AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎(chǔ)設(shè)施
態(tài)勢感知
云安全
基礎(chǔ)安全
終端安全
商用密碼
軟件供應(yīng)鏈安全
網(wǎng)絡(luò)空間靶場
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務(wù)
運(yùn)營管理服務(wù)
公司
史詩級安全漏洞面前，“云上企業(yè)”須嚴(yán)陣以待
安恒信息高級應(yīng)急響應(yīng)總監(jiān)季靖評價稱：“ Apache Log4j2 降低了黑客攻擊的成本，堪稱網(wǎng)絡(luò)安全領(lǐng)域20年以來史詩級的漏洞?！?
季靖表示：“Apache Log4j2是一個Java的日志記錄工具，但日志框架被大量運(yùn)用在各種業(yè)務(wù)系統(tǒng)開發(fā)中，比如用來做日志記錄、搜集信息。也就是說，Apache?Log4j2可以記錄用戶一些錯誤信息導(dǎo)致程序崩潰。”
此漏洞“威力”之大，連國家信息安全也受到波及，比利時國防部中招。2021年12月下旬，比利時國防部承認(rèn)他們遭受了嚴(yán)重的網(wǎng)絡(luò)攻擊，該攻擊基于Apache Log4j2相關(guān)漏洞，強(qiáng)烈的網(wǎng)絡(luò)攻擊導(dǎo)致比利時國防部的一些活動癱瘓，如郵件系統(tǒng)停機(jī)數(shù)日。
國防部門如此，普通企業(yè)則何如？尤其采用云服務(wù)的企業(yè)要作何應(yīng)對？疫情以來大量企業(yè)、機(jī)構(gòu)加速數(shù)字化進(jìn)程，成為“云上企業(yè)”。傳統(tǒng)環(huán)境下，企業(yè)對自身的安全體系建設(shè)擁有更多掌控權(quán)，完成云遷移后，這些企業(yè)的云安全防護(hù)真的到位嗎？
工信部2021年12月17日發(fā)文提示風(fēng)險：“Apache?Log4j2組件存在嚴(yán)重安全漏洞。該漏洞可能導(dǎo)致設(shè)備遠(yuǎn)程受控，進(jìn)而引發(fā)敏感信息竊取、設(shè)備服務(wù)中斷等嚴(yán)重危害，屬于高危漏洞?！?/span>
為何一個安全漏洞的影響力如此之大？安永大中華區(qū)網(wǎng)絡(luò)安全與隱私保護(hù)咨詢服務(wù)主管合伙人高軼峰認(rèn)為：“影響廣泛、威脅程度高、攻擊難度低，使得此次Apache Log4j2漏洞危機(jī)備受矚目，造成了全球范圍的影響。”
漏洞特征：難度低、攻擊成本低，意味著Apache Log4j2漏洞將迎來源源不斷的攻擊者，而應(yīng)用廣泛，則意味著攻擊對象眾多。
據(jù)不完全統(tǒng)計，截至漏洞爆發(fā)后72小時之內(nèi)，受影響的主流開發(fā)框架都超過70個。而這些框架，又被廣泛使用在各個行業(yè)的數(shù)字化信息系統(tǒng)建設(shè)之中，比如金融、醫(yī)療、互聯(lián)網(wǎng)等等。由于許多耳熟能詳?shù)幕ヂ?lián)網(wǎng)公司都在使用該框架，因此Apache?Log4j2漏洞影響范圍極大。
除了應(yīng)用廣泛之外，Apache Log4j2漏洞被利用的成本相對而言也較低，攻擊者可以在不需要認(rèn)證登錄這種強(qiáng)交互的前提下，可以構(gòu)造出惡意的數(shù)據(jù)，對有漏洞的系統(tǒng)，通過遠(yuǎn)程代碼執(zhí)行攻擊。并且，它還可以獲得服務(wù)器的最高權(quán)限，最終導(dǎo)致設(shè)備遠(yuǎn)程受控，進(jìn)一步造成數(shù)據(jù)泄露，設(shè)備服務(wù)中斷等危害。
