发掘网络网安漏洞 防堵黑客恶意攻击
- DIGITIMES企划
-
DEVCORE戴夫寇尔CEO暨台湾黑客年会副总召翁浩正，以本身具有黑客背景的角色，透过不同角度，来介绍网安的重要性。他本身从事信息安全系统研究及开发、网络安全规划建置、熟悉黑客攻击手法、黑客追踪方式，以及开发与研究攻击程序与后门程序。基本以黑客的角色，来看待网安，并寻找企业的漏洞。
当今的Cyberwar(网络战争)时代，国际间的「网军」早已如同军队一般组织化，从事情报蒐集、对特定目标的攻击与防护等工作。引述至2014年4月为止的黑客攻击事件，87%是由国家级机构所发动的。其中49%的网络间谍活动来自大陆和其他东亚国家，21%来自东欧地区，攻击对象超过半数是美国，6%是日本，4%是韩国。在2013年韩国曾有多家电视台和银行瘫痪，朝鲜被指控为主谋，其筹画时间长达8个月。由此可知国际黑客大战其实一触即发，各国企业对网安议题无法置身于度外。
剖析黑客寻找漏洞方式 了解现今的网安新风险
黑客是个思绪缜密的个人或团体，他们寻找漏洞方式，包括锁定产品或网站来进行研究、研究厂商释出修补程序、使用现成弱点攻击程序。
例如研究厂商所释出的修补程序，然后研究该修补的部分，尝试找出前一版漏洞(或从网安漏洞通报平台找出)，然后撰写该漏洞攻击程序，来攻击尚未更新的旧版用户。这种等待修补程序释出才进行攻击的守株待兔模式，会造成来不及更新的用户受害。
黑客们会将攻克的企业网站机敏数据(个资、营业秘密)拿来对企业勒索获利，若企业不从，则会放在黑客交易黑市来兜售，供其他黑客/网军组织来出价取得。
如今Big Data时代，也成为现今的网安新风险，有些黑客利用大规模的全网络扫描，对整个企业、IPv4、甚至全世界的网络进行扫描，找出全世界有多少主机含有漏洞。只要你的任何装置有上网，都可能被黑客扫描到，并植入恶意程序，以用来线上控制并发动攻击。
极为严重的网安漏洞 让IT人员心在淌血
翁浩正接着剖析2014年4月7日爆发的OpenSSL严重漏洞：Heartbleed (心血漏洞)，让全球网络风云变色，各家网络服务器成为全球黑客的嗜血战场。该漏洞让攻击者能从服务器存储器中读取64 KB的数据。利用传送heartbeat的封包，在封包中控制变量导致memcpy函数复制错误的存储器数据，因而撷取存储器中可能存在的机敏数据(如私密金钥Private Key、Cookie、Session ID、帐号口令、个人数据、信用卡数据、其余存储器中可能暴露的数据等等)，成为黑客64KB的刮刮乐。
由于该漏洞所影响的操作系统范围颇广，许多知名的硬件设备厂商也受到波及，而台湾2014年4月16日的受害数据，采用OpenSSL的33522台服务器中，有2424台有漏洞。由于使用HTTPS、SMTPS、IMAPS、POP3S等服务的服务器都有可能受到影响，因此他建议IT人员赶快升级OpenSSL版本至1.0.1g以上，以防堵机敏数据外泄。同时透过网络的Heartbleed测试网站，为自家的企业网站做健诊与把关的动作。
黑客攻击无所不在 现场模拟让君吓坏
黑客可以透过全球扫描方式，找出全世界有联网电脑的属性与可能的漏洞，然后便可加以监控与利用。接着翁浩正实际找一个网站，查找没有设口令的网络摄影机，结果便找到一堆，并可连进去看影像。借此案例来说明设定口令的重要性，以免被不明人士看到您家里的隐私。
另外翁浩正示范如何攻击有OpenSSL漏洞之服务器(以自设网站做范例)，他透过一些工具来窃取帐号口令与Cookie数据，然后冒名登入，成功以管理员身份登入该网站，然后可以自由阅读数据库中的数据。
另外在老旧漏洞部分，以DNS Zone Transfer(AXFR)为例，如今很多网站仍有此漏洞。他实际展示如何用此方法来查询某机构的所有DNS主机，若该漏洞没补起来，就会导致曝光太多内部DNS服务器信息，而引诱黑客去攻击。
翁浩正总结上述实际展示与案例，说明安全风险是不会消失的，风险共存才是生存之道。因此对恶意攻击的应变方式，就是要熟知安全风险、迅速网安通报、网安事件演练，将伤害降至最低。
