 描述
强调安全事件发生时,产品没有记录的事件或省略了重要细节事件日志的时候。
扩展描述
当强调安全的事件不能正常登录,如失败的登录尝试,这可以让恶意行为更难以检测和攻击成功后可能会阻碍法医分析。
随着组织采用云存储资源,这些技术往往需要配置更改来启用详细的日志信息,因为详细的日志记录可以产生额外的成本。这可能导致遥测差距在关键的审计日志。例如,在Azure,日志记录的默认值是禁用的。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关观点“软件开发”(cwe - 699)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1210年 |
审计/日志记录错误 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
 相关视图”架构概念”(cwe - 1008)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1009年 |
审计 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 操作 |
委员会:这个弱点是指一个不正确的设计与架构相关的安全策略。 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
不可抵赖性
|
如果没有记录,安全重要信息不会有痕迹的法医分析和发现问题的原因或攻击的来源可能变得更加困难或不可能的。 |
|
利用的可能性
示范例子
示例1
下面的例子展示了一个配置服务的安全审计功能的Windows Communication Foundation (WCF)。
< system.serviceModel >
<行为>
< serviceBehaviors >
<行为name = " NewBehavior " >
< serviceSecurityAudit auditLogLocation =“默认”
suppressAuditFailure = " false "
serviceAuthorizationAuditLevel = "没有"
messageAuthenticationAuditLevel = "没有" / >
… < / system.serviceModel >
之前的配置文件实际上已经残疾的强调安全事件的记录,这将迫使管理员寻求其他来源在调试或恢复工作。
登录认证尝试失败可以提醒管理员潜在的蛮力攻击。类似地,记录成功的身份验证事件可以提供一个有用的审计跟踪,当一个合法的帐户是妥协。以下配置显示适当的设置,假设该网站并没有过多的流量,从而填补日志如果有大量的成功或失败事件(cwe - 779)。
< system.serviceModel >
<行为>
< serviceBehaviors >
<行为name = " NewBehavior " >
< serviceSecurityAudit auditLogLocation =“默认”
suppressAuditFailure = " false "
serviceAuthorizationAuditLevel = " SuccessAndFailure "
messageAuthenticationAuditLevel = " SuccessAndFailure " / >
… < / system.serviceModel >
示例2
在以下Java示例代码试图验证用户。如果登录失败重试。适当的限制登录尝试的数量当然是重试功能的一部分。不幸的是,失败的登录不记录,没有记录的敌人试图暴力破解程序。
如果LoginUser () {
/ /登录成功
调用(); 其他}{
/ /登录失败
LoginRetry (); }
建议登录失败的登录操作。注意,unneutralized用户名不应该日志消息的一部分,和密码不应该日志消息的一部分。
如果LoginUser () {
/ /登录成功
日志。警告(“用户登录成功。”);
调用(); 其他}{
/ /登录失败
日志。警告(由用户登录尝试失败了,再试一次。”);
LoginRetry (); }
示例3
考虑这个命令更新Azure的Blob存储日志服务,改编自(ref - 1307]:
阿兹存储日志更新帐户名称,账号密码——服务b——日志d——保留90年
”——日志d”部分的日志删除命令说。然而,参数不包括读和写的日志。将“rw”参数添加到日志参数将解决这个问题:
阿兹存储日志更新帐户名称,账号密码——服务b——日志rwd保留90年
启用Azure的存储分析日志以编程方式使用PowerShell:
Set-AzStorageServiceLoggingProperty -ServiceType队列-LoggingOperations读、写、删除-RetentionDays 5上下文MyContextObject美元
注意,这里,保留被限制在5天。
观察到的例子
| 参考 |
描述 |
|
|
服务器不登录身份验证尝试失败,使得攻击者更容易进行暴力破解密码猜测而不被发现 |
|
|
管理界面不认证尝试失败日志,方便执行密码暴力破解攻击者猜测而不被发现 |
|
|
流行的默认配置服务器不日志源IP或用户名登录尝试 |
|
|
代理没有日志请求URL中的“http://”,使网络用户能访问限制web内容没有检测 |
|
|
web服务器不为非标准请求日志请求类型 |
潜在的缓解措施
阶段:体系结构和设计
使用一个集中的日志记录机制,支持多个级别的细节。 |
实施阶段:
确保所有与安全相关的成功和失败都可以记录下来。云存储数据时(例如,AWS S3 bucket, Azure blob、谷歌云存储,等等),使用提供者的控件来启用和捕获详细的日志信息。 |
阶段:操作
一定要在生产环境中设置适当的日志级别。足够的数据应记录到使系统管理员能够检测攻击,诊断错误,从攻击中恢复过来。同时,日志太多数据( cwe - 779)会导致同样的问题,包括意想不到的成本在使用云环境。 |
阶段:操作
使存储日志使用Azure门户,导航到存储帐户的名称,定位监测(经典)部分,并选择诊断设置(经典)。对于每个不同的属性(blob、文件、表、队列),确保状态所需的日志数据的正确设置。如果使用PowerShell, Set-AzStorageServiceLoggingProperty命令可以使用适当的-ServiceType, -LoggingOperations, -RetentionDays参数。 |
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
引用
|
(ref - 62)马克·多德约翰麦克唐纳和贾斯汀Schuh。“软件安全评估的艺术”。第二章,“问责制”,40页。1版。艾迪生卫斯理》2006。 |
|
|
|
|
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关视图”架构概念”(cwe - 1008)
