干貨：Google開源的Bad USB防御工具

由于按鍵注入工具（BadUSB）的實(shí)用性和低價(jià)格，USB按鍵注入攻擊長(zhǎng)期以來一直是一個(gè)不可忽視的安全問題。這類攻擊能在人類眨眼之間內(nèi)運(yùn)行惡意命令，只要配合少許社會(huì)工程學(xué)，受害者實(shí)際上是完全意識(shí)不到攻擊的發(fā)生。這類技術(shù)最初的目的是為了簡(jiǎn)化系統(tǒng)管理員的任務(wù)，但攻擊者卻將其用于惡意目的，破壞他人的系統(tǒng)。以下是一個(gè)攻擊的例子，只需簡(jiǎn)單的payload即可完成（https://github.com/google/ukip）：

為了攔截這類攻擊，我們開發(fā)出了一種工具，它可以監(jiān)測(cè)按鍵輸入的時(shí)間，并根據(jù)預(yù)定義的啟發(fā)程序判斷它是否是惡意攻擊（不需要用戶參與決策）。與上面成功的“攻擊”視頻相比，下面展示在相同的payload下，防御系統(tǒng)是如何工作的（在命令注入到一半時(shí)，后續(xù)動(dòng)作被攔截）：

運(yùn)行模式

該工具提供兩種不同的操作模式：MONITOR和HARDENING。當(dāng)它在監(jiān)控模式下運(yùn)行時(shí)，它不會(huì)攔截被識(shí)別為惡意設(shè)備的動(dòng)作，但會(huì)向syslog寫入該設(shè)備的日志信息。如果它以強(qiáng)化模式運(yùn)行，就會(huì)立即阻止被歸類為惡意/攻擊的設(shè)備。該工具默認(rèn)是在強(qiáng)化模式下運(yùn)行。

細(xì)節(jié)

如果該工具在監(jiān)視模式下運(yùn)行，它就會(huì)將信息記錄到syslog。你可以通過以下命令簡(jiǎn)單地讀取日志數(shù)據(jù)：

journalctl -u ukip.service日志更重要意義在于，如果將它部署到網(wǎng)絡(luò)中的大量機(jī)器上，那么將每個(gè)syslog收集到一處進(jìn)行研究是有很有意義的。

啟發(fā)式

使用該工具時(shí)的一個(gè)挑戰(zhàn)是如何正確選擇兩個(gè)主要的控制變量：KEYSTROKE_WINDOW和ABNORMAL_TYPING，這兩個(gè)變量控制著該工具的行為及其檢測(cè)能力。第一個(gè)是設(shè)定監(jiān)測(cè)的擊鍵次數(shù)，以確定它是否為惡意攻擊。數(shù)字越低，陰性概率越高。如果數(shù)字為2，則該工具僅通過1個(gè)間隔時(shí)間（兩次擊鍵之間的時(shí)間）來判斷是否為攻擊。由于不少用戶打字時(shí)某一刻都會(huì)同時(shí)按下兩個(gè)鍵，這就導(dǎo)致誤判概率大大增加。

根據(jù)我們的內(nèi)部觀察，5是一個(gè)比較合理的值，但也應(yīng)根據(jù)不同的用戶以及實(shí)踐經(jīng)驗(yàn)和行為進(jìn)行調(diào)整。第二個(gè)變量代表多長(zhǎng)的按鍵間隔應(yīng)被歸類為惡意。更長(zhǎng)的間隔會(huì)出現(xiàn)更多的誤報(bào)（正常的打字速度也會(huì)被歸類為惡意），而較低的數(shù)字同樣也會(huì)出現(xiàn)誤報(bào)（即使是非?？斓拇蜃炙俣纫矔?huì)被歸類為正常）。雖然工具在初始安裝后預(yù)設(shè)了一個(gè)安全默認(rèn)值50000，但是使用者應(yīng)該根據(jù)用戶的實(shí)際打字速度設(shè)置合適的閾值。這主要可以通過兩種方式實(shí)現(xiàn)：1.通過使用各種工具計(jì)算打字速度；2.使用監(jiān)控模式運(yùn)行幾天（或者幾周），根據(jù)記錄逐步提高正確率。

運(yùn)行

Github上的README包含一個(gè)詳細(xì)的指南，如何設(shè)置該工具，如何將該工具作為systemd daemon運(yùn)行，如何在重新啟動(dòng)時(shí)自動(dòng)運(yùn)行。隨著時(shí)間的推移，你可能需要修改該工具的變量，這時(shí)只需調(diào)整/usr/sbin/ukip中的值，并重新啟動(dòng)守護(hù)進(jìn)程：

sudo systemctl restart ukip.service后續(xù)

需要說明的是，該工具并不是針對(duì)BadUSB攻擊的靈丹妙藥，因?yàn)楣粽呷绻梢越佑|受害者的機(jī)器，那這本身就是一件非常危險(xiǎn)的事，也許會(huì)有更糟糕的事情發(fā)生。該工具只是能輔助防護(hù)短暫離開電腦而又忘記鎖屏的用戶，他們或許可以根據(jù)日志記錄對(duì)某些惡意行為進(jìn)行溯源。而且BadUSB攻擊很難預(yù)防的原因之一是因?yàn)樗鼈兪峭ㄟ^USB（全球最廣泛的計(jì)算機(jī)外圍設(shè)備）進(jìn)行的，日常的工作交流中離不開它。

該工具可以與其他Linux安全工具（如USBGuard之類的開源項(xiàng)目）相互補(bǔ)充，從而使攻擊更難成功（該工具可定義可插入機(jī)器的設(shè)備以及USB生效的場(chǎng)景）。