1996年国会听证会
情报和安全

介绍

主席先生和常任小组委员会关于参议院政府事务委员会调查的成员：

我叫理查德·佩西亚。我管理可信系统计划和CERT^sm位于宾夕法尼亚州匹兹堡的软件工程研究所(SEI)协调中心(CERT/CC)。

感谢您给我这个机会来证明CERT协调中心在解决计算机信息系统和网络安全问题上的作用。今天我将给你们一些关于CERT/CC的背景，描述我们在应对互联网上的计算机安全事件时观察到的趋势，讨论我认为可以采取的近期措施来解决今天的问题，并考虑未来会发生什么。

背景

Cert协调中心位于宾夕法尼亚州匹兹堡的卡内基梅隆大学软件工程研究所。

SEI成立于1984年，作为一名联邦资助的研发中心，以应对“软件危机”。我们通过竞争性的采购过程建立，由国务部批准发起国会。由Carnegie Mellon经营，由国防高级研究项目机构（DARPA）赞助，SEI专注于技术过渡，提高软件工程实践。

近十年前，美国国防部高级研究计划局(DARPA)认识到，互联网上的自动化和人为攻击的危险日益增长。在1988年11月的互联网蠕虫事件之后，DARPA责成SEI建立一个中心，在安全紧急情况下协调专家之间的沟通，并帮助防止类似蠕虫的未来事件。特别地，CERT/CC的任务是

• 操作24小时联系点以响应互联网上的安全紧急情况

• 促进专家之间的沟通，努力解决安全问题

• 为识别计算机系统的漏洞和与技术生产者合作解决这些漏洞提供一个中心点

• 作为模型，并促进创建，其他计算机安全事件响应团队

• 采取措施提高对资讯保安及电脑保安问题的认识金博宝正规网址

• 保持对研究界的密切联系，并进行研究和开发，以生产改善网络计算机系统安全的方法和工具

自其响应小组成立以来，SEI已经响应了超过7600起影响数万个互联网连接站点的安全事件。在此角色中，SEI帮助站点识别并纠正其系统和政策中的特定问题，通知并与执法机构合作，通知并与供应商社区合作纠正其产品中的缺陷，并与受同一事件影响的其他站点协调事件响应活动。除了事件响应外，SEI还通过其咨询服务向社区发出漏洞和广泛攻击的警告。SEI的CERT/CC已经发布了119条警告，直接分发给了超过10万个站点，并二次分发给了数百万其他站点。

CERT/CC同时扮演响应和预防的角色。就像消防部门一样，响应工作最广泛可见;但是，也像消防部门一样，预防工作具有最大的长期影响。虽然我今天的评论集中在我们已经看到的安全事件和趋势，但我们正在为未来制定的计划，在DARPA的指导下，将更多的重点放在CERT/CC的研究和开发活动上。

安全事件处理活动

在其响应作用中，CERT / CC协助互联网中的计算机系统管理员向我们报告安全问题。我们帮助受影响站点的管理员识别和纠正允许事件发生的漏洞，并协调对受同一问题影响的其他网站的响应。我们的工作人员还与计算机供应商密切合作，以确定和纠正其产品的漏洞。

CERT / CC在入侵者形成良好连接的社区的环境中运行，并使用网络服务以快速分发有关如何恶意利用系统漏洞的信息。入侵者致力于开发开发利用漏洞和共享信息的计划的时间。他们已经开发了自己的出版物，他们经常举行专门处理的会议，该会金博宝更改账户议与用于在网络计算机系统中击败安全措施的工具和技术。

相比之下，网络上的合法的、经常超负荷工作的系统管理员经常发现很难从他们的正常活动中抽出时间和精力来了解最新的安全和漏洞信息，更不用说设计补丁、工作区(中介技术)、工具、策略、以及保护他们所管理的计算机系统的程序。

