黑客公司都被“黑”了 信息安全要怎么保障

霍光

[“正面的经济回报一定没有黑产能提供的多，但出于内心的正义，或是担心与黑产交易产生的风险，有这样的机制，就不会让好孩子变成坏孩子。”]

当信息安全军备竞赛不断升级，网络攻击像核武器一样无法防御时，我们还能做什么？

今年7月，意大利黑客公司Hacking Team被黑，其400GB资料外泄，引起了黑客界的轩然大波。“这400GB内容让整个黑客界的技术水平前进了两年。”中国台湾黑客组织HITCON领队与竞赛负责人李伦铨如是评价这次事件。

Hacking Team泄露的数据中，包括其开发的能够监控几乎所有桌面计算机和智能手机的监听软件，以及为实现监控而搜集的大量零日漏洞(0day，未经公开、没有修补程序的漏洞)。更惊人的是，数据中还有若干国家政府与其交易的信息存档。“Hacking Team让圈内人惊叹，原来只是知道漏洞可以卖，现在才知道居然还可以合法地卖。”李伦铨调侃道。

“今天，有目的的黑客攻击只靠技术来防御已经远远不够。”曾任美国中央情报局CTO的Bob Flores对《第一财经日报》表示，最可怕的是，很多公司在资料外泄时，还没有意识到已经被攻破了。“最重要的，应该是在事情发生后的应变。”

防不胜防的攻击

今年4月，美国人事管理局遭到攻击，超过400万的政府雇员数据遭到泄露。“现在，确认的泄露资料数字已经刷新到2100万笔。”Bob Flores说。

可怕的是，这次入侵其实在两年之前就已发生了。Bob Flores表示，对美国人事管理局的入侵“只是最近才被发现和公开”。这起入侵是通过窃取美国人事管理局的信息系统承包商的电脑来切入的。

“2013年起，我们进行了一个调查，采样了台湾企业的1216台服务器，结果显示，平均攻击潜伏时间(从黑客入侵成功到入侵被发现的时间)达到了559天，极端案例超过了2000天。”趋势科技台湾暨香港区总经理洪伟淦向《第一财经日报》记者表示。

如果说早期黑客的攻击主要是以政府机关为目标，那么最近几年，越来越多的入侵事件已经转移到商业机密的窃取上。对于这种有目标的持续性攻击，防范是非常困难的。目前，业内将这种攻击方式称为APT(Advanced Persistent Threat，高级持续性威胁)。APT的实施者会试图通过钓鱼邮件、网站，以及各种漏洞等一切方式尝试入侵目标的信息系统，获取管理员权限并潜伏其中，伺机进行破坏或资料窃取。

2013年发生在韩国的事件是一个典型的APT攻击案例。2013年3月20日，韩国KBS、MBC、YTN等主要广播电视台以及新韩银行(Shinhan Bank)、农协银行、济州银行等商业银行的计算机网络全面瘫痪，三大电视台画面被控，韩国大量民众遭遇到无法在ATM取现，也无法用信用卡消费的窘境。事后调查发现，这起攻击经过至少8个月的策划，至少6台相关计算机设备从2012年6月就已经被入侵，黑客植入的恶意程序达76种，超过4.8万台设备遭攻击。

趋势科技全球研发长暨大中华区执行总裁张伟钦介绍，APT攻击通常会在被入侵设备上植入后门，在需要发动时，从黑客的“指挥中心”向这些设备发送指令，完成指定的操作。“这些后门可以很容易地写出大量的变种，查杀是查杀不过来的，但掐断了指挥中心与后门之间的联系，后门收不到指令，也就无害化了。”张伟钦笑着说，趋势还会去购买一些被发现的指挥中心信息加入到趋势产品中，从指挥中心方面去防范APT。

“美国人事管理局公布的数据，它们在4月一个月当中，系统遭攻击的次数就达到3.08亿次，你说有多少病毒侵入了它们的系统？”Bob Flores说，“美国人事管理局的信息安全保护是用所谓的病毒特征方式进行防护，所以它只能侦测已知威胁，没有办法防范未知入侵。最糟糕的是，他们虽然有入侵侦测系统，但没有合理的防护措施，所以东西(黑客)进来他们知道，但没有办法把它(黑客)挡下来，人事资料也没有加密，所以人家一进来就偷走了。”

“最重要的是，你必须知道公司哪些资料是你要优先保护的；还要建立一个处理事件应变的小组；，还要教育你的员工如何防范风险，发现有问题了要报告给谁来处理。”Bob Flores如是说。

　　防止人才“黑化”

在防范入侵的，一个问题也让人深思到底为何这么多“天才”会选择进入黑客产业链？

黑客在很多人心目中是比较神秘的，李伦铨却表示，黑客其实也是普通人，只不过掌握了很多专业的技能。“给他们一个好的环境，他们就不会流失到黑产中；让更多的人留在正面去研究怎么防范攻击，而不是成为攻击者，这是应对安全问题最釜底抽薪的办法。”所以，他也戏谑地将HITCON称为“义工”组织。“我们是义工。”他反复地跟记者重复这句话，面带微笑。

“其实每个黑客都曾经是一个天真的孩子。”李伦铨给记者讲述了一个故事。曾经，一个年轻的黑客发现了雅虎的一个漏洞，出于正义的本性，他将这个漏洞发送给了雅虎的技术人员，雅虎却迟迟没有做出回应，后来，久候雅虎答复不至的他收到了他联系的雅虎技术人员个人送给他的一件T恤，于是他在T恤胸前写上了这样的字样表达他的不满“I reported a bug to Yahoo and all I got was this t-shirt。”(我向雅虎上报了一个漏洞，这件T恤是我得到的全部回报。)

“Hacking Team这样的组织，将监控程序销售给各国政府可以获取上百万美元的回报，因而也可以出数万甚至更高的价格去收购0day漏洞；与此，企业却往往没有意识到漏洞的价值，对上报者不闻不问。”李伦铨表示，这也许是很多黑客被吸引到暗面的原因——不仅有高额回报，有能够获得认可的感觉。

李伦铨现在担任台湾黑客年会HITCON的组织者，也会以HITCON的名义，作为领队组织台湾的黑客去参与国际上的一些黑客大赛。“我认识的黑客都是比较正派的。”他介绍，HITCON平时也是比较松散的，成员各自有各自的生活，“平常除了吃饭我们也没有其他事情，大家都很忙。我们很少会聚集。”他所做的，就是鼓励大家，树立一些目标，让大家联合起来，有一个方向去努力。

除了HITCON成员，李伦铨也接触过各国的一些其他黑客，不过并不频繁。“美国，或者中国大陆太大了，见面就要坐飞机，所以很少见。”他向记者表示，在一些重大活动上，他们会见面，不过很多人只知道绰号，黑客彼此之间也有一些神秘感。他表示，他认识的黑客，包括中国台湾、中国大陆的一些知名黑客，基本都能抗拒黑产的诱惑。“大家都是技术人才，很单纯。”不过，他也不忘笑着补上一句，“我也知道非常多抗拒不住的人，他们也不会跟你讲。”