以安全工程角度，連結實務與設計

iThome 臺灣資安大會 2018

https://www.ithome.com.tw/news/121852

Transcript

1. 安全工程
3. Kuon 喜歡學習，特別是「安全技術」。
5. 需求→架構→開發→測試→部署
7. 企業網段要怎麼切？ 按照部門職責….
8. 網站伺服器 郵件伺服器 Public DMZ Internal LAN 行政人員電腦 工程師電腦 文件伺服器 資料庫伺服器 Internet DNS 伺服器 AD 伺服器 假想敵模擬 製程記錄伺服器
9. #安全工程 在網路規劃前 你就該注意的事情
10. 企業內網安全測試 1. 主機提權/橫向擴散/常駐後門/資料溢出/ 實體隔離主機滲透 2. 微軟視窗環境，主機端至少 15 種以上手 法，SMB/WPAD/Kerberos/NetBIOS 內 網協定攻擊
11. 企業網段要怎麼切？ 按照部門職責…. →百病叢生的舊 Windows
12. Internal LAN Windows 10 Windows XP Windows Server 2003 Windows Server 2016 Windows 10 Windows Server 2016 Windows 8 Windows 7 Windows 10 Windows 8 Windows XP Windows 8 別 把 臭 雞 蛋 放 在 同 一 個 籃 子 裡
14. #安全工程 在滲透測試前 你就該注意的事情
15. 需求 架構 開發 部署 API SOAP RESTful JSON Data Format XML 測試
16. 需求 架構 開發 部署 API SOAP RESTful JSON Data Format XML XXE 測試
18. XML 的文件解析過程 需要能夠存取外部檔案嗎？
19. 需求 架構 開發 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header XXE 測試
20. 需求 架構 開發 測試 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header CSRF CSRF XXE
21. 需求 架構 開發 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header Token Document URL Parsing OAuth Cross-Domain Sever-side Proxy Bot NoSQL CSRF CSRF Automation XXE Internal Web 測試
22. 需求 架構 開發 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header Token Document URL Parsing OAuth Cross-Domain Sever-side Proxy SSRF Bot NoSQL CSRF CSRF Automation XXE Internal Web 測試
23. 你的 URL 處理 & 網路請求 需要能夠發送到內網嗎？ (外網 vs. 本機 & 其他主機)
24. 需求 架構 開發 測試 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header Token OAuth Cross-Domain Sever-side Proxy NoSQL JSONP Callback CSRF CSRF XXE Document URL Parsing Bot Automation Internal Web SSRF
25. 需求 架構 開發 測試 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header Token OAuth Cross-Domain Sever-side Proxy Javascript Hijacking NoSQL CORS CSRF JSONP Callback CSRF CSRF XXE Document URL Parsing Bot Automation Internal Web SSRF
26. 需求 架構 開發 測試 部署 API SOAP RESTful JSON Data Format XML Authentication Cookie HTTP Header Token OAuth Cross-Domain Sever-side Proxy Javascript Hijacking Secure Transport SSL/TLS HSTS NoSQL Cert Validation CORS CSRF JSONP Callback Resource Upload/Download Upload CSRF CSRF Pinning XXE Document URL Parsing Bot Automation Internal Web SSRF User Input Injection Sanitization
27. #一般工程 進行功能性設計
28. #安全工程 了解攻擊手法 進行防禦性設計
30. #安全工程 在系統部署前 你就該注意的事情
31. 嵌入式系統 vs. 物聯網
32. Lock Bit & Read Protection
33. 程式碼區段 開機程式碼 其他程式碼 其他程式碼 其他程式碼 程式碼儲存區 (Flash/ROM) 微控制器一 微控制器二 vs.
34. Read Protection != Write Protection 完整性檢查很重要 開機程式碼 其他程式碼 其他程式碼 其他程式碼 程式碼儲存區 (Flash/ROM) 微控制器二
35. Secure Boot
36. 故障攻擊！
37. 故障攻擊！ 指令逃逸！
38. 晶片卡
39. 晶片卡 微控制器 微處理器
40. 故障攻擊 典範轉移
41. 數位簽章 Boot ROM Bootloader Kernel Userland Secure Boot 開機可信任鏈
42. 數位簽章 繞過 Boot ROM Bootloader Kernel Userland 故障攻擊 開機可信任鏈
43. 安全晶片 安全編譯器
44. TrustZone
46. 系統安全無法替代軟體安全
47. 建立好的防守 比攻擊更困難
48. 法泥系統 » Funny Systems 1. 安全編譯器，自動抑制攻擊 • • • 2. 深度滲透、漏洞研究 • 大規模影響 • 自動化攻擊 • 至少覆蓋全球 10 % info@Funny.Systems 記憶體漏洞 密碼側通道 嵌入式故障