 春香 2017-02-20 11:31

    当勒索软件撞上物联网…你咋不上天?