在帮助合法的互联网社区共同努力，我们面临的政策和管理问题可能比技术问题更困难。金博宝正规网址例如，我们常规面临的一个挑战涉及传播安全漏洞的信息。我们的经验表明，帮助社区改善其系统安全的最佳方式是与一组技术生产商和供应商合作，开发对证书/ CC披露的安全漏洞的解决方法和维修。为此，在没有重大威胁的情况下，我们不会公开披露漏洞，直到已经开发了维修或解决方法，以及如何安装它的指示。

一旦满足这些条件，证书/ CC就会向整个互联网社区发出咨询，解释问题并详细说明要采取的纠正措施。金博宝正规网址附录A列出了我们迄今为止发布的建议。

事件响应和安全团队论坛（第一）

从一开始，DARPA就意识到，新兴网络的规模和用户群体的多样性将使单一组织无法提供通用的计算机安全响应支持。因此，CERT模型假设创建多个事件响应组织，每个组织服务于特定的用户组。所面临的挑战是发展对社区之间的文化差异敏感的预防和反应能力，这种能力可以解释所遇到的脆弱性的不同性质，并为不同社区能够有效采用的问题提供解决办法。

CERT / CC与许多其他组织和机构密切合作，帮助他们创建自己的事件响应团队。DARPA与国家标准和技术研究所（NIST）合作，为这些事件响应组织之间的互动创建了一个设施。这项倡议导致了事故响应和安全团队的论坛（第一）。在首先，个人反应团队专注于反映国际互联网国际范围的特定选区（来自政府，来自工业和学术学的组织）。每个响应团队通过与该社区成员建立联系和工作关系，在其组成社区内建立信任。这些关系使响应小组能够对不同的需求，技术和政策敏感。第一个成员正在合作跨界的事件，以及他们交叉发布警报和建议，就其成员有关的问题。

超过50个组织弥补了第一款的成员。有关当前首次成员的完整列表，请参阅附录B.

事件趋势

CERT协调中心在其运行的第一天就收到了它的第一份计算机安全事故报告，并从那时起对连续不断的事故作出了回应。

有些事件可以被描述为恶作剧或轻微的破坏行为，但其他的则有更严重的后果。例如:

• 两个组织发现，有几个个人在其网站上建立了一个盗版软件档案。负责任的人最终被确定并显然承认。该事件中涉及的受版权保护的材料估计值得大约200万美元。

• 美国一家大型科学和工程组织经历了一次事故，他们的大量系统严重受损。因此，在重建系统的过程中，他们被迫断开整个网络与互联网的连接一周。涉及的成本包括重建系统的时间、1500名员工的生产力损失，以及长达一周的断网导致的信息流中断。

• 美国主要高科技制造机构有40个由入侵者妥协的系统。虽然入侵者似乎只是用它们的系统作为攻击其他网站的基础，但它们花了大量的时间在其网站和与事件相关的调查活动中恢复受损系统。总的来说，该事件导致组织生产效率超过15,000小时。

• 据报道，两种操作系统的源代码，由两家主要的美国供应商的版权被一个入侵者从受损的计算机系统窃取。后来有报道称，这名入侵者试图通过电子手段交换窃取的源代码，以换取其他可以用来入侵系统的入侵者程序和工具。

计算机安全事件偶尔会捕捉公众关注和指挥头条新闻，例如“高科技骗子克莱克斯互联网安全”(《今日美国》,1995年1月);《美国在线承认黑客骚扰网络》(Boston Globe, 1995年9月);花旗银行1000万美元被盗案曝光（洛杉矶时报，1995年8月）;“在互联网的网络中攻击”（华盛顿邮报，1995年11月）;和“停止！网际目录！”(《新闻周刊》,1995年2月)。

然而，这些耸人听闻事件仅代表到证书/ CC和其他事件响应小组的一小部分事件。1989年，其首次运作年度，证书/ CC响应了132条报告的安全事件。按日历1995年，每年报告的事件数量上涨至2,400多名。除了增加事件报告外，我们还看到了以下趋势。ReportsReports

