DAY30-31 作業系統安全與事件控制

• 一. 作業系統強化 OS Hardening
  • 1-1 強化方式1:關閉不必要的服務Service
  • 1-2 強化方式2:移除或停用不必要的帳號
  • 1-3 強化方式3:最小權限原則
• 二. 安全基準 Security Baseline
• 三. 強化Hardening/修補Patch
• 四. 帳號安全 Account Security
• 五. 記憶體位址
• 六. 位址空間配置隨機化 ASLR
  • 6-1 核心位址空間配置隨機化 KASLR
• 七. Windows 事件檢視器
• 八. 串起來

假設剛裝完一台Server伺服器
它可能:

• 很多預設服務
• 預設帳號
• 不需要的Port
• 沒更新的軟體
• 沒設定好的權限
• 不安全的預設設定

每多開一個不必要的功能，就可能多一個可以被攻擊的地方(攻擊面)

Attack Surface 攻擊面

一. 作業系統強化 OS Hardening

透過安全設定，把作業系統不必要的攻擊面縮小

IPAS 115-1 Q17
關於系統強化（Hardening），下列何項描述最為適切？
A:系統強化是指:關閉不必要的服務、移除預設帳號及設定安全基準等措施，縮小系統的攻擊面

1-1 強化方式1:關閉不必要的服務Service

假設一台伺服器是:

Web Server 網站伺服器

但它卻同時開著:

其他不相關的服務

其他的服務就可能存在弱點 Vulnerability

所以大原則是不需要的服務就不要開

1-2 強化方式2:移除或停用不必要的帳號

有些系統在安裝完成後可能存在預設帳號

如果不需要就應該把它停用或移除

通常預設帳號都是:
admin
root
常見的帳號名稱

這樣攻擊者就只需要猜密碼就好

1-3 強化方式3:最小權限原則 Principle of Least Privilege (DAY08)

只給完成工作真正所需的最低權限

假設一般使用者只需要瀏覽資料

就不要給系統管理員的權限

因為如果一般帳號被控制:

攻擊者可能就會因為這樣而獲得了系統管理員的權限

權限越大的帳號，被攻破後的影響越大

以linux作業系統舉例:

ROOT
Linux的最高權限帳號之一

所以在SSH遠端登入時禁止ROOT帳號
管理員應該要先使用一般帳號SSH連線後，如果有需要管理工作
再用sudo來提升權限，執行已獲授權的管理指令
<IPAS 114-2題目>

二. 安全基準 Security Baseline

公司先規定一台合格、安全的電腦應該設定的樣子

例如:

• 密碼要符合什麼樣的要求
• 防火牆要開啟
• 磁碟要加密
• 關閉不必要的服務
• 限制管理員帳號
• 開啟日誌
• 保持更新

這樣一套當作系統部署後檢查的基準

只要有新電腦

套用 安全基準
檢查是否符合
檢查OK才能正式上線

三. 強化Hardening/修補Patch

系統強化:
處理設定太寬鬆的問題，如:

• 關閉服務
• 移除預設帳號
• 限制權限
• 設安全基準

修補 Patch

處理:

軟體本身存在已知弱點

例如:

某版本有安全漏洞->安裝更新

但不是有更新就全部安裝!
通常企業需要考量

• 發現修補Patch
• 評估風險
• 測試相容性
• 決定優先順序
• 部署
• 確認是否成功

因為更新有可能造成現有系統衝突
但如果有嚴重弱點也不能不修
所以要找到一個
安全風險與營運穩定的平衡進行管理
就是修補管理

四. 帳號安全 Account Security

可以做4個問題來看:

1. 帳號存在嗎?
2. 帳號真的需要嗎?
3. 它有多少權限?
4. 登入時怎麼保護?

為了解決這些問題常見的措施有:

• 強密碼政策
• MFA (多因素驗證)
• 登入嘗試限制
• 帳號鎖定
• 最小權限
• 移除不必要帳號
• 停用離職人員帳號
• 監控異常登入
  (可以往回看DAY8,9,11)

在作業系統中
如果攻擊者真的找到漏洞了，還有什麼機制能讓他更難成功利用

五. 記憶體位址

記憶體中某個儲存位置的編號
電腦會利用這個編號，找到要讀取或寫入的資料

例如:
程式A -> 0x1000
程式庫 -> 0x5000
其他資料 -> 0x8000
0x1000這個就是它的記憶體位址

而這個位址如果每次都固定

假設每次重要的程式碼都放在 0X123456

攻擊者如果知道，又能利用記憶體弱點控制程式的執行流程

就可能把程式的執行流程導向0x123456，利用那裡的程式碼進行攻擊

而這時就要用到ASLR(位址空間配置隨機化)
增加攻擊者預測位置的難度

六. 位址空間配置隨機化 ASLR

把程式執行時的重要記憶體配置位置隨機化

讓攻擊者不容易事先確定目標地址

ASLR不是把弱點修掉
只是

增加弱點利用的困難度

6-1 核心位址空間配置隨機化 KASLR

Kernel Address Space Layout Randomization
核心位址空間配置隨機化

針對作業系統核心區域的位址配置做隨機化

ASLR
一般程序等位址配置隨機化

KASLR
核心位址配置隨機化

IPAS 115-1 Q15
某研究人員發現一個 OS kernel 的漏洞：惡意程式可經由某個 syscall 觸發 kernel 中的緩衝區溢位，但要成功利用此漏洞必須先取得或推測核心記憶體位址。下列何種安全機制最能有效降低該攻擊的成功率？
C: ASLR/KASLR

IPAS 115-1 Q19
在Windows 作業系統中，若要確認系統帳戶是否有異常的登入嘗試，應查看下列哪一個工具？
A:事件檢視器中的安全性紀錄

七. Windows 事件檢視器

是windows中可以用來查看不同類型log的工具

Log通常記錄著:

• 登入成功/失敗
• 帳號變更
• 系統錯誤
• 服務啟動/停止
• 安全事件

DAY14資安事件->系統觀察到的活動或狀態
就是由Log日誌去觀察
系統活動 -> 產生Log -> 資安人員分析 ->
判斷是事件還是事故

假設有一天發現主機真的被攻破了，第一件事會是做什麼?
最優先是網路隔離
把受害主機和其他網路隔開，避免攻擊者橫向移動

DAY14 遏止->限制事故範圍、防止損害繼續擴大

IPAS 115-1 Q16
當主機遭受駭客攻擊後，資安人員所應採取的第一項處置行動，下列何項最為適切？
C:立即將受駭主機與網路隔離，以防止攻擊行為進一步擴散

這只是遏止，還不是根除

根除
把問題本身清掉
例如:
移除惡意程式
移除後門
修補弱點

移除後還需要:

復原
安全讓系統恢復正常

這就是DAY14中:
NIST SP 800-61 Rev.2的事件應變生命週期
第三階段(遏止、根除、復原)

八. 串起來

ASLR/KASLR

讓記憶體位址難以預測
增加漏洞利用難度

Log日誌

留下登入、系統、安全紀錄
協助偵測與分析異常