作者: stevencho

從事資訊工作二十多年，對資安極具熱情，在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理，負責 資安產品之技術支援與大型企業導入專案。此外，他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品的專業證照。

分類
CISSP

DNS 安全擴展 (DNSSEC)

https://ithelp.ithome.com.tw/upload/images/20210915/20132160uMqakJgDrS.jpg
-DNSSEC 資源記錄（來源：InfoBlox）
DNSSEC使用數字簽名確保DNS 數據的完整性，而 DNS over HTTPS (DoH) 或 DNS over TLS (DoT) 保護機密性。
以下是一些最重要的 DNSSEC 資源記錄 (RR)：
. DS（委託簽名者）
. DNSKEY（DNS 公鑰）
. RRSIG（資源記錄簽名）
https://ithelp.ithome.com.tw/upload/images/20210915/201321608gOmwhiDvP.png
DS（委託簽名者）
DS RR 包含子區域 KSK 的哈希值，可用作某些具有安全意識的解析器中的信任錨，並為 DNS 服務器中的簽名子區域創建安全委派點。如圖 22.1 所示，父區域 corpxyz.com 中的 DS RR 包含子區域 sales.corpxyz.com 的 KSK 的哈希值，而子區域 sales.corpxyz.com 的 DS 記錄又包含其子區域的 KSK 的哈希值, nw.sales.corpxyz.com。
-資料來源：InfoBlox

DNSKEY（DNS 公鑰）
當權威名稱服務器對區域進行數字簽名時，它通常會生成兩個密鑰對，一個區域簽名密鑰 (ZSK) 對和一個密鑰簽名密鑰 (KSK) 對。
名稱服務器使用ZSK 對的私鑰對區域中的每個 RRset 進行簽名。（RRset 是一組具有相同所有者、類別和類型的資源記錄。）它將 ZSK 對的公鑰存儲在 DNSKEY 記錄中。
然後名稱服務器使用KSK 對的私鑰對所有 DNSKEY 記錄進行簽名，包括它自己的記錄，並將相應的公鑰存儲在另一個 DNSKEY 記錄中。
因此，一個區域通常有兩個 DNSKEY 記錄；保存 ZSK 對公鑰的 DNSKEY 記錄，以及 KSK 對公鑰的另一個 DNSKEY 記錄。
資料來源：InfoBlox

R RSIG（資源記錄簽名）
一個簽名區域有多個 RRset，每個記錄類型和所有者名稱一個。（所有者是RRset 的域名。）當權威名稱服務器使用ZSK 對的私鑰對區域中的每個RRset 進行簽名時，每個RRset 上的數字簽名都存儲在RRSIG 記錄中。因此，簽名區域包含每個 RRset 的 RRSIG 記錄。
資料來源：InfoBlox

參考
. DNSSEC – 回顧
. DNSSEC – 它是什麼以及為什麼重要？
. 域名系統安全擴展
. DNSSEC 的工作原理
. DNSSEC：它的工作原理和主要考慮因素
. RFC 4033：DNS 安全介紹和要求
. RFC 4034：DNS 安全擴展的資源記錄
. RFC 4035：DNS 安全擴展的協議修改
. 基於 HTTPS 的 DNS
. 如何配置 DoT/DoH
. DNSKEY 資源記錄

資料來源： Wentz Wu QOTD-20210809

分類
CISSP

Risk Treatment

分類
Cissp-WentzWu

受保護的內容: 20210914

這篇內容受到密碼保護。如需檢視內容，請於下方欄位輸入密碼:

分類
CISSP

系統和應用軟體提供安全保證- 通用標準(Common Criteria)

https://ithelp.ithome.com.tw/upload/images/20210913/20132160wBxk3wtKD2.jpg
-通用標準評估
TCSEC 在 DoD 中用於評估受信任的計算機系統。它適用於整個計算機系統，而不適用於特定的軟體組件。此外，它已經過時了。
可信計算機系統評估標準 ( TCSEC ) 是 美國政府國防部 (DoD) 標準，它為評估 內置於計算機系統中的計算機安全控制 的有效性設定了基本要求 。TCSEC 用於評估、分類和選擇被考慮用於處理、存儲和檢索敏感或機密資訊的計算機系統 。（維基百科）
CMMI 是一種基於過程的模型，用於評估組織在軟體開發、採購或服務交付方面的能力成熟度。它不適用於軟體本身。
SOC 2 Type II 是關於服務組織中與安全性、可用性、處理完整性、機密性或隱私相關的控制的報告。這些報告旨在滿足廣大用戶的需求，這些用戶需要有關服務組織用於處理用戶數據和服務的系統的安全性、可用性和處理完整性相關的控制的詳細信息和保證。這些系統處理的信息的機密性和隱私性。(AICPA)