入侵者展示了技术知识增加。

在1988年，入侵者最常利用的是众所周知的系统漏洞、默认密码和容易猜到的密码。这些活动在1996年继续进行。然而，更复杂的入侵现在很常见;例如，入侵者检查源代码，寻找新的方法来利用程序(如用于电子邮件的程序)中的缺陷。

入侵者正在滥用较差或配置的系统，以交换盗版软件，信用卡号的信息，以及有关已受损的网站的信息。它们共享的网站信息是受妥协主机，帐户和密码的标识。

入侵者展示了对网络拓扑和操作的了解。

它们变得越来越复杂，呈现出新的、越来越复杂的攻击方法。

入侵者监视互联网寻找新的主机或站点连接到互联网。这些主机/站点在连接之前通常没有完全配置，因此容易受到攻击。

入侵者安装数据包嗅探器，从网络上旅行时从信息报文中捕获数据（例如用户标识和密码）的程序。

最近，入侵者一直利用与万维网相关联的漏洞，以便未经授权访问对漏洞未修正的系统。

它们也“欺骗”计算机地址，从而导致允许的连接，以外不会被允许。

在1996年第一季度关闭的346个事件中，有7.5％的涉及这些新的复杂方法，包括包嗅探器，欺骗和基础设施攻击（20％导致系统总妥协，其中入侵者获得“超级用户”特权）。这代表了这种攻击的显着增加。

对网络基础设施的攻击正在增加。

凭借其复杂的技术知识和对网络的理解，入侵者越来越多地利用网络互连。它们很容易穿过基础设施，攻击所有设施。入侵者的攻击目标是网络名称服务器、网络服务提供商和主要存档站点。

基础设施攻击更威胁，因为合法的网络经理和管理员通常考虑保护系统和基础设施的部分而不是整个基础设施。

入侵者通过增加自动攻击工具的使用来获得杠杆。

自动化工具不仅使复杂的入侵者更容易发现和利用漏洞，而且这些工具还使知识较少的人能够做同样的事情。例如，即使技术上不成熟，潜在的入侵者也可以扫描Internet，寻找新的主机/站点和特定的漏洞。通过共享易于使用的工具，成功的入侵者增加了它们的数量和影响。

入侵者越来越多地利用特洛伊木马和密码巩固其行为。

入侵者通过使用特洛伊木马程序来隐藏自己在主机上的存在，这些程序被修改过，所以它们做的事情比预期的要多。例如，入侵者更改了登录程序，使该程序仍然允许用户登录到系统，但也允许入侵者登录而不显示在系统日志中。

入侵者还加密其入侵的输出。例如，它们具有加密数据包嗅探器输出日志。这使得难以或不可能确定已捕获的信息。因此，站点信息和密码仍然受到损害。

其他重要趋势

当“入侵者”在工作中变得越来越熟练时，其他加剧这一问题的趋势也很明显。

分布式，客户端 - 服务器和异构配置存在持续的运动。

由于技术是分布式的，技术的管理也常常是分布式的。在这些情况下，系统管理和管理往往落在那些不具备安全操作系统所需技能的人身上。

没有证据表明大多数产品的安全功能。我们经常收到有关新漏洞的报告。ReportsReports事实上，1995年，CERT / CC每季度平均收到35个新报告。ReportsReports在过去的两个季度中，该数字分别增加到65和92个报告。ReportsReports

易于使用的工程与易于安全管理的工程并不匹配。

今天的软件产品，工作站和个人计算机将计算机的力量带到越来越多的人，这些人的利用该权力更有效地能够更有效地执行工作。产品非常易于使用具有很少的技术知识或技能的人可以在桌面计算机上安装和操作。不幸的是，许多这些产品仍然难以配置和操作。这种差距将导致越来越多的弱势系统。

计算机和网络的使用正在急剧增加。这项技术已经成为大多数组织运作的组成部分。

计算机已成为美国商业和政府的一部分组成部分，即计算机相关的风险不能与一般商业风险分开。此外，数据库的广泛使用留下了危险的个人隐私。现在，新的，有价值的政府和商业资产现在互联网风险。

