2018-网络安_全实践指南_15页

网络安全实践指南：CPU熔断和幽灵漏洞防范指引总结

核心内容

本指南由全国信息安全标准化技术委员会发布，旨在帮助用户防范CPU熔断（Meltdown）和幽灵（Spectre）漏洞带来的安全风险。这两个漏洞源于CPU硬件设计缺陷，分别利用了乱序执行和推测执行技术，可能导致敏感信息泄露。指南总结了相关厂商的缓解措施，并提供了防范建议和补丁链接。

主要观点

• 漏洞特性：熔断和幽灵漏洞均属于CPU级安全漏洞，主要影响内存隔离机制，允许恶意程序越权访问数据，但不能直接修改数据，远程利用难度较大。
• 影响范围：
  • 熔断漏洞影响几乎所有的Intel CPU和部分ARM CPU。
  • 幽灵漏洞影响所有Intel、AMD CPU以及部分ARM CPU。
• 风险分析：
  • 云服务提供商、服务器用户、云租户和个人用户均可能受到威胁。
  • 云平台和互联网服务器面临更高的攻击风险。
  • 现有补丁可能导致系统性能下降或业务中断，需谨慎评估。
• 升级建议：
  • 云服务提供商应协同供应商制定升级方案，采用热迁移技术减少业务影响。
  • 服务器用户需在升级前做好备份，评估固件和操作系统更新的影响。
  • 云租户应关注云服务商公告，评估自身业务影响并制定升级计划。
  • 个人用户应关注系统和浏览器厂商的安全公告，及时更新补丁，提高安全意识。

关键信息

漏洞概述

• 熔断漏洞（Meltdown, CVE-2017-5754）：利用乱序执行技术破坏内存隔离，允许越权访问操作系统内存。
• 幽灵漏洞（Spectre, CVE-2017-5715, CVE-2017-5753）：利用推测执行技术破坏逻辑隔离，可能导致其他应用程序数据泄露。

补丁升级风险

• 变种1（CVE-2017-5753）：需更新操作系统，影响业务连续性，但性能影响较小，云平台可通过热迁移实现升级。
• 变种2（CVE-2017-5715）：需更新固件和操作系统，影响业务连续性，性能影响较小，云平台可通过热迁移实现升级。
• 变种3（CVE-2017-5754）：需重启操作系统，影响业务连续性，对I/O密集型业务影响较大。

防范指引

• 云服务提供商：
  • 升级前需联系供应商，制定方案并进行测试。
  • 采用热迁移技术减少业务中断。
  • 关注开源社区安全公告，参考产业实践进行升级。
• 服务器用户：
  • 制定升级方案，做好系统和数据备份。
  • 评估是否需要升级固件，根据操作系统类型下载对应补丁。
• 云租户：
  • 关注云服务商公告，评估自身系统和应用影响。
  • 制定升级计划，执行前做好数据备份。
• 个人用户：
  • 及时更新系统和浏览器补丁。
  • 安装并更新防病毒软件，避免访问不信任网站和点击不明链接。

补丁链接（附录A）

建议

• 用户应根据自身业务情况，评估补丁升级风险。
• 升级后应持续监控系统性能和稳定性，如发现异常，应恢复至升级前状态。
• 保持对厂商安全公告的关注，及时获取最新补丁和防护建议。