參考
. 批准的保護配置文件
. 認證產品
. Windows 10：內部版本 10.0.15063（也稱為版本 1703）

資料來源： Wentz Wu QOTD-20210808

分類
Information Security

OWASP Top 10-A01:2021 – 權限控制失效

A01:2021 – 權限控制失效

對照因素

可對照 CWEs 數量最大發生率平均發生率最大覆蓋範圍平均覆蓋範圍平均加權弱點平均加權影響出現次數所有相關 CVEs 數量
3455.97%3.81%94.55%47.72%6.925.93318,48719,013

概述

從第五名晋升至第一名，94% 的應用程式都對中斷的存取控制進行了某種形式的測試。著名 的 CWE 包括 CWE-200：將敏感資訊暴露給未經授權的演員，CWE-201：通過發送資料 和 CWE-352暴露敏感資訊：跨站請求偽造。

描述

存取控制強化政策，使得用戶不能採取在預期權限之外的行動。故障通常會導致未經授權 的資訊洩露、修改或破壞所有資料，或執行超出用戶限制的業務功能。 常見的存取控制弱點包括：

  • 通過修改URL、內部應用程式狀態或HTML頁面，或僅使用自定義API攻擊工具來繞過存取控制檢查。
  • 容許主鍵被更改為其他用戶的記錄，允許查看或編輯其他人的帳戶。
  • 特權提升。未登入即成為用戶，或以用戶身份登入即成為管理員。
  • 中繼資料操作，例如重放或篡改JSON網站令牌(JWT)之存取控制令牌，或被操縱以提升特權或濫用 JWT失效的cookie或隱藏欄位。
  • CORS錯誤配置允許未經授權的API存取。
  • 以未經身份驗證的用戶身份強制瀏覽已驗證的頁面或以標準用戶身份存取特權頁面。 存取缺少存取控制的API以進行POST、PUT 和 DELETE操作。

如何預防

存取控制僅在受信任的伺服器端代碼或無伺服器的API有效果，攻擊者無法修改這裏的存取控制檢查或中繼資料。

  • 除公開資源外，以拒絕為預設值。
  • 一次性地建置存取控制機制，之後在整個應用程式中重複使用它們，包括最大限度地減少使用CORS。
  • 模型的存取控制措施應該強化記錄所有權，而不是讓用戶可以創建、讀取、更新或刪除任何記錄。
  • 獨特的應用程式業務限制要求應由領域模型予以強化。
  • 停用Web伺服器目錄列表，並確保檔案中繼資料（例如，.git)和備份檔案不在web根目錄中。
  • 記錄存取控制失效，並在適當的時間警示管理員（例如，重覆性失效）。
  • 對API和控制器存取進行流量限制，以最小化自動攻擊工具所帶來的損害。
  • JWT令牌於登出後，在伺服器端應使其失效。

開發人員和QA品保人員應納入與功能有關之存取控制的單元和整合測試。

攻擊情境範例

情境 #1： 應用程式在存取帳戶資訊的SQL呼叫中使用未經驗證的資料：

pstmt.setString(1, request.getParameter(“acct”));

ResultSet results = pstmt.executeQuery( );

攻擊者只需修改瀏覽器的“acct”參數即可發送他們想要的任何帳號。如果沒有正確驗證， 攻擊者可以存取任何用戶的帳戶。

https://example.com/app/accountInfo?acct=notmyacct

情境#2： 攻擊者僅強迫瀏覽某些目標網址。存取管理頁面需要管理員權限。

https://example.com/app/getappInfo

https://example.com/app/admin_getappInfo

如果未經身份驗證的用戶可以存取任一頁面，那就是一個缺陷。 如果一個非管理員可以存取管理頁面，這也是一個缺陷。

參考

對應的CWE列表

CWE-22 不當限制受限目錄的路徑名稱（路徑遍訪）

CWE-23 相對路徑遍訪

CWE-35 路徑遍訪: ‘…/…//’

