需要為AppSec制定專(zhuān)門(mén)的事件響應(yīng)計(jì)劃嗎?

隨著企業(yè)組織將IT基礎(chǔ)設(shè)施遷移至云端,并采用更多的Web應(yīng)用程序,這導(dǎo)致對(duì)API使用快速增長(zhǎng),平均每家企業(yè)使用了15,600個(gè)API。這也使得企業(yè)中的員工成為可被利用的攻擊路徑。

360截圖16251112669372.png

本文來(lái)自微信公眾號(hào)“安全牛”。

2022年,大量企業(yè)組織開(kāi)始關(guān)注AppSec(應(yīng)用程序系統(tǒng)的安全性),并將其作為保障組織數(shù)字化轉(zhuǎn)型發(fā)展的推動(dòng)因素。而在此前,AppSec往往被視為阻礙業(yè)務(wù)系統(tǒng)快捷運(yùn)行的一種障礙。通過(guò)正確實(shí)施AppSec計(jì)劃,不僅可以保障企業(yè)業(yè)務(wù)的穩(wěn)定開(kāi)展,而且可以避免安全攻擊導(dǎo)致的財(cái)產(chǎn)和商譽(yù)損失。不過(guò)有安全研究人員表示,為了在2023年提高應(yīng)用程序的安全性,企業(yè)組織應(yīng)該為AppSec制定專(zhuān)門(mén)的事件響應(yīng)計(jì)劃。

AppSec威脅形勢(shì)嚴(yán)峻

2022年初爆發(fā)的Log4j漏洞,讓很多企業(yè)陷入了業(yè)務(wù)系統(tǒng)應(yīng)用防護(hù)的困境,這突出表明了目前大多數(shù)的組織還不熟悉應(yīng)用程序的構(gòu)成組件,也沒(méi)有找到在應(yīng)用開(kāi)發(fā)過(guò)程中保證安全性的方法。據(jù)Sonatype最新發(fā)布的AppSec態(tài)勢(shì)研究報(bào)告研究認(rèn)為,2023年的AppSec威脅形勢(shì)將依然嚴(yán)峻,很多企業(yè)需要與不安全的應(yīng)用程序、脆弱的軟件組件以及易受攻擊的云服務(wù)開(kāi)展斗爭(zhēng)。

報(bào)告數(shù)據(jù)顯示,軟件供應(yīng)鏈攻擊在2021年快速增長(zhǎng)了633%,其中有41%的應(yīng)用程序組件還是易受攻擊的版本。與此同時(shí),隨著企業(yè)組織將IT基礎(chǔ)設(shè)施遷移至云端,并采用更多的Web應(yīng)用程序,這導(dǎo)致對(duì)API使用快速增長(zhǎng),平均每家企業(yè)使用了15,600個(gè)API。這也使得企業(yè)中的員工成為可被利用的攻擊路徑。攻擊者可以通過(guò)勒索軟件、惡意軟件、網(wǎng)絡(luò)釣魚(yú)和詐騙等諸多手段,通過(guò)普通員工的人為錯(cuò)誤達(dá)成攻擊企圖。

在2022年,有83%的受訪企業(yè)遭受了基于電子郵件的網(wǎng)絡(luò)釣魚(yú)攻擊,這很容易導(dǎo)致憑據(jù)失竊,繼而危及Web應(yīng)用程序和云基礎(chǔ)設(shè)施。西班牙桑坦德銀行(Banco Santander)網(wǎng)絡(luò)安全研究全球主管Daniel Cuthbert認(rèn)為,通過(guò)一些非常簡(jiǎn)單的社會(huì)工程技術(shù)就可以繞過(guò)企業(yè)多層應(yīng)用安全措施,實(shí)現(xiàn)訪問(wèn)敏感數(shù)據(jù)、系統(tǒng)和網(wǎng)絡(luò)的攻擊目標(biāo),而對(duì)此的防范措施還很不完善。

除此之外,攻擊者還專(zhuān)注于通過(guò)在網(wǎng)絡(luò)邊緣運(yùn)行的許多安全控制來(lái)鎖定應(yīng)用程序。在2022年舉行的Black Hat Asia會(huì)議上,研究人員就展示了通過(guò)WAF設(shè)備漏洞進(jìn)行入侵攻擊的方法。而在2021年12月,網(wǎng)絡(luò)安全公司Claroty也同樣演示了如何使用JSON繞過(guò)五款主流WAF產(chǎn)品進(jìn)行模擬攻擊。

