5 milyar bilgi sızıntısı karşısında, Struts 2 güvenlik açıkları ve CIA sızıntıları önemsiz konulardır | Home Guest Weekly
Haftanın anahtar kelimeleri
Struts2 güvenlik açığı | Wiki, CIA sızdırdı | 5 milyar bilgi sızıntısı
Jingdong hayaletleri yakaladı | profesyonel hayaletleri | bilgi sızıntısı için ağır para cezaları
1. Bir veri parçası, hangi web sitelerinin Struts2 tarafından saldırıya uğradığını söyler
Dünyanın en popüler Java Web sunucusu çerçevelerinden biri olan pache Struts2, 7 Mart'ta CVE-2017-5638 yıllık CVE numaralı ilk yüksek riskli güvenlik açığını getirdi. Bunun nedeni, Apache Struts2'nin Jakarta Multipart ayrıştırıcı eklentisinin uzaktan kod yürütme güvenlik açığı içermesidir.Eklentiyi dosya yüklemek için kullanırken, saldırgan HTTP istek başlığındaki Content-Type değerini değiştirerek uzaktan kod yürütülmesine neden olabilir.
Hangi siteler işe alındıStruts, "birinci sınıf" bir açık kaynak mimarisidir ve yüksek riskli bir güvenlik açığı ne kadar zararlıdır? Aşağıdaki iki resim, herkese güvenlik açığının kapsamını sezgisel bir şekilde anlamasını sağlayabilir.
Leifeng.com, NSFOCUS'tan 7 Mart - 9 Mart arasındaki güvenlik açığına maruz kalmanın üzerinden 36 saatten daha kısa bir süre içinde, çok sayıda kullanıcının web sitelerini kontrol etmek için NSFOCUSun Structs2 acil güvenlik açığı tespit hizmetini kullandığını öğrendi. Toplam 22.000'den fazla test gerçekleştirildi.
Bu verileri analiz ederek şunları görebiliriz:
1. Tespit verilerinden eğitim endüstrisi en çok Struts2 zafiyetinden etkilenir, bunu hükümet, finans, İnternet, iletişim ve diğer endüstriler izler.
2. Coğrafi açıdan bakıldığında, Kuzey, Şangay, Guangzhou ve kıyı kentleri gibi ekonomik olarak gelişmiş bölgeler, Struts2 güvenlik açıklarının yüksek oranda görüldüğü alanlar haline geldi ve aynı zamanda onarımlar en zamanında gerçekleştiriliyor.
3. Boşluklarla başa çıkma heyecanı açısından, finans, hükümet ve eğitim ilk üç arasında yer almaktadır.
Leifeng.com, bu Struts2 güvenlik açığına yanıt olarak finans sektörünün en hızlı acil durum müdahalesine sahip olduğunu ve güvenlik açığı ortaya çıktıktan sonra harekete geçmenin en hızlı yolu olduğunu öğrendi.İster güvenlik açığı yazılımını kendi başına yükseltmek veya koruma ekipmanını yükseltmek için üreticiyle iletişime geçmek olsun, diğer endüstrilerin ön saflarında yer alıyorlar. Sektör sitesi, birkaç saat içinde yeniden tarandığında güvenlik açığını zaten düzeltmişti.
2. WikiLeaks, CIA'nın Apple, Android ve TV'ye izinsiz girişini açığa çıkarır. Gelin ve sızan 8761 belgeyi izleyin
7 Mart ABD saatinde, WikiLeaks web sitesi, CIA'nın dahili organizasyon bilgileri ve bilgisayarlara, cep telefonlarına ve diğer cihazlara saldırmak için kullanılan yöntem ve teknikler dahil olmak üzere, ABD Merkezi İstihbarat Teşkilatı (CIA) olduğu iddia edilen çok sayıda dahili belge yayınladı. , Ve siber saldırıda kullanılan kod ve gerçek örnekler. Bu teknolojileri kullanarak, bilgisayar ve cep telefonu platformlarında Windows, iOS ve Android gibi çeşitli işletim sistemleri altında saldırı saldırıları başlatılabileceği gibi, akıllı TV gibi terminal cihazları da çalıştırılabilir ve hatta akıllı arabalar uzaktan kontrol edilerek suikast operasyonları başlatılabilir.
1. Sızan içerikBu sefer yayınlanan verilerin tamamı CIA'nın intranetinden kaydedildi ve zaman aralığı 2013'ten 2016'ya kadardır. Bu belge grubunun organizasyonu, Atlassian'ın ekip çalışması paylaşım sistemi Confluence kullanılarak oluşturulan bir bilgi tabanına benzer. Veriler arasında açık bir organizasyon indeksi ilişkisi vardır ve şablon birden çok veriyi yönetmek için kullanılabilir. Birçok malzeme tarihsel olarak arşivleri değiştirdi. 7818 malzeme arasında arşivler hariç en son 1136 veri var. 943 ataşmanları, temelde içeriğinin bir parçası olan malzemelerdeki karşılık gelen bağlantıları bulabilir.
