安全配置錯誤規避指南

在2019 年，安全研究人員發現 Atlassian JIRA 中存在安全配置錯誤，這是一款全球超過 100,000 家組織和政府機構使用的項目管理軟體。JIRA 配置錯誤允許任何人通過簡單的搜尋查詢通路敏感資訊，包括企業員工姓名、電子郵件位址和有關内部機密項目的機密詳細資訊。安全配置錯誤已成為十分常見的問題，也導緻成千上萬的企業組織容易遭受嚴重的網絡攻擊和資料洩露。

那麼什麼是安全配置錯誤呢？企業應當如何發現、修複和避免安全配置錯誤？閱讀本文，帶你一探究竟。

什麼是安全配置錯誤？

當基本安全設定未實施或實施時出現錯誤時，就會出現安全配置錯誤。此類錯誤會造成危險的安全漏洞，使應用程式及其資料（以及企業組織本身）容易受到網絡攻擊或破壞。這些錯誤可能發生在應用程式堆棧的任何級别，包括：

• Web 或應用程式伺服器
• 資料庫
• 網絡服務
• 自定義代碼
• 開發平台和架構
• 虛拟機
• 雲容器

什麼會導緻安全配置錯誤？

大多數配置錯誤的發生是因為系統管理者未能更改裝置或應用程式的預設配置（或“開箱即用”的帳戶設定）。保留臨時配置也可能導緻錯誤配置和漏洞，而及時更改這些設定可以最大限度地減少攻擊的可能性。這裡我們将列舉幾個安全配置錯誤的常見原因。

未修補的漏洞

惡意攻擊者利用未打更新檔或過時的軟體來未經授權通路企業系統的功能或資料。有時，未修複的漏洞可能會導緻整個系統遭到攻擊和破壞。

未使用的頁面和不必要的服務/功能

未使用的頁面和不必要的功能或服務還允許攻擊者未經授權通路企業應用程式或裝置。如果任其發展，這些問題可能會導緻嚴重的問題，例如指令注入和暴力攻擊等。

通路控制不足

惡意攻擊者可以使用預設密碼、未使用的使用者帳戶或管理者未更新或删除的未使用通路權限來進入網絡基礎設施。過于寬松的通路規則具有極大的安全隐患，包括惡意軟體攻擊和資料洩露。

未受保護的檔案和目錄

不受強大安全控制保護的檔案和目錄容易受到網絡攻擊。攻擊者可以識别使用易于猜測的名稱和位置的平台和應用程式，以擷取有價值的系統資訊并策劃有針對性的攻擊。可預測的檔案名和位置還可以暴露管理界面，并允許對手獲得特權通路、配置詳細資訊或業務邏輯，甚至添加、删除或修改應用程式功能。

薄弱的代碼和易受攻擊的 XML 檔案

Java web.xml 檔案中可能會出現許多安全配置錯誤。可能未配置自定義錯誤頁面或 SSL，或者代碼可能缺少基于 Web 的通路控制。代碼錯誤可能允許攻擊者通過非 SSL 通路部分 Web 應用程式并發起會話劫持攻擊。使用 URL 參數進行會話跟蹤或不設定會話逾時也可能導緻這些攻擊。同樣，沒有 HttpOnly 标志的 cookie 會增加跨站點腳本 (XSS) 攻擊的可能性。