客户和人员信息可能暴露给入侵者。财务数据、知识产权和战略计划可能面临风险。

增加了计算机在安全关键应用中的使用，包括存储和处理医疗记录数据，增加了计算机系统的事故或攻击的机会可以花费他们的生活。

信息基础架构越来越复杂和动态。与此同时，缺乏对网络和安全性的充分知识。

对互联网的狂热，加上缺乏了解，正导致敏感数据的暴露和对安全至关重要的系统的风险。错误配置或过时的操作系统、邮件程序、匿名FTP服务器或Web站点会导致入侵者可以利用的漏洞。即使一个用户的密码很容易猜到，也会增加组织的风险。

当供应商发布修补程序或升级以解决安全问题时，组织的系统不一定升级。为系统管理人员处理的工作可能太耗时或复杂。

由于管理人员不完全了解风险，他们既没有给予安全足够的优先级，也没有分配足够的资源。使问题恶化的是，对熟练系统管理员的需求远远超过了供应。培训只能解决部分问题。

缺乏全面的解决方案。

安全审计和评估往往只浏览技术表面，缺少主要漏洞。在安全意识的组织中，依赖于“银弹”解决方案，例如防火墙和加密。由于这些解决方案不是万无一失的，这些组织被禁止陷入虚假的安全感，并变得不那么警惕。

在开发水平，供应商也不寻求全面的解决方案。技术发展如此迅速发展，供应商专注于上市时间。直到他们的客户要求更安全的产品，情况不太可能发生变化。

今天能做些什么

虽然安全问题很复杂和增长，但有些步骤可以采取缓解风险。

支持全球检测机制的增长和使用;使用事件响应团队识别新的威胁和漏洞。

CERT / CC和其他响应小组在发现和处理漏洞和事件方面表现出有效性。持续运行和扩展开放，广域网将受益于更强大的反应团队和响应基础设施。

鼓励网络服务和基础设施提供商发展安全改进服务。

许多网络服务提供商在向客户提供安全服务方面处于有利地位。这些服务应包括帮助客户安装和操作安全的网络连接，以及迅速传播漏洞信息和纠正的机制。

建立项目，以提高安全问题的意识，并在政府机构和行业之间分享经验教训。金博宝正规网址

组织往往是脆弱的，因为他们没有意识到风险。遭受攻击的组织通常不愿意讨论他们的问题，因为害怕失去客户的信任。应该建立机制来支持对有关安全问题的数据进行消毒和传播，这些数据有助于网络社区了解整体问题的范围和成本。

支持开发全面，持续风险识别和缓解计划的技术。

网络运营商需要安全网络管理模型、安全评估技术和建立持续安全改进计划所需的技术的指导。这些计划必须与迅速变化的威胁和技术保持同步，必须强烈强调技术，必须成为常规实践的一部分，而不是简单的、针对静态政策的定期审计。

对用户和系统管理员进行安全培训。

建设，运营和维护安全网络是困难的任务，很少有教育和培训计划，为人们准备履行这些任务。安全网络的持续运行需要更高水平的技能，而不是今天很明显。

使用可用的技术进行配置管理、网络管理、审计、入侵检测、防火墙、防护、包装和加密。

收购和运营组织必须认识到对能够有效应对安全威胁的技术的需要，并鼓励它们进行投资。

开发全面的系统/安全管理员的工具包。

收购和运营组织应推动市场以获得全面的安全工具包，支持网络管理员努力运行安全系统。虽然今天可以使用许多工具，但这些工具不提供安全问题的全面解决方案。只有当技术用户从计算机供应商要求它们时，才会开发全面的工具包。

未来的步骤

今天，在商业、研究和开发、娱乐、教育、政府、工业和学术组织的运作方面，互联网络的使用正在迅速增加;以及支持提供卫生和其他人类服务。虽然这种趋势有很多好处，但也有很多风险。过去用于保护系统的技术在无边界网络、移动计算、分布式应用程序和动态计算(我们开始看到JAVA等语言)的世界中不再有效。

