程序员征服安全：分享与学习系列——日志记录和监控不足

在这些博客文章的探讨中，我们揭示了黑客用于攻击网络和绕过防御的许多危险漏洞及恶意利用手段。这些手段五花八门，从利用编程语言缺陷，到通过各种格式注入代码，再到劫持传输中的数据，不一而足。威胁种类繁多，但无论哪种攻击得逞，受害者的应用程序往往都有一个共同点。

日志记录与监控不足是应用程序防御体系中最危险的隐患之一。一旦存在这种漏洞或状况，几乎任何针对性的高级攻击最终都会得逞。日志记录与监控不足意味着攻击或攻击尝试在很长一段时间内都无法被发现，甚至根本不会被察觉。这实际上为攻击者提供了充足的时间来寻找并利用有价值的漏洞。

在本期节目中，我们将学习：

• 攻击者如何利用日志记录与监控不足
• 为什么日志记录与监控不足如此危险
• 修复此漏洞的技术手段。

攻击者如何利用日志记录与监控不足？

起初，攻击者并不确定系统是否受到妥善监控，也不确定日志文件是否在被审查以发现可疑活动。但他们很容易就能查明这一点。他们有时会发起某种粗糙的暴力破解攻击，例如查询用户数据库中常用的密码。然后，他们会等待几天，再尝试同样的攻击。如果第二次尝试没有被拦截，那就说明没有人仔细监控日志文件中的可疑活动。

尽管测试应用程序的防御能力并评估主动监控水平相对简单，但这并非成功攻击的必要条件。他们完全可以以尽可能隐蔽的方式发起攻击。通常情况下，由于警报过多、警报疲劳、安全配置不当或仅仅是因为存在大量可利用的漏洞，攻击者往往有足够的时间在防御者察觉之前达成目标。

为什么日志记录与监控不足如此危险？

日志记录与监控不足之所以危险，是因为它不仅让攻击者有时间发起攻击，还能让他们在防御者做出反应之前就达成目标。具体时间取决于受攻击的网络，但开放式Web应用程序安全项目（OWASP）等组织指出，受损网络的平均响应时间长达191天或更久。

试想一下，如果银行遭到抢劫，人们报警后，警察却要半年后才赶到，那会发生什么？

等警察赶到时，劫匪早已逃之夭夭。事实上，在警察对第一次事件做出反应之前，同一家银行可能已经被抢劫多次了。

网络安全领域也是如此。你在新闻中听到的绝大多数高调泄露事件，并非那种“快进快出”的抢劫式操作。通常，目标组织只有在攻击者已经基本完全控制数据数月甚至数年后，才会发现泄露事件。这使得日志记录与监控不足成为实践良好网络安全时可能发生的最危险的情况之一。

消除日志记录与监控不足

防止日志记录与监控不足主要需要两点。首先，所有应用程序在创建时都必须具备监控和记录服务器端输入验证失败的能力，并提供足够的上下文信息，以便安全团队识别攻击者所使用的工具和技术，甚至是具体的账户。或者，此类输入应格式化为STIX（结构化威胁信息表达）等语言，以便安全工具能够快速处理并生成相应的警报。

其次，仅仅生成有效的警报是不够的，尽管这只是一个开始。组织还需要明确职责分工，确保这些警报能得到及时调查。许多成功的入侵事件实际上在受攻击的网络上触发了警报，但由于责任归属不清，这些警告被忽视了。没人知道该由谁来响应，或者大家都以为别人已经在处理这个问题了。

在分配职责时，一个很好的起点是采用国家标准与技术研究院（NIST）在特别出版物800-61中推荐的事件响应和恢复计划。还有其他参考文档，包括针对各行业的特定文档，不必完全照搬。但制定一份明确组织内谁负责响应警报、以及如何及时处理这些警报的计划至关重要。

关于日志记录与监控不足的更多信息

如需进一步阅读，您可以查看OWASP关于日志记录与监控不足的说明。您还可以通过Secure Code Warrior平台的免费演示来测试您新学到的防御知识，该平台旨在培训网络安全团队成为顶尖的网络战士。要了解更多关于击败此漏洞及其他各类威胁的信息，请访问Secure Code Warrior博客。

准备好立即发现、修复并消除日志记录和监控不足的问题了吗？前往我们的训练场： [从这里开始]