如何轻松应对广泛存在开源“0Day”

2023-07-06 17:16

跟不少安全人员讨论过一个很通俗的话题

作为网安从业者最讨厌的是什么?

不同的人给了很多不同的答案

有的人说:




但更多的人都在说:





“零日漏洞”(zero-day)又叫零时差攻击,是指被发现后立即被恶意利用的安全漏洞。通俗地讲,即安全补丁与瑕疵曝光的同一日内,相关的恶意程序就出现,并且其攻击往往具有很大的突发性与破坏性。


当然这些0Day影响范围大小不同,在这里必须提一下2021年末那场无数安全从业者的不眠夜——Log4j的Log4Shell漏洞。根据统计,有超过35,863个开源软件 Java 组件依赖于 Log4j,意味着超过 8% 的软件包里至少有一个版本会受此漏洞影响。


针对此次风暴,各国政府积极响应,发布警告应对漏洞威胁,同时各安全公司积极排查,及时修补产品漏洞。西门子在2021年12月13日发现其部分产品线中存在Apache Log4j漏洞,该公司15日更新的受上述两个漏洞影响的产品多达35种;2021年12月,思科对其150多款产品进行排查,以寻找Log4j漏洞,发现有三款产品存在该漏洞,并确定有23款产品没有该漏洞。全球的所有的安全从业者在这段时间工作上变得高度一致,那就是快速排查企业内部哪些平台或者系统使用到Log4j


那么企业是如何进行问题溯源影响分析的呢?



如上图,企业安全人员获取漏洞情报信息后,通过对漏洞进行安全分析,并结合当下社区及官方同步信息明确漏洞处置方案。


  • 广播并下发漏洞处理信息到各个产品团队及运维中心。

  • 在线运营产品:运维人员紧急人工排查所有项目是否存在某组件,一经发现即进行紧急处理。

  • 研发过程中产品:各产品团队研发人工排查相关代码是否存在某组件,发现即进行紧急处理。

  • 处理完毕后,进行信息汇总和风险处置总结。


从过程中发现,对于0Day的分析和处理方案大部分在1天内,而漏洞影响性分析往往会涉及到企业中安全、运维、研发等各个部门,企业会花费大量人力物力来判断和定位是否使用到该组件


还有一种方式可以将企业内部所有潜在影响的源进行自动化分析,构建企业内部项目-组件-漏洞-许可之间的全面关联信息。当后续发生应急事件时,只需对历史台账信息进行智能分析和导出影响报告,即可大大降低人工溯源带来的成本高问题和效率低的问题,如下图:


SourceCheck是开源网安重点打造的软件成分分析平台,可快速实现企业内的资产台账分析和梳理,为企业精准构建企业级知识图谱,提供智能化的组件溯源和漏洞溯源多种溯源能力,快速解决客户在遇到突发应急事件时的影响范围分析,轻松应对0Day问题。





组件溯源




漏洞溯源