禁用防毒軟體

有時，如果防毒軟體覆寫了特定操作（例如運作安裝程式），使用者會暫時禁用防病毒軟體。如果在完成安裝後忘記重新激活防病毒軟體，就會使企業容易受到攻擊和資料洩露。

硬體管理不足

攻擊者使用路由器、交換機和端點等裝置，通過利用不安全的端口、過于寬松的網絡流量規則以及未充分修補和維護的硬體來通路企業應用程式和資料。

安全配置錯誤的影響

配置錯誤會造成安全漏洞，給惡意攻擊者可趁之機。這裡我們列舉出了幾類安全配置錯誤的影響。

敏感資料暴露

配置錯誤幾乎總是會導緻對敏感資訊的未授權通路。據統計有近 73% 的企業至少有一個嚴重的安全錯誤配置，可能會暴露敏感資料、系統或服務。

目錄周遊攻擊

Web 應用程式中的目錄清單允許威脅行為者浏覽和自由通路檔案結構并發現其安全漏洞。他們可以利用這些漏洞修改應用程式的某些部分，甚至對其進行逆向工程。

對移動應用程式的攻擊

根據 OWASP，配置錯誤對于移動應用程式來說是個嚴重的問題，因為業務沒有部署在企業控制下的專有伺服器上。代碼被部署在移動裝置上，而攻擊者可以實體通路、修改或進行逆向工程。

遠端攻擊

一些嚴重的錯誤配置允許攻擊者遠端通路伺服器并禁用網絡和資訊安全控制，例如防火牆和 VPN。未使用的開放管理端口還會将應用程式暴露給遠端攻擊。

雲配置錯誤

雲配置錯誤不斷增加，給企業帶來衆多安全挑戰。雲端多達70%的安全問題是由于配置錯誤造成的，進而導緻未經授權的應用程式通路。同時還可能導緻關鍵任務資訊的洩露、業務損失、監管罰款和其他處罰，以及巨大的财務和聲譽損害。

企業如何避免安全配置錯誤

安全配置錯誤是一個普遍存在的問題，可能發生在任何網絡、系統、裝置或應用程式中。我們建議企業通過遵循以下最佳實踐來規避或将發生的可能性降到最低。

重視警告提示

配置錯誤通常會産生管理者和開發人員應注意的警告提示和信号。包括多次登入嘗試的通知、自行安裝軟體的裝置以及使用者的網絡搜尋被重定向到意想不到的網站。

定期修補所有裝置和軟體

定期的安全更新檔和更新對于查找和修複配置錯誤至關重要。管理者可以定期修補正确配置的虛拟機，并将其部署到整個環境中。

加強遠端通路控制

具有入侵檢測系統、權限區域、防火牆和虛拟專用網絡 (VPN) 的分層遠端安全方法可以限制遠端使用者造成的漏洞。一般來說，本地資料中心和雲環境中的所有檔案和目錄都必須根據需要具有強大的通路控制。

網絡安全教育訓練

缺乏網絡安全知識會導緻不安全的行為和人為錯誤，進而增加安全風險。員工需要接受有關高強度密碼的必要性、影子 IT 的危險以及處理敏感資料規則的教育訓練。強大的安全文化對于提高對安全威脅、可疑活動和适當的威脅響應的認識也至關重要。

遵循安全編碼實踐

安全編碼實踐對于防止錯誤配置問題至關重要。開發人員必須確定在代碼中進行正确的輸入/輸出資料驗證，配置自定義錯誤頁面和 SSL，設定會話逾時，絕不繞過身份驗證和授權，并避免使用 URL 參數進行會話跟蹤。在将自定義靜态代碼內建到生産環境之前，通過安全掃描器運作自定義靜态代碼也是一種很好的做法。

其他方式

避免安全配置錯誤的其他一些方法還有：

• 定期監控 Web 應用程式安全和漏洞
• 定義和監控應用程式和程式的非預設安全設定
• 删除未使用的應用程式、程式和功能
• 更改所有預設帳戶、使用者名和密碼
• 加密靜态資料和傳輸中資料

參考連結：

https://logicbomb.medium.com/one-misconfig-jira-to-leak-them-all-including-nasa-and-hundreds-of-fortune-500-companies-a70957ef03c7

https://www.threatstack.com/blog/73-of-companies-have-critical-aws-security-misconfigurations

https://www.trendmicro.com/en_us/research/21/a/the-top-worry-in-cloud-security-for-2021.html