SyScan360: บิ๊กเนมมารวมตัวกันเพื่อพูดคุยเกี่ยวกับเทรนด์ใหม่ของความปลอดภัยในโลกไซเบอร์

Syscan360 Big Names Gather Talk About New Trend Cyber Security



บทความนี้เกี่ยวกับ: SyScan360: บิ๊กเนมมารวมตัวกันเพื่อพูดคุยเกี่ยวกับเทรนด์ใหม่ของความปลอดภัยในโลกไซเบอร์ , [ข้อมูล IT168] ในวันที่ 17 ธันวาคม SyScan360 การประชุมด้านความปลอดภัยของข้อมูลคาดการณ์ล่วงหน้า (The Symposium on Security for Asia Network) ซึ่งจัดโดย SyScan ซึ่งเป็นองค์กรด้านความปลอดภัยที่มีชื่อเสียงในเอเชียและเป็นเจ้าภาพโดย Qihoo 360 ได้จัดขึ้นที่ปักกิ่งเรียบร้อยแล้ว นับตั้งแต่จัดขึ้นครั้งแรกในสิงคโปร์ในปี 2547 โดยจัดขึ้นในเมืองระดับต้น ๆ ของเอเชียทุกปี จนถึงขณะนี้มีการประชุม 8 ครั้ง

SyScan Conference เชิญแฮ็กเกอร์เครือข่ายและผู้เชี่ยวชาญด้านความปลอดภัยที่โดดเด่นจากทั่วทุกมุมโลกมาแบ่งปันผลการวิจัยด้านความปลอดภัยข้อมูลล่าสุดแสดงวิวัฒนาการของความต้องการด้านความปลอดภัยของข้อมูลในเอเชียและเผยแพร่ข่าวสารด้านความปลอดภัยระหว่างประเทศล่าสุด การประชุม SyScan360 ที่จัดขึ้นในประเทศจีนใช้เวลาสองวันและดึงดูดผู้เชี่ยวชาญด้านความปลอดภัยจากทั่วทุกมุมโลก ผู้เชี่ยวชาญจากองค์กรด้านความปลอดภัยเช่น Microsoft, Google, McAfee, Trend Micro ฯลฯ ได้แบ่งปันประเด็นร้อนในปัจจุบันมากมาย ให้เรากลับมาเยี่ยมชม SyScan360 ฮอตสปอต!



SyScan360:
▲ SyScan360 ไซต์การประชุมการรักษาความปลอดภัยข้อมูลคาดการณ์ล่วงหน้า



แฮกเกอร์ต่างชาติอธิบายช่องโหว่ของเคอร์เนลของ Windows โดยละเอียด



Ben Nagy นักวิเคราะห์ความปลอดภัยอาวุโสจาก COSEINC องค์กรความปลอดภัยระหว่างประเทศได้แบ่งปันข้อบกพร่องของเคอร์เนลของระบบและเทคโนโลยีการขุดข้อผิดพลาดและการจำแนกประเภทข้อบกพร่องของระบบในสุนทรพจน์ที่มีชื่อว่า 'Introduction to Windows Kernel Fuzzing' Ben Nagy มีการวิจัยเคอร์เนลของ Windows เป็นเวลาห้าปีและมีประสบการณ์ที่คลุมเครือและหมกมุ่นอยู่กับภาษา Ruby มาก เบ็นเปิดเผยความลับของการฟัซซ์เคอร์เนลโดยไม่ได้รับการสงวนรักษารวมถึงการเลือกเป้าหมายที่เหมาะสมการสำรองความรู้ที่จำเป็นและวิธีการต่างๆเช่นการตัดออกการสร้างกรณีทดสอบและวิธีการขยาย

Ben ชี้ให้เห็นเป็นพิเศษว่าการทดสอบแบบฟัซซ์ต้องใช้การทดสอบที่ขับเคลื่อนด้วยข้อเสนอแนะการทดสอบเครื่องมือวัดความลึกของการฉีดข้อผิดพลาดและการวิเคราะห์ตัวอย่างการชน ห่วงโซ่เครื่องมือที่ยอดเยี่ยมช่วยในการย้ายเป้าหมายได้อย่างรวดเร็ว เขาเชื่อว่าผู้ทดสอบต้องเข้าใจว่าช่องโหว่ใดที่พวกเขาคิดว่ามีประโยชน์เพื่อที่พวกเขาจะได้พบข้อมูลที่เป็นประโยชน์ที่สุดสำหรับพวกเขา

ช่องโหว่ของเคอร์เนลของ Windows มีหลายประเภท Ben แบ่งสิ่งนี้ออกเป็นสามประเภท: ในพื้นที่ถึงท้องถิ่น (รวมถึงการเพิ่มสิทธิ์การใช้งานการเจาะแซนด์บ็อกซ์ ฯลฯ ) ระยะไกลไปยังระยะไกลและระยะไกลไปยังท้องถิ่น (ต้องใช้การดำเนินการของผู้ใช้การโจมตีทางอีเมลเอกสารที่อยู่เว็บ ฯลฯ )



