从推特被黑看安全木桶效应

发布于: 2020 年 07 月 19 日
从推特被黑看安全木桶效应

7月15日晚上,巴菲特、比尔·盖茨、埃隆·马斯克等众多名人的 Twitter 账户同一时间遭到劫持,统一发布“你给我1000,我返还2000”的内容。巴菲特抵制比特币的态度众所周知,所以在一定程度上可以体察出这是一次骗局,但保不齐这么多名人这么多粉丝,黑客还是最终收割了十几个比特币。

生活在当代中国的互联网居民肯定对这类骗局见怪不怪了,马化腾你充一百Q币我返还你200的图片都包浆了。但即便是这样,你能想象微博上马云、雷军等名人甚至国家机关官博同时发这样的内容么?受骗者势必不在少数。

这么多天过去了,虽然Twitter官方还没披露最终原因,但从各类报道来看,此次事件事实上暴露了信息安全领域一个很重要的理念“木桶效应”,即信息安全防护水平取决于放防线上最短的那块板。

“国家网络安全联盟执行董事 Kelvin Coleman 表示,从规模及影响范围来看,此次账户劫持很可能与员工凭证泄露有关。他总结道,此次攻击很可能是由于某位 Twitter 员工不慎被网上欺诈攻击所影响,并导致恶意攻击者或组织通过 Twitter 内部广泛访问这些账户。”

“黑客是通过瞄准一些可以访问内部系统和工具的推特员工,从而完成了这场空前规模的名人账户入侵。你或许想象不到,这些所谓的 “ 内部账号 ” 简直就是一个缩小的后台,连账号的绑定邮箱都可以修改。”

“据Vice的科技版块报道,各个地下黑客圈子已经在共享一张推特内部管理工具的屏幕截图,该工具用于进行帐户接管,可能是通过重置帐户电子邮件帐户,然后重设密码。”

......

上面的描述比较契合安全攻击中的两种手段,水坑攻击和APT(高级持续威胁),两种手段都隐含不正面攻击的意味,所谓攻其不备、迂回作战:

  • 水坑攻击:顾名思义,是在受害者必经之路设置了一个“水坑”。最常见的做法是,黑客不直接攻击目标系统,而是分析系统管理员的上网活动规律,寻找管理员经常访问的网站的弱点,一旦受害者访问该网站就会“中招”,从而得到受害者在目标系统的权限。

  • APT:高级持续威胁不是指某一种具体的攻击技术或手段,它是所有可能有效的攻击技术、手段的集合。之所以采用APT主要是因为目标系统具备较高的防护水平,无法直接攻破,所以往往通过信息收集,找到目标系统的关联系统,如子站点、子域名、邮箱、管理后台,甚至QQ、微信等。

简而言之,关联系统不安全同样会影响目标系统,管理后台是漏洞重灾区。下面仅以两则历史漏洞举例说明问题,更多例子请自行检索。

  • 14年某快递公司的管理后台,存在弱密码,不需要任何技术手段就能登录到系统管理页面,查看用户信息、订单信息。其结果就是淘宝店家、分拣员、快递员、系统管理员都没有泄漏我的信息,但我的个人信息就是丢了。

  • 15年新华网还在报道运营商短信保管箱业务,存储短信验证码导致短信被窃取的问题,结果就是我手机没问题,但我手机号在运营商那里还有个管理系统,管理系统被攻破也会导致我短信被盗。

我们把目标系统防护得牢不可破,像糖葫芦一样一层层串上防护设备,但木桶效应导致这层防护变成了“马奇诺防线”,敌人擅长出现在我们不知道的地方。为此提出几个可以实操的建议:

  1. 架构上,不需要通过互联网提供访问的管理系统,不允许放到互联网区、DMZ区;必须放到互联网上的,提高身份认证强度要求、审计记录要求。

  2. 把管理后台的安全放到安全评估、安全测试工作中,通过流程尽量在上线前发现问题;

  3. 对互联网边界防火墙、IP/端口管理梳理出互联网服务情况,作为事中监控手段。

  4. 把信息收集作为渗透测试的手段,这些东西不难,都是所谓奇技淫巧,很容易学会但很容易发现重大问题。

发布于: 2020 年 07 月 19 日 阅读数: 231
用户头像

石君

关注

与其更好,不如不同 2020.03.26 加入

分享孤独,成为故事,分享思考,成为思想。 做信息安全领域的探险家。

评论 (1 条评论)

发布
用户头像
大费周章收集了十几个比特币,还引来了FBI介入调查,黑客有没有想过会造成这么严重的后果?
12 小时前
回复
1、很可能并非“大费周章”,后台管理端暴露的方式很多,拿到它的权限的难易程度不一。
2、1个比特币1万美元左右,十几个就是十几万美元,性价比超高了。
11 小时前
回复
没有更多了
从推特被黑看安全木桶效应