據(jù)稱，自動(dòng)內(nèi)容交付網(wǎng)絡(luò)的數(shù)字簽名惡意軟件威脅呈上升趨勢(shì)，能否提供一些最佳做法來(lái)幫助我們保護(hù)CDN?

Kevin Beaver：攻擊者利用內(nèi)容交付網(wǎng)絡(luò)(CDN)就像利用泄露用戶賬戶的權(quán)限，這兩者沒(méi)有太大的不同。如果用戶通過(guò)身份驗(yàn)證(或者代碼獲得簽名)，無(wú)論他或她做什么(或者無(wú)論代碼在CDN的文件中代表什么)都是合法的，因?yàn)樗忻艽a—最低安全標(biāo)準(zhǔn)。

然而，我們已經(jīng)發(fā)展到了這樣的地步，即自簽名證書(shū)都不會(huì)被質(zhì)疑;只要部署了某種證書(shū)機(jī)制，連接和文件都被認(rèn)為是安全的。這是超額工作的員工(包括IT和安全人員)以及我們對(duì)即刻滿足的需求的副作用：我們現(xiàn)在需要它，我們就可以解決以后的任何后果。

最后，這歸結(jié)為信任問(wèn)題—但也超越了信任。我并不確定是否有比傳統(tǒng)方法更好的方法來(lái)保護(hù)CDN，這些傳統(tǒng)方法包括：惡意軟件掃描、內(nèi)容過(guò)濾以及類似的威脅情報(bào)來(lái)檢測(cè)和/或阻止問(wèn)題流量。有趣的是，我測(cè)試了幾個(gè)CDN環(huán)境的安全性，在可預(yù)見(jiàn)的情況下，每個(gè)環(huán)境都有幾個(gè)嚴(yán)重的安全漏洞(圍繞輸入驗(yàn)證和用戶會(huì)話管理)，這些漏洞可能進(jìn)一步導(dǎo)致不同類型的系統(tǒng)濫用。

為了確保來(lái)自CDN的文件的安全性，我們需要多層控制組(包括上述列出的那些)，以在檢測(cè)到惡意流量時(shí)分析和阻止這些流量。這種工作負(fù)擔(dān)落在最終用戶肩上(即對(duì)他們正在做的事情做出正確的決定)，并且需要企業(yè)IT或安全團(tuán)隊(duì)部署終端安全控制。因此，每個(gè)企業(yè)都可以靠自己有效地確保這些控制的部署。