|
羅德興老師的教學歷程檔案 - 2022 資訊安全管理系統 (ISMS) - 資通 (網宇)安全 Terms |
|
|
|
|
資通 (網宇)安全 TermsTerms 一、 資訊安全風險現況評估 二、 資訊設備組態基準檢測 三、 伺服主機弱點掃描檢測 (一) . 網路存取：允許匿名 SID/名稱轉譯 1. 執行 gpedit.msc 打開本機群組原則編輯器 2. 選擇 [電腦設定\Windows 設定\安全性設定\本機原則\安全性選項] 3. 在右邊窗點擊 "網路存取：允許匿名SID/名稱轉譯" 4. 選擇 "停用", 按 "確定". (GCB 設定值為 停用) 安全性識別碼 (security identifier, SID)可用來唯一識別安全性主體或安全性群組。 安全性主體可以代表可由作業系統驗證的任何實體，例如使用者帳戶、電腦帳戶，或執行于使用者或電腦帳戶安全性內容中的執行緒或進程。 每個帳戶或群組，或帳戶安全性內容中執行的每個進程都有由授權單位發出的唯一 SID，例如 Windows 網域控制站。 SID 會儲存在安全性資料庫中。 系統會產生 SID，以識別建立帳戶或群組時的特定帳戶或群組。 當 SID 做為使用者或群組的唯一識別碼時，永遠不能再次用來識別另一個使用者或群組。 每次使用者登入時，系統都會為該使用者建立存取權杖。 存取權杖包含使用者所屬之任何群組的 SID、使用者權限和 SID。 此權杖會針對使用者在該電腦上執行的任何動作，提供安全性內容。 除了指派給特定使用者和群組的唯一建立網域特定 SID 之外，還有識別泛型群組和泛型使用者的已知 SID。 例如， 所有人和世界 SID 會識別包含所有使用者的群組。 已知的 SID 具有在所有作業系統上維持不變的值。 SID 是 Windows 安全性模型的基本建置組塊。 他們會在 Windows Server 作業系統的安全性基礎結構中，使用授權和存取控制技術的特定元件。 這有助於保護網路資源的存取，並提供更安全的運算環境。 (https://www.nccst.nat.gov.tw/GCB) 政府組態基準(Government Configuration Baseline，簡稱GCB)目的在於規範資通訊設備(如個人電腦、伺服器主機及網通設備等) 的一致性安全設定(如密碼長度、更新期限等)，以降低成為駭客入侵管道，進而引發資安事件之風險。本專區提供GCB說明文件、相關資源及常見問答，協助各機關進行導入規劃與實作。 (二) 網路存取：不允許 SAM 帳戶和共用的匿名列舉 1. 執行 gpedit.msc 打開本機群組原則編輯器 2. 選擇 [電腦設定\Windows 設定\安全性設定\本機原則\安全性選項] 3. 在右邊窗點擊 "網路存取：不允許 SAM 帳戶和共用的匿名列舉", 按 "啟用". (GCB 設定值為 啟用)
(https://www.uuu.com.tw/Public/content/article/18/20181126.htm) 微軟使用Security Account Manager(SAM)這個資料檔案來儲存本機帳戶資料已行之有年，Windows 10也不例外，這個資料檔案用LM及NTLM格式儲存HASH。當系統啟動時就以這個檔案裡儲存的帳戶資料，做為登入驗證的基礎。 這個資料檔案在系統運行時是受到額外保護的，但是善用工具，例如PWdump7，倒是可以將這個受保護的資料檔案備份下載出來，當使用者遺失密碼時，系統管理員可以利用這個檔案協助使用者取回遺失的密碼。但是這個資料檔案本身是用LM及NTLM單向演算加密法做為資料儲存的格式，因此需要使用額外的單向演算法解密工具來解密其中的資料，今天我們用Ophcrack這個工具來做為範例。 今天我們這個練習分成兩個部分：
然而，能夠被攻擊者提升權限的漏洞，研究人員又有了新的發現。資安研究社團Secret Club研究員Jonas Lykkegaard發現，Windows 10（1809以後的版本）、Windows 11等作業系統，包含個人電腦版本與伺服器版本，存在可被用於提升本機使用者權限的漏洞：CVE-2021-36934。 這個漏洞形成的主要原因，是受到磁碟區陰影複製（Volume Shadow Copy）配置的存取權限影響，導致在沒有特殊權限的情況下，一般使用者就能存取安全性帳戶管理員（SAM）的檔案。此漏洞很快就得到微軟證實，該公司亦提出緩解措施，但尚未推出修補程式。 關於這個漏洞的稱呼，除了微軟提報為CVE-2021-36934列管，還有2個用來形容它的名稱。