面對勒索軟件攻擊，我們?nèi)绾伪ＷoDT時代的企業(yè)數(shù)據(jù)資產(chǎn)？

Hadoop 勒索軟件勒索攻擊 DT時代數(shù)據(jù)資產(chǎn)

Apple | 2017-01-25 22:11

【數(shù)據(jù)猿導讀】目前已經(jīng)有黑客將目標瞄準了Hadoop集群，這些勒索攻擊的攻擊模式都較為相似，在整個攻擊過程中并沒有使用任何勒索軟件，也沒有涉及常規(guī)漏洞，而是利用相關(guān)產(chǎn)品的不安全配置，使攻擊者有機可乘，輕而易舉地對相關(guān)數(shù)據(jù)進行操作。

面對勒索軟件攻擊，我們?nèi)绾伪ＷoDT時代的企業(yè)數(shù)據(jù)資產(chǎn)？

最近，部分黑客組織針對幾款特定產(chǎn)品展開了勒索攻擊。截止到上周，已有至少34000多臺MongoDB數(shù)據(jù)庫被黑客組織入侵，數(shù)據(jù)庫中的數(shù)據(jù)被黑客擦除并索要贖金。隨后，在2017年1月18日當天，又有數(shù)百臺ElasticSearch服務器受到了勒索攻擊，服務器中的數(shù)據(jù)被擦除。安全研究人員Niall Merrigan表示，截止到目前，受攻擊的ElasticSearch服務器已經(jīng)超過了2711臺。

緊隨上述兩次攻擊事件，目前已經(jīng)有黑客將目標瞄準了Hadoop集群。這些勒索攻擊的攻擊模式都較為相似，在整個攻擊過程中并沒有使用任何勒索軟件，也沒有涉及常規(guī)漏洞，而是利用相關(guān)產(chǎn)品的不安全配置，使攻擊者有機可乘，輕而易舉地對相關(guān)數(shù)據(jù)進行操作。

企業(yè)如何一步步將威脅擋在門外呢？

正如在本文我們所描述的那樣，在有經(jīng)驗的攻擊者手里，具有自我傳播功能的勒索軟件將可能給企業(yè)的業(yè)務帶來致命損失，或成為受害者的一場噩夢。我們所倡導的“縱深防御”，不僅僅是一個概念，它決定了在勒索事件等攻擊場景中，企業(yè)到底是能把危機擋在門外，還是引狼入室，讓惡意軟件對業(yè)務造成實際損失。

接下來，我們針對企業(yè)用戶在公共云搭建Hadoop的安全漏洞問題，介紹幾種防護手段。

1、端口開放最小化

Hadoop默認情況開放了很多端口提供WebUI，易出現(xiàn)安全漏洞；如：

HDFS NameNode 默認端口 50070 SecondNameNode 默認端口 50090 DataNode 默認端口 50075 Backup/Checkpoint node 默認端口 50105- YARN(JobTracker) ResourceManager 默認端口8088 JobTracker 默認端口 50030 TaskTracker 默認端口 50060 Hue 默認端口 8080；

推薦方案：按照最小化原則，開放業(yè)務相關(guān)的少量端口，這樣大大降低了被攻擊的可能性；

2、身份認證鑒權(quán)

Hadoop訪問認證過于簡單，比如DataNode 默認端口50075開放的話，攻擊者可以通過hdsf提供的restful api對hdfs存儲數(shù)據(jù)進行操作。
推薦方案：檢查請求 Request 發(fā)送者的真實身份，正確驗證接收到的消息在途中是否被篡改，認證使用消息簽名機制，可以保證消息在傳輸過程中的完整性 Integrity 和真實性 Authenticity，建議采用的消息簽名算法HMAC-SHA1。

3、權(quán)限細粒度管理

Hadoop無法控制用戶提交和運行作業(yè)的操作，及功能操作；

推薦方案：按照最小化原則，通過外圍系統(tǒng)為不同的角色、操作等分配相應的權(quán)限，加強用戶與系統(tǒng)的訪問控制及作業(yè)訪問控制；

4、增加日志審計

Hadoop作為軟件級產(chǎn)品，黑客一旦攻擊進來，無法及時發(fā)現(xiàn)并加以控制；

推薦方案：提供精準的、細粒度的數(shù)據(jù)訪問操作記錄，并長期保存。對于數(shù)據(jù)操作記錄來說，收集服務棧上的所有操作記錄，從上層table/column級別的數(shù)據(jù)訪問日志，一直到底層分布式文件系統(tǒng)上的數(shù)據(jù)操作日志。最底層分布式文件系統(tǒng)上處理的每一次數(shù)據(jù)訪問請求，也都能追溯到是最上層的哪個項目空間中的哪個用戶的哪個作業(yè)發(fā)起的數(shù)據(jù)訪問。有了服務棧上的各層操作審計之后，即使是內(nèi)部攻擊者（工程師或滲透到內(nèi)部系統(tǒng)中的黑客）想從內(nèi)部（繞過服務）直接訪問底層分布式文件系統(tǒng)上的用戶數(shù)據(jù)的話，也一定是可以從操作日志中被發(fā)現(xiàn)的。所以，通過數(shù)據(jù)訪問審計，用戶就可以準確的知道是否存在未授權(quán)的數(shù)據(jù)訪問。