Spesifik olarak, bu malzemeler aşağıdaki kategorilere ayrılabilir:
-
CIA departmanı bilgileri
-
Hacker proje bilgileri
-
İşletim sistemi bilgileri
-
Araçlar ve geliştirme malzemeleri
-
Personel profili
-
bilgi tabanı
Silah üzerinde yatan Apple TechCrunch, yabancı medyaya yaptığı resmi açıklamada, iPhone'un "tüketicilere sunulan en iyi veri güvenliğini" sağlayabileceğini belirtti. Ön analizine göre WikiLeaks, listelenen 14 güvenlik açığının "çoğunu" listeledi. İOS'un en son sürümüne eklenmiştir.
Leifeng.com, buna ek olarak, "keşfedilen güvenlik açıklarını hızla çözmeye devam etme" sözü de verdiklerini ve kullanıcılara sistemin en son sürümünü indirip en kısa sürede yükseltmelerini hatırlatmayı unutmadığını öğrendi.
2. CIA ve FBI sızıntıları araştırıyorKamuya ait haberlere göre, ABD'li yetkililer yerel basına FBI ve CIA'nın ortaklaşa bir ceza soruşturması başlatacağını açıkladı. Leifeng.com, bu araştırmanın ana içeriğinin şunları içerdiğini öğrendi: Birincisi, WikiLeaks bu dosyaları nasıl elde etti; ikincisi, CIA içinde dahili bir hayalet olup olmadığı, yani saldırının dışarıdan mı geldiği yoksa içeriden biri mi yankılandı aynı anda.
3. Samsung ve Microsoft: araştırılıyorSamsung ve Microsoft, CNBC'ye yönelik tutumlarını dile getirdi.
Samsung: Tüketicilerin mahremiyetini ve ekipmanımızın güvenliğini korumak Samsung'un en büyük önceliğidir. Bahsedilen raporu not aldık ve bu konuyu acilen araştırıyoruz.
Microsoft: Yukarıdaki raporun farkındayız ve bu konuyu araştırıyoruz.
4. Google: Kendimize güveniyoruzGoogle'ın bilgi güvenliği ve gizliliği başkanı Heather Adkins, Google'ın bu dosyaları incelediğini ve Chrome ile Android'in güvenlik güncellemelerinin ve korumalarının kullanıcıların bunlardan kaçınmasını engellediğinden emin olduklarını söyledi. Sözde boşluk. Analizleri devam etmektedir ve gerekli koruyucu önlemler uygulanacaktır. Google, güvenliği her zaman birinci önceliği olarak görür ve savunma sistemlerinin inşasına yatırım yapmaya devam edecektir.
5. ABD Beyaz Saray sözcüsü: Bu sızıntıları dava etmek istiyoruz!ABD Beyaz Saray sözcüsü Spicer, o gün düzenli bir basın toplantısında bu belgelerin gerçekliğini doğrulamayı reddetti, ancak gizli belgelerin sızdırılmasının büyük bir endişe olması gerektiğini vurguladı. Spicer, bu tür sızıntıların Amerika Birleşik Devletleri'nin güvenliğini zedelediğini, gizli bilgileri kimin sızdırdığını bulup kanunen mümkün olan en geniş ölçüde yargılayacağımızı söyledi.
3. Jingdongun dahili hayaleti 5 milyar bilgi sızıntısı vakası içeriyordu Tencent vakayı çözmede yardım etti Jingdong: O bir deneme çalışanı!
7 Mart'ta WeChat onaylı kamu hesabı "Kamu Güvenliği Bakanlığı Kriminal Soruşturma Bürosu", Anhui, Pekin, Liaoning, Henan ve Kamu Güvenliği Bakanlığı'na bağlı diğer iller ve belediyeler de dahil olmak üzere 14 il ve belediyedeki kamu güvenlik organlarının merkezi bir ağ satın alma operasyonu gerçekleştirdiğini ve bir İnternet şirketinin sunucusunu çalmak ve satmak için tamamen yok ettiğini belirtti. Vatandaşların kişisel bilgilerini içeren suç çeteleri 96 şüpheliyi tutukladı, Vatandaşların ulaşım, lojistik, tıbbi bakım, sosyal ağ, bankacılık vb. İle ilgili 5 milyardan fazla çalınan kişisel bilgisine el koydu. .