例如，新聞網站Bleeping Computer、The Record、Threatpost等，因該漏洞能用來讀取SAM的檔案，而稱為「SeriousSAM」，而資安業者Malwarebytes與Sophos認為，此漏洞的影響嚴重性，將如同PrintNightmare，將其稱作「HiveNightmare」。 起因與能讀取磁碟區陰影複製的副本有關但這個漏洞最初並非在Windows 10中找到，而是在微軟6月底推出的Windows 11測試版本。 Jonas Lykkegaard在測試Windows 11時，意外發現新的漏洞：一般低權限的使用者， 也能透過磁碟區陰影複製的副本內容，讀取SAM的檔案。 這情形一度被許多人以為，只存在上述測試版作業系統。但隨後經過其他研究人員，以及資安新聞網站Bleeping Computer驗證，多個版本的Windows 10，在安裝所有的修補程式後，也存在相同的漏洞。 換言之，透過一樣的手法， 無需特殊權限，一般使用者就能直接存取的組態設定，並非只有SAM，還有置於相同目錄的System、Security、Default， 以及Soware等組態檔。 Jonas Lykkegaard向Bleeping Computer進一步說明，其他存放於%windir%\system32\ config資料夾的組態設定檔案， 也存在相同問題，而這些是與Windows登錄檔有關的資料， 涉及電腦裡所有使用者的敏感資料，以及Windows功能使用的Token，若是不具高權限的使用者就能存取，就有可能很容易遭到濫用。 而這當中，影響最為直接的就是SAM，這個組態檔儲存電腦所有使用者密碼雜湊，對於攻擊者而言，這些資訊可用來存取特定的使用者帳號，進而獲得更高的存取權限。 一般來說，這些Windows登錄檔的組態檔案無法直接存取，若是使用者意圖存取，系統會顯示已被其他程式使用而無法開啟。 但Jonas Lykkegaard發現，這些組態檔案通常會被磁碟區陰影複製工具留存副本，而副本裡的組態檔案，卻不需具備特殊的權限就能存取。 引起多名資安研究員關注，微軟亦發布相關公告上述以一般使用者權限讀取系統組態的問題，有多嚴重？ 開發Mimikatz工具的資安研究員Benjamin Delpy指出，攻擊者可藉此輕易偷取NTLM的密碼雜湊值，來提升權限，若是進一步運用這項漏洞，他認為攻擊者可以發動名為Silver Ticket的進階攻擊。這名研究員也透過影片，展示CVE-2021-36934的概念性驗證（PoC）攻擊。 還有那些版本的Windows作業系統也受到該漏洞影響？美國電腦網路危機處理暨協調中心（CERT/CC）漏洞分析師Will Dormann與SANS專家Jeff McJunkin不約而同指出，這個漏洞的出現，可能與Windows 10 1809版微軟更動的權限配置有關，而使得自該版本之後的Windows，無論是執行於個人電腦的版本，抑或是伺服器版作業系統，都會受到影響。而這樣的推論也得到微軟的證實。 上述漏洞的發現，微軟亦於7月20日發布安全通告，並於隔日提出緩解措施。 該公司建議使用者透過以下步驟緩解：刪除磁碟區陰影複製的副本資料、刪除系統還原相關資料，以及限縮%windir%\ system32\config資料夾存取，防範攻擊者濫用CVE-2021-36934。 (三) Microsoft 網路用戶端：傳送未加密的密碼到其他廠商的SMB 伺服器 1. 執行 gpedit.msc 打開本機群組原則編輯器 2. 選擇 [電腦設定\Windows 設定\安全性設定\本機原則\安全性選項] 3. 在右邊窗點擊 "Microsoft 網路用戶端：傳送未加密的密碼到其他廠商的 SMB 伺服器", 按 "停用". (GCB 設定值為 停用) (https://dic.vbird.tw/linux_server/unit08.php)
一般來說，由企業主動提供給其他消費者的，大多使用 FTP 或 HTTP 之類的類型來提供。如果是一般企業內部員工共用的環境，那當然就得要使用同步的檔案伺服器， 這樣檔案才不會有新舊版本造成的困擾。同時檔案集中在 Server 上面，對於企業內部的資安維護來說，也會比較有保障。 同時，我們只要管理好這部 file server 的話，基本上，你的文件資料就有一定程度的保障囉！
早期的企業辦公室內部就有檔案分享的問題存在，那時還沒有很方便的隨身硬碟 (USB) 或快閃硬碟，資料的複製常常需要經過軟碟來傳輸， 軟碟傳輸的速度慢，而且軟碟的資料保證很糟糕 (軟碟真的很容易損壞)。因此，許多的 IT 公司都發展了企業辦公室檔案共享的機制。 其中一個使用很廣泛的，就是 Windows 採用的 NetBIOS 這個辦公室內不能跨網域的檔案分享通訊協定。 基本上，NetBIOS 的檔案分享機制是這樣的：
