Secara tradisional, semua program anti-virus dan sistem IPS bekerja menggunakan teknik berbasis tanda tangan. Namun, ini tidak banyak membantu untuk mencegah serangan zero-day .

Karena itu, apa yang bisa dilakukan untuk mencegah serangan zero-day?

Saya pikir Anda mengakui kebenaran sys-admin yang menarik di sana, yaitu itu

kecuali jika Anda dapat mengurangi kemungkinan hacked ke nol kemudian akhirnya , di beberapa titik, Anda akan mendapatkan hacked .

Ini hanyalah kebenaran dasar dari matematika dan probabilitas, bahwa untuk setiap probabilitas kejadian nol. Acara akhirnya terjadi ...

Jadi 2 aturan emas untuk mengurangi dampak dari peristiwa "yang akhirnya diretas" ini adalah ini;

1. Prinsip hak istimewa yang paling rendah

   Anda harus mengonfigurasi layanan untuk dijalankan sebagai pengguna dengan hak sekecil mungkin yang diperlukan untuk menyelesaikan tugas layanan. Ini dapat berisi peretas bahkan setelah mereka masuk ke mesin.

   Sebagai contoh, seorang hacker membobol sistem menggunakan eksploitasi nol hari dari layanan webserver Apache sangat mungkin terbatas hanya pada memori sistem dan sumber daya file yang dapat diakses oleh proses itu. Peretas akan dapat mengunduh file sumber html dan php Anda, dan mungkin melihat ke dalam database mysql Anda, tetapi mereka seharusnya tidak bisa mendapatkan root atau memperluas intrusi mereka di luar file yang dapat diakses apache.

   Banyak instalasi server web Apache default membuat pengguna dan grup 'apache' secara default dan Anda dapat dengan mudah mengkonfigurasi file konfigurasi Apache utama (httpd.conf) untuk menjalankan apache menggunakan grup-grup itu.

2. Prinsip pemisahan hak istimewa

   Jika situs web Anda hanya perlu akses baca-saja ke basis data, maka buat akun yang hanya memiliki izin baca-saja, dan hanya ke basis data itu.

   SElinux adalah pilihan yang baik untuk menciptakan konteks untuk keamanan, aplikasi-armor adalah alat lain. Bastille adalah pilihan sebelumnya untuk pengerasan.

   Kurangi konsekuensi dari serangan apa pun, dengan memisahkan kekuatan layanan yang telah dikompromikan ke dalam sendiri "Kotak".

Aturan Perak juga bagus.

Gunakan alat yang tersedia. (Sangat tidak mungkin bahwa Anda dapat melakukan serta orang-orang yang ahli keamanan, jadi gunakan bakat mereka untuk melindungi diri Anda sendiri.)

1. enkripsi kunci publik memberikan keamanan yang sangat baik. Gunakan. dimana mana.
2. pengguna adalah idiot, menegakkan kompleksitas kata sandi
3. pahami mengapa Anda membuat pengecualian terhadap aturan di atas. tinjau pengecualian Anda secara teratur.
4. meminta seseorang untuk bertanggung jawab atas kegagalan. itu membuat Anda berada di ujung jari Anda.

Daftar putih, jangan daftar hitam

Anda sedang menggambarkan pendekatan daftar hitam. Pendekatan daftar putih akan jauh lebih aman.

Klub eksklusif tidak akan pernah mencoba membuat daftar semua orang yang tidak bisa masuk; mereka akan membuat daftar semua orang yang bisa masuk dan mengecualikan mereka yang tidak ada dalam daftar.

Demikian pula, mencoba mendaftar segala sesuatu yang seharusnya tidak mengakses mesin akan hancur. Membatasi akses ke daftar pendek program / alamat IP / pengguna akan lebih efektif.

Tentu saja, seperti yang lainnya, ini melibatkan beberapa pertukaran. Secara khusus, daftar putih sangat tidak nyaman dan membutuhkan pemeliharaan yang konstan.

Untuk melangkah lebih jauh dalam pengorbanan, Anda bisa mendapatkan keamanan yang hebat dengan memutuskan sambungan mesin dari jaringan.

Deteksi Lebih Mudah (dan Lebih Andal) Daripada Pencegahan

Menurut definisi Anda tidak dapat mencegah serangan zero day. Seperti yang telah ditunjukkan orang lain, Anda dapat melakukan banyak hal untuk mengurangi dampak serangan zero day, dan Anda harus melakukannya, tetapi itu bukan akhir dari cerita.

Izinkan saya menunjukkan bahwa selain itu, Anda harus mencurahkan sumber daya untuk mendeteksi kapan serangan telah terjadi, apa yang dilakukan penyerang, dan bagaimana penyerang melakukannya. Pencatatan yang komprehensif dan aman atas semua kegiatan yang mungkin dilakukan oleh peretas akan membuatnya lebih mudah untuk mendeteksi serangan dan, yang lebih penting, menentukan kerusakan yang dilakukan dan perbaikan yang diperlukan untuk pulih dari serangan.

