阿碼外傳－阿碼科技非官方中文 Blog: 全方面的網站防護

前言：
阿碼科技將與您分享網站威脅之實務案例與因應，更以「弱點的一生」來詮釋如何最有效地利用阿碼之「網站健診服務包（Armorize AppSec Suite）」中的「程式碼資安檢測（源碼檢測；CodeSecure）」、「網站應用層防火牆(SmartWAF)」、「即時安全監控(HackAlert)」、以及「木馬間諜檢測軟體(Archon Scanner)」等技術，讓企業在有限的資源下，擁有全方位的網站防護。相信透過實戰經驗分享成功案例，阿碼科技一起與您讓駭客無洞可鑽，享受網站安全、顧客安心、歡心獲利！

一、弱點的一生

上圖，很明顯提的是「系統」弱點的一生，這圖以前就常常被拿來說明了，只是是在 IDS、IPS 的時候，你有注意到嗎？所以我把 IPS 的防護作用放進去了，網路應用程式防火牆 (WAF)的功能與作用是很類似入侵偵測防護(IPS)設備的。

上圖，就是「網站應用程式弱點的一生」，因為網站有包含需求、規畫、開發、測試、上線...的程序，當然，每個階段都有可能造成「弱點」，主要有網站邏輯設計錯誤、網路應用系統安全弱點 (OWASP)、SOP 程序弱點。這邊先針對 SOP 程序弱點舉例說明，網站上線之前應該有需要有一個類似標準作業程序(SOP)的文件，依據此進行網站上線前的一一檢點，確認每個項目都已經完成安全查核，其中應包含一項查核為「HTTP PUT Method」的檢測，做為確認系統無法隨意以 PUT 方式將檔案放入網站上，這通常都是對網站設定管理的不熟悉造成，為了避免相關的疏忽，可以發展一個「網站上線前的安全檢核清單」，避免這類設定不當造成問題。
目前金融產業在網站程式開發的生命周期中，已經是非常注意邏輯問題，以及網站上線的安全檢核清單問題，也累積了相當多的實戰經驗。對於其他產業來說，就必須特別注意整個網站程式開發的生命周期。當然，也有很多人的網站已經上線了，如何快速有效的進行防禦呢？協助您爭取時間進行全面快速有效的弱點修復呢？
最後除了系統、網站弱點，還有其他弱點需要注意嗎？你的 IT 基礎架構、網路架構、資安設備佈署、惡意程式防禦佈署...等，可能都會造成防禦漏洞的，你又該如何面對呢？

二、洞悉 Web 手法威脅

上圖，目前僅列出網站常見的威脅，至於，真正漏洞成因你得深思，可參考先前的一篇文章：「深思網站淪陷背後的意義」。另外有一篇文章也可參考：「網站多久沒健檢，是不是該關心一下了」希望能有幫助。如何洞悉網站威脅呢？由上表可以發現接獲通報來源，沒有一個是 IT 人員自行發現的，所以 IT 人員該如何培養敏感度呢？情報網是否情蒐管道暢通呢？尤其是客服或企業聯繫窗口，經常被人所遺忘的一群，一定要給予相當的資安敏感度才是。
另外，還有一個很重要的，就是地下經濟利益，才是造就威脅的真正成因。地下利益是動機、目的，威脅手法只是其手段，所以這點才是洞悉的關鍵之道。接下來，身為網站管理人或負責人，你得改變思維，到底網站上有哪些東西是有心人士想要的，有心人士會利用各種手段或手法來取的，你該如何因應呢？

上圖，是對於網站瀏覽者的威脅，其中接獲通報來源中有所謂的「網頁信譽評等 (WRS, Web Reputation Services)」，相關軟體可以參考這裡，某些程度這是會是有幫助的一個工具，如果不懂這是啥？哪你真的需要花點時間培養網路資安觀念了。同樣的，思考地下利益為何？你會發現不外乎「木馬、個資及金錢」，無論外在風險、威脅或各種風風雨雨，你應該知道有心人要的是啥了吧！對使用者來說就避免中毒、注意個資、不要用網路做跟金錢有關的事，但，用說的永遠比較容易，如何培養警覺性才是關鍵。

三、實際案例探討
1.密碼復原的邏輯錯誤

相關文章：
2008/10/09 「田納西男子駭進培林的電子信箱」
思考(當成課後問題吧！)：問題如何能提早發現？做好準備(案例學習)？你的網站有類似問題嗎？

2.Code的攻防戰
相關文章：
2009/04/19 「為何XSS（跨網站腳本）漏洞難改？以twitter Mikeyy六代蠕蟲說明」
2009/04/14 「漏洞修補不完，Twitter 蠕蟲五度發威：詳探 Mikeyy (StalkDaily) 蠕蟲一代至五代細節」
2009/04/12 「17歲少年：twitter XSS worm「stalkdaily worm」蠕蟲是我做的」
當你的網站遇上難纏的對手時，你該如何處置呢？開發人員也在事件應變處裡的一環了，不是嗎？早期的系統、網路漏洞問題，現在的程式開發漏洞問題，還有使用者警覺性的問題，你準備好了嗎？
思考(課後問題)：如何迅速找出有問題的程式碼？有效的修正程式碼？網站改版時該做甚麼？你有記取教訓嗎？對開發流程是否有衝擊？開發人員是否有案例學習討論？你做準備了嗎？

四、成功關鍵
1.產品要有人力技術配合：技術需要扎根，才能有效發揮產品優勢。當然，需要正確有效評估「現有資源」，檢視目前現有人力與資源。
2.產品要融入管理制度：向上管理、對下管理。
3.產品只10%的成本，90%的成本在建立管理與培養人力技術上。
4.您在選的是產品，還是在選服務與技術。

五、打造 Web AP 聯防網（Armorize AppSec Suite）

上圖，是目前阿碼主要產品，相信大家應該不陌生。

上圖，為阿碼產品與技術服務的戰略位置，其中最特別的是「資安技術稽核」，這是因為我們看過太多客戶內部的 IT 基礎架構、網路規劃配置、資安設備佈署、惡意程式防禦佈署...等，都有相當的錯誤觀念存在。舉最簡單的例子，我們在看過許多客戶的 IPS 部署後，還沒有看過正確佈署的，有誰關心您是否正確使用或有效使用產品呢？你的防禦佈署規劃是在疊層架屋嗎？我們會總體檢視，包含「網站架構」、「用戶端管理」、「網路基礎建置」三個面向，找出 IT 的盲點與弱點，提供補強建議。