不僅攻擊成本低，且技術(shù)難度也不高?；贏pache Log4j2漏洞的攻擊者，可以利用很多現(xiàn)成的工具，稍微懂點(diǎn)便可以構(gòu)造更新出一種惡意代碼。簡而言之，攻擊者的門檻低、學(xué)習(xí)成本低。
對于這個漏洞，安永大中華區(qū)網(wǎng)絡(luò)安全與隱私保護(hù)咨詢服務(wù)主管合伙人高軼峰警示稱：“沒有及時認(rèn)真應(yīng)對此次Log4j2漏洞危機(jī)的企業(yè)，或?qū)⒚媾R著網(wǎng)站篡改、服務(wù)中斷、數(shù)據(jù)泄漏等風(fēng)險。尤其是數(shù)據(jù)泄漏事件，其成本對企業(yè)來說可能是毀滅性的，其中必然涉及直接銷售損失、合規(guī)罰款、對員工生產(chǎn)力影響和長期的商譽(yù)損害。數(shù)據(jù)泄漏事件一旦發(fā)生，監(jiān)管部門必然會進(jìn)行罰款并提出整改要求，嚴(yán)重的會導(dǎo)致失去業(yè)務(wù)資質(zhì)以及刑事指控?！?/span>
與“大流感”相似之處在于，Apache Log4j2漏洞已經(jīng)產(chǎn)生“變種”。除了先期公布的漏洞CVE-2021-44228，在2021年12月29日，又發(fā)現(xiàn)新的漏洞CVE-2021-44832。而在漏洞曝光和初期修復(fù)后，又衍生出大量針對性的攻擊變種，實(shí)在是應(yīng)接不暇。
一方面，漏洞在出現(xiàn)不同的“變種”；另一方面，攻擊者也在尋找新的漏洞利用模式。因此，業(yè)內(nèi)人士普遍預(yù)計Apache Log4j2漏洞帶來的影響長期存在，甚至有專家預(yù)計將持續(xù)十年。
攻擊者的攻擊方式，多種多樣。比如攻擊者獲取服務(wù)器最高權(quán)限后，可以將其變?yōu)榭軝C(jī)，進(jìn)行免費(fèi)挖礦的礦機(jī)，從而通過獲取區(qū)塊鏈貨幣獲利。
另外，攻擊者也可能在系統(tǒng)代碼里留“后門”（即指繞過安全控制而獲取對程序或系統(tǒng)訪問權(quán)）。舉個例子，一家IT供應(yīng)鏈企業(yè)，為企業(yè)、機(jī)構(gòu)做軟件開發(fā)，若沒有及時修復(fù)漏洞，其整個IT供應(yīng)鏈都有可能被污染掉，若是核心涉密機(jī)構(gòu)IT系統(tǒng)被留“后門”，后果可謂不敢設(shè)想。
傳統(tǒng)模式下，安全人員可以在本地進(jìn)行檢測、打補(bǔ)丁、修復(fù)漏洞。相對于傳統(tǒng)模式，“云上企業(yè)”使用的是云計算、云存儲服務(wù)等，沒有自己的機(jī)房和服務(wù)器。進(jìn)入云環(huán)境，安全防護(hù)的“邊界”不復(fù)存在，對底層主機(jī)的控制權(quán)限也沒有本地那么多，同時還多一層虛擬化方面的攻擊方式。面對這場史詩級的漏洞危機(jī)，“云上企業(yè)”怎么應(yīng)對呢？
特別是受疫情影響下，大量企業(yè)、機(jī)構(gòu)開啟數(shù)字化轉(zhuǎn)型，從本地服務(wù)器遷徙到云服務(wù)器。短時間內(nèi)完成云遷移，企業(yè)很可能缺乏對應(yīng)的云安全管理能力成熟度；同時，往往也面臨著安全能力不足、專業(yè)人手緊缺等情況。
在安恒信息高級產(chǎn)品專家蓋文軒看來：“企業(yè)上云之后，傳統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險依然存在，此外，還會面臨新的安全風(fēng)險，比如用戶與云平臺之間安全責(zé)任邊界劃分等問題。另外，傳統(tǒng)的硬件設(shè)備可能不適用于云環(huán)境，因此需要針對特殊情況部署相關(guān)安全服務(wù)?！?/span>
