勒索软件和软件即服务案例

“有已知的。 这些是我们知道的事情。 有已知的未知数。 也就是说,有些事情我们知道我们不知道。 但也有未知的未知数。 有些事情我们不知道,我们不知道。” —唐纳德·拉姆斯菲尔德 美国前国防部长。

WannaCry勒索软件破坏了全世界成千上万个系统,并在地球上几乎每个国家造成了严重破坏,我最近也和许多人一样惊恐地看着。

也许您会说,我对此事的兴趣不只是偶然。 几年来,我管理着负责SMB(服务器消息块)文件共享协议(用于攻击的媒介)的工程团队。 几年来,我还是微软安全部门的负责人。 虽然,很明显,我在协议最初被设计和实现很久之后的Vista和Windows 7天中担任过这两个职位。

我没有亲自在该协议中编写任何一行代码。 这项任务委托给了很多聪明的人。 但是我确实管理了负责构建,测试,维护,改进和保护它的团队数年。

像其他所有人一样,令我震惊的是,它看到了空前规模的国际危机的中心。 几乎有200个国家受到影响? 超过二十万家企业陷入困境? 医院吗 急诊室? WTF?!?

该恶意软件利用SMB协议中以前未发现的漏洞来接管计算机,对所有文件进行加密,并显示一条消息,告知所有者支付或丢失其数据。 美国国家安全局(NSA)早已知道该错误,但并未透露其存在,因此可以将其用作间谍武器。 几个月前,一个名为“影子经纪人”的组织通过WikiLeaks泄露了大量NSA文件,才发现它是“野外”。

微软于去年3月修复了该错误,但多年来在所有版本的Windows中都存在该错误。 尽管微软提出了建议,但许多公司没有意识到潜在的影响,也没有部署补丁程序,因此措手不及,从而使他们的系统容易受到攻击。

记住,这是一个协议,它是在80年代设计的,当时计算机网络仍然很少而且相隔甚远,而Internet甚至不存在。 它于1990年首次发货,在90年代后期被标准化为CIFS协议的一部分,并且在过去的30年中一直用于世界上所有Windows和Windows兼容产品中的文件共享。

现在,您可以选择其中一台服务器来实现此文件共享协议,这样,您就可以…猜出什么…通过所谓的安全局域网共享 文件 ,再添加一些魔术般的灰尘,然后发送一个真正错误的格式错误的请求,一个没有理智的人会发送合理编写的软件。 反过来,此格式错误的请求会触发SMB协议的实现中的错误,该错误使呼叫者能够获得管理员对系统的访问权限。 游戏结束。 您可以对我的所有数据进行加密,然后索取赎金以将其释放。

“赫德利·拉玛(Hedley Lamarr):不幸的是,我与那处财产之间只有一件事:合法的所有者。” —哈维·科曼(Harvey Korman)。 炽热的马鞍。

微软的布拉德·史密斯(Brad Smith)立即在博客中写道,各方需要共享这种漏洞信息以保护软件。 对我来说,了解我对Microsoft的团队和流程的了解对我来说简直是不可想象的,如果他们知道此错误,他们将无法修复。

我不是在这里为Microsoft或Windows团队或SMB协议或计算机科学的历史道歉。 我在这里只是说,将来会发现更多此类错误,原因很简单,即“我们当时不知道我们不知道的东西”,而在如今的今天继续依赖此类软件非常疯狂。在这个世界上,数十亿人连接到互联网,邪恶的行为者比比皆是,并且可以使用自动化工具扫描端口并嗅探漏洞。

“计划明天自发。”-史蒂芬·赖特(Steven Wright)。

我们花了多年的时间设计这个软件。 我们花了很多年测试它; 我们花了多年时间在跨行业委员会中对其进行标准化,并与合作伙伴共享。 我们花了多年时间围绕着一个协议建立社区,该协议得到了全球数十亿系统的支持。 当时我们的目标主要是互操作性,可用性和兼容性。 我们甚至花了数千个人年的时间对API进行模糊测试,以确保攻击者无法使用格式错误的数据包触发代码中的漏洞。 我们使用专门的工具在数据包中生成各种随机位模式,并且我们与世界各地的白帽安全专家小组共同努力,负责任地记录和修复了我们所有软件中与安全相关的错误。

但猜猜怎么了。 除了NSA,没有人尝试过这种特殊的比特随机模式。 他们之所以选择保留它,是因为他们觉得自己可以用它来监视人们。

有人可能会认为开放源代码软件更安全,因为代码上的其他注意事项可以更轻松地识别此类问题。 但是故事并不那么简单。 一位白帽安全专家可能确实已经发现并报告了这样的问题,但是如果黑帽黑客在获得源代码访问的情况下,可能会发现该漏洞并将其存在隐藏起来,以免自己为恶作剧。目的。

另请注意,“自动更新”(例如Windows Update)不是解决方案。 针对该特定错误的修复程序已于几个月前发布,但从未安装在被攻击的服务器上。 与消费者不同,世界各地的大多数组织在发布软件补丁程序后都要花费几个月的时间来重新测试它们,以确保它们不会破坏与关键业务应用程序的兼容性,然后又花费数月的时间通过复杂的数千台服务器网络来推广。