CWE-59 檔案存取前不當的路徑解析 (‘連結指向’)

CWE-200 將敏感資訊曝露給未經授權的行為者

CWE-201 經由發送的資料曝露敏感資訊

CWE-219 在網站根目錄下存放敏感資料

CWE-264 權限、特權和存取控制（不應再使用）

CWE-275 權限問題

CWE-276 不正確的預設權限

CWE-284 不當的存取控制

CWE-285 不當的授權

CWE-352 跨站請求偽造 (CSRF)

CWE-359 將私有的個人資訊曝露給未經授權的行為者

CWE-377 不安全的暫存檔案

CWE-402 私有資源輸入新領域（“資源洩漏”）

CWE-425 直接請求（“強制瀏覽”）

CWE-441 意外代理或中介（“困惑的代理”）

CWE-497 將敏感系統資訊曝露給未經授權的控制領域

CWE-538 將敏感資訊插入外部可存取的檔案或目錄

CWE-540 原始程式中包含敏感資訊

CWE-548 透過列示目錄而曝露資訊

CWE-552 外部各方可存取的檔案或目錄

CWE-566 通過用戶控制的 SQL 主鍵繞過授權

CWE-601 URL重新導向至不受信任的站台（“開放而不受限的重新導向”）

CWE-639 通過用戶控制的金鑰繞過授權

CWE-651 曝露包含敏感資訊的WSDL檔案

CWE-668 資源曝露於錯誤領域

CWE-706 使用被不正確解析的名稱或參考

CWE-862 缺少授權

CWE-863 不正確的授權

CWE-913 不當的動態管理的代碼資源控制

CWE-922 不安全儲存的敏感資訊

CWE-1275 具有不當SameSite屬性設定的敏感Cookie

資料來源：https://github.com/ninedter/Top10/blob/2021-zhtw/2021/docs/A01_2021-Broken_Access_Control.zh_TW.md

分類
CISSP

DevOps

DevOps（Development和Operations的組合詞）是一種重視「軟體開發人員（Dev）」和「IT運維技術人員（Ops）」之間溝通合作的文化、運動或慣例。透過自動化「軟體交付」和「架構變更」的流程，來使得構建、測試、發布軟體能夠更加地快捷、頻繁和可靠。

傳統的軟體組織將開發、IT運維和品質保障設為各自分離的部門，在這種環境下如何採用新的開發方法（例如敏捷軟體開發），是一個重要的課題。按照從前的工作方式，開發和部署，不需要IT支援或者QA深入的跨部門的支援；而現在卻需要極其緊密的多部門協同運作。而DevOps考慮的還不止是軟體部署，它是一套針對這幾個部門間溝通與協同運作問題的流程和方法。[5]

資料來源：https://zh.wikipedia.org/wiki/DevOps

分類
Information Security

伺服器端請求偽造

在電腦安全中，伺服器端請求偽造（英語：Server-side Request Forgery，簡稱SSRF）是攻擊者濫用伺服器功能來存取或操作無法被直接存取的資訊的方式之一。[1]

伺服器端請求偽造攻擊將域中的不安全伺服器作為代理使用，這與利用網頁客戶端的跨站請求偽造攻擊類似（如處在域中的瀏覽器可作為攻擊者的代理）。

資料來源：https://zh.wikipedia.org/wiki/%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E8%AF%B7%E6%B1%82%E4%BC%AA%E9%80%A0

分類
CISSP

OpenFlow

OpenFlow，一種網路通訊協定，屬於數據鏈路層，能夠控制網路交換器或路由器的轉發平面（forwarding plane），藉此改變網路封包所走的網路路徑。

OpenFlow（OF）被認為是第一個軟體定義網路（SDN）標準之一。它最初在SDN環境中定義了通信協定，使SDN控制器能夠與物理和虛擬的交換機和路由器等網路裝置的轉發平面直接進行互動，從而更好地適應不斷變化的業務需求。