为了实现这些新兴网络的前景，需要对无界域的安全体系结构和模型进行不断的研究;允许开发和操作足够健壮的系统，以检测和从攻击中恢复的技术;识别、修复和纠正操作系统中有缺陷的软件的技术和机制;以及能够检测广泛分布的攻击、诊断攻击技术以及快速开发和部署预防措施的操作模型和机制。

维持长期视图和投资研究系统和操作技术的研究，从而产生能够在保护敏感数据的同时存活攻击的网络是至关重要的。

附录A: CERT(sm)公告

下列咨询已达到迄今为止。可以找到咨询和其他安全信息的完整文本http://www.cert.org
CA-88:01.ftpd.hole
CA-89:01.passwd.hole
CA-89：02.sun.restore.hole
CA-89：03.Telnet.Breakin.Warning
CA-89:04.decnet.wank.worm
CA-89:05.ultrix3.0.hole
CA-89:06.ultrix3.0.update
CA-89:07.sun.rcp.vulnerability
CA-90:01.sun.sendmail.vulnerability
CA-90:02.intruder.warning
CA-90：03.unisys.Warning
CA-90：04.apollosuid.vulnerability
CA-90：05.sunselection.vulnerability
CA-90:06a.NeXT.vulnerability
CA-90：07.VMS.Analyze.vulnerability
CA-90:08.irix.mail
CA-90:09.vms.breakins.warning
CA-90:10.attack.rumour.warning
CA-90:1 l.Security.Probes
CA-90：12.sunos.tioccons.vulnerability
CA-91：ola.sunos.mail.vulnerability
。CA-91：02A.sunos.telnetd.vulnerability
CA-91:03.unauthorized.password.change.request
CA-91：04.Social.Engineering
CA-91:05.Ultrix.chroot.vulnerability
CA-91：06.NextStep.vulnerability
CA-91:07.SunOS.source.tape.vulnerability
CA-91：08.Systemv.Login.vulnerability
CA-91:09.SunOS.rpc.mountd.vulnerability
CA-91：10.sunos.ipd.vulnerability
CA-91:10a.SunOS.Ipd.vulnerability
CA-91：1 l.ultrix.lat-telnet.gateway.vulnerability
CA-91：12.trusted.hosts.configuration.vulnerability
CA-91:13.Ultrix.mail.vulnerability
CA-91：14.irix.mail.vulnerability
CA-91:15.NCSA.Telnet.vulnerability
CA-91：16.sunos.sparc.integer_division.vulnerability
CA-91:17.DECnet-Internet.Gateway.vulnerability
CA-91：18.active.internet.tftp.tftp.tacks
CA-91：19.aix.tftp.daemon.vulnerability
CA-91:20.rdist.vulnerability
CA-91：21.sunos.nfs.jumbo.and.fsirand
CA-91:22.SunOS.OpenWindows.vulnerability
CA-91:23.Apollo.crp.vulnerability
CA-92：01.nextStep.configuration.vulnerability
CA-92:02.Michelangelo.PC.virus.warning
CA-92:03.Internet.intruder.Activity
CA-92：04.Trexecd.vulnerability
CA-92:05.AIX.REXD.Daemon.vulnerability
CA-92:06.AIX.uucp.vulnerability
CA-92：07.AIX.PASSWD.vulnerability
CA-92:08.SGI.Ip.vulnerability
CA-92：09.AIX.ANONOMOUS.FTP.vulnerability
CA-92：1O：AIX.CRONTAB.vulnerability
CA-92:11: SunOS.Environment.vulnerability
CA-92：12.revised.sunos.rpc.mountd.vulnerability
CA-92:13.SunOS.NIS.vulnerability
CA-92：14.Altered.System.Binaries.incient
CA-92:15.Multiple.SunOS.vulnerabilities.patched
CA-92:16.VMS.Monitor.vulnerability
CA-92:17.HP.NIS.ypbind.vulnerability
CA-92：18.VMS.Monitor.vulnerability.update
