谷歌云平臺(tái)工作負(fù)載攻擊方法分析

從初步入侵到安裝運(yùn)行，大多數(shù)加密貨幣挖礦攻擊只需要不到22秒的時(shí)間

今年11月23日發(fā)布的首期《威脅前沿》報(bào)告中，谷歌云聲稱，自動(dòng)化掃描、改良攻擊工具，以及變現(xiàn)攻擊的新方式，已令云工作負(fù)載和服務(wù)器實(shí)例變成了主要的攻擊目標(biāo)。 

這些攻擊方法并不新鮮，但證明了攻擊者總能魔高一丈。谷歌云的報(bào)告發(fā)現(xiàn)，入侵者主要挑錯(cuò)誤配置、不當(dāng)客戶安全實(shí)踐和脆弱第三方軟件下手，攻陷了75%的實(shí)例。以上數(shù)據(jù)源自谷歌云對(duì)其谷歌云平臺(tái)（GCP）上近期被入侵的50個(gè)實(shí)例進(jìn)行的分析。這些實(shí)例中，48%沒有設(shè)置口令，或者只設(shè)置了弱口令；26%存在第三方軟件漏洞；12%則是配置錯(cuò)誤。

谷歌云首席信息安全官辦公室主任Bob Mechler在博客帖子中寫道，所有這些威脅都是眾所周知的，但因?yàn)槿藶槭д`，還是存在入侵系統(tǒng)的有效路徑。

谷歌云安全編輯Seth Rosenblatt與Mechler共同寫道：“盡管云客戶一直面對(duì)各種各樣的應(yīng)用和基礎(chǔ)設(shè)施威脅，很多攻擊之所以能夠成功，卻是因?yàn)榉雷o(hù)不周和缺乏基本的控制措施。考慮到這些特定案例和普遍存在的威脅，只要重視安全實(shí)現(xiàn)、監(jiān)測(cè)和持續(xù)保障，企業(yè)在緩解此類威脅，或至少減輕總體影響方面也會(huì)更為成功?！?/span>

錯(cuò)誤配置的云實(shí)例疊加自動(dòng)化攻擊，意味著云工作負(fù)載擁有者幾乎沒有時(shí)間做好防御。40%的案例中，攻擊在不到八小時(shí)的時(shí)間內(nèi)達(dá)成；至少有一個(gè)案例的耗時(shí)只用了30分鐘。

攻擊者通常使用加密貨幣挖礦軟件和勒索軟件變現(xiàn)，且一般通過網(wǎng)絡(luò)釣魚攻擊收集登錄憑證，擴(kuò)大自己對(duì)已入侵計(jì)算機(jī)和服務(wù)的控制。谷歌云平臺(tái)上遭入侵實(shí)例最常見的利用方式是安裝加密貨幣挖礦軟件，86%的實(shí)例在遭入侵后都會(huì)被裝上這種惡意軟件。

而且，攻擊者投放加密貨幣挖礦軟件的速度非常之快。報(bào)告顯示，超半數(shù)遭入侵的實(shí)例在不到30秒的時(shí)間內(nèi)就被裝上了加密貨幣挖礦軟件。

谷歌云在報(bào)告中寫道：“這表明，初始攻擊和后續(xù)下載安裝都是通過腳本自動(dòng)化執(zhí)行的，不需要人為干預(yù)。這種情況下，我們幾乎不可能實(shí)施人工干預(yù)來防止漏洞利用。最佳防御策略就是不要部署脆弱的系統(tǒng)，或者采取自動(dòng)化響應(yīng)機(jī)制?！?/span>

另外，10%的案例中，攻擊者利用入侵實(shí)例來掃描互聯(lián)網(wǎng)，染指其他脆弱目標(biāo)。

該報(bào)告由谷歌網(wǎng)絡(luò)安全行動(dòng)小組（GCAT）編撰，匯總了谷歌威脅分析小組（TAG）、谷歌云安全與信任中心，以及Chronicle谷歌云威脅情報(bào)、信任與安全等內(nèi)部團(tuán)隊(duì)的大量數(shù)據(jù)和洞見。

這些威脅情報(bào)與安全小組還發(fā)現(xiàn)了俄羅斯政府支持的奇幻熊（又名APT28）組織所開展的一項(xiàng)攻擊行動(dòng)：利用1.2萬個(gè)Gmail賬戶實(shí)施網(wǎng)絡(luò)釣魚攻擊，試圖收集目標(biāo)用戶的谷歌賬戶登錄憑證。由于該組織利用了主流提供商，這些網(wǎng)絡(luò)釣魚郵件通過了反垃圾郵件安全檢查機(jī)制—— 發(fā)送方策略框架（SPF）。

APT28的主要攻擊目標(biāo)是美國(guó)、英國(guó)和印度，但也針對(duì)其他國(guó)家，比如巴西、加拿大、多數(shù)歐盟國(guó)家/地區(qū)，以及俄羅斯。

谷歌建議企業(yè)強(qiáng)化所部署軟件與工作負(fù)載的安全保障。除常見安全措施（例如雙因素身份驗(yàn)證和Web應(yīng)用定期自動(dòng)掃描）之外，企業(yè)還需要有適當(dāng)?shù)墓ぞ邅矸乐乖诎l(fā)布代碼時(shí)意外泄露密碼、密鑰和證書。應(yīng)用中使用的任何第三方代碼都應(yīng)該經(jīng)過審查和散列，確保完整性。報(bào)告指出，企業(yè)應(yīng)該清醒認(rèn)識(shí)到，云是把雙刃劍，好處與風(fēng)險(xiǎn)并存。

谷歌在報(bào)告中稱：“盡管公眾愈發(fā)重視網(wǎng)絡(luò)安全，魚叉式網(wǎng)絡(luò)釣魚和社會(huì)工程戰(zhàn)術(shù)卻總能取得成功。至于其他形式的IT安全，由于訪問無處不在，我們需要健壯的多層防御措施來保護(hù)云資源?！?/span>

谷歌網(wǎng)絡(luò)安全行動(dòng)小組《云威脅情報(bào)》2021年11月第一期《威脅前沿》：

https://services.google.com/fh/files/misc/gcat_threathorizons_full_nov2021.pdf