SDN中的SDN控制器是SDN網路的「大腦」，它將資訊傳遞給交換機/路由器的「下方」（通過南向API）和「上方」（通過北向API）的應用和業務邏輯。最近，隨著組織部署更多的SDN網路，SDN控制器的任務是使用通用應用程式介面（如OpenFlow和開放式虛擬交換機資料庫（OVSDB））在SDN控制器域之間進行聯合。

要在OF環境中工作，任何想要與SDN控制器通信的裝置都必須支援OpenFlow協定。通過這個介面，SDN控制器將更改推播到交換機/路由器流量表，使網路管理員能夠對流量進行分割區，控制流量以獲得最佳效能，並開始測試新組態和應用。

資料來源：https://zh.wikipedia.org/wiki/OpenFlow

分類
CISSP

軟體定義網路（software-defined networking:SDN

軟體定義網路（英語：software-defined networking，縮寫作 SDN）是一種新型網路架構。它利用OpenFlow協定將路由器的控制平面（control plane）從資料平面（data plane）中分離，改以軟體方式實作，從而使得將分散在各個網路裝置上的控制平面進行集中化管理成為可能 ，該架構可使網路管理員在不更動硬體裝置的前提下，以中央控制方式用程式重新規劃網路，為控制網路流量提供了新方案，也為核心網路和應用創新提供了良好平台。SDN可以按使用領域分為：SD-WAN, SD-LAN, SD-DC, SDN將人工智慧引入到網路系統里來，將是未來幾年最熱門的網路前沿技術之一。[1]

Facebook與Google都在他們的資料中心中使用OpenFlow協定，並成立了開放網路基金會來推動這個技術。[2][3]

資料來源：https://zh.wikipedia.org/wiki/%E8%BB%9F%E9%AB%94%E5%AE%9A%E7%BE%A9%E7%B6%B2%E8%B7%AF

分類
CISSP

最高級別的隔離- 第二類類虛擬機器監視器( Type II hypervisor)

https://ithelp.ithome.com.tw/upload/images/20210902/20132160rDpjQho9k7.jpg
-軟體運行環境

與共享資源隔離（Isolation from Sharing Resources）
隔離是“將多個軟體實例分開的能力，以便每個實例只能看到並影響自己。”
資料來源：NIST SP 800-190
進程使用各種資源，例如 CPU、記憶體、儲存、網路、操作系統服務等。為了隔離進程，使其不會影響其他進程，需要控制對記憶體和其他資源的存取。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160g0pXGLvyBI.jpg
-計算機架構

界限（Bounds）
這裡的界限意味著強加給進程的記憶體界限，不能存取屬於其他人的記憶體段。它提供了基本的隔離級別。共享儲存、CPU、網絡和其他資源的進程可能仍會導致競爭資源競爭。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160x2crcn8PMs.jpg
-進程的記憶體佈局

容器化(Containerization)
容器化是應用程序虛擬化，其中容器中的進程與大多數資源隔離，但仍共享相同的操作系統內核。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160FAbec7eqTa.png
-虛擬機和容器部署（來源：NIST SP 800-190）
https://ithelp.ithome.com.tw/upload/images/20210902/20132160otolPovczM.jpg
-操作系統和應用程序虛擬化（來源：NIST SP 800-190）

第二類虛擬機器監視器(Type II hypervisor)
一個第二類虛擬機器監視器基於主機操作系統上管理虛擬機（VM）上運行的客戶操作系統。在具有來賓操作系統的 VM 上運行的進程是高度隔離的。部署在兩個 VM 上的兩個進程具有比容器更高的隔離級別。
https://ithelp.ithome.com.tw/upload/images/20210902/20132160xhmrFAlSxb.png
-虛擬機器監視器（來源：TechPlayOn）

搶占式多任務處理(Preemptive Multitasking)
搶占式多任務處理不是一種隔離機制。但是，它通常需要上下文切換來保留線程的 CPU 狀態。從這個角度來看，它可以在某種程度上被視為線程級隔離。
https://ithelp.ithome.com.tw/upload/images/20210902/201321605Lo3q56oKv.jpg
-上下文切換（來源：hcldoc）

參考
. 什麼是雲中的管理程序？
. 上下文切換

資料來源： Wentz Wu QOTD-20210803