การแบ่งปันประสบการณ์โปรแกรมรางวัลข้อผิดพลาดของ Google

จาก Kevin ผู้เชี่ยวชาญด้านความปลอดภัยของ Google“ Vulnerability Reward Program” คือโปรแกรมรางวัลของ Google สำหรับผู้ค้นพบซอฟต์แวร์ของ Google และช่องโหว่ของผลิตภัณฑ์โดยเฉพาะ ผู้ค้นพบช่องโหว่จะได้รับรางวัลเป็นเงินสดที่ Google จ่ายให้และกำลังใจเพิ่มเติมอื่น ๆ Google ได้เปิดตัวโปรแกรมรางวัลบักเบราว์เซอร์ Chrome ตั้งแต่นั้นมา โปรแกรมให้รางวัลสำหรับช่องโหว่เหล่านี้ได้รับความสนใจจากผู้ที่ชื่นชอบการรักษาความปลอดภัยทั่วโลกและยังช่วยให้ Google ปรับปรุงความปลอดภัยของผลิตภัณฑ์และบริการได้อย่างมาก

'เราจะไม่จ่ายเงินเพื่อแก้ไขช่องโหว่' Kevin กล่าวว่ากลไกการให้รางวัลบั๊กของ Google ไม่ได้เป็นการซื้อข้อบกพร่อง แต่เป็นการให้รางวัลแก่ผู้ใช้สำหรับเวลาที่ใช้ในการค้นหาจุดบกพร่อง Kevin กล่าวว่าขอบเขตของช่องโหว่ของ Google ไม่รวมถึง DoS, โครงสร้างพื้นฐานของ Corp, SEO blackhat และ Acquisitions (ถ้า<6 months) attacks.

แล้วช่องโหว่ที่ Google กำลังมองหาคืออะไร? Kevin ให้รายละเอียดขั้นตอนหลักสี่ประการในการตรวจสอบ 'ช่องโหว่ที่มีคุณสมบัติเหมาะสม' ได้แก่ การแจ้งที่สมเหตุสมผลการเปิดเผยข้อมูลส่วนตัวการทดสอบที่เหมาะสมและวิธีแก้ไขปัญหาแรกและดีที่สุด Google จะให้รางวัลแก่ผู้ใช้ตามการตรวจสอบและวิเคราะห์ช่องโหว่ด้วยการตรวจสอบและวิเคราะห์ช่องโหว่

เควินหัวเราะและกล่าวว่าช่างเทคนิคไม่ได้ส่งรายงานช่องโหว่ทั้งหมดและชาวเน็ตทั่วไปจะมีส่วนร่วมในกระบวนการบันเทิงในการค้นหาช่องโหว่ด้วย ตามรายงานผู้ใช้บางรายยอมเสี่ยงที่จะใช้บัตรเครดิตของตนเพื่อหาช่องโหว่ในภาพยนตร์ฟรีของ Google และ Google จ่ายเงิน 1,337 เหรียญสหรัฐเพื่อหาช่องโหว่โดยหวังว่าผู้ใช้จะสามารถชำระเงินจากบัตรเครดิตได้

Kevin กล่าวว่า 85.2% ของช่องโหว่ถูกค้นพบโดยผู้มาใหม่มีเพียง 14.8% ของช่องโหว่ที่ถูกค้นพบโดยผู้ใช้เก่าและ 80% ของช่องโหว่ถูกค้นพบโดย 20% แรกสุด แต่กลไกการให้รางวัลสำหรับช่องโหว่ของ Google ก็เผชิญกับความท้าทายเช่นกัน Kevin กล่าวว่า Google มักจะได้รับรายงานที่มีคุณภาพต่ำจำเป็นต้องจัดการกับข้อความที่น่าเบื่อใช้ทรัพยากรจำนวนมากสำหรับการจัดหมวดหมู่และการจัดการและบางคนไม่ชอบที่จะหาจุดบกพร่องเพื่อเงินหรือบางคนต้องการใช้สิ่งที่ไม่ใช่ - จุดบกพร่องเพื่อรับโบนัส ให้บางคนตั้งคำถามเกี่ยวกับกลไกการให้รางวัลสำหรับช่องโหว่ของ Google



เวลาที่เผยแพร่ต้นฉบับคือ: 6 กรกฎาคม 2015

ผู้เขียน:คาดูโอ

บทความนี้มาจาก IT168 ซึ่งเป็นพันธมิตรของ Yunqi Community สำหรับข้อมูลที่เกี่ยวข้องโปรดติดตาม IT1684

ชื่อต้นฉบับ: SyScan360: บิ๊กเนมรวมตัวกันเพื่อพูดคุยเกี่ยวกับเทรนด์ใหม่ของการรักษาความปลอดภัยในโลกไซเบอร์