论“安全部门雇黑客”之利弊

来源: kaiyun体育官方人口作者:孔维维袁雪莱译
2012/10/24 14:28:47
kaiyun体育官方人口 :如你所想,我有一堆任务要完成。我们需要制定新帮助台流程,以进行员工验证,我们还需要重新配置DNS服务器,修补SQL资料隐码漏洞,合并Microsoft Outlook网络访问的双重身份认证,以及查验服务账户。最后,我还需要查明一点:顾问/黑客的那些作为,为何我的安全团队没有一人发现?


分享到: 新浪微博 腾讯微博

每季度,我总是拨部分预算给安全评估,这是预算中至关重要的一环。我的安全评估重点常为主体设施,关键应用评估,或是公司产品的机能渗透测试。而本季度,我决定雇佣一名电脑黑客。

故障通知单一家专营渗透测试的咨询公司发现了不少漏洞。应对方案就是修补漏洞,并重新编写程序,然后查明为何安全团队中无人发现可疑的威胁进程。

大体上而言,我认为公司已经固若金汤,然而我亦明白,我们的基础架构仍不是100%的安全。内部系统评估是找出漏洞的唯一方法,或者,还有一种更好的方法:雇一位黑客来为公司进行评估,抑或是至少雇佣一家专营渗透测试的咨询公司来评估。

我的设想中,通过第三方的客观评估,我们得到的信息更为全面。对于所雇佣的顾问,我只提一项要求:禁止攻击阻断式服务。雇佣其他的公司,我就能进行秘密测试,测试安全团队对可疑进程的敏感程度;IT部门内,只有极少数可信之人了解内幕。这样做还有一大好处,我们能及时发现漏洞,明确如何改良数据外泄防护方案,安全事件,甚至是为我们提供保护的事件管理系统。

对于那些顾问,除了一张待评估关键件应用列表,我不提供多余详细信息。我需要他们像一名黑客,或一个组织那样,有目的性地攻击公司漏洞。

2周后,我收到了报告,此次报告最大的发现,是揪出了一个外部DNS(域名系统)服务器,该服务器提供公司内部地址空间的链接。此外,这个DNS服务器经过配置,允许任何人转载公司包括内部基础架构图,以及命名约定在内的机密信息。一名黑客能够通过这些信息,找到公司的内网,攻击重要目标。

还有一个问题浮出水面:通过一些漏洞,公司的基础架构有被越权存取的可能。在一项网络应用中,一位顾问发现了一处SQL资料隐码漏洞,黑客能够使用SQL语言询问,获得密码,破坏公司应用服务器上的系统账户。密码的破译仅仅需要6秒的时间。

密码能用于登陆Microsoft Outlook 网络访问,之后,黑客/顾问就能够使用应用服务账户注册。出于安全考虑,服务账户最好别捆绑邮箱地址。

无论如何,顾问能够获取整个公司的名册,找出在邮件收发室的员工。取得该员工包括家庭住址,电话号码,个人邮箱地址在内的大量的信息,就如同他在网上所做的那样。然后,他伪装成该员工,向帮助台求助(顾问能从公司官网找到帮助台的电话号码)。帮助台的技术人员几乎不验证“用户”身份,他们只会询问“用户”的办公室分机号。顾问报上号码后,技术人员毫不犹豫地重置“用户”邮箱密码,并提供一个临时双重认证密码,顾问能凭其登陆员工VPN(虚拟私人网络)。至此,黑客成功进入公司内网,接触所有公司应用。

如你所想,我有一堆任务要完成。我们需要制定新帮助台流程,以进行员工验证,我们还需要重新配置DNS服务器,修补SQL资料隐码漏洞,合并Microsoft Outlook网络访问的双重身份认证,以及查验服务账户。最后,我还需要查明一点:顾问/黑客的那些作为,为何我的安全团队没有一人发现?

责编:孔维维
vsharing 微信扫一扫实时了解行业动态
portalart 微信扫一扫分享本文给好友
最新专题
网络安全热点透析

随着移动互联、大数据、云计算、物联网等技术的日益发展,在这些热点技术为个人生活带来便利的同时,也为企业发展..

数据安全医药行业解决方案

采用身份鉴别、访问控制、数据加密以及权限控制等多种安全防护技术手段,保障数据库中医药数据只能被合法用户合规..

    畅享
    首页
    返回
    顶部
    ×
    畅享IT
      信息化规划
      IT总包
      供应商选型
      IT监理
      开发维护外包
      评估维权
    客服电话
    400-698-9918
    Baidu
    map