最需要采用已发布安全补丁的公司和实体是最需要它们的公司:受到严格监管,在流程中过时且完全不准备应对这些比例的全球安全事件的公司和实体。 。

对我来说,这是企业内部收缩包装软件的最后一块钉子,也是越来越多的服务将转向SaaS交付模型的原因。 过去,我曾多次写过关于公共云的博客(关于内部部署基础设施的死亡及其在云中的重生,关于公共云的体系结构优势以及为以下方面重新架构老化的企业应用程序的需求):网络时代)。 我希望WannaCry将成为所有继续依赖本地收缩包装软件的人的警钟,其中大多数软件是在我们了解开放Internet的所有安全隐患之前设计的。

关于该事件以及如何避免或更快地对其进行补救,将会有很多报道。 但是真正的答案远不止于此,所以我将其阐明:我们当时不知道自己不知道的东西。 您可能会继续发现更多错误-不仅在SMB中,而且在过去几十年开发的并运行我们今天的业务的所有操作系统和应用程序软件中编写的数百万行代码中。 最多汁的漏洞将被黑客ho积,并被用来破坏我们的系统。

大多数人不在家中维护和修理自己的汽车或管道和电线。 然而,他们坚持要对计算机硬件和软件进行相同的处理,因为计算机硬件和软件在本质上要复杂得多且至关重要。 真正的问题在于,这是一种服务交付模型,该模型依赖本地系统管理员或更糟的政府官员来决定何时安装补丁程序。 我们刚刚看到了一个在现实生活中意味着什么的例子。

因此,黑客会知道惯性对他们有利,因此会继续查找错误。 他们将对他人隐藏它-因此他们可以将其武器化,从而可以从中获利,从而可以从中受益。 考虑一下。 这是人的本性。 我们都否认这一点。 动机-工业,政府或犯罪间谍活动-本质上几乎是次要的。

当可以在本地运行如此多的特定于设备的代码时,日子已经一去不复返了。 如今,管道变得如此繁琐和快速,以至于可以从云中更安全地提供相同的服务。 笨拙地降低客户端并将复杂性转移到云并不能解决所有问题,但是当众所周知的肥料撞击冷却系统时,这样做确实更容易推出安全补丁。

您在本地系统上拥有的代码越多,攻击面就越大。 您与遗留系统的兼容性越强,使用本地软件交付模型的平台就越成功,在未来几十年中,面临风险的公司的尾巴就越长。

作为一个行业,我们在不久前就解决了所有这些问题,并将其迁移到云中,这是一种更加健壮和可支持的服务交付模型,但世界其他地区尚未赶上该模型。 传统是个a子。

我是否提到过,由于特定的SMB协议在设计中存在基本的安全缺陷,因此Microsoft于四年前正式弃用了该特定版本的SMB协议? 没关系。 随着WannaCry变得显而易见,成千上万的企业仍然依靠它来运行其应用程序。

我们可以坐在这里,责怪微软,但这将是一个错误。 确实,查看该特定代码的数千个眼球中的每一个都没有注意到,当处理从未设计过的参数时,它会以一种特殊的方式出现异常。 一个聪明的孩子在某处发现了它,并把它武器化了。 相信我,还有许多其他这样的代码段。 您和我以及世界其他地区将为您保证未来二十年的价格。 那就是在受监管的行业中更换这些系统所花费的时间。

无论是在客户端还是服务器上,本地软件的唯一节省之处是,每个此类安装都是定制的环境。 消费者或管理员可以从数百种可用选项中进行选择,这些选项包括Windows或Linux,Oracle或SQL,McAfee或Symantec等。它们共同构成了一个独特的环境。 这样,它们减少了任何单个错误对环境的影响都大于其他错误的可能性。

但是请不要误会:这些软件的每一个都包含安全漏洞。 而且,最终用户或系统管理员都无法每天跟踪,监视,修补和升级有问题的系统。

服务交付的云模型在概念上绕过了所有这些操作问题,在该模型中,绝大多数代码在云中运行,并且始终是最新的,并且是最新版本。 如果代码在云中的服务器上运行,而不是在本地系统上运行,那么监视环境并迅速修补问题变得容易得多,这很容易,因为它们不会成为责任。 相信我们; 我们知道如何更好地维护运行代码的服务器。 无论如何,英国的医院先生比你更好。

在过去的二十年中,从根本上讲,更加安全的体系结构解决方案得到了发展,可以清晰地解决我们在企业环境中每天处理的大多数(如果不是全部)安全问题。 然而,我们仍然依靠二十多年的技术,并大声抱怨,因为按照我们的最新要求和创新衡量,这种技术无法成立。

在当今高度连接的世界中继续运行古老的软件,就像在高速公路上骑马和越野车一样,抱怨它跟不上邻居最新的Google控制的自动驾驶汽车,并在膝盖弯曲时指责这匹可怜的马。在压力下。

如果您认为您的特定应用程序不是通过网络提供的,则请您再看一遍。 同时,取决于三十年前设计的软件,二十年前实施的软件以及十年前已弃用的软件来运行您的业务,并信任政府官员知道何时以及如何维护这些系统是灾难的根源。 这很幼稚,对我们生活的世界不负责任。

WannaCry只是众多产品中的第一个。 会有更多,而且还会更糟。 我敢肯定。