Dalam banyak konteks jasa keuangan, biaya keamanan dalam hal keterlambatan dan overhead dalam melakukan transaksi sangat tinggi sehingga lebih masuk akal untuk memfokuskan sumber daya pada mendeteksi dan membalikkan transaksi penipuan daripada mengambil langkah-langkah luas yang dirancang untuk mencegah mereka di tempat pertama. . Teorinya adalah bahwa jumlah tindakan tidak akan 100% efektif, sehingga mekanisme deteksi dan pembalikan perlu dibangun. Selain itu, pendekatan ini telah bertahan dalam ujian waktu.

Zero day tidak berarti bahwa tanda tangan tidak diketahui. Ini berarti bahwa tidak ada tambalan yang tersedia untuk pengguna perangkat lunak, yang menutup kerentanan. Jadi IPS berguna untuk melindungi dari mengeksploitasi kerentanan zero-day. Tetapi Anda tidak harus hanya mengandalkan itu. Membuat dan mengikuti kebijakan keamanan yang solid, mengeraskan server Anda, memperbarui perangkat lunak, dan selalu memiliki 'Paket B'

Grsecurity atau SELinux bagus dalam membantu mencegah serangan 0 hari dengan mengeraskan kernel.

Mengutip dari situs web "Hanya grsecurity yang memberikan perlindungan terhadap zero-day dan ancaman lanjutan lainnya yang memberi waktu berharga kepada administrator sementara perbaikan kerentanan membuat jalan keluar ke distribusi dan pengujian produksi."

Jika Anda menggunakan Apache, modul seperti mod_security dapat membantu Anda mencegah vektor serangan umum. Dengan mod_security Anda bisa

• blokir permintaan yang tampak seperti serangan injeksi SQL
• blokir klien yang alamat IPnya masuk daftar hitam di beberapa RBL
• redirect permintaan ke tempat lain jika beberapa kondisi yang Anda tetapkan terpenuhi
• blokir permintaan berdasarkan negara klien
• mendeteksi & memblokir bot jahat umum secara otomatis

... dan masih banyak lagi. Tentu saja, menggunakan modul kompleks seperti mod_security sangat mungkin juga memblokir klien Anda yang sebenarnya, dan di sisi server mod_security menambahkan beberapa overhead.

Anda juga wajib memperbarui perangkat lunak server dan memastikan Anda telah menonaktifkan setiap modul & daemon yang tidak akan Anda gunakan.

Kebijakan firewall yang ketat adalah suatu keharusan dan dalam banyak kasus peningkatan keamanan tambahan seperti SELinux atau grsecurity mungkin menghentikan serangan.

Tapi, apa pun yang Anda lakukan, orang jahat sangat sabar, sangat kreatif dan sangat terampil. Punya rencana terperinci apa yang harus dilakukan ketika Anda diretas.

Saya ingin menambahkan beberapa aturan perunggu:

100. Jika terbuka, jangan jalankan apa yang tidak perlu dijalankan.

101. Jangan menjadikan diri Anda target yang layak untuk serangan yang berdedikasi dan ditargetkan.

102. Mengamankan terhadap serangan yang ditargetkan semacam itu mungkin seringkali tidak ekonomis / tidak praktis. Periksa siapa yang bisa memiliki minat serius untuk memecahkan apa dan mulai dari sana.

103. Mempertimbangkan "meminimalkan informasi yang tersedia secara eksternal" dan "menjauh dari standar yang diketahui" sebagai tidak lebih dari keamanan oleh ketidakjelasan (sering disalahpahami sebagai "tidak berharga" sebagai kebalikan dari "lapisan yang dengan sendirinya tidak mencukupi") dan mengabaikannya adalah kesombongan yang berbahaya. Kunci yang dapat diretas di pintu tidak akan membuat si pencuri keluar, tetapi mungkin akan mencegah serigala.

Mesin kembung dengan suite keamanan besar sering membuat PC yang biasa-biasa saja menjadi dinosaurus dan Quad Cores menjadi komputer lama yang biasa. Saya telah memperbaiki cukup (ribuan) untuk memahami bahwa sebagian besar benar. Jika Anda memahami tidak ada keamanan 100% dan biaya kinerja turun secara eksponensial sebagai keamanan sementara kemungkinan infeksi hanya turun secara linear. Sebagian besar hasil ketika saya berhenti melihat perbandingan adalah 90% maks pada tes dunia nyata dari ribuan risiko, yang berarti 10% dari infeksi tidak terdeteksi atau terlambat. sedangkan latensi PC telah meningkat 200 hingga 900%. OSX memiliki situasi yang ideal di mana itu penting tidak lebih baik dalam keamanan tetapi risiko serangan lebih kecil karena menjadi target yang lebih kecil dengan hanya 4% pangsa pasar di produk non-telepon / pad pada tahun 2010. Itu akan berubah tetapi saya tidak akan berubah filosofi saya menjaga OS saya bersih, ramping & kejam. Saya melakukan hal yang sama untuk XP dan Win7. Saya memiliki gudang alat perbaikan tetapi hanya perlu satu aplikasi untuk memperbaiki semua orang yang terinfeksi dan hanya membutuhkan waktu 10 hingga 20 menit bukan berjam-jam atau berhari-hari.

