Web應用何時成了金融行業的安全噩夢？
原創【51CTO現場報道】2016年7月25日，第十一屆(ISC)²亞太信息安全峰會在泰國曼谷召開。大會第一天的熱點主題之一可以總結為：
“安全從業者們聚眾討論Web開發者”。
Verizon的2016 DBIR安全報告指出，在2015年造成數據泄露的2260次安全事件中，由Web應用攻擊造成的比例顯著上升：
尤其是在金融領域確認造成數據泄露的795件安全事故當中，有82%都是由于Web應用所致（這一比例在2014年為31%）。雖然該報告將該變化的主要原因歸結于Dridex僵尸網絡的陷落，然而報告也指出Web應用已經成為攻擊者們的主要目標之一（尤其集中在金融和零售領域）。
Web應用為何會越來越多的被攻擊者們盯上？
云安全聯盟（CSA）亞太區市場戰略總監Anthony Lim認為該趨勢與云計算的普及密切相關。由于云計算的普及，各種數據都進入了公網，從而無法對其進行有效的控制。越來越多的數據——尤其是個人隱私以及涉及金錢交易的數據——通過HTTP傳輸，因此越來越多的重要數據有可能通過HTTP泄露。
大部分攻擊者的策略是廣撒網式的嘗試。在最新的SDN上他們會嘗試找漏洞（比如針對Controller的攻擊，即使沒有成功入侵，也可能會導致Controller掛掉而帶來嚴重的影響），在老掉牙的操作系統上（比如Windows XP、老版本的Android等）他們也會嘗試找漏洞。相比操作系統層面，Web應用更加容易被暴露在攻擊者面前，因為它無法受到防火墻的保護（Anthony Lim表示現在市面上的“應用防火墻”跟傳統意義上的防火墻并不能算是同一個概念）。
大部分Web應用都是脆弱的
在Anthony Lim看來，大部分企業/組織并沒有建立起足夠堅固的軟件安全策略。首先，今天的軟件越來越龐大，動輒上千行代碼，要檢查其中的漏洞原本就越來越困難。其次，大部分開發者并沒有接受過安全方面的訓練，很多在線上運行的網站甚至連debug功能都沒關掉，成了很多攻擊者們獲取系統信息的渠道。最后，隨著“唯快不破”的理念趨于流行，開發者更加沒時間檢查自己的代碼了。
“看看從2004年到2013年的OWASP Top 10，很多都是那時候就有的錯誤，今天的開發者還在不停的踩坑。”Anthony Lim舉例說，“比如2004年的‘錯誤處理方法不規范’，在2007年還在重復；‘注入漏洞’，九年來一直名列前茅；還有未驗證的輸入、未驗證的轉發等等，這些都是反復出現的。”
Web應用的“持續安全防護”
Anthony Lim認為“Web應用必須能夠自己保護自己”，防火墻的思路是靠不住的，必須從寫代碼的開發者入手。現在業內人士已經做了很多努力，比如證書方面有CSA STAR，規范方面有專門針對云計算應用安全的ISO 27017，教育培訓方面有CSA和(ISC)²聯合推出的CSSLP，還有各種安全規范指南和白皮書等等（如Security in the Skies白皮書)。不過他也坦然說，這些安全規范指南之類的基本上不會有人自覺遵守，需要有更加強制性的手段才能實現好的效果。
Qualys產品VP Jason Kent則在主題演講上提出了“用保護服務器的思路保護Web應用”的觀點，他認為我們現在在基礎架構的持續防護方面要做的相對成熟，因此可以從中借鑒。優秀的基礎架構防護基本上可以總結為如下四點：
- 對所有的服務器建立完整的檔案目錄（inventory），定期維護。
- 持續的掃描所有的服務器。持續掃描有三個目標：針對每天新出現的已知漏洞進行比對；檢查今天新開通的服務是否成為了攻擊點；檢查是否有用于測試的臨時端口或服務忘記關閉。
- 明確的補丁策略。誰負責維護系統？誰負責維護應用堆棧？補丁的更新流程是怎樣的？如何做打補丁的歷史記錄？這些策略都需要明確。
- 定期檢查補丁情況。將及時應用的補丁和未能及時應用的補丁記錄在案。
Web應用運行在服務器OS層面之上，在Web應用和OS層面之間還有一層Web服務器，而Web應用和Web服務器都可能成為攻擊者的目標。一套Web應用從開發到上線會經歷四個環境：開發環境（Development）、測試環境（Testing）、預備環境（Staging）和生產環境（Production）。攻擊者的目標是生產環境，而保護工作必須將四個環境都涵蓋在內。如果能夠在開發環境移除潛在的問題，這是最有效率的，總之是越早越好。根據“IBM | Ponemon Cost of Data Breach 2016”報告提供的數據，在生產環境發現問題所帶來的損失平均來說是在測試環境的14倍。
操作系統級別的漏洞大約需要30/60天完成補丁的應用和應用后的測試。應用層面的漏洞則需要90/120天來完成從開發環境到生產環境的周期。要想及時發現漏洞，有兩個關鍵的事情要做好，那就是資源檔案目錄和持續測試。
- 應用的檔案目錄：你的系統中一共有多少個應用？應用由誰開發？開發環境、測試環境、預備環境和生產環境各自在什么位置？資產檔案保存在哪里？應用的所有者是誰？這不僅包括你自己開發的應用，還應該把你租用的外部應用考慮在內，比如以SaaS方式提供的客戶管理、人力管理或者票據報銷管理等服務。
- 持續的掃描測試，捉漏洞。目標是100%全面覆蓋式的掃描。當然，這意味著必須實現自動化掃描。
- 在正確的位置進行修復。如上所述，在生產環境的Web應用或Web服務器中發現的代碼漏洞，比如XSS，要從開發環境開始修復。如果是在Web服務器中出現XSS，意味著開發工作需要暫停，直到Web服務器完成補丁修復。原來的Web應用代碼在升級后的Web服務器上可能無法正常工作，需要對代碼進行相應的調整。
- 定期檢查補丁情況。將及時應用的補丁和未能及時應用的補丁記錄在案。
賽門鐵克亞太和日本區CTO Michael Counsel也強調了持續安全防護的重要性，他認為我們需要用“流程即服務”的方式來實現這一目標，而不是通過把軟件藏在家里的on-premise方式來保護，因為on-premise越來越無法滿足今天業務的需要了。
大會第一天其他關注點
安全人才現狀：(ISC)² CEO David Shearer表示安全人才有趨于短缺的趨勢，需要吸引更多年輕人加入。女性從業者在安全領域的比例有所上升，尤其是在政府相關業務中更加明顯。
贊助商展示：本次各贊助商展示的demo，大部分都是基于Web界面提供操作入口的產品。On-premise部署仍然是主流，然而多少都有以在線方式提供服務的嘗試（區別只在于是打算自己提供服務還是找合作的第三方提供服務）。方向主要涉及設備管理（IBM MaaS360），Web掃描（HP WebInspect、Qualys），APT防護（FireEye），源代碼安全檢測（HP Fortify），SSH密鑰管理以及加密會話審計（SSH Communications Security）等。
