漏洞和事件处理简介

漏洞和事件处理学习笔记，包括发现安全问题、漏洞处理、时间处理。

发现安全问题

为什么要发现安全问题

• Web服务和应用一旦开放到互联网，就会遭到全球黑客的扫描和渗透攻击，安全问题就像屏蔽的定时炸弹，随时会威胁到企业信息安全。一旦Web应用被攻陷植入后门，服务器就会变成入侵者的前哨站，通过被攻陷的服务器作为跳板，进一步内网渗透，导致整个内网沦陷。

安全需求分析

• 项目初期接入、提前发现安全问题
• 使用Web框架和语言的选型建议
• 敏感信息如密码的保存方案（加盐+强哈希）
• 是否有上传功能
• ……

安全扫描

• 通过扫描器发现安全问题、自动化、周期性执行
• 第三课学习的安全扫描工具，安全工程师必备技能

安全测试（人工）

• 发现安全问题的主要方式包括白盒测试和黑盒测试、通常以黑盒测试为主
• 逻辑漏洞等

入侵检测

• 项目上线之后进行监控，包含多种检测方式。
• 网络层：分析流量
• 主机层：主机上安装小程序收集信息综合分析

日志分析

• 可疑日志+人工分析
• 可疑日志+扫描器

建立SRC

• 安全应急响应中心 Security Response Center，通过安全爱好者发现安全问题。

与漏洞收集平台合作

• 借助漏洞平台的力量和影响力

其他渠道

• 黑客卧底，和国家执法部门合作。

---

漏洞处理

防御

• 输入检查（服务端检查、数据合法性检验、尽可能使用白名单）
• 输出检查（在数据输出的点做特定过滤和转义）
• 针对性防御（特定安全漏洞的特定防御策略，如cookie设置为httponly缓解XSS漏洞危害）
• WAF Web Application Firewall， Web应用防火墙（拦截攻击、虚拟补丁）

修复

• 漏洞知识库（提供详细的漏洞说明和修复方案，修复方案需要可落地执行：结合公司的开发情况（框架、语言），包含各种框架、语言的修复方案）
• 漏洞修复周期（需要时间限制，根据危害等级限定漏洞修复周期，如严重漏洞需要在24小时内修复）
• 漏洞复查

---

事件处理

安全事件分类

• 入侵事件、攻击事件、信息泄露事件

安全事件分级

• 每个公司都有自己的安全事件分级标准，一般分为高、中、低三级

企业如何处理安全时间（建立流程-安全事件应急响应流程）

• 事件确认
• 事件汇报
• 事件处理
• 归档和复盘

---

参考

• 网易“白帽子黑客”训练营
• http://mooc.study.163.com/smartSpec/detail/1001227001.htm