大年夜大都Web瀏覽器用戶都期看瀏覽器擴(kuò)大法度、插件和瀏覽器幫忙者對(duì)象(BHO)能供給一些便當(dāng)。
不幸的是，這些附加產(chǎn)品經(jīng)由過程將組件添加到瀏覽器的默許功能來進(jìn)步出產(chǎn)力的同時(shí)，同樣成為歹意報(bào)復(fù)打擊者的首要報(bào)復(fù)打擊方針。因?yàn)槠髽I(yè)在修補(bǔ)和更新插件和擴(kuò)大法度方面的能力遍及較差，所以瀏覽器就成了終端最脆弱的報(bào)復(fù)打擊方針。對(duì)終端環(huán)境來講，大年夜大都企業(yè)的補(bǔ)丁周期是兩到三個(gè)月，這個(gè)周期很長(zhǎng)乃至于企業(yè)不克不及及時(shí)地跟上操縱瀏覽器擴(kuò)大法度和插件縫隙的報(bào)復(fù)打擊組件。
在本文中，我們將切磋Web瀏覽器擴(kuò)大法度在普及水安然安靜功能完美兩方面的成長(zhǎng)，和它對(duì)固有環(huán)境的威脅和若何減緩這類狀況。
當(dāng)然良多熱點(diǎn)的附加組件是由馳名供給商所開辟，可是任何人都可以寫一段代碼讓這些組件成為傳遞歹意的暗藏東西。過往，歹意瀏覽器擴(kuò)大法度經(jīng)由過程在網(wǎng)站插進(jìn)子虛告白或挾持搜刮查詢，來進(jìn)行點(diǎn)擊訛詐。例如，安然研究員Zoltan Balazs開辟了一個(gè)可以點(diǎn)竄網(wǎng)頁(yè)，下載并履行文件，挾持賬戶和繞過雙身分身份認(rèn)證的瀏覽器擴(kuò)大法度。傳染了這個(gè)擴(kuò)大法度的瀏覽器會(huì)被節(jié)制，就像一個(gè)僵尸客戶端：這個(gè)擴(kuò)大法度領(lǐng)受指令并且將信息發(fā)送給報(bào)復(fù)打擊者。因?yàn)楦鶕?jù)瀏覽器倡議的HTTP通信數(shù)據(jù)看起來是正常的，那么對(duì)本地或收集防火墻來講，很難發(fā)現(xiàn)并禁止這個(gè)歹意軟件。
瀏覽器旨在為用戶供給一些擴(kuò)大法度權(quán)限節(jié)制，可是凡是會(huì)因?yàn)榇至６劝莺蚬?jié)制而被報(bào)復(fù)打擊，別的，用戶老是對(duì)各類附加產(chǎn)品授予權(quán)限，危險(xiǎn)意識(shí)不足。永久不要只是因?yàn)橐粋€(gè)附加產(chǎn)品托管在官方擴(kuò)大法度庫(kù)中，就想當(dāng)然覺得它是安然的。雖然大年夜大都附加產(chǎn)品在推出之前都要顛末審查，可是背反瀏覽器開辟者法度政策的歹意擴(kuò)大法度其實(shí)良多見。好比，提交給蘋果擴(kuò)大法度庫(kù)的蘋果Safari擴(kuò)大法度其實(shí)托管在一個(gè)外部位置，而Mozilla Firefox承諾來自第三方網(wǎng)站擴(kuò)大法度的安裝。
當(dāng)審查要安裝在企業(yè)的擴(kuò)大法度時(shí)，始終服膺擴(kuò)大法度可以拜候的資本類型和數(shù)據(jù)發(fā)送的方針位置。雖然谷歌為Chrome瀏覽器擴(kuò)大法度設(shè)定了風(fēng)險(xiǎn)等第，并且谷歌比來方才發(fā)布將收緊限制，使基于Windows的擴(kuò)大法度只能經(jīng)由過程Chrome Web商鋪來添加，可是治理員仍是應(yīng)當(dāng)完成他們本身的評(píng)估。對(duì)待肆意擴(kuò)大法度都應(yīng)當(dāng)高度謹(jǐn)嚴(yán)，做到以下要求：
· 與本地文件交互
· 與Windows注冊(cè)表交互
