[论文解读] Breaking the Target: An Analysis of Target Data Breach and Lessons Learned

Xiaokui Shu, Ke Tian+2 more|arXiv (Cornell University)|Jan 18, 2017

Advanced Malware Detection Techniques参考文献 4被引用 44

一句话总结

本文对2013年塔吉特（Target）数据泄露事件进行了详尽的技术与法律分析，该事件导致4000万张信用卡号和7000万份个人记录泄露。文章剖析了BlackPOS恶意软件，审视了警报处理与网络分段方面的系统性失败，并提出了三项安全准则——支付系统完整性、有效警报设计与网络分段——同时倡导采用EMV与令牌化技术以提升信用卡安全。

ABSTRACT

This paper investigates and examines the events leading up to the second most devastating data breach in history: the attack on the Target Corporation. It includes a thorough step-by-step analysis of this attack and a comprehensive anatomy of the malware named BlackPOS. Also, this paper provides insight into the legal aspect of cybercrimes, along with a prosecution and sentence example of the well-known TJX case. Furthermore, we point out an urgent need for improving security mechanisms in existing systems of merchants and propose three security guidelines and defenses. Credit card security is discussed at the end of the paper with several best practices given to customers to hide their card information in purchase transactions.

研究动机与目标

• 分析导致2013年塔吉特数据泄露事件的技术与程序性失败，该事件是历史上规模最大的数据泄露之一。
• 剖析BlackPOS恶意软件的设计、规避技术与数据外泄机制。
• 评估调查与起诉网络犯罪所面临的挑战，以TJX公司数据泄露案作为法律先例。
• 提出基于证据的、可操作的安全准则，供商家用于强化支付终端系统。
• 评估当前信用卡安全技术（如EMV与令牌化）的效能，并为客户提供最佳实践建议。

提出的方法

• 基于2013年11月的公开报告与事件日志，对漏洞事件进行基于时间线的重建。
• 通过逆向工程与行为分析，深入理解BlackPOS恶意软件的隐蔽性与数据外泄方法。
• 评估现有安全工具（如FireEye）的有效性，并识别出配置错误与警报疲劳为关键失败点。
• 提出三项安全准则：强化支付系统完整性、设计有效警报系统、实施合理的网络分段。
• 审查EMV与令牌化技术，分析其在防范“持卡人在场”与“持卡人不在场”欺诈中的优势与局限。
• 提供客户层面的最佳实践建议，包括通过PayPal、Apple Pay使用一次性令牌，以及从银行获取虚拟卡号。

实验结果

研究问题

• RQ1 攻击者如何最初获得对塔吉特网络的访问权限，并在数周内保持隐蔽？
• RQ2 哪些技术特性使BlackPOS恶意软件能够有效规避检测并外泄数据？
• RQ3 尽管已部署，为何像FireEye这样的现有安全工具仍未能阻止此次泄露？
• RQ4 在大规模数据泄露事件中，哪些法律与调查挑战阻碍了对网络罪犯的起诉？
• RQ5 当前信用卡安全机制（如EMV与令牌化）在降低数据泄露风险方面的有效性如何？

主要发现

• 此次泄露源于第三方供应商（Fazio Mechanical Services）被攻破，为攻击者提供了初始网络访问权限。
• BlackPOS恶意软件专门设计用于通过禁用安全工具并以小段加密形式外泄数据来规避检测。
• FireEye与Symantec发出的多个警报被忽略或配置错误，表明安全监控与响应存在系统性缺陷。
• 网络分段措施不足，导致攻击者能从初始入侵点横向移动至支付系统。
• EMV技术虽提升了面对面交易的安全性，但仍易受无密码攻击与终端篡改的影响。
• 令牌化通过将真实卡号替换为一次性、商户专用的令牌，显著降低暴露风险，尤其在使用PayPal或Apple Pay等服务时效果更佳。