不管頭銜是白帽子、黑帽子，還是游走在中間的某種狀態(tài)，大多數(shù)黑客都會(huì)同意沒有攻不破的密碼，或者是密碼管理措施。不管他們的態(tài)度如何，是否尊重法律，黑客們基本同意，有五種安全措施能夠讓滲透進(jìn)企業(yè)網(wǎng)絡(luò)的難度增加許多。
本月早些時(shí)候在美國(guó)召開的Black Hat 2016大會(huì)上，關(guān)鍵賬戶管理解決方案提供商Thycotic調(diào)查了超過250位自稱為黑客的參會(huì)者(匿名參與)。48%的受訪者認(rèn)為自己是白帽子——幫助機(jī)構(gòu)來(lái)發(fā)現(xiàn)并處理漏洞的安全研究人員。15%的受訪者則是黑帽子，他們帶著惡意的目的來(lái)滲透網(wǎng)絡(luò)。
CISSP、Thycotic公司全球聯(lián)盟部門負(fù)責(zé)人Joseph Carson說：“今年我們收到了很人的口頭請(qǐng)求，要求增加灰帽子選項(xiàng)。但目前灰帽子還不屬于調(diào)查的范圍。”
灰帽子處在中間地帶。他們向政府機(jī)構(gòu)、執(zhí)法機(jī)構(gòu)、情報(bào)機(jī)構(gòu)和軍方披露、或者銷售自己發(fā)現(xiàn)的零日漏洞。從結(jié)果上來(lái)看，受訪黑客們列出了如下五個(gè)安全措施。黑帽子們對(duì)于這五項(xiàng)技術(shù)的排序有一定的爭(zhēng)議。
1. 將管理員權(quán)限限制到系統(tǒng)
其一，任何嚴(yán)肅的網(wǎng)絡(luò)保護(hù)措施都應(yīng)該從特權(quán)賬戶入手。特權(quán)賬戶是“王國(guó)的鑰匙”，這也讓它們成為了尋求訪問權(quán)限，以在網(wǎng)絡(luò)中隨意走動(dòng)的攻擊者的頂級(jí)目標(biāo)。
Thycotic公司在其發(fā)布的《Black Hat 2016：黑客調(diào)查報(bào)告》中稱：“首先，攻擊者通過一切可能的方式獲得一個(gè)前哨站，這通常是通過入侵終端用戶計(jì)算機(jī)做到的。然后，他們嘗試通過入侵特權(quán)賬戶來(lái)提權(quán)，這讓攻擊者能夠像受信任的IT管理員一樣對(duì)網(wǎng)絡(luò)進(jìn)行操作。”
要進(jìn)行響應(yīng)，機(jī)構(gòu)應(yīng)當(dāng)至少部署一項(xiàng)特權(quán)策略， 防止在請(qǐng)求并通過之后直接給予特權(quán)，降低攻擊者通過針對(duì)特權(quán)賬戶密碼或哈希來(lái)侵入整個(gè)網(wǎng)絡(luò)的可能性。
Thycotic在報(bào)告中說：“通過確保終端用戶按照標(biāo)準(zhǔn)用戶檔案配置，并在需要運(yùn)行合法、可信應(yīng)用時(shí)臨時(shí)提權(quán)，可以在終端用戶工作站上部署最小特權(quán)策略。對(duì)IT管理員的特權(quán)賬戶，控制賬號(hào)擁有的特權(quán)并且對(duì)Windows和UNIX系統(tǒng)部署超級(jí)用戶特權(quán)管理 (Super User Priviledge Management) ，能夠防止攻擊者運(yùn)行惡意應(yīng)用、遠(yuǎn)程訪問工具和控制臺(tái)。”
此外，IT管理員應(yīng)當(dāng)只在有必要時(shí)使用特權(quán)賬戶。當(dāng)沒有必要使用特權(quán)時(shí)，應(yīng)當(dāng)使用普通賬戶。
2. 保護(hù)特權(quán)賬戶密碼
說到特權(quán)賬戶，很容易陷入將它們和人類用戶聯(lián)系起來(lái)的誤區(qū)。實(shí)際上，特權(quán)賬戶也會(huì)延伸到那些供用戶操作的機(jī)器和系統(tǒng)。
機(jī)構(gòu)擁有特權(quán)賬戶的數(shù)量通常是其員工數(shù)量的兩到三倍。Carson指出，所有部署的系統(tǒng)都會(huì)自帶一個(gè)默認(rèn)賬戶，此外，所有連接到服務(wù)賬號(hào)的管理系統(tǒng)也都會(huì)有一個(gè)賬戶。所有部署的虛擬機(jī)都會(huì)有特權(quán)，而且該特權(quán)在虛擬機(jī)關(guān)機(jī)之后仍會(huì)存在。如果虛擬機(jī)被克隆，這些特權(quán)也會(huì)隨之被克隆。因此，機(jī)構(gòu)通常會(huì)被大量流氓特權(quán)賬號(hào)塞滿，它們均能夠訪問整個(gè)環(huán)境。
Thycotic在報(bào)告中寫道：“因此，劫持特權(quán)賬戶能夠幫助攻擊者訪問并下載機(jī)構(gòu)的敏感數(shù)據(jù)，毒化數(shù)據(jù)，大量散播惡意軟件，繞過現(xiàn)存安全措施并抹除審計(jì)痕跡，隱藏活動(dòng)。 主動(dòng)式管理、監(jiān)控、控制特權(quán)賬戶訪問十分關(guān)鍵。這些賬戶對(duì)于當(dāng)今的IT架構(gòu)是必要的，確保它們被安全地管理事關(guān)重大。”
