安全配置错误规避指南

Seal软件 06-12 58

前言：

现时小伙伴们对“c配置警告”大约比较讲究，姐妹们都需要了解一些“c配置警告”的相关资讯。那么小编同时在网络上汇集了一些有关“c配置警告””的相关内容，希望朋友们能喜欢，看官们一起来了解一下吧！

在2019 年，安全研究人员发现 Atlassian JIRA 中存在安全配置错误，这是一款全球超过 100,000 家组织和政府机构使用的项目管理软件。JIRA 配置错误允许任何人通过简单的搜索查询访问敏感信息，包括企业员工姓名、电子邮件地址和有关内部机密项目的机密详细信息。安全配置错误已成为十分常见的问题，也导致成千上万的企业组织容易遭受严重的网络攻击和数据泄露。

那么什么是安全配置错误呢？企业应当如何发现、修复和避免安全配置错误？阅读本文，带你一探究竟。

什么是安全配置错误？

当基本安全设置未实施或实施时出现错误时，就会出现安全配置错误。此类错误会造成危险的安全漏洞，使应用程序及其数据（以及企业组织本身）容易受到网络攻击或破坏。这些错误可能发生在应用程序堆栈的任何级别，包括：

Web 或应用程序服务器数据库网络服务自定义代码开发平台和框架虚拟机云容器

什么会导致安全配置错误？

大多数配置错误的发生是因为系统管理员未能更改设备或应用程序的默认配置（或“开箱即用”的帐户设置）。保留临时配置也可能导致错误配置和漏洞，而及时更改这些设置可以最大限度地减少攻击的可能性。这里我们将列举几个安全配置错误的常见原因。

未修补的漏洞

恶意攻击者利用未打补丁或过时的软件来未经授权访问企业系统的功能或数据。有时，未修复的漏洞可能会导致整个系统遭到攻击和破坏。

未使用的页面和不必要的服务/功能

未使用的页面和不必要的功能或服务还允许攻击者未经授权访问企业应用程序或设备。如果任其发展，这些问题可能会导致严重的问题，例如命令注入和暴力攻击等。

访问控制不足

恶意攻击者可以使用默认密码、未使用的用户帐户或管理员未更新或删除的未使用访问权限来进入网络基础设施。过于宽松的访问规则具有极大的安全隐患，包括恶意软件攻击和数据泄露。

未受保护的文件和目录

不受强大安全控制保护的文件和目录容易受到网络攻击。攻击者可以识别使用易于猜测的名称和位置的平台和应用程序，以获取有价值的系统信息并策划有针对性的攻击。可预测的文件名和位置还可以暴露管理界面，并允许对手获得特权访问、配置详细信息或业务逻辑，甚至添加、删除或修改应用程序功能。

薄弱的代码和易受攻击的 XML 文件

Java web.xml 文件中可能会出现许多安全配置错误。可能未配置自定义错误页面或 SSL，或者代码可能缺少基于 Web 的访问控制。代码错误可能允许攻击者通过非 SSL 访问部分 Web 应用程序并发起会话劫持攻击。使用 URL 参数进行会话跟踪或不设置会话超时也可能导致这些攻击。同样，没有 HttpOnly 标志的 cookie 会增加跨站点脚本 (XSS) 攻击的可能性。

禁用杀毒软件

有时，如果杀毒软件覆盖了特定操作（例如运行安装程序），用户会暂时禁用防病毒软件。如果在完成安装后忘记重新激活防病毒软件，就会使企业容易受到攻击和数据泄露。

硬件管理不足

攻击者使用路由器、交换机和端点等设备，通过利用不安全的端口、过于宽松的网络流量规则以及未充分修补和维护的硬件来访问企业应用程序和数据。

安全配置错误的影响

配置错误会造成安全漏洞，给恶意攻击者可趁之机。这里我们列举出了几类安全配置错误的影响。

敏感数据暴露

配置错误几乎总是会导致对敏感信息的未授权访问。据统计有近 73% 的企业至少有一个严重的安全错误配置，可能会暴露敏感数据、系统或服务。

目录遍历攻击

Web 应用程序中的目录列表允许威胁行为者浏览和自由访问文件结构并发现其安全漏洞。他们可以利用这些漏洞修改应用程序的某些部分，甚至对其进行逆向工程。

对移动应用程序的攻击

根据 OWASP，配置错误对于移动应用程序来说是个严重的问题，因为业务没有部署在企业控制下的专有服务器上。代码被部署在移动设备上，而攻击者可以物理访问、修改或进行逆向工程。