我們每週整理的資安新聞當中,最常見的事件莫過於資安漏洞、資料外洩、勒索軟體攻擊,以六月底而言,Ripple20系列漏洞絕對是一個必須重視的問題,當中包含了19個安全性弱點,而且影響的設備數量高達數億臺,規模相當驚人,而且有3個漏洞是遠端程式碼執行(Remote Code Execution)類型,CVSS 3.0風險評分在9分以上。

但令人訝異的是,這麼多的漏洞,全部來自一家名為Treck公司開發的低階TCP/IP程式庫,而該套軟體元件受到各界廣泛使用,許多名列財星五百大企業的公司生產的設備均受到影響,像是惠普、施耐德電機、英特爾、洛克威爾自動化(Rockwell Automation)、開拓重工(Caterpillar)、百特醫療(Baxter),而受到衝擊的應用領域,也非常多元,遍及醫療、交通、工業控制、能源石化、電信、零售等產業。

另一個我們注意到的資安漏洞事件,是零時差漏洞懸賞計畫(ZDI)在6月中揭露Netgear家用路由器有遠端程式碼執行漏洞,CVSS 3.0風險評分是8.8分,編號為ZDI-CAN-9703。這個問題最初的發現者,是化名為d4rkn3ss的越南郵政電信集團安全研究人員,由他提交給ZDI,以及另一家資安公司GRIMM的研究員Adam Nichols,而Adam Nichols在公司的部落格也同時發布了一篇文章,剖析他們挖掘這個漏洞的歷程。

然而,ZDI和Adam Nichols揭露的受影響產品並不相同。前者提到的設備機型是R6700,後者則是從R7000著手,結果發現79款設備與758個韌體都有這個漏洞,漏洞影響的韌體可追溯至2007年推出的WGT624v4的2.0.6版。若對照Netgear目前宣布的漏洞資訊來看,似乎也難看出端倪,他們在6月19日發出的產品安全公告,當中並非單獨針對ZDI-CAN-9703來說明,而是與其他9個安全弱點合在一起說明,當中列出79款機型,並未逐一敘述是否有ZDI-CAN-9703漏洞,不過,他們特別列出R6400v2、R6700v3、R7000、R8000等四款機型,以及最新韌體與修正弱點,而每一款都有ZDI-CAN-9703。平心而論,這樣夾雜其他漏洞的說明,真的能夠讓用戶理解嗎?

除了這幾項安全性漏洞的消息,我們也看到有越來越多資安廠商,在擴充應用程式安全防護的解決方案布局。舉例來說,Palo Alto開始主推Prisma Cloud Compute Edition,大談雲端原生安全與容器安全;Check Point的CloudGuard IaaS支援Kubernetes防護,以及容器安全,CloudGuard Dome9也提供容器安全性透視與政策遵循,併購Protego之後,也開始投入無伺服器環境(Serverless)的防護。顯然,這兩家公司都在積極發展雲端工作負載保護(CWPP),以及雲端安全態勢管理(CSPM)的解決方案。

而在網站應用程式的防護上,今年有經銷商開始在臺推廣不同於網站應用程式防火牆的產品,也就是執行階段應用程式自我保護(RASP)解決方案,例如,叡揚資訊在推廣Imperva的RASP;無獨有偶,以網路防火牆與端點防護著稱的Check Point,也將跨入這個領域,因為,他們去年併購了ForceNock,於是,在CloudGuard系列當中,也將增添網站應用程式與API防護(WAAP)。

針對物聯網設備的防護,市面上已有一些網路與資安廠商推出這類產品,舉例來說,Check Point近日也宣布將推出對應的解決方案,整合IoT Discovery Engine、IoT Security Manager、IoT Security Gateway等元件,提供相關功能。

不過,若要充分滿足應用程式安全性防護需求,還有許多要努力的空間,因為越是產品生命週期末端的處理,所需耗費的成本越高,為了避免這樣的狀況發生,不能完全仰賴資安廠商來亡羊補牢,產品的原始製造商應負起責任,持續在產品生命週期的每一個階段,確保軟體、硬體、韌體的安全性。

專欄作者

熱門新聞

Advertisement