制定專(zhuān)屬事件響應(yīng)計(jì)劃

隨著AppSec威脅變得越來(lái)越普遍,企業(yè)安全團(tuán)隊(duì)?wèi)?yīng)該在應(yīng)用系統(tǒng)安全事件響應(yīng)方面做得更好。通過(guò)制定專(zhuān)門(mén)的AppSec事件響應(yīng)計(jì)劃,企業(yè)可以更好地應(yīng)對(duì)AppSec威脅,為各種可能出現(xiàn)的應(yīng)用系統(tǒng)攻擊做好準(zhǔn)備。主要原因包括:

軟件開(kāi)發(fā)成為新的攻擊面:由于軟件系統(tǒng)的研發(fā)速度不斷加快,開(kāi)發(fā)人員成為一個(gè)重要的攻擊目標(biāo)。根據(jù)供應(yīng)鏈攻擊防護(hù)的要求,企業(yè)安全團(tuán)隊(duì)需要對(duì)業(yè)務(wù)有更深入的了解,他們必須能夠展示出具備數(shù)據(jù)管理和評(píng)估安全問(wèn)題的領(lǐng)導(dǎo)力,而不是在安全攻擊發(fā)生后成為研發(fā)部門(mén)的負(fù)擔(dān);

大規(guī)模災(zāi)難事件:供應(yīng)鏈攻擊通常是大規(guī)模災(zāi)難事件,可能在一次“攻擊”中影響數(shù)千個(gè)組織。標(biāo)準(zhǔn)的安全事件響應(yīng)計(jì)劃通常不適用于需要外部協(xié)商的大規(guī)模應(yīng)用系統(tǒng)安全事件。外部的安全專(zhuān)家們此時(shí)可能已經(jīng)不堪重負(fù),而企業(yè)組織卻無(wú)法承擔(dān)響應(yīng)延遲的后果與損失;

AppSec還是一個(gè)不成熟的領(lǐng)域:AppSec的重要性直到最近才得到企業(yè)組織的關(guān)注,這也是安全團(tuán)隊(duì)必須正視的客觀現(xiàn)象,因此很多安全人員對(duì)這類(lèi)威脅的認(rèn)知并不全面。如今,隨著應(yīng)用程序攻擊面不斷擴(kuò)大并在全球范圍內(nèi)相互交織,可用的解決方案和專(zhuān)有技術(shù)在能力上仍然存在不足;

攻擊者并不需要先進(jìn)的技術(shù):由于企業(yè)缺乏足夠的工具來(lái)保護(hù)行業(yè)免受供應(yīng)鏈風(fēng)險(xiǎn)的影響,并且現(xiàn)有的安全工具仍然不夠完善。這對(duì)攻擊者而言是非常有利的,一旦攻擊成功,他們可以從數(shù)千個(gè)組織獲得重要數(shù)據(jù),而非一個(gè)組織。在防御方面,組織對(duì)通過(guò)CI/CD構(gòu)建的應(yīng)用系統(tǒng)缺乏可見(jiàn)性,對(duì)開(kāi)發(fā)過(guò)程的可見(jiàn)性更少,這使得保護(hù)AppSec非常困難。

事件響應(yīng)是一項(xiàng)專(zhuān)業(yè)的工作,涉及大量的資源和策略,并非一蹴而就的,每個(gè)AppSec事件響應(yīng)計(jì)劃都只適合特定的組織。以下是針對(duì)惡意應(yīng)用系統(tǒng)攻擊(如ESLint攻擊)的基本AppSec事件響應(yīng)清單示例:

1.檢查CI日志,查看惡意包的具體使用情況;

2.識(shí)別被惡意代碼獲取到訪問(wèn)權(quán)限的資產(chǎn);

3.識(shí)別所有可能受到損害的憑據(jù),并在相關(guān)環(huán)境中更新/輪換所有憑據(jù);

4.識(shí)別所有提交了惡意包的相關(guān)開(kāi)發(fā)人員,輪換相關(guān)憑據(jù),并讓安全或IT部門(mén)對(duì)其工作站進(jìn)行調(diào)查;

5.通知研發(fā)部門(mén)(R&D)存在惡意包嫌疑,相關(guān)密鑰需要盡快輪換;

6.審計(jì)對(duì)組織資產(chǎn)的所有訪問(wèn)。識(shí)別任何表明憑據(jù)使用被破壞的異常情況。在初始事件響應(yīng)之后繼續(xù)執(zhí)行此步驟;

在采取以上步驟的同時(shí),企業(yè)管理層應(yīng)該考慮并起草一份針對(duì)攻擊事件的公開(kāi)回應(yīng),并讓所有利益相關(guān)者和部門(mén)參與進(jìn)來(lái),共同完成后續(xù)的事件處置工作。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無(wú)評(píng)論