TWISC研究人员96年度期中进度简报.pptVIP

* TWISC研究人員96年度期中進度簡報第四組 軟體及系統安全利用虛擬化網路攻防環境建立商務型網站之防守策略 指導教授：詹朝基 博士 研 究 生：高榮鴻 摘要 目標 研究內容 虛擬化技術 Rails Framework 威脅 進度 甘特圖 預計產出 Outline 摘要 有鑑於目前資安相關研發實驗之進行皆需耗費大量人力、物力成本，且管理不易，我們利用虛擬化技術規劃一個虛擬化的網路攻防環境來模擬e-Business商務型網站之資訊安全演練。並利用此虛擬網路環境搭配孫子兵法的戰略思維來建立有效的防守策略，期望能夠有效化解網路駭客的攻擊行為。 目標 發展一個有效且嚴格遵循資訊安全原則及現代的資安紀律的防守策略讓近期很熱門的Rails架構網站能夠抵禦駭客的進攻。 研究內容 防守技巧 網站弱點掃描 監視及過濾封包記錄 入侵偵測系統/入侵防禦系統 誘捕系統 封包探測/協定分析 系統備份及回復工具 虛擬化技巧 虛擬化技術是將數個獨立的作業系統共同執行於一部電腦主機之上，具有下列特性： Compatibility：Guest OS被視為標準的Intel x86電腦。 Isolation：虛擬機器之間不會的互相影響。 Encapsulation：所有虛擬機器的相關檔案被封裝在數個檔案中。 Hardware-independence：虛擬機器的運作與底層的實體機器硬體無關。 模擬環境 Rails Framework Ruby on Rails是一個框架，一個使web應用程式的開發、部署和維護變得更加容易的框架。 所有的Rails應用程式都是使用「模型-檢視-控制單元(MVC, Model-View-Controller)」架構實作而成的。 Rails應用程式是用Ruby語言編寫的，這是一種物件導向腳本語言。 Rails可支援許多新技術及新標準，例如AJAX和REST界面之類的功能。 威脅 SQL Injection：攻擊者利用SQL meta字元(例如反斜線、單引號)避開驗證，在伺服器上執行SQL指令，從而獲得機密資料，建立非法資料記錄。 CSS/XSS：典型的CSS/XSS是駭客在網站中植入(或由表單輸入)一段Script(如JavaScript)以取得其他使用者的cookie，進而獲取更多使用者重要資料。 Session fixation attack：當駭客知道別人的session id時，就可以根據這個id來建立HTTP請求。當網站收到這樣的請求時會認為這些請求與原來那個用戶相關，於是駭客就擁有了該用戶的權限。 進度簡報 已完成 虛擬化網路攻防環境建置 Rails架構商務型網站建置 ISA Server建置 VPN環境建置 進度簡報 目前狀況 Snort建置 駭客行為研究 駭客行為模擬 網站安全防護精進 未來規劃 萃取出重要封包變化衡量指標 訂定網站安全性驗證指標 發展網站安全防守策略 推廣虛擬化技術降低資安研究所需成本 甘特圖 預計產出 雛型系統 Thank You ! 《孫子兵法》- 謀攻篇 / 軍形篇 上兵伐謀，其次伐交， 其次伐兵，其下攻城。 知彼知己，百戰不殆； 不知彼不知己，每戰必殆。 善戰者，立於不敗之地，而不失敵之敗也。 善用兵者，修道而保法，故能為勝敗之政。 *