而在安永大中華區(qū)科技風(fēng)險咨詢服務(wù)合伙人趙劍澐看來：“面對快速上云，企業(yè)急需搭建滿足自身業(yè)務(wù)發(fā)展與管理要求的安全保障體系?！?/span>
對于“云上企業(yè)”，究竟是選擇云服務(wù)商提供的原生安全服務(wù)，還是另尋第三方專業(yè)的安全服務(wù)商呢？
目前，即使是高度自動化的云原生安全方案，也無法做到完全自主自治，仍然需要合格的云安全服務(wù)的專業(yè)團(tuán)隊參與。高軼峰強(qiáng)調(diào)，對于中小型企業(yè)，選擇滿足資質(zhì)的第三方專業(yè)安全機(jī)構(gòu)，能夠保證服務(wù)的獨(dú)立性，保障工作順利開展及服務(wù)質(zhì)量。
蓋文軒認(rèn)為：“網(wǎng)絡(luò)安全服務(wù)的時效性是非常關(guān)鍵的，如果安全事件發(fā)生后，能夠一個小時快速響應(yīng)，還是幾個小時甚至一兩天響應(yīng)，差距是很大的，客戶承擔(dān)的風(fēng)險和損失是持續(xù)的。選擇第三方安全機(jī)構(gòu)專業(yè)性更強(qiáng)，云服務(wù)商兼容性更好?！?/span>
云服務(wù)商原生安全服務(wù)與第三方安全服務(wù)并非二選一。
趙劍澐認(rèn)為：“在企業(yè)安全防護(hù)體系的構(gòu)建中，企業(yè)應(yīng)結(jié)合自身安全管理經(jīng)驗(yàn)，從計算層、網(wǎng)絡(luò)層、數(shù)據(jù)層以及安全管理層，考量安全實(shí)踐，量體裁衣，選擇適合企業(yè)的安全服務(wù)，以構(gòu)筑全棧安全。”
目前，最常見的攻擊就是分布式拒絕服務(wù)攻擊DDoS，這種攻擊使目標(biāo)電腦的網(wǎng)絡(luò)或系統(tǒng)資源耗盡，使服務(wù)暫時中斷或停止，導(dǎo)致其正常用戶無法訪問。一般情況下，遭遇DDoS攻擊，可以在評估攻擊訪問量、帶寬、嚴(yán)重等級后，聯(lián)系云供應(yīng)商或者互聯(lián)網(wǎng)服務(wù)提供商，購買對應(yīng)的防護(hù)服務(wù)，進(jìn)行緊急緩解。運(yùn)營商及云供應(yīng)商，通過增加服務(wù)實(shí)例，擴(kuò)充帶寬，識別并丟棄惡意流量等方式應(yīng)對DDoS攻擊。
若是遭遇其他類型更有針對性的攻擊，譬如賬號爆破、網(wǎng)站內(nèi)容爬取、薅羊毛、網(wǎng)站篡改等等，則需要安全專業(yè)人員、第三方安全服務(wù)商等共同應(yīng)對。
對于“云上企業(yè)”而言，安恒玄武盾便是典型的云防護(hù)平臺，其幫助用戶在傳統(tǒng)網(wǎng)絡(luò)邊界消失的云環(huán)境或大規(guī)模數(shù)據(jù)中心的高并發(fā)海量業(yè)務(wù)流量環(huán)境下，抵御網(wǎng)絡(luò)層至應(yīng)用層攻擊。比如最為普遍的DDoS攻擊，玄武盾可依靠DSLB引擎進(jìn)行防護(hù)，單引擎最大可防護(hù)80G攻擊。
趙劍澐總結(jié)稱：“優(yōu)秀的安全實(shí)踐‘宜未雨而綢繆，毋臨渴而掘井’。”
資料來源：CSA
發(fā)生在我國云平臺上的各類網(wǎng)絡(luò)安全事件數(shù)量占比仍然較高，其中云平臺上遭受大流量 DDoS 攻擊的事件數(shù)量占境內(nèi)目標(biāo)遭受大流量 DDoS 攻擊事件數(shù)的 71.2%，
?
