將此篇文章跟 Facebook 上的朋友分享將此篇文章跟 Plurk 上的朋友分享將此篇文章跟 Twitter 上的朋友分享列印轉寄
2019/1/21

機器人自動化攻擊再進化 同時可竊取OT與IT交換資訊

動態幻象技術混淆程式碼 提高滲透難度逼退駭客

洪羿漣
近幾個月,國際新聞接連揭露重大資料外洩事件,全球知名的酒店集團萬豪國際(Marriott),於2016年收購取得的喜達屋(Starwood)連鎖飯店系統遭駭客入侵,竊取大約5億筆客戶資料,其中有3.72億筆為機敏個資;日前香港國泰航空則是自行揭露已有940萬名乘客的個人資料外洩。
為什麼這些國際級大型企業,擁有充沛IT資源卻仍舊無法避免發生資料外洩事件?星盾科技(ForceShield)創辦人暨技術長林育民指出,據統計95%的網路攻擊活動發起目的都是為了金錢利益,盜取的個資可販售牟利,而像過去電影劇情中,駭客攻擊都是由技術高手親自動手執行,「那已經是農業世代的作法,現代駭客攻擊早就已經進化到工業化世代」,九成以上是透過自動化執行程序來發動,甚至知名電商、航空公司、旅行社等網站,總流量中有99%是自動化工具所產生。

此外,過去駭客組織是滲透感染桌機、筆電來發動,如今的目標則是轉向數量龐大,且絕大多數尚未建立保護機制的連網設備,對於攻擊者而言,可大幅降低滲透入侵的成本即能取得控制權,利用連網裝置對外發動攻擊活動。

自動攻擊機器人跨平台演進

如今網路上充斥著自動化機器人,實際上可說是攻擊手法演進的結果。惡意程式感染電腦最早出現於1990年代,自2000年以後開始利用合法的無介面(Headless)瀏覽器、PhantomJS等程式碼引擎,藉此注入執行攻擊。技術發展到2013年後,出現Sikuli等前端自動化測試工具,用以設計模擬人的操作行為,使得攻擊手法也持續進化,不僅滲透網站來竊取機敏資料,攻擊程式碼亦植入於App,讓行動裝置成為跳板。

隨著物聯網發展,連網裝置亦成為駭客覬覦的標的,例如Linux.Aidra等嵌入式系統的惡意程式崛起,直到2016年的Mirai集結殭屍裝置,創下Tbps等級的DDoS攻擊流量,才讓大眾體認到自動化機器人攻擊問題的嚴重性。林育民指出,日前發生的萬豪酒店集團與Dunkin Donuts顧客資料外洩事件,皆是遭受憑證填充(Credential Stuffing,又稱「撞庫」)攻擊所導致。簡單而言,是透過猜密碼方式來執行,但並非採以傳統的暴力破解,現代手法是基於購買或竊取的個資、帳密,到其他網站上進行嘗試登入,如此一來,從登入頻率規則、特徵碼等偵測機制也無法查探到合法行徑的異常。

現階段連網裝置可說是資安最脆弱的環節。美國消費者保護組織ConsumerGram分析,在186台路由器中,居然有高達83%存在已知型漏洞,也難怪連網裝置成為攻擊者搶佔的地盤,圖謀模仿知名的Mirai,以家用路由器、網路攝影機為跳板發動攻擊。近期GhostDNS惡意軟體便是攻擊家用路由器韌體漏洞,造成劫持超過十萬台的事件,竄改DNS網域名稱解析設定,把用戶存取目的地位址指向釣魚網站。

「我們發現,駭客不只是劫持路由器對外發動攻擊,更嚴重的是VPNFilter惡意軟體會在成功感染路由器之後進行監聽,從網路傳輸封包中取得使用者帳密。若路由器是部署在公共網路環境,則更可監聽SCADA系統環境中的傳輸封包,由此可得知,VPNFilter惡意軟體已再進化,攻擊程式開始具備跨平台能力。」林育民說。跨平台能力不僅可攻擊路由器後端連網裝置,同時也可運用挖礦劫持方式,趁使用者連線上網時,在封包中注入惡意JavaScript執行高運算程序。