Kamuya açık basında çıkan haberlere göre, Zheng Moupeng, JD Ağ Güvenliği Departmanının bir çalışanı olarak kimliğini uzun süre hırsızlığa karşı korumak, bilgisayar korsanlarıyla işbirliği yapmak ve bilgisayar korsanlarının web sitesine girmeleri için önemli bilgiler sağlamak için kullandı. JD.com ve QQ'daki lojistik bilgileri, işlem bilgileri, kişisel kimlik ve diğer veri bilgileri dahil olmak üzere, suç çetelerinin yasa dışı ve cezai faaliyetler yürütmeleri için güçlü teknik garanti sağlar.
JD çalışanı Zheng Moupeng'in suç çetesi de birçok İnternet şirketinin sunucularını işgal etmek, vatandaşların kişisel bilgilerini çalmak ve yeniden satmak ve banka kartlarını iki kez kopyalamak için her türlü çalınan kayıt bilgisini kullanmak için benzer yöntemler kullandı. , Banka kartı çalmak gibi yasadışı ve cezai faaliyetlerde bulunmak ...
Haberin yayılmasının ardından Jingdong bir açıklama yaptı, orijinal metin şöyle:
Birkaç gün önce, JD.com ve Tencentin güvenlik ekibi, bir hırsızlık ve vatandaşların kişisel bilgilerinin kaçakçılığı olayını çözmede Kamu Güvenliği Bakanlığına ortaklaşa yardım etti.
Raporlara göre, Tencent ve JD'nin yeraltı siyah endüstri bilgi güvenliği zincirini ortaklaşa kırmak için günlük operasyonlarında, Haziran 2016 sonunda JD.com'a katılan ve hala deneme döneminde olan bir ağ mühendisi olan Zheng Moupeng'in siyah endüstri çetesinin önemli bir üyesi olduğu ve derhal kamu güvenliğine rapor ettiği keşfedildi. Ajans ipuçları verdi. JD.com'a katılmadan önce Bay Zheng'in Çin'deki birçok tanınmış İnternet şirketinde çalıştığı, uzun süre kişisel bilgileri çalan suç ekipleriyle çalıştığı ve çalıştığı şirketten çalınan kişisel bilgi verilerini çeşitli yöntemlerle paylaştığı anlaşılmaktadır. İnternette satış yapın. Büyük miktarda kanıt temelinde ve Kamu Güvenliği Bakanlığının birleşik konuşlandırılmasına uygun olarak, Anhui, Beijing, Liaoning, Henan vb. Dahil olmak üzere 14 il ve belediyenin kamu güvenlik organları, eş zamanlı olarak merkezi ağ toplama operasyonları gerçekleştirdi. Han, Weng ve Zheng gibi büyük şüpheliler Hepsi tutuklandı. Şu anda dava daha fazla yargılanıyor.
4. Bilgi sızıntısı vakası profesyonel bir hayalete yol açar ve bilgi güvenliği gelişir
Leifeng.com, 5 milyar bilgi sızıntısı ilk rapor edildiğinde, konuya aşina bir kişinin şunları söylediğini fark etti: Şüpheli Zheng Moupeng, JD'ye katılmadan önce Çin'deki birçok tanınmış İnternet şirketinde çalıştı. Sızan 5 milyar parça vatandaş bilgisi birden fazla İnternet şirketinin kullanıcı bilgilerini içerebilir .
O zamandan beri, bilen başka bir kişi ortaya çıktı JD.com'a katılmadan önce Bay Zheng, Amazon China, Baidu, Sina Weibo ve diğer birimlerde siber güvenlikle ilgili işlerde çalıştı. , Kişisel bilgileri çalan, çalıştığı şirketten çalınan kişisel bilgi alışverişini yapan ve çeşitli şekillerde internet üzerinden satan suç ekipleri ile uzun soluklu işbirliğine sahiptir.Çetenin omurga üyelerinden biridir.
Haber doğruysa, o zaman Şüpheli Zheng Moupeng muhtemelen "profesyonel bir hayalet JD.com'un medyayı sahte raporlar için dava etmekle tehdit etmesi şaşırtıcı değil, çünkü birçok rapor insanlara sızdırılan 5 milyar verinin tamamının JD.com'dan geldiği izlenimini veriyor. Asıl durum böyle olmayabilir. Pek çok tanınmış İnternet şirketi olabilir Yalnızca JD'nin açılışı sırasında keşfedilen "Dalış", polis, Tencent ve JD.com vakayı çözmek için birlikte çalıştı.