CA-92:19.Keystroke.Logging.Banner.Notice
CA-92:20.Cisco.Access.List.vulnerability
CA-92:21.ConvexOS.vulnerabilities
CA-93：01.revised.hp.nis.ypbind.vulnerability
CA-93:02a.NeXT.NetInfo._writers.vulnerabilities
CA-93：03.Sunos.Permissions.vulnerability
CA-93：04A.amiga.finger.vulnerability
CA-93：05.openvms.axp.vulnerability
CA-93：06.Wuarchive.ftpd.vulnerability
CA-93：07.Cisco.Router.Packet.Handling.vulnerability
CA-93:08.SCO.passwd.Vulnerability
CA-93：09.Sunos.expreve.vulnerability
CA-93:09a.SunOS.expreserve.vulnerability
CA-93:10.anonymous.FTP.activity
CA-93：1 L.UMN.UNIX.Gopher.vulnerability
CA-93:12.Novell.LOGIN.EXE.vulnerability
CA-93:13.SCO.Home.Directory.Vulnerability
CA-93：14.Internet.Security.Scanner
CA-93:15.SunOS.and.Solaris.vulnerabilities
CA-93：16.sendmail.vulnerability
CA-93：16A.SENDMAIL.VULNERIALIAL.SUPPOSEMENT
CA-93：17.xterm.logging.vulnerability
CA-93：18.sunos.solbourne.loadmodule.modload.vulnerability
CA-94:01.ongoing.network.monitoring.attacks
CA-94：02.revised.patch.for.sunos.mountd.vulnerability
CA-94：03.aix.performance.tools
CA-94：04.Sunos.rdist.vulnerability
CA-94:05.MD5.checksums
CA-94：06.UTMP.vulnerability
CA-94:07.wuarchive.ftpd.trojan.horse
CA-94：08.FTPD.vulnerabilities
CA-94:09.bin.login.vulnerability
CA-94:10.IBM.AIX.bsh.vulnerability
ca - 94: il.majordomo.vulnerabilities
CA-94：12.SENDMAIL.VULNERABILITY
CA-94:13.SGI.IRIX.Help.Vulnerability
CA-94：14.TROJAN.HORSE.IN.IRC.CLIENT.FOR.UNIX
CA-94：15.nfs.vulnerabilities
CA-95:01.IP.spoofing.attacks.and.hijacked.terminal.connections
CA-95：02.BINMAIL.VULNERABILITY
CA-95：03.telnet.encryption.vulnerability
CA-95：03A.Telnet.encryption.vulnerability
CA-95:04.NCSA.http.daemon.for.unix.vulnerability
CA-95:05.sendmail.vulnerabilities
CA-95：06.Satan
CA-95：07.Vulnerability.in.satan。
CA-95:07a.REVISED.satan.vul
CA-95:08.sendmail.v.5.vulnerability
CA-95：09.Solaris.PS.vul
CA-95:10.ghostscript
CA-95:1l.sun.sendmail-oR.vul
CA-95：12.sun.loadModule.vul
CA-95：13.SYSLOG.VUL
CA-95:14。Telnetd_Environment_Vulnerability
CA-95：15.sgi.ip.vul
CA-95:16.wu-ftpd.vul
CA-95：17.rpc.yppupdated.vul
CA-95:18.widespread.attacks
ca - 96.0 l.udp_service_denial
CA-96.02.bind
ca-96.03.kerberos_4_key_server
ca-96.04.corrupt_info_from_servers.
。ca-96.05.java_applet_security_mgr.
CA-96.06.cgi_example_code
CA-96.07.java_bytecode_verifier
CA-96.08.pcnfsd
ca-96.09.rpc.statd.
CA-96.10.nis + _configuration
CA-96.1 L.ILTERPRERS_IN_CGI_BIN_DIR

附录B：第一个会员资格