· 與cookies交互
· 拜候肆意瀏覽器選項(xiàng)卡或窗口
· 履行用戶的shell指令
沙盒插件應(yīng)當(dāng)老是優(yōu)于非沙盒插件，因?yàn)楹笳呤窃谟脩舻奶貦?quán)級(jí)別下運(yùn)行，可能拜候到如系統(tǒng)文件或收集資本。在企業(yè)中，肆意需要高特權(quán)拜候的擴(kuò)大法度或插件假定想要被承諾，其只能是一個(gè)大年夜的營(yíng)業(yè)案件并且風(fēng)險(xiǎn)評(píng)估覺得其是盡對(duì)需要的。
瀏覽器應(yīng)當(dāng)始終開啟主動(dòng)更新選項(xiàng)，可是要知道其實(shí)不是所有插件城市主動(dòng)更新。例如，Chrome會(huì)主動(dòng)更新Adobe Flash插件，可是大年夜部門其它擴(kuò)大法度需要經(jīng)由過程運(yùn)行相干產(chǎn)品的安裝法度進(jìn)行更新。建議避免運(yùn)行已顛末時(shí)的插件，如許有助于確保企業(yè)的修復(fù)策略，包含瀏覽器擴(kuò)大法度和插件。企業(yè)可能考慮實(shí)施審計(jì)東西，如Secunia CSI 7.0或Qualys BrowserCheck，這些可以掃描常見的瀏覽器插件，并肯定它們是不是需要更新。
同時(shí)，良多瀏覽器廠商都試圖進(jìn)步附加產(chǎn)品的安然性。Chrome瀏覽器不再承諾靜默擴(kuò)大法度安裝，這和IE瀏覽器的Protected Mode、Firefox的擴(kuò)大法度節(jié)制近似，這些都不承諾靜默擴(kuò)大法度安裝。在勾當(dāng)目次(Active Directory)環(huán)境中，組策略(Group Policy)供給一套周全的設(shè)置來治理Windows IE8，包含啟用或禁用ActiveX空間和限制擴(kuò)大法度安裝或運(yùn)行的能力。FirefoxADM也能夠產(chǎn)生安然組策略對(duì)象(GPO)來治理安裝設(shè)置。雖然Chrome瀏覽器有安裝模版，仍是要手動(dòng)成立GPO來擺設(shè)一個(gè)Windows域。
為了成功的降落擴(kuò)大法度風(fēng)險(xiǎn)，保舉將所有的插件列進(jìn)黑名單，然后選擇性地添加一些需要的插件進(jìn)進(jìn)白名單。需要降落風(fēng)險(xiǎn)狀況的企業(yè)應(yīng)當(dāng)也要考慮斷根最遍及遭到報(bào)復(fù)打擊的插件，將其從所有計(jì)較機(jī)上完全卸載，除非營(yíng)業(yè)利用法度對(duì)其有火急需求。Java作為最遍及的插件方針對(duì)象，應(yīng)當(dāng)被考慮到。第二最多見被操縱的方針利用法度是Adobe Reader.企業(yè)可能考慮到利用替代品，如利用集成在Firefox瀏覽器的Mozilla PDF 瀏覽器來替代Adobe版本。
瀏覽器擴(kuò)大法度的風(fēng)險(xiǎn)是很是實(shí)際的。企業(yè)和終端用戶都需要很是當(dāng)真地對(duì)待這些威脅。安裝意識(shí)培訓(xùn)應(yīng)當(dāng)夸大年夜擴(kuò)大法度可以暗藏地拜候?yàn)g覽器中的一切，所稀有據(jù)、暗碼和瀏覽的網(wǎng)站。還應(yīng)當(dāng)寄望的是，用戶永久不該該安裝未知擴(kuò)大法度，承諾肆意掉控插件的安裝可能會(huì)進(jìn)步收集的整體報(bào)復(fù)打擊面，并讓用戶和收集對(duì)傳染和數(shù)據(jù)丟掉無防御.