“防”字當頭,第三方腳本的安全風險與應(yīng)對方式
后患無窮:第三方腳本帶來的安全風險
第三方腳本攻擊利用的是第一方網(wǎng)站對第三方腳本的控制力不足和難以實現(xiàn)的全面監(jiān)測,造成較為嚴重的攻擊后果。除此之外,第三方腳本還會帶來一些其他的潛在隱患。綜合來看,第三方腳本帶來的安全風險通常有以下幾種:
數(shù)據(jù)竊取。數(shù)據(jù)竊取是在用戶端通過腳本竊取用戶的個人數(shù)據(jù)和賬單數(shù)據(jù)的一種釣魚攻擊。2019年第四季度,某北美大型零售商的支付頁面被攻擊者盜取了姓名、電話、郵件和信用卡號碼、安全碼和過期日期等。
意外泄漏。意外泄漏指應(yīng)用意外收集用戶敏感數(shù)據(jù)導致的合規(guī)風險。2019年第四季度,某國際零售商網(wǎng)站上出現(xiàn)了不安全腳本,使得任何人都可以通過Web瀏覽器訪問該網(wǎng)站近1.3 TB的數(shù)據(jù),包括用戶的IP、住址、郵箱地址和在網(wǎng)站的活動軌跡。此外,這還可能會引發(fā)針對性的網(wǎng)絡(luò)釣魚攻擊。
已知漏洞(CVE)。這是指在真實使用場景中,腳本已經(jīng)暴露出漏洞,但未能得到及時修復。2019年第四季度,某旅游服務(wù)商在一次第三方腳本攻擊的15天內(nèi)暴露了30多萬用戶的個人信息,導致百萬美金的罰款。而造成此次攻擊的漏洞就來自于已知的腳本漏洞,并且該漏洞已在此前導致過數(shù)據(jù)泄漏。
防患于未然:多管齊下防范第三方腳本安全隱患
由此可見,第三方腳本帶來的種種安全風險為各種類型的網(wǎng)絡(luò)攻擊提供了“溫床”,但其自身又往往處于“隱秘的角落”,較難控制和監(jiān)測。但對于這樣的風險,企業(yè)并非完全束手無策,目前有四種常用的應(yīng)對方法,以將第三方腳本帶來的安全風險“扼殺在搖籃中”。
第一種方法是內(nèi)容安全策略(CSP)白名單。內(nèi)容安全策略是通過白名單的方式,檢測和監(jiān)控來自第三方的安全隱患,適用于能夠嚴格遵守該策略的企業(yè),且以防御為主。但該方法也存在一定弊端,一是如果可信的第三方被利用并成為攻擊媒介,這種策略就無法起到應(yīng)有效果;二是該策略在實際操作中較難實施和維護,需要持續(xù)的手段分析和測試,如果策略設(shè)置得過于嚴格也將產(chǎn)生誤報;三是如果對于通用云存儲和開源項目中的資源設(shè)置白名單,會進一步增加網(wǎng)站的“脆弱性”。
第二種方法是仿真測試掃描。仿真測試掃描是一種離線的策略方法,適用于簡單的網(wǎng)站及策略更新時。但實行該方法仍然需要持續(xù)的手動分析和測試。
第三種方法是訪問控制/沙盒。訪問控制/沙盒的方式適用于頁面簡單或頁面數(shù)量較少、不包含個人驗證信息的網(wǎng)站。該方法可以與內(nèi)容安全策略結(jié)合使用,同時也需要持續(xù)的手動分析和測試。
第四種方法是應(yīng)用程序內(nèi)檢測。其檢測腳本的行為、可疑的活動,著力于快速緩解攻擊、減少對業(yè)務(wù)的影響。這也是Akamai認為有效的腳本保護方式之一。持續(xù)的手動分析和測試在現(xiàn)實場景下較難實現(xiàn),應(yīng)用程序內(nèi)檢測則是一個獨立于平臺且自動的、不斷演進的安全威脅檢測方式,并且不依靠于訪問控制方法,真正能夠做到保障網(wǎng)站安全。舉例而言,對于Magecart攻擊來說,這種方式能夠檢測可疑的行為,并且易于管理和設(shè)置,讓企業(yè)的網(wǎng)站始終處于監(jiān)測狀態(tài)、隨時在線。另外,它還能夠排除干擾信息,根據(jù)已知的安全威脅提供情報,避免“重蹈覆轍”。最后,針對訪問的控制策略,該方法也會根據(jù)反饋不斷進行更新。
隨著第三方腳本成為現(xiàn)代網(wǎng)站的“必需品”,針對第三方腳本的攻擊發(fā)生得也越來越頻繁,且往往給企業(yè)帶來巨大損失。企業(yè)應(yīng)當保持警惕,使用諸如Request Map這樣的工具檢測網(wǎng)站頁面第三方腳本的數(shù)量,并對網(wǎng)站頁面的第三方腳本予以監(jiān)視,哪怕該腳本來自受信任的第三方也是如此。同時,企業(yè)應(yīng)考慮適用自身網(wǎng)站的腳本管理方式,進行第三方腳本行為檢測,實施管理和風險控制,并將應(yīng)用程序內(nèi)的腳本保護與訪問控制解決方案結(jié)合起來,協(xié)同運行。
Akamai最近推出的Page Integrity Manager為Akamai客戶提供了管理腳本(包括第一方、第三方乃至第n方腳本)風險所需的檢測能力,以及根據(jù)客戶自身獨特需要制定業(yè)務(wù)決策所必不可少的實用信息 。
來源:C114通信網(wǎng)
圖片新聞
最新活動更多
-
12月19日立即報名>> 【線下會議】OFweek 2024(第九屆)物聯(lián)網(wǎng)產(chǎn)業(yè)大會
-
精彩回顧立即查看>> 2024中國國際工業(yè)博覽會維科網(wǎng)·激光VIP企業(yè)展臺直播
-
精彩回顧立即查看>> 【產(chǎn)品試用】RSE30/60在線紅外熱像儀免費試用
-
精彩回顧立即查看>> 2024(第五屆)全球數(shù)字經(jīng)濟產(chǎn)業(yè)大會暨展覽會
-
精彩回顧立即查看>> 【線下會議】全數(shù)會2024電子元器件展覽會
-
精彩回顧立即查看>> 三菱電機紅外傳感器的特性以及相關(guān)應(yīng)用領(lǐng)域
編輯推薦
- 高級軟件工程師 廣東省/深圳市
- 自動化高級工程師 廣東省/深圳市
- 光器件研發(fā)工程師 福建省/福州市
- 銷售總監(jiān)(光器件) 北京市/海淀區(qū)
- 激光器高級銷售經(jīng)理 上海市/虹口區(qū)
- 光器件物理工程師 北京市/海淀區(qū)
- 激光研發(fā)工程師 北京市/昌平區(qū)
- 技術(shù)專家 廣東省/江門市
- 封裝工程師 北京市/海淀區(qū)
- 結(jié)構(gòu)工程師 廣東省/深圳市