更糟的是，機(jī)構(gòu)仍舊經(jīng)常依賴于表格文檔等管理系統(tǒng)來(lái)管理特權(quán)賬戶密碼。這已經(jīng)不只是低效了。Carson指出，此類管理系統(tǒng)本身就很容易遭到入侵，給整個(gè)企業(yè)帶來(lái)顯著的安全風(fēng)險(xiǎn)。
Thycotic寫道：“特權(quán)賬戶密碼保護(hù)能夠?yàn)樽詣?dòng)發(fā)現(xiàn)并存儲(chǔ)特權(quán)賬戶、定期更換密碼、審計(jì)、分析、管理各個(gè)特權(quán)線程活動(dòng)、 監(jiān)控密碼賬戶來(lái)快速發(fā)現(xiàn)并響應(yīng)惡意活動(dòng)提供綜合性解決方案。這為在網(wǎng)絡(luò)內(nèi)部保護(hù)特權(quán)賬戶帶來(lái)了一個(gè)全新的安全層級(jí)。”
3. 拓展IT安全意識(shí)訓(xùn)練
大多數(shù)安全專家認(rèn)為人類才是機(jī)構(gòu)安全中最弱的一環(huán)。
“隨著過去幾年中涌現(xiàn)出更多復(fù)雜的社會(huì)工程和釣魚攻擊，企業(yè)應(yīng)當(dāng)嚴(yán)肅地思考拓展IT安全意識(shí)培訓(xùn)項(xiàng)目這件事了，而不是僅僅停留在執(zhí)行簡(jiǎn)單的在線測(cè)試、告知安全策略等手段上。特別是在移動(dòng)設(shè)備日漸應(yīng)用到商業(yè)場(chǎng)景的時(shí)代里，教育員工什么才是安全的行為變得勢(shì)在必行。”
從歷史上來(lái)看，安全意識(shí)訓(xùn)練的結(jié)果可能彼此之間大相徑庭。Steve Durbin是Information Security Forum的總經(jīng)理，他則表示，那些能夠在商業(yè)活動(dòng)中增加正面的信息安全操作的訓(xùn)練項(xiàng)目能夠?qū)T工從最薄弱的一環(huán)變成防御的第一線。
Durbin說：“過程本身可能就是問題。有可能你的系統(tǒng)或過程太復(fù)雜、太繁重，而實(shí)際上并不必須如此。這樣問你自己：如果我們從頭開始，如何在過程中增加安全措施，讓人們更容易遵從?”
不過需要注意的是，相比黑帽子，白帽子黑客更加信奉安全意識(shí)。
“有趣的是，黑帽子和白帽子對(duì)全部五個(gè)安全措施的排名幾乎是相同的，除了黑帽子不相信IT安全意識(shí)訓(xùn)練有那么重要?？偟膩?lái)看，黑帽子給出的名單中，IT安全意識(shí)訓(xùn)練排在第四位。他們將預(yù)防未知應(yīng)用運(yùn)行放到了更高的位置。這有可能是因?yàn)楹诿弊雍诳驼J(rèn)為人類是不可預(yù)測(cè)的，相比于能夠限制風(fēng)險(xiǎn)操作的技術(shù)解決方案，他們更像是較弱的環(huán)節(jié)。”
4. 限制未知應(yīng)用
如果你不知道一個(gè)東西存在，就無(wú)法保護(hù)它。你需要弄清網(wǎng)絡(luò)上運(yùn)行的應(yīng)用中究竟哪些是合法的，并確保它們的密碼得到了妥善保管。
Thycotic寫道：“應(yīng)用賬戶需要被細(xì)心存儲(chǔ)。應(yīng)當(dāng)使用嚴(yán)格的策略進(jìn)行檢查，確保密碼強(qiáng)度、賬戶訪問權(quán)限和密碼替換周期。報(bào)告這些賬戶并且執(zhí)行中心化的管控對(duì)于保護(hù)關(guān)鍵信息資產(chǎn)而言至關(guān)重要。”
5. 利用安全最佳實(shí)踐保護(hù)用戶密碼
歸根結(jié)底，這些措施并不都與特權(quán)賬戶有關(guān)。盡管特權(quán)賬戶能夠?yàn)楣粽咛峁┰L問關(guān)鍵數(shù)據(jù)的權(quán)限，終端用戶賬戶仍舊是攻擊向量之一。這就是說，77%的受訪者并不認(rèn)為所有密碼都能避免黑客入侵。
Carson說：“保護(hù)用戶密碼排在了最后。有些人可能會(huì)說這對(duì)企業(yè)而言是好消息，因?yàn)楦淖內(nèi)祟愋袨楹茈y：只讓IT團(tuán)隊(duì)行動(dòng)起來(lái)比動(dòng)員全公司員工要簡(jiǎn)單多了。不過，如果你想要保護(hù)終端用戶密碼，應(yīng)當(dāng)尋找哪些能夠針對(duì)密碼強(qiáng)度、密碼更換周期提供措施，并能提供簡(jiǎn)單安全的密碼重置策略的安全解決方案。它們應(yīng)當(dāng)定期要求員工更改工作站密碼，當(dāng)然，這毫無(wú)疑問的代表著，員工忘記新密碼之后，技術(shù)支持團(tuán)隊(duì)接電話會(huì)很忙。”
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。