运维安全的攻与防.pptVIP

关于运维安全的攻与防 第一页，本课件共26页 KNOW IT 第二页，本课件共26页 开源带来的风险-php官方代码被改了 开源代码被篡改(php/chef/ssh/vsftpd….) 某些开发人员的安全编码规范不行 架构设计范围太广，安全可控性差，成本高 第三页，本课件共26页 信息的泄漏-58火了 一个dns区域传送泄漏所有子域名 一个mongodb agent端口对外，非授权访问情况下，直接get shell 一个svn信息泄漏，导致源代码被拖，挖洞，入侵官方，进行内网渗透。甚至导致svn服务器被黑，篡改代码，所有相关同步服务器沦为肉鸡。 一个管理网后台泄漏，导致58被脱裤。。。 一个zabbix后台泄漏，导致所有服务器沦为肉鸡 一个备份文件泄漏，导致源代码 Rsync信息泄漏 Hadoop集群地址，将会导致。。。 第四页，本课件共26页 权限问题 应用服务用户权限过高 存储敏感信息任意用户可读 执行脚本代码可注入 第五页，本课件共26页 密码问题-优酷/奇艺挂了 默认密码 弱口令 第三方导致的密码泄漏 一个密码走天下 案例: 从一个默认口令到youku和tudou内网/bugs/wooyun-2010-019917 第六页，本课件共26页 自动化带来的问题-这个很暴力 通常我们搭建一个服务器通过http来下载一些安装包. 恩，很方便 如果包被篡改怎么办？ 缺乏监控，校验和审计流程，风险大，可控性差 开发人员安全编码不够规范 例如：opscode的chef 一个普通的客户端用户可以通过api访问到其他的用户了客户端信息，以及一些帐号密码，包括曾经存在的其他越权漏洞，可以导致从一个客户端之间入侵到其他客户端甚至服务器端，最终导致所有网络瘫痪。 第七页，本课件共26页 默认/错误配置的风险-Treasure Data被黑 Jboss直接通过jmx-console部分上传webshell Mongodb任意ip访问，默认无授权，存在远程溢出漏洞 Memcache任意ip访问读取数据，无任何验证 Nginx网上错误的nginx php解析配置 Hive的tranform函数导致任意代码/命令执行 Apache错误的目录不解析php配置 第八页，本课件共26页 流量攻击-低成本，高损失 Ddos攻击 Cc攻击 其他各种网络攻击 第九页，本课件共26页 0day-0day在手，长枪我有 GOOGLE等三十多个高科技公司的极光攻击 美国能源部的夜龙攻击 针对RSA窃取SECURID令牌种子的攻击 针对伊朗核电站的震网攻击 据统计2011年NASA被成功入侵13次 一个贴近我们的实例，nginx解析漏洞。。。 第十页，本课件共26页 误操作带来的纠纷 某天我们某服务器的防火墙发现被人关了 然后大家都是说：我没动，是不是你们那边谁弄得啊。。。 闹鬼？ 什么时候？哪里来的？谁干的？还干了什么？ 第十一页，本课件共26页 HACK IT 第十二页，本课件共26页 访问控制 内部/办公网和平台网络的隔离 平台网站后台/zabbix后台限制 ssh/memcache等端口访问控制 开发运维人员测试机网络要和线上运营服务器隔离 统一采用密钥验证 进一步的审计和规范还没做。。 第十三页，本课件共26页 运维操作审计系统 实时地、完整地记录基于SSH协议访问的用户操作，并提供方便灵活的操作回放或查询检索的手段和操作进行过程的抓取，从而可以录像方式对所有运维人员的所有操作进行记录，并具备强大的搜索功能，可对特定时段、特定事件、特定用户等逻辑要素进行搜索与提取——从而达到真正意义上的审计与风险控制。 第十四页，本课件共26页 Ngx_lua_waf Waf的功能 过滤常见的web攻击 过滤常见的敏感文件泄漏 屏蔽常见的扫描黑客工具 屏蔽异常的网络请求 屏蔽图片附件类目录php执行权限 防护cc攻击 帮助发现，记录 分析黑客攻击行为 了解平台被攻击情况 一起来看下我们的waf代码 新waf的代码和畅想 第十五页，本课件共26页 Webshell监控 Webshell监控：自研发对网站文件操作进行实时监控，并对恶意文件进行本地记录。然后报警(邮箱，RTX)，并且入库检测报警上报到运维安全中心。 第十六页，本课件共26页 漏洞检测系统 SQL Injection XSS CSRF JSON Hijacking OS Injection Etc.. high-risk port low version remote overflow unsecu config weak pwd Etc.. 第十七页，本课件共26页 主机安全agent 第十八页，本课件共26页 端口扫描/弱口令检查 基于nmap+medusa