安全应急漏洞排查思路
2022-4-4 09:0:0 Author: mp.weixin.qq.com(查看原文) 阅读量:41 收藏

文章来源 :Bypass

近日,Spring框架爆出0day漏洞,而这样一个框架漏洞,涉及的资产多、范围广、应急时间紧,框架升级的工程量存在较大挑战,考验着整个团队的协作能力。

今天我们探讨的话题是,对于突发0day漏洞等安全应急场景,如何快速进行排查和处置。我将分享我的思路和一些理解,欢迎补充和指正。


01、资产梳理

资产是风险管理的基础,摸清家底很重要,但也很难。资产梳理的颗粒度,在面对应急事件时,就会显得多么的重要。

核心资产是需要重要关注的目标,而根据系统建设的方式,我们一般可以将系统分为自主研发系统和外部采购系统。

02、漏洞排查

自主研发系统,可在第一时间联系开发人员进行自查,常用的手工排查方式如下:

查看pom.xml的版本号、查看jarMF文件版本号检查Jar包、检查代码引用类

从安全层面上,为确保对所有系统完成漏洞排查,一般可采用批量扫描方式,对所有资产进行快速检测。扫描方式以版本比对、漏洞库比对、POC扫描为主,常用的检测工具有:

商业漏洞扫描工具主机安全应急漏洞检测软件成分分析(SCA)第三方开源组件检测 (IAST)

外部采购系统,可联系供应商进行自查,以漏洞自查报告作为反馈,如存在漏洞影响,则供应商修复产品漏洞。

03、漏洞防护

在防护层面上,我们可通过采取一些缓解措施,为后续资产排查和补丁修复工作争取到充足的时间。

在网络链路上,采用防火墙、IPS、WAF、NDR等产品,对威胁特征字符串添加防护规则,对漏洞攻击进行拦截阻断。

基于网关拦截恶意请求、全局过滤器等方式,可快速调整防护策略,则提供了一种新的解决方向。

04、漏洞修复

一般而言,我们采取的策略是“排查+防护“两手抓,为高危漏洞修复争取时间。按照官方漏洞公告指引,推进补丁修复,才是解决系统漏洞问题最有效的方式。

每年真正比较有影响力的漏洞编号,其实并不多。作为一个安全工程师,首先我们要保持一定的风险敏感度,一定要重视起来。当你足够重视的时候,你才能慢慢引导你身边的人,你所在的团队跟着你一起重视。原本以为很难的事情,做了之后才知道原来很简单。

--来自某次应急漏洞处置后的心得体会。

思维导图如下所示:

侵权请私聊公众号删文



文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650536167&idx=2&sn=04c33395b77580d3e92c954dbb7d49e9&chksm=83ba9d03b4cd141534e7771f69c825bfd5c0ed91220ffb5d9ee7ee47a796b4abf04a1f4fc0ad#rd
如有侵权请联系:admin#unsafe.sh