FIDO聯盟身分識別產業接受度提升

▲星盾科技(ForceShield)創辦人暨技術長林育民認為,物聯網裝置的安全責任主要在於製造商,於產品研發時就必須顧及安全性,同時要有協助用戶執行檢查的機制,針對不安全設定提出告警。
近年來網站系統大量運用API介接整合,潛在的漏洞也開始被揭露。林育民說明,前述的攻擊手法,主要是自動化機器人設計模擬人的行為執行攻擊,隨著現今手機App主要透過API介接後端應用系統來提供服務,對攻擊者而言更具吸引力,因為API介接交換的資料已正規化,無需再進行網頁分析即可取得有價值的內容。例如日前知名的Krebs On Security部落格指出美國郵政署(US Post Service)網站API出現漏洞,可能暴露6千萬筆用戶資料。

即便是資安意識較高的歐美地區,不論是大型企業、政府組織,皆難以保證對外網站毫無漏洞,也無怪乎世界經濟論壇發表的報告中提及,網路攻擊威脅已被視為數位化經濟發展中最大風險。如今已是數位為王的時代,不同網站皆可註冊登入帳密,為了確保安全性,必須設置各自獨立的帳密,以免遭受憑證填充攻擊成功。因此近來的驗證機制發展趨勢是逐漸走向無密碼式線上身分識別,主要是以2012年成立的FIDO聯盟所提出的標準為產業共識。

「事實上,Google大約從2009年開始,公司內部網路就採用隨身碟為Token實體載具,讓員工不需輸入帳密即可登入系統,同時兼顧便利性與安全性。日前宣布推出Titan實體金鑰產品,可用以解決使用者習慣在不同網站註冊時設定同一組密碼的問題,再加上FIDO標準發展下,Chrome等主流瀏覽器已內建,可便於整合應用,有助於提升接受度。」林育民說。

連網裝置納入MTD技術防範攻擊

連網裝置會持續成為攻擊者覬覦的標的,並且藉此大幅提升威脅擴散速度,幾乎已毋庸置疑。問題是,絕大多數的連網裝置製造商仍未意識到嚴重程度,甚至認為強化安全控管能力為加重成本支出,因此近年來各國皆在積極研擬強制性規範,以免過多連網裝置遭駭客組織利用,恐帶來國安等級的危害。

「現階段腳步較快的是美國加州議會通過物聯網裝置資訊隱私法案,預計2020年1月開始實施。台灣的資通安全管理法已三讀通過,針對網路攝影機也已提出產業標準與檢測規範,至於物聯網相關的規範與檢測也正在制定中,比較可惜的是,舊設備未必可得到相關保護。」林育民觀察。

為了協助企業落實建立安全機制,星盾科技先前推出動態幻象(Moving Target Defense,MTD)技術,針對物聯網應用推出DeviceShield,可直接嵌入韌體系統保護來自前端操作介面的攻擊手法。緊接著在2019年年初,再進一步推出GatewayShield,為現已部署建置的連網裝置增添安全保護機制。

林育民說明,其整體運作邏輯關鍵在前端的第一道防線採用動態幻象技術,主動阻止攻擊活動發生,而非仰賴蒐集大數據後運行分析才得以辨識。之後再運用終端感知能力輔助判斷,針對保護的網站插入JavaScript,取回前端的環境資訊,經過比對判斷為已知惡意行為,立即可執行阻擋,至於高度模擬真人行為的操作手法,則交由人工智慧輔助判別,經過一段時間學習後建立分析模型。

這篇文章讓你覺得滿意不滿意
送出
相關文章
DAP技術混淆駭客目標 動態保護網站交易主機
從程式碼著手 強化應用安全才是王道
ForceShield網站安全防護軟體有效阻擋來自駭客的「自動程式攻擊」
留言
顯示暱稱:
留言內容:
送出