Metode saya yang berhasil;

1. Mendidik pengguna, jangan klik peringatan keamanan kecuali Anda benar-benar tahu apa yang mereka lawan ratusan ROgues yang merupakan salinan karbon peringatan baik. Mereka yang tidak dapat dilatih dengan mudah mendapatkan akun non-admin dan browser kotak pasir dengan java dan JS dinonaktifkan. Tetapi jika saya mengaktifkannya untuk mereka, jangan khawatir, hanya 15 ~ 20 menit untuk memulihkan atau memperbaiki.

   2. SYstem Restore baik, tetapi memiliki banyak keterbatasan, salah satunya adalah item di folder Documents dan folder User Temp dilindungi di mana driver jahat dapat diinstal dan mulai dan menginfeksi Anda pada boot berikutnya.

   3. UAC berguna untuk banyak hal tetapi PITA sedemikian rupa sehingga saya tidak pernah menggunakan dan mengandalkan alat yang lebih baik untuk mendeteksi startup dan / atau proses baru, termasuk tetapi tidak terbatas pada;

      • Winpatrol.com masih merupakan investasi terbaik yang saya buat untuk keamanan dan masih gratis untuk orang lain. Ini mencakup 80% dari masalah di mana startup ditambahkan sebelum dieksekusi dan dapat dideteksi dan dinonaktifkan atau dihapus oleh pengguna prompt. Namun jika Anda adalah tipe orang yang cemas yang tidak dapat mengambil keputusan mengambil pil atau hanya menggunakan Windows Defender . Bukan yang terbaik untuk pertanggungan tetapi salah satu yang tertinggi untuk rasio bang / buck .. preteksi / kehilangan kinerja atau kenaikan rasio latensi.

      • Utilitas startup Mike Lin adalah pencegat teringan dari startup yang disimpan di lebih dari selusin lokasi registri

      • Script Guard adalah pencegat skrip yang berguna untuk skrip anak kecil

      • ProcessGuard program lama yang mati yang berfungsi seperti firewall untuk setiap exectuable baru, tetapi mengganggu Anda untuk disetujui, namun program ini aman dan miring setelah Anda menerima sumber tepercaya atau mengabaikan atau memblokir sumber yang tidak dipercaya.

      • Add-on Blacklist untuk browser Anda bagus seperti Web of trust (WOT) , tetapi Chrome memiliki bagian yang termasuk dalam cara yang serupa tetapi pada tingkat yang lebih kecil.

      • daftar hitam bisa menjadi besar untuk file HOSTS dan jika Anda menggunakan ini (> 1MB sangat besar ketika dipindai dalam potongan 4KB setiap 10 menit., tetapi jika Anda melakukannya, saya sangat menyarankan menonaktifkan layanan caching DNS untuk mengurangi pemindaian berkala yang redundan oleh setiap Aplikasi yang aktif dengan hadiah firewall.

      • Nonaktifkan Pengindeksan File jika Anda benar-benar tidak menggunakannya untuk email dan hal-hal lain, karena ini memunculkan suite AV Anda untuk memindai setiap file yang diakses setiap waktu, berulang-ulang .. betapa mubazirnya.

Beberapa mungkin mengambil pengecualian untuk daftar parsial ini dari atas kepala saya, tetapi saya menghemat waktu mengamankan PC saya dan beroperasi di lingkungan lean. Audit rutin untuk mengonfirmasi keamanan saya dilakukan pada malam hari membuktikan praktik bebas kekhawatiran saya dibenarkan. Saya masih memiliki seribu log HJT, log combofix.txt, dan Runscanner log untuk mendukung pendapat saya tentang penyembuhan dan keseimbangan keamanan / kinerja yang lebih baik.

• Hindari pengunduhan / pemasangan file media Windows atau exe yang ceroboh yang dapat mengeksekusi scipts (mis. WMA, .WMV) tidak seperti .mp3 atau .avi.

• Hindari semua iklan yang menargetkan tombol besar untuk mengunduh atau memperbarui keamanan Anda yang dapat mengalihkan perhatian Anda pada pembaruan gratis pada agregator unduhan seperti hippo dot com .. cnet tidak buruk. Berhati-hatilah. Beberapa situs menggunakan iklan pihak ketiga dan tidak memiliki kontrol konten.

• Saya mendokumentasikan satu contoh sempurna dalam presentasi powerpoint 10 halaman, jika ada yang tertarik, tanyakan. Cara mudah mengabaikan iklan di atas dapat membuat Anda terinfeksi.

Semua untuk sekarang.

Tony Stewart EE sejak 1975.