白帽子讲Web安全 02从评估到防御构建数据驱动的安全体系导读很多人做安全防护上来就堆砌各种安全组件却忽略了完整的评估流程。Web安全不是堆工具而是一套完整的思考方法论今天我们就聊聊安全评估全流程以及现代化安全建设思路。安全领域有三个基石要素机密性、完整性、可用性。拒绝服务攻击DoS破坏的正是系统的可用性。后续行业虽然拓展出可审计性、不可抵赖性等概念但三大核心要素依旧是安全方案设计的出发点。想要解决系统安全问题不能靠灵光一现一套标准化的安全评估流程可以帮我们系统性梳理风险少踩很多坑。整个评估流程分为四大递进阶段资产等级划分 → 威胁建模 → 风险分析 → 设计安全方案上一个阶段的输出决定下一个阶段的工作目标。图1安全评估四阶段流程图。整个流程层层递进新系统需要完整走完全部环节长期维护的成熟系统部分环节可只执行一次。 资产等级划分搞清楚我们到底要保护什么所有安全工作的起点是资产等级划分。互联网业务的本质由数据驱动服务器、网络属于硬件IT资产但互联网安全的核心其实就是数据安全。不同业务的核心资产各不相同有的企业最看重客户隐私数据有的企业核心是内部员工资料。想要理清资产安全团队需要和各业务负责人深度沟通访谈梳理业务手里的数据资产区分数据轻重等级。完成分级之后下一步就是划分信任域与信任边界。举个最简单的网站模型外网互联网是完全不可信区域Web应用承接外部访问数据库存放核心敏感数据需要做网络隔离。图2简易网站信任域模型。越靠近核心数据信任等级越高网络隔离管控也应当越严格。现实业务远比示例复杂。当多个应用互相交互数据时我们同样要划定边界对跨边界流转的数据执行安全校验不能默认应用之间天然可信。⚠️ 威胁建模把潜在的“敌人”全部找出来分清资产与信任域后就要思考危险来自何方。这里要分清两个极易混淆的概念威胁(Threat)可能造成伤害的来源风险(Risk)威胁发生后带来的损失威胁建模就是用系统化手段挖掘全部潜在威胁。除了经验驱动的头脑风暴业界经典的STRIDE模型可以帮我们不漏项地梳理威胁维度。缩写含义对应安全三要素SSpoofing 身份伪造机密性TTampering 篡改数据/代码完整性RRepudiation 抵赖不可抵赖性IInformation Disclosure 信息泄露机密性DDenial of Service 拒绝服务可用性EElevation of Privilege 权限提升机密性、完整性表1 STRIDE威胁模型覆盖六大威胁方向做威胁梳理的时候可以逐项对照检查。威胁建模有个关键产出叫做攻击面。很多时候我们投入巨大成本部署防护攻击者却从一个完全意料之外的入口入侵本质就是攻击面梳理不全。书中举了一个很有意思的《智取华山》的例子国民党守军做“威胁建模”只认准“自古华山一条道”重兵把守正面通道直接默认后山悬崖没有通行可能。当这个信任前提破灭所有防御工事直接失效。启发威胁建模不是做完一次就万事大吉业务迭代的同时威胁模型也需要持续回顾更新。 风险分析不是所有威胁都要同等对待挖掘出一堆威胁之后我们不可能对每一个威胁投入同等资源防护。我们需要评估威胁的风险大小。风险的基础计算公式风险发生可能性times潜在危害风险 发生可能性 times 潜在危害风险发生可能性times潜在危害危害再大但发生概率极低实际风险有限危害不大但极易被利用同样属于高风险。就好比地震破坏力巨大但板块内部发生概率低实际风险就会下降。