實習單位 :關貿網路股份有限公司 資安整合服務部 服務課
指導教授 :張國忠
實習內容
例行性作業
預警新聞
實習生固定星期一三五都要觀看IThome和TWCERT資安新聞還有Microsoft安全更新,與網頁攻擊資訊網站Zone-H,查看是否有國內(.tw)網站遭攻擊,以及檢視其他資安相關新聞與事件。若有重大的資安新聞和安全性更新的話,則要撰寫資安預警與更新通報的郵件給客戶。
網站/系統弱點掃描報告彙整
有許多網站弱點掃描專案(年度)都已經規劃好,分布在各月份必須依照排程進度完成,有時也會有公司內部同仁臨時申請的專案網站弱點掃描,因此必須事先寄信或電話聯絡好各個專案經理,向他們確認專案網站弱點掃描的相關資訊及掃描時間,確認所要掃描的標的可以連接至伺服器,設定好環境後,按下確認執行網站弱點掃描。經過手動驗證弱點後,協助產出PDF及XML報告。
系統弱掃防火牆申請
弱掃負責人會統計年度須進行的系統弱點掃描,並規劃時程,實習生需在每月的規定時間內協助弱掃負責人填寫防火牆申請單,以利專案的進行。
SOC資安監控報告
每月會與專案助理討論月報相關事項,並進行分工。資安監控月報是對客戶相當重要的資安相關防護成果的展現,包括防護阻擋成效、資安事件處理說明、資安預警統計。
每月在二線人員產出相關報告後,由實習生進行製圖、數字的替換以及預警統計,並交由分析人員針對報告中的數據進行專業的資安分析,最後交由PM檢查並交給客戶。
設定系統弱點掃描執行
視專案需求
(一)執行前作業
公司內部每季每月都會有專案需要執行系統弱點掃瞄作業,此時要先跟各專案PM確認需要掃描的IP資訊,之後須上公司內部員工網填寫開通防火牆單跟系統弱點掃執行單,之後須進行確認IP資訊是否有通,使用Ping指令去測試或是用Nmap -sn,也可以使用iPScan用圖像化顯示結果,若是沒人使用或掛點,則會顯示為紅色。之後也需寄信通知相關作業人員執行。
(二)執行方式
用Nessus工具進行弱點掃描,產出相關專案報告,交由技術人員做判定,後續修補或是重掃。
以下圖片為Nessus 工具
設定網站弱點掃描執行
公司目前使用HCL AppScan Standard,以黑箱方式進行測試,對系統/網站各種功能進行安全性測試。
網站弱掃執行前須先發信告知PM跟營運、資安部門。
最後掃描完成後要執行人工驗證才能將安全報告產出,示範其中一項使用Nmap指令,驗證TLS協定是否有使用1.2以上,查看是否誤判弱點。
IOS逆向工程
IOS使用Hopper Disassembler,先將IOS APP匯出ipa檔,之後放入ipa檔就可以逆向
ANDROID逆向工程
Android使用jd-gui進行反編譯,檢查行動應用程式之程式碼與行動應用程式安裝檔內其他檔案,是否未檢出密碼、身分驗證資訊或對稱式加解密演算法之金鑰。
BURP SUITE
Burp Suite 是一個用於測試網絡應用程式安全性的圖形化工具,需先設定跟手機同個網域,且手機也須設定代理伺服器,之後就開始攔封包,查看是否有使用使用憑證綁定(Certificate Pinning)方式驗證,以及是否使用交談識別碼。
WIRESHARK
WireShark 網路封包分析軟體的功能是截取網路封包,並盡可能顯示出最為詳細的網路封包資料。我通常用來檢測APP是否有使用TLS1.2以上的版本或是找尋APP Domain跟IP。