如何防止下一个Uber黑客入侵 — 防御企业安全新边界

安

全

快

讯

近日，18岁黑客入侵美国网约车巨头Uber公司的瓜是一茬又一茬，曝光内容可谓细节爆表，其转折之多堪比国外甄嬛传。

造成大家纷纷围观的原因也很简单，一来是本次攻击黑客为18岁，且表示黑进Uber仅仅是为了好玩，嘲讽技能满分；二来作为一家市值超过600亿美元的上市公司，安全防护能力在一次并不复杂的攻击之下居然如此脆弱。

本次攻击甚至导致Uber内部通信系统短暂关闭，更糟糕的是黑客还访问了Uber在亚马逊和谷歌云计算平台的运行环境，而此动作极大可能会泄漏Uber的大量客户信息。

（攻击者曝出Uber在aws云平台的登录页面）

其实早在2016年Uber就曾发生过重大网络事件，黑客入侵Uber且获取了数百万乘客的个人隐私，包括姓名、电子邮箱、电话号码，网约车司机的牌照等信息也同时被盗。事件发生后，Uber对社会采取隐瞒措施，一直到一年后才公开。一系列的攻击事件加之安全管控不完善，且后续处理不当对公司造成巨大损失及不利影响，导致Uber相关高管被刑事指控。无独有偶，16年事件与近期攻击都涉及到“HackerOne”，Uber在HackerOne的官方账号被黑意味着攻击者可以看到其他黑客们向平台提交的所有关于Uber公司的安全漏洞细节。

（Uber在社交平台对此次攻击事件的声明）

对于此次事件我们大致梳理了相应攻击流程

Uber员工感染恶意软件,导致员工凭据被泄漏

涵盖Uber员工凭据的文件被放在暗网进行售卖

黑客从暗网购买该文件

黑客从文件中挑选合适的员工进行下手,使用该员工凭据为自己的设备注册MFA提醒

当DUO持续不断地向目标员工发送MFA新设备绑定的提醒时，黑客在Whatsapp上伪装成Uber的IT，表示如果不想一直接受MFA的该条提醒，只需要点击Accept

当Uber员工点击Accept后,成功为黑客的设备注册了MFA的提醒

黑客使用该方式顺利通过VPN的MFA二次认证登陆进Uber公司内网

黑客进入内网后，通过内网扫描发现一个内部的网络共享，其中包含一个具有PAM管理员账户凭据的脚本文件

我们不难发现，每次网络攻击都始于利用攻击面中的薄弱点进入受多重安全设备保护的内部网络、域、敏感系统等。为了阻止攻击者跨越网络边界，每个企业都会部署大量的安全设备，包括防火墙、邮件网关、VPN等。基于边界网络控制的这种策略，可以阻断大量的网络攻击，但一旦攻击者突破边界，薄弱的内部网络及大量的基础设施、业务系统将完全暴露在攻击者的视野中。

在Uber事件中，一个员工凭据的泄漏，意味着为攻击者打开了通往Uber网络世界的大门。PAM凭据的泄漏，意味着攻击者将成为Uber大量系统的控制者。

随着攻击导致传统网络边界防护的崩解，攻击者在内网的攻击思路将由单点突破变为利用特权身份批量横向移动，而这种攻击往往是使用特权账号的正常登录行为，这种攻击在行为特征上来看也是非恶意的。部署在内网的NDR以及在业务系统边界的WAF等均难以识别此类行为，传统的终端安全更无法对此类身份向的恶意利用做出有效检测。

一个亟需关注的防御面在我们面前徐徐展开——"身份威胁检测和响应"（ITDR）。

中安网星——身份威胁检测和响应（ITDR）

随着近期身份威胁检测与响应概念的广受关注，作为国内首家以AD安全防护问题切入身份安全治理的安全厂商，中安网星身份安全研究团队认为:“过去以终端和网络维度为核心的威胁检测产品非常多，但现阶段随着网络架构逐渐云化及去边界化，身份正快速成为企业的新边界，以身份威胁检测和响应为核心的防护会成为网络安全市场不可或缺的一部分；身份安全不仅仅是身份认证与管理（IAM）这一件事，更包括有检测、保护、响应一整套方案；“AD”作为企业常用的身份认证源，有大量的认证对象接入认证使用，具有极大的保护价值，因而以AD安全防护问题切入身份安全治理的路径也是切实可行的。”

中安网星凭借自主创新研发的AD域安全防护产品——智域，为身份安全检测与响应（ITDR）解决方案的落地打下了坚实的基础。未来中安网星身份安全检测与响应（ITDR）解决方案，将为更多的企业用户提供领先的身份安全防护能力。

原文始发于微信公众号（中安网星）：如何防止下一个Uber黑客入侵 — 防御企业安全新边界