Weibo netizen "Mezar Bekçisi" nin 11 Mart tarihli haberine göre, Tencent'in Xuanwu Laboratuvarı başkanı Yu Yang, BT çevresinin tanınmış "TK lideri" haberi verdi. 2015 yılında, başvurucuyu kontrol ederken başvuranın kimliğini fark etti. Şüpheli, sadece birçok şirkette sürekli iş değiştirmekle kalmadı, aynı zamanda sürekli şehir değiştirdi ve geçmiş deneyimini kasıtlı olarak gizleyen sahte bir özgeçmiş yaşandı. Soruşturmadan sonra, başvuranın gerçekten de bir siyah üretim çetesinin üyesi olduğu ortaya çıktı.
Açıkçası, Tencent aynı zamanda profesyonel gizli gizli ajanların da önemli bir hedefiydi, ancak o zaman TK'nin lideri tarafından başarıyla görüldü.
Leifeng.com'a göre, aslında bundan önce, yasadışı ürünler satan yeraltı şirketlerinin dahili verileriyle içsel hayalet vakaları sık sık yaşanıyordu.Örneğin, Alipay'in 2013 sonunda 20G bilgi sızıntısı olayı eski bir teknik personel olan Li Ming ile rapor edilmişti. Yeraltı yasadışı mülkiyeti ile gizlice işbirliği yapmak için konumun rahatlığını kullanın. Lojistik açısından SF Express, lojistik bilgileri satan dahili hayalet vakaları da defalarca ortaya çıktı ve diğer ekspres teslimatların lojistik bilgileri yeraltı karaborsasında görünmekten neredeyse hiç kaçmadı.
Bununla birlikte, geçmiş kamuoyu algısında, bu iç hayaletler, orijinal normal çalışanların yeraltı yeraltı dünyasıyla işbirliği yapma cazibesi olabilir, ancak "profesyonel gizli görev" kimliğinin ortaya çıkması, insanların kamusal bilgi korumasının olmadığını anlamasını sağlamaya başlamıştır. O kadar basit değil. Ağ güvenliğinin "Infernal Affairs" draması sahneleniyor. Kamuya açık bilgilere sahip her şirket ve kuruluş katılıyor ve nihai kurban her vatandaş olacak.
5. Netizenlerin kimlik bilgileri ciddi şekilde sızdırıldı ve CPPCC üyeleri ağır para cezaları önerdiler
Kaynak: Xinmin Evening News
Büyük veri endüstrisinin gelişmesiyle birlikte, kullanıcı veri sızıntısı daha da kötüleşti ve kişisel bilgi güvenliği durumu ciddidir. Buna cevaben, Çin Halk Siyasi Danışma Konferansı Ulusal Komitesi üyesi Zhang Jindong, bilgi sızıntısı için ağır cezalar önerdi, tanım kriteri olarak bilgi sızıntısı ve bilgi yeniden satışını kullandı, cezaların üst sınırını yükseltti ve tüm bilgi sızıntısı zincirindeki kilit bağlantıları kısıtladı.
Geçen yıl, İnternet Derneği'nin bir veri raporu netizenlerin kişisel kimlik bilgilerinin% 78,2'sinin sızdırıldığını ve netizenlerin kişisel çevrimiçi etkinlik bilgilerinin% 63,4'ünün sızdırıldığını gösterdi. Netizenler, kişisel bilgi sızıntısı, spam ve dolandırıcılık bilgileri nedeniyle yaklaşık 805 kayıp yaşadı. 100 milyon yuan.
Bilgi güvenliği konusuyla ilgili olarak Zhang Jindong, veri açıklığı ve paylaşımı için destekleyici düzenlemeleri ve güvenliği destekleyen standartları daha fazla formüle etmeyi ve veri güvenliğini sağlamak için bir koruma teknolojisi sistemi oluşturmayı önerdi. Farklı işletme seviyelerine göre, ilgili düzenlemeleri ve yönetim düzenlemelerini formüle edin, ilgili seviyelerdeki işletmeleri ilgili ulusal standartlara başvurmaya zorlayın, seviyelerini karşılayan teknoloji ve yönetim standartlarını benimseyin ve bilgi koruma yatırımlarının bilginin miktarı ve hassasiyetiyle eşleşmesini sağlayın.
Zhang Jindong, bilgi sızıntısı ve yeniden satış bilgi personeli için cezaları güçlendirmenin gerekli olduğuna inanıyor, çünkü mevcut bilgi sızıntısı kaynağı nispeten ucuz, her biri sadece 1 yuan ile 10 yuan'dan az arasında değişiyor ve dahil olan miktar genellikle yüksek değil ve en yüksek. Ceza, yalnızca sabit süreli üç yıldan az hapis cezasıdır ve etkili bir kısıtlama oluşturamaz.