也就是說，你的 windows 電腦只要啟動了 NetBIOS 協定，並且設定好一個不會與其他人重複的主機名稱，那麼區網內的其他電腦， 就可以透過你的 NetBIOS 分享的目錄，直接掛載使用你的 windows 磁碟機內的資料了。所以， windows 電腦的主機名稱是真的有意義的！ 後來微軟將自己開發修改過的 NetBIOS 協定稱為網路檔案分享系統 (Common Internet Filesystem, CIFS)。
因為 NetBIOS 不能跨路由，因此只能在區網內運作。但是後來 Internet 流行了起來，漸漸的每一部主機都會有 IP 位址。 所以後來就有在 Internet 上面開發出支援 NetBIOS 功能的協定，讓 NetBIOS 可以在網際網路上面應用！那就是所謂的『 NetBIOS over TCP/IP 』這個玩意兒。 說穿了， NetBIOS over TCP/IP 就是透過 IP 位址來傳送 NetBIOS 分享的功能，因為使用的是 TCP/IP 的傳送機制，因此就可以跨過路由傳輸！ 讓網路芳鄰 (Windows 網路磁碟機) 的功能更有可看性。 windows 的 CIFS 使用了兩個埠口在進行資料的傳輸，一個是沿用 NetBIOS 的功能，埠口開在 139 ，另一個則是使用 port 445 在傳輸。 目前慣用的傳輸方式為 port 445。
故事的起源是這樣的，有個博士班學生名為 Andrew Tridgell，這位先生為了自己的學業，因此手邊有幾部不同硬體與作業系統的機器。 但是 Andrew 在資料傳輸時遇到了些困難，因為他沒有辦法在所有機器間共享檔系統。因為比較麻煩的是他手邊的微軟的作業系統， 所以為了解決這個問題，他使用逆向工程去分析出 CIFS 協定的傳輸方式，並自己開發出一個相容於 CIFS 的程式碼， 這個程式碼符合 SMB (Server Message Block) 協定的要求，也可以相容於 CIFS 這個傳輸協定，因此他就可以在不同的機器與作業系統之間進行檔案分享了。 因為 SMB 是有意義的一個通訊協定，所以 Andrew 不能直接使用 SMB 去註冊～但是為了讓自己開發的程式具有 SMB 的特徵， 於是他翻字典找到了 SaMBa 這個舞蹈單字，並對 Samba 進行了註冊。 於是，Samba 是註冊商標、是軟體名稱，但是通訊協定為 SMB，而 CIFS 就是相容於 SMB 的一個通訊協定之一。所以主架構是 SMB， CIFS 與 SAMBA 都相容於 SMB 之意。
一般來說，在 windows 的系統內，可以透過底下的方式來直接分享網芳。不過預設的情況下，只有在同一個網域內的不同電腦才可以通行防火牆， 所以不同的網域基本上也不能加入 windows 的網芳共享檔案的 (除非你知道如何處理 windows 的防火牆)。至於基本設定程序是這樣的：
如果你共享的目錄名稱為 movies 的話，那麼網路上預設共享的名稱也會是 movies。如果你需要讓這兩個名字不一樣， 那就得要修改資料夾名稱與共用共享名稱 (dir_name 與 share_name)。
因為 CIFS 已經支援 Internet 囉，所以取得 server 的可用目錄共享名稱 (share_name) 的方式：
四、 網路封包側錄分析 五、 1. TPM (信賴平台模組) 可用來改善電腦的安全性。 BitLocker 磁碟機加密、Windows Hello等服務會使用這項功能，以安全地建立及儲存密碼編譯金鑰，並確認裝置上的作業系統和韌體是正確的，而且並未遭到竄改。 2. SOC 安全管理中心（SOC） 資訊安全監控中心（Security Operation Center, SOC）又稱為資安維運中心或資安營運中心，為集中式即時掌控組織資訊安全狀態的單位。成立目的為整合並管理組織各種情況下的資安訊息，對資安事件依管控機制緊急應變，並整合及分析安全事件，以確保組織資訊安全。 http://blog.tsc-tech.com/?page_id=55 資訊安全監控中心有哪些功能？資訊安全監控中心通常具備 資通安全威脅偵測管理(SOC)服務資通安全威脅偵測管理服務，一般常稱之為SOC監控服務 (Security Operation Center)https://www.chtsecurity.com/service/m302 六、  七、Terms 1. 外包：
|
|
|||||||||||||||||||||||||||
| 中華科技大學數位化學習歷程 - 意見反應 |  |
