從微軟Office 365 SAML 2.0漏洞中應(yīng)吸取哪些教訓(xùn)?

責(zé)任編輯:editor005

作者:Ed Moyle

2016-10-31 14:25:07

摘自:TechTarget中國(guó)

今年4月,在微軟Office 365 SAML 2 0中發(fā)現(xiàn)一個(gè)漏洞,該漏洞或可使攻擊者繞過(guò)該平臺(tái)的身份驗(yàn)證,最終導(dǎo)致對(duì)用戶賬戶的潛在未經(jīng)授權(quán)的訪問(wèn)。

今年4月,在微軟Office 365 SAML 2.0中發(fā)現(xiàn)一個(gè)漏洞,該漏洞或可使攻擊者繞過(guò)該平臺(tái)的身份驗(yàn)證,最終導(dǎo)致對(duì)用戶賬戶的潛在未經(jīng)授權(quán)的訪問(wèn)。這里的根本原因是未能正確驗(yàn)證SAML(安全聲明標(biāo)記語(yǔ)言)對(duì)象——用戶通過(guò)身份驗(yàn)證過(guò)程時(shí)所提供的聲明。雖然這個(gè)問(wèn)題的風(fēng)險(xiǎn)很高,但該問(wèn)題已較為快速地被修復(fù)(在7小時(shí)內(nèi)),微軟已發(fā)布更新修復(fù)這個(gè)問(wèn)題。

這也許并不是非常值得注意的問(wèn)題或重大事件,因?yàn)樗芸毂恍迯?fù)了,大多數(shù)企業(yè)甚至沒(méi)有注意到這個(gè)問(wèn)題。然而,我們?nèi)匀挥斜匾獊?lái)討論這個(gè)Office 365 SAML漏洞:因?yàn)樗勺屍髽I(yè)從云計(jì)算客戶的角度了解他們所使用的服務(wù)提供商以及他們?nèi)绾螌?duì)類(lèi)似事件作出響應(yīng)。具體來(lái)說(shuō),這樣的事件為企業(yè)提供了很好的學(xué)習(xí)機(jī)會(huì),讓他們更好地了解自己的安全狀態(tài)以及確定應(yīng)該如何改進(jìn)。企業(yè)可從多個(gè)方面分析這樣的事件,并利用他們所吸取的教訓(xùn)來(lái)為未來(lái)可能不那么快被修復(fù)的問(wèn)題做好準(zhǔn)備。

風(fēng)險(xiǎn)決策取決于需要了解運(yùn)作情況

企業(yè)應(yīng)該從Office 365 SAML漏洞學(xué)習(xí)的第一個(gè)教訓(xùn)與企業(yè)對(duì)他們部署云服務(wù)的了解程度(例如產(chǎn)品的架構(gòu))有關(guān)。這可能聽(tīng)起來(lái)不像是火箭科學(xué),但請(qǐng)記住,云模式讓企業(yè)很容易或忽視這一點(diǎn)。云計(jì)算非常有價(jià)值,部分因?yàn)樗屍髽I(yè)遠(yuǎn)距離獲取底層維護(hù)、支持和技術(shù)基礎(chǔ)。例如,在SaaS的情況下,從客戶的角度來(lái)看,7層(應(yīng)用層)以下大多數(shù)堆棧通常是黑盒子。因此,對(duì)于應(yīng)用在技術(shù)水平如何運(yùn)作可以被忽略。在很少的情況下,企業(yè)會(huì)在不了解架構(gòu)的情況下發(fā)布舊版客戶端/服務(wù)器或web應(yīng)用,但他們更有可能在云計(jì)算的情況下這樣做。

在本文談?wù)摰那闆r中,問(wèn)題出在Office 365身份驗(yàn)證過(guò)程生成的SAML聲明。那么,大多數(shù)依靠SAML的云服務(wù)客戶對(duì)這些身份聯(lián)合機(jī)制如何運(yùn)作的了解程度如何?通常并不是很多,因?yàn)樗麄儾⒉恍枰@樣做才能使用云服務(wù)。然而,如果企業(yè)想要應(yīng)對(duì)Office 365 SMAL這樣的事件,則需要足夠了解該服務(wù)以做出明智的決策。

例如,企業(yè)可能需要確定,在特定問(wèn)題得到解決之前,是否會(huì)影響他們對(duì)云服務(wù)的使用--這個(gè)問(wèn)題是否足夠嚴(yán)重需要采取行動(dòng)或者無(wú)法使用服務(wù)是否帶來(lái)影響。在較小型或不太精通技術(shù)的提供商(例如,無(wú)法迅速修復(fù)問(wèn)題的提供商)的情況下,如果沒(méi)有快速修復(fù),企業(yè)可能要評(píng)估輔助對(duì)策。而當(dāng)企業(yè)不了解云服務(wù)的運(yùn)作方式,他們將更加難以做出決策。

這并不意味著企業(yè)應(yīng)該讓其員工花費(fèi)全部時(shí)間去詳細(xì)了解他們部署的每個(gè)服務(wù)如何運(yùn)作。相反地,企業(yè)可將可靠架構(gòu)信息源記錄在容易訪問(wèn)的地方。例如,如果企業(yè)保持著其部署的云服務(wù)的清單,則應(yīng)該同時(shí)記錄該服務(wù)架構(gòu)文檔信息的鏈接。這可確保可迅速獲取這些信息,而不需要匆忙花費(fèi)數(shù)小時(shí)去檢索。事實(shí)上,企業(yè)應(yīng)該要求以及審查這些信息,作為服務(wù)提供商整合或?qū)彶榈囊徊糠?。保存這些記錄可在出現(xiàn)問(wèn)題時(shí)節(jié)省時(shí)間;更不用提當(dāng)服務(wù)提供商受到漏洞事件的影響時(shí)。

評(píng)估通知過(guò)程

從微軟Office 365 SAML吸取的第二個(gè)教訓(xùn)與安全團(tuán)隊(duì)如何獲知和了解這種情況有關(guān)。企業(yè)需要認(rèn)識(shí)到,每個(gè)服務(wù)提供商可能有不同的方法來(lái)通知其客戶有關(guān)漏洞的消息。他們可能會(huì)發(fā)送維護(hù)或安全警報(bào)電子郵件,可能會(huì)在狀態(tài)頁(yè)面或用戶論壇發(fā)布警報(bào),還有些提供商可能會(huì)聯(lián)系內(nèi)部人員或者內(nèi)部聯(lián)系人。企業(yè)是否知道在哪里查看??jī)?nèi)部聯(lián)系人是否合適?這些內(nèi)部聯(lián)系人是否知道該怎么辦?如果這些問(wèn)題的答案是否定的或者不確定,那說(shuō)明企業(yè)還有很多工作要做。

同樣重要的是,了解服務(wù)提供商其警報(bào)流程是否針對(duì)漏洞或安全事件。同時(shí),這也需要記錄在應(yīng)用清單中--這可能是在部署新服務(wù)提供商的過(guò)程中已經(jīng)收集的信息。如果企業(yè)還沒(méi)有收集這種信息,這應(yīng)該考慮提前做一些考察工作。企業(yè)無(wú)法對(duì)不知道的事情做出反應(yīng)--除非企業(yè)有某種方式確保其可及時(shí)得到通知以及測(cè)試這些通知流程,否則企業(yè)可能沒(méi)有完全的可視性。

對(duì)于企業(yè)而言,云服務(wù)提供商受到Office 365 SAML等漏洞的影響,這絕不是什么好消息,但這有時(shí)候可能給企業(yè)帶來(lái)寶貴的學(xué)習(xí)機(jī)會(huì)。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)