微软提出的DREAD模型可以量化评估风险五个维度每项划分为高(3分)、中(2分)、低(1分)累加得到风险总分维度说明D Damage Potential潜在危害漏洞被利用之后造成多大破坏R Reproducibility可复现性攻击是否可以稳定复现E Exploitability利用难度攻击者实现攻击的门槛高低A Affected Users受影响用户范围多少资产/用户会遭殃D Discoverability可发现性漏洞被攻击者找到的难易程度表2 DREAD风险评分模型。可以根据总分划分风险等级例如12‑15分为高危8‑11分为中危0‑7分为低危。拿华山的例子简单理解正面强攻是高危必须重兵后山小路虽然很难攀爬利用难度、可发现性得分低但是一旦突破全盘失守依旧属于中危完全不能置之不理。⚠️ 划重点模型只是辅助工具无论是STRIDE还是DREAD都只是思考框架。漏洞研判、风险定级最终依旧依赖安全工程师的实战经验。️ 设计安全方案安全不应该成为业务的绊脚石安全评估最终产出物就是安全方案。好方案不是照搬网上的模板必须完全匹配前面资产、威胁、风险分析的结果。很多人有一个误区安全与业务天生冲突做安全就要牺牲体验和性能。其实不然安全本身就是产品不可或缺的属性不存在不安全的业务只有不安全的业务实现方式。就像挑选水杯除了容量我们还要关心材质是否有毒、高低温下会不会损坏安全性是产品与生俱来的一部分。一套优秀的安全方案应当具备这些特质✅ 真正有效的抵御对应威胁✅ 对用户尽量透明不破坏使用体验✅ 性能损耗可控不拖垮业务✅ 高内聚、低耦合不和业务代码深度绑定✅ 方便迭代、升级、扩展反面教材就是早期Windows Vista的UAC弹窗频繁弹出询问普通用户是否允许操作。普通用户根本没有能力分辨行为是否危险粗暴弹窗只会带来糟糕的体验这就是典型牺牲体验的安全设计。 新时代安全态势感知走向数据驱动的防御传统安全评估属于长周期、静态化的工作。随着云计算、大数据的普及安全对抗变成持续动态博弈于是就有了态势感知。态势感知分为“态”和“势”两层含义态我方资产、漏洞、攻击面攻击者的威胁源、攻击能力势双方行为动向、攻击者动机、攻击发生概率、外部大环境。态势感知依靠数字化构建实时“数据沙盘”持续监控做到全面、快速、准确研判攻防现状。这里有一条信息价值升级链路数据 → 信息 → 知识 → 情报数据原始采集到无加工的原始日志、字符信息对原始数据整理加工提取出有意义内容知识从信息提炼抽象规律形成逻辑推理能力情报高价值、具有时效性、保密性的关键信息。威胁情报、ATTCK攻击矩阵都是这个思路的产物ATTCK把黑客完整攻击拆解为一个个原子化步骤实现攻击行为数字化建模。长远来看安全系统正在向类似人体免疫系统的自适应安全控制系统演进通过威胁情报、安全编排实现部分防御工作自动化。 设计安全方案核心准则默认安全 Secure by Default“默认安全”是方案设计第一原则落实到实践中优先白名单思维谨慎使用黑名单。举几个现实场景防火墙策略业务只需要Web服务白名单直接放行80、443端口其余全部拒绝。如果用黑名单只封禁22端口运维人员私自修改SSH端口到2222就直接绕过防护。服务器软件管控维护一份允许安装软件及版本的白名单不在清单内一律禁止安装避免未知软件引入新攻击面。XSS过滤处理富文本输入黑名单过滤script这类标签遇到浏览器新增未知标签就会被绕过而白名单仅放行已知安全标签会更加可靠。黑名单永远追不上新的攻击手法白名单明确允许合法行为未知全部拦截天然更加安全。 写在最后Web安全防护不是出现漏洞再救火而是从梳理资产开始威胁挖掘、风险量化最后产出兼顾业务体验的防护方案。同时攻防对抗永不停歇静态评估远远不够我们还需要态势感知、威胁情报用数据驱动持续的安全运营。模型和工具只是脚手架真正的安全终究离不开人的思考与经验。