https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/
https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/

觀點

電源轉接器?實體滲透測試推新品

2012 / 03 / 05
吳依恂
電源轉接器?實體滲透測試推新品

它長的就像個普通的電源轉接器,白色造型上甚至還有類似環保能源標章的圖樣,既不起眼也讓人不以為意。事實上,它卻是國外一家公司Pwnie Express推出的滲透測試新產品-Pwn Plug。它的體積小,而且運算功能比無線路由器好,還提供了各種有線、無線的連線方式,有些時候甚至只要假裝是印表機維修人員插在網路孔上就可輕易連接到企業內網,是一種透過實體滲透內網的方式。該公司是第一家將此類工具產品化、商業化,使得大家都能夠簡易取得與運用的公司,該公司也在RSA 2012資安大會上首度推出該新品。


圖片來源:http://www.pwnieexpress.com/eliteplug.html

該公司CEO兼技術長Dave Porcello表示,有些ISP業者會用它來做遠端控管並且解決網路問題,這種工具亦可用於端點很多卻沒有太多IT人力的零售業。他舉了美國銀行的例子,是把Pwn Plug寄給該銀行的區域辦事處並且讓銀行經理將之連入網路,好讓總部資安人員可以進行滲透測試,檢查網路漏洞;他透露甚至還有來自美國《財富》雜誌(Fortune)前50大公司、國防部的訂單。

過去很多人常以為內外網隔離就夠安全,資安研究員翁浩正表示,在資安研究當中,這種東西並不是首次出現,這種設備的製作並不困難,只是過去並未有產品出現,不過,企業意識的薄弱還是會讓蓄意攻擊者有機可趁。他認為,量產成商品後,更有可能會被壞人拿來利用,例如假裝是維修工,插入設備後就可以堂而皇之的連到內網。他也建議無線網路的public/private一定要切割,不能互連,以防陌生設備連入內網,並且應對網路孔確實控管。