HeartBleed漏洞:血淋淋的外表下却是一片祥和

0

最近Heart bleed漏洞在互联网上掀起了轩然巨波,作为基础安全软件的重大漏洞,影响深远,各大互联网公司、甲方、乙方、白帽子甚至央视等媒体全都行动起来,同仇敌忾,竞相测试、打补丁、升级、报道宣传……,大家忙得不亦乐乎,给广大网民很好地科普了一把信息安全。

20140422171145

与沸沸扬扬的互联网安全相比,物理隔绝的企业、政府等封闭网络似乎显得静悄悄,关心和了解该漏洞的人估计屈指可数,采取的行动也一定没有互联网来得热烈。因为封闭,表面上没有乱七八糟的威胁,也没有技艺高超的黑帽子和白帽子测试带来的压力,封闭网络的网管们一定没有动力加班熬夜在第一时间补上漏洞。而这种情况,也绝不是第一次出现。

不同于开放的互联网,物理隔绝的封闭网络没有那么多的用户、没有那么多的应用、没有讨厌的黑帽子和白帽子。然而,这并不代表封闭网络高枕无忧,Openssl作为基础的安全库,很可能在操作系统、web应用、设备远程配置、甚至应用安全网关中广泛涉及。由于缺乏在光天化日之下的考验,缺乏与攻击者的共同进化,封闭网络存在的安全漏洞与开放网络相比一定过之而无不及。

因此,对于封闭网络的安全,首先需要有可控的“邪恶”力量对其内部进行渗透性测试,就像猫和老鼠的共同进化一样,封闭网络的防护也不能没有“天敌”。至少,封闭网络应该对照已公开的漏洞,对其进行弥补,这是封闭网络安全的底线。遗憾的是,现实中,有的封闭网络可能连这条底线都无法满足,却要追求所谓的“自主可控”,殊不知,缺乏审查和考验的私有设计更不值得信任。

除了在威胁发作第一时间打补丁、堵漏洞、升级特征库以外,封闭网络的安全还应该注重基于白名单的控制方式,如对用户进行认证授权、对终端进行准入控制、对应用进行分发管理……,非白即黑,没被允许的即默认禁止。这也是许多封闭网络通常所采用的。然而,这里面仍然存在着两大难题。首先是白名单的管理问题,终端和用户的白名单尚可解决,难得的是应用,现代操作系统之上的应用可谓汗牛充栋,一旦封闭网络的规模和用户大到一定程度,几乎无法对应用实施白名单,这也不是技术上的难题,难得是安全与业务可用的平衡。 更难的还是白名单的判断问题,何为白?合法用户、合法终端、合法应用真的就值得信任吗?一次判断以后是否就可以高枕无忧,这里的关键还在与对其异常的持续检测,内部人员作恶、合法终端和应用带有的0day,特别是在APT的大背景下,高价值的封闭网络几乎难以幸免攻击,这更需要对在封闭网络中获取各种信息进行精准分析。DARPA的主动认证项目根据用户内部网络中的行为如敲键方式、软件操作习惯、甚至在面对异常时的反映来对用户进行持续的认证,甚至有望取代CAC认证卡和口令,这应该是封闭网络安全的发展方向。

最后,由于漏洞总是客观存在,封闭网络作为高价值目标,难以做到防护的万无一失,转而应该借鉴可靠性的一些设计思想,瞄准在遭受攻击后关键业务仍然可用为目标,Mitre将这方面的设计思想称之为网络空间弹性CyberResiliency。冗余、跳变(动态目标防御)、关键系统的分割、虚拟化、沙盒、对攻击的重定向、非持续的提供服务,都是具体的弹性机制,这是高价值封闭网络安全的另一发展方向。

Focus On The Network Information Security.

作者主页 邮箱 微博 腾讯微博 QQ Twitter Facebook Google+

发表评论

您的邮箱不会公开,当您的评论有新的回复时,会通过您填写的邮箱向您发送评论内容。 必填字段 *

返回顶部