程序员征服安全：OWASP API 安全十大风险系列 - 日志记录和监控不足

日志记录和监控不足的缺陷，主要是由于网络安全计划未能记录所有失败的身份验证尝试、拒绝访问记录及输入验证错误所导致的。它也可能发生在生产环境的其他环节，但最常与未能拦截无效登录尝试相关联。

这是一个危险的漏洞，因为这意味着网络安全团队因无法获知攻击而无法做出响应。这给了攻击者巨大的优势，让他们在试图进一步渗透系统或提升权限时能够不被察觉。事实上，如果没有适当的日志记录和监控，在攻击造成重大损害之前，发现并阻止它们将变得非常困难，甚至是不可能的。

准备好立即通过挑战来测试您的技能了吗？请看这里：

攻击者如何利用日志记录和监控不足的漏洞？

如果日志级别设置不当、设置过低、错误消息包含的信息不足，或者根本没有日志记录功能，任何 API 都容易受到日志记录和监控不足的影响。

一个有趣的例子是，如果黑客获取了一个网站或服务的大量被盗用户名列表。通过实验，他们可以发现系统在锁定账户并通知网络安全人员之前，允许三次失败的登录尝试。

掌握这些信息后，他们不再尝试暴力破解单个账户，而是编写脚本，使用“123456”或“password”等常用密码，尝试登录列表中的每一个用户名。诀窍在于，他们对每个用户名只尝试一次或两次，从而保持在锁定和警报的阈值之下。如果运气好，他们一开始就能破解几个密码。之后，他们只需等待一天，让登录计数器重置，然后使用“qwerty”或“god”等不同密码再次运行该过程。如果管理员从未察觉他们的行为，攻击者就可以多次遍历该列表，最终破解大部分弱密码账户。

OWASP 提供的案例中就发生了这种情况：一个视频共享平台遭到了凭据填充攻击，攻击者利用了日志记录和监控不足的漏洞。直到公司开始收到用户投诉，他们才意识到攻击正在发生。最终，他们在 API 日志中发现了证据，不得不向所有用户发布强制密码更改通知，并向监管机构报告了此次攻击。

消除日志记录和监控不足的漏洞

自动化和持续监控有助于终结这一漏洞。首先，应记录所有失败的身份验证尝试。这些日志应转换为机器可读的格式（如 STIX 和 TAXII），以便能够被安全信息和事件管理 (SIEM) 系统摄取，该系统经过训练，无论使用何种阈值，都能识别出攻击行为。

您还应保护您的日志文件。将其视为敏感信息，防止攻击者删除或篡改。一个好的策略是同时备份并加密日志文件。

最后，创建自定义仪表板和警报，以便能够尽快检测并响应任何可疑活动。如果您消除了攻击者在系统中的时间，也就剥夺了他们利用“低频慢速”攻击技术来保持隐蔽的能力。

查看 Secure Code Warrior 博客页面，深入了解此漏洞以及如何保护您的组织和客户免受其他安全缺陷的侵害。您还可以申请演示 Secure Code Warrior 培训平台，以保持您的网络安全技能精进且与时俱进。