5、沙箱隔離

Hadoop在安全方面并沒有實現(xiàn)進程級的權(quán)限控制；

推薦方案：為了確保不同用戶作業(yè)在運行時互不干擾，將用戶作業(yè)的進程運行在Container沙箱中。如果用戶作業(yè)含有Java代碼（比如UDF），那么Container沙箱中的進程啟動JVM時，設置嚴格的Java 沙箱策略以限制UDF的運行時權(quán)限。

總結(jié)

勒索軟件并不是新鮮事物。但是其最近手段更加老練、傳播方式更加隱蔽，表明其越發(fā)傾向于以意想不到的全新方式盤剝在線運行的個人與單位。網(wǎng)絡攻擊如此肆虐，如果企業(yè)繼續(xù)在公共云使用Hadoop進行生產(chǎn)作業(yè)的話，需要投入更多的安全維護成本，因為Hadoop并不適合在公共云搭建PAAS平臺，提供企業(yè)級服務；比如 Hadoop產(chǎn)品設計之初就是使用在內(nèi)網(wǎng)，默認開啟過多端口，超級管理員權(quán)限，數(shù)據(jù)資產(chǎn)不隔離，這樣為企業(yè)帶來更多的安全維護成本。
如果企業(yè)需要在公共云做大數(shù)據(jù)分析，我們推薦大家使用阿里云數(shù)加MaxCompute。

MaxCompute設計之初就重點考慮了安全問題，在公共云提供企業(yè)級/金融級服務，安全特性有以下幾個方面；

1、MaxCompute認證采用業(yè)界標準的API認證協(xié)議來實現(xiàn)，如HmacSHA1。MaxCompute還提供HTTP和HTTPS兩種的EndPoint以滿足用戶對認證安全的不同要求。

2. MaxCompute平臺并沒有超級管理員的角色，所以MaxCompute的開發(fā)、測試、運維同學都是沒有權(quán)限看到用戶數(shù)據(jù)的。

3、MaxCompute產(chǎn)品面向的是企業(yè)級用戶，所以提供了豐富的項目空間內(nèi)的用戶管理及授權(quán)功能。 MaxCompute設計之初就是要滿足數(shù)據(jù)分享（或數(shù)據(jù)交換）的場景。所以，只要有授權(quán)，用戶就可以非常方便的進行跨項目空間的數(shù)據(jù)訪問。

4. MaxCompute支持用戶提交各種類型的作業(yè)（如SQL/XLib/MR）。為了確保不同用戶作業(yè)在運行時互不干擾，MaxCompute將用戶作業(yè)在運行時隔離。

5. MaxCompute作業(yè)運行時使用最小權(quán)限，最小權(quán)限原則是系統(tǒng)安全和容錯設計的一個基本指導原則，即讓每個任務在運行時使用剛好滿足需要（不多也不少）的權(quán)限來執(zhí)行。

6. MaxCompute還提供精準的、細粒度的數(shù)據(jù)訪問操作記錄，并會長期保存。通過數(shù)據(jù)訪問審計，用戶就可以準確的知道他在MaxCompute上的數(shù)據(jù)是否存在未授權(quán)的數(shù)據(jù)訪問。

7. 除了不同層面的防御機制之外，MaxCompute產(chǎn)品還會提供一套安全監(jiān)控系統(tǒng)，用于監(jiān)控用戶作業(yè)及用戶數(shù)據(jù)的安全活動，如AccessKey濫用，項目空間安全配置不當，用戶代碼運行時觸犯安全策略，以及用戶數(shù)據(jù)是否遭受異常訪問等。

安全攻擊防不勝防，MaxCompute可以幫助企業(yè)做好縱深防御，保護好DT時代的數(shù)據(jù)資產(chǎn)。

來源：數(shù)據(jù)猿

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會注明來源與作者；轉(zhuǎn)載我們原創(chuàng)內(nèi)容時，也請務必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會受到數(shù)據(jù)猿追責。