被植入后門網(wǎng)站數(shù)量占境內(nèi)全部被植入后門網(wǎng)站數(shù)量的 87.1%，被篡改網(wǎng)站數(shù)量占境內(nèi)全部被篡改網(wǎng)站數(shù)量的 89.1%。
同時，攻擊者經(jīng)常利用我國云平臺發(fā)起網(wǎng)絡(luò)攻擊，其中云平臺作為控制端發(fā)起DDoS攻擊的事件數(shù)量占境內(nèi)控制發(fā)起DDoS攻擊的事件數(shù)量的 51.7%、作為攻擊跳板對外植入后門鏈接數(shù)量占境內(nèi)攻擊跳板對外植入后門鏈接數(shù)量的 79.3%；
作為木馬和僵尸網(wǎng)絡(luò)惡意程序控制端控制的 IP 地址數(shù)量占境內(nèi)全部數(shù)量的65.1%、承載的惡意程序種類數(shù)量占境內(nèi)互聯(lián)網(wǎng)上承載的惡意程序種類數(shù)量的 89.5%。
數(shù)據(jù)來源：CNCERT/CC
?
Gartner 《2021年中國ICT技術(shù)成熟度曲線報告》（Hype Cycle for ICT in China，2021 ）橫向維度按照技術(shù)成熟度分為從新興到成熟的5個階段，縱向維度表現(xiàn)該技術(shù)的期望值。此次ICT成熟度曲線對AIOps平臺、數(shù)據(jù)中臺、5G、低代碼、容器即服務(wù)、多云、云安全、邊緣計算等20多項新型有重大發(fā)展價值的技術(shù)進(jìn)行分析。
?
中國云安全市場空間廣闊。根據(jù)中國信通院數(shù)據(jù)，2019 年我國云計算整體市場規(guī)模達(dá) 1334.5 億元，增速 38.6%。預(yù)計 2020-2022 年仍將處于快速增長階段，到 2023年市場規(guī)模將超過 3754.2 億元。中性假設(shè)下，安全投入占云計算市場規(guī)模的 3%-5%，那么 2023 年中國云安全市場規(guī)模有望達(dá)到 112.6 億-187.7 億元。
?
彩蛋時刻
碼上開啟云上安全之路
相關(guān)推薦
- 發(fā)布兩款產(chǎn)品！安恒信息亮相“第二屆海光安全技術(shù)高峰論壇”
- 數(shù)據(jù)安全與數(shù)據(jù)要素治理研討會在安恒信息舉行
- 官宣｜賽事數(shù)字資產(chǎn)守門人·安恒EDR大運(yùn)會專版發(fā)布
- 安恒信息與電子科大網(wǎng)絡(luò)空間安全研究院達(dá)成戰(zhàn)略合作
- 因大運(yùn)結(jié)緣 以城市共生｜成都大運(yùn)會官方贊助商安恒信息升級發(fā)布會暨西部網(wǎng)絡(luò)安全總部啟動儀式成功舉辦
- 大運(yùn)會網(wǎng)絡(luò)安全衛(wèi)士｜500名“全球網(wǎng)絡(luò)安全志愿者”獲聘任
- 案例入選！安恒信息出席2023中國數(shù)實(shí)融合50人論壇暨年度報告發(fā)布會
