网络安 全实践指南.pdf

: .
TC260-PG-20181A
意JavaScript）
攻击用户浏览器，可读取个人用户的浏览器数据，导致用户
账号、密码、邮箱、cookie等信息泄漏。该恶意脚本可能是
个人用户通过浏览器访问恶意网站时，下载到本地执行并感
染的。
目前，熔断和幽灵漏洞的利用代码已披露，但尚未监测
到利用这两类漏洞的真实攻击案例。主流厂商已开始积极应
对，纷纷推出漏洞补丁，主流云服务提供商也已经评估风险，
并按计划进行升级。
22. 升级风险分析
熔断漏洞和幽灵漏洞的补丁升级过程可能需要重启系
统，会影响到用户业务的连续性。当前厂商提供的漏洞补丁
普遍存在导致系统性能下降或影响稳定性等问题。
针对熔断和幽灵漏洞的 3 个变种，其补丁升级过程存在
一定风险：
（1）变种 1（CVE-2017-5753，绕过边界检查型漏洞）
的补丁升级需要更新操作系统，会影响业务的连续性，但对
性能影响可以忽略不计。其中，云服务提供商可通过热迁移
技术实现补丁升级，不需重启操作系统。
（2）变种 2（CVE-2017-5715，分支预测注入型漏洞）
的补丁升级需要更新固件和操作系统，会影响业务连续性，
性能影响较小。其中，云服务提供商可通过热迁移技术实现
补丁升级，不需重启操作系统。
（3）变种 3（CVE-2017-5754，乱序执行的 CPU 缓存污
染型漏洞）的补丁升级需要重启操作系统，会影响业务连续
性，对 I/O 密集型业务系统的性能影响较大，对计算密集型
业务系统的性能影响较小。
用户应充分评估漏洞补丁升级风险对业务的影响，重点
关注补丁升级会造成的业务连续性中断和性能下降等风险。
三、漏洞防范指引
本实践指南主要为云服务提供商、服务器用户、云租户
3和个人用户提供漏洞防范指引，以帮助用户防范熔断和幽灵
漏洞，控制漏洞补丁升级所带来的负面影响。政府门户网站
和政务信息系统，以及金融、能源、交通等行业信息系统，
可根据其业务部署模式制定相应的升级方案。关于本实践指
南中涉及的部分厂商官方补丁，请参见附录 A。升级完成后，
建议用户对业务进行持续监控和性能评估，当发现升级失
败、升级后业务不稳定、性能急剧下降等问题时，恢复系统
到补丁升级前状态。
1. 云服务提供商
云服务提供商对云平台的补丁升级主要包括固件升级
和云平台软件升级两部分。云服务提供商应在升级前联系云
平台软硬件供应商，协同制定补丁升级方案，并密切关注相
关开源社区安全公告。
（1）升级准备。应制定完整的云平台升级和测试验证
方案，进行充分的测试，分析性能损耗、稳定性等情况，评
估相关安全风险。应发布正式升级公告，告知云租户关于平
台升级的具体时间点、升级可能带来的业务中断等风险，并
为云租户自身应负责的补丁升级工作提供有效指导。
（2）升级实施。包括固件和云平台软件补丁升级。在
升级前采用热迁移技术将云租户业务迁移到备用服务器。
——固件升级：目前主流 CPU 厂商提供了部分 CPU 的
固件补丁，升级时需要寻求设备厂商足够技术支持，确认固
4件补丁版本，从设备厂商官方网站下载相应补丁，实施升级。
——云平台软件升级：对于使用商业虚拟化产品的云平
台，建议在平台软件供应商（如 VMWare、Xen Server、
Hyper-V 等）的指导下完成升级工作。对于使用开源虚拟化
技术实现的云平台，应关注对应的开源社区（如 Xen 和
Qemu-KVM），及时获取最新的补丁源码及升级指南。在综
合考虑补丁风险、性能损耗因素后，参考产业优秀实践，确
定可行的升级技术，明确升级流程，充分结合自身特点制定
系统升级及失败恢复方案，有序开展升级工作。
2. 服务器用户
服务器用户升级主要包括固件、操作系统（含虚拟化