錯誤的安全配置

威脅載體:

匿名的外部攻擊者以及擁有自己賬戶的使用者，嘗試去威脅系統。以及企圖掩飾他們行為的內部人員。

攻擊媒介:

攻擊者訪問預設賬戶，無效頁面，沒打補丁的漏洞，未受保護的檔案及資料夾等，以獲得未授權的訪問或對應用系統進行了解和分析。

安全弱點：

錯誤的安全配置可能會發生在應用棧的任何乙個層級上，包括平台，web伺服器，應用伺服器，資料庫，框架，以及自定義**。開發者以及系統管理員需要協作以確保整個棧被正確的配置。自動掃瞄器對檢測未打補丁，錯誤配置，使用預設使用者，不必要的服務等等很有幫助。

技術影響：

系統會在你完全無察覺的情況下整體受到威脅。你所有的資料都可能被竊取或修改。修復成本可能會很昂貴

應用/業務影響：

系統會在你完全無察覺的情況下整體受到威脅。你所有的資料都可能被竊取或修改。修復成本可能會很昂貴

我是否容易在「錯誤安全配置」中遭受攻擊？

你的應用是不是未進行對整個應用棧進行正確的安全固化？包括：

1.你的某些軟體是否過期了？包括作業系統，網路/應用伺服器，資料庫管理系統，應用程式，以及所有的**庫（見新a9）。

2.是否某些不需要的特性被開啟或安裝？例如埠，服務，頁面，賬戶，許可權？

3.是否預設賬戶和他們的密碼仍然開啟並且未改變？

4.你的錯誤處理是否暴露出堆疊的痕跡，或者錯誤資訊直接暴露給了使用者？

5.在你的開發框架（例如struts,spring,asp.net）中的安全設定和庫沒有被設定為安全值？

沒有一致的，可重複的應用安全設定處理，系統會處於高風險中。

我應該如何防範「錯誤安全配置」？

主要的建議如下：

1.乙個可重複的固化處理，允許快速且容易地正確部署到另外乙個環境的方法需要被固化下來。開發，質保，以及生產環境應該被全面地同等地配置（在每個環境中使用不同的密碼）。這個處理應該使安裝乙個新安全環境的代價最小化。

2.保持了解最新軟體更新、補丁以及及時部署到所有發布環境中，同時也包括所有**庫。

3.乙個健壯的應用架構很關鍵，以及元件之間的安全隔離。

4.進行掃瞄和定期的評審以幫助檢查未來的錯誤配置或漏掉的補丁。

攻擊場景舉例：

場景1：應用伺服器管理控制台被自動安裝並且沒有被移除。預設賬戶沒有改變。攻擊者在你伺服器上發現了標準管理頁面，使用預設密碼進登入，並進行接管。

場景3:應用伺服器配置允許堆疊資訊返回給使用者，可能洩露潛在的漏洞。攻擊者愛死錯誤資訊了~。

場景4:應用程式中帶有樣例程式，並且沒有被從你的生產環境伺服器上移除。樣例程式中可能包含很多廣為人知的安全漏洞，

攻擊者會使用它們去威脅你的伺服器。