“毁灭世界的力量”基于云计算的僵尸网络

云计算无疑是信息产业的一项重要革命,但是控管不好,也将为互联网带来巨大的灾难。昆明亭长朗然科技有限公司的安全研究员Bob Xue称:云计算可能会被僵尸网络利用,进而变成“毁灭世界的力量”。

传统中的僵尸网络往往有其命令与控制中心,即僵尸的老巢,互联网安全方面的专家一直致力于发现和捣毁这些老巢,进而把整个僵尸网络连根拔起。

处于僵尸网络控制顶端的超级黑客们在多次受到重创后,开始设立点对点的分布式僵尸网络,企图增加正义之师对其的打击难度,而安全专业人员显然不是巧妙地分析了分布式僵尸网络的命令传送特征,利用卧底僵尸来传播假命令,进而“一两拨千斤”,让点对点的分布式僵尸网络自动瓦解,这一招,不仅中断了僵尸之间通讯渠道,还修复了被黑客利用的相关安全漏洞。

顶级黑客们很受挫败,他们要卷土重来,企图东山再起,他们把眼光描向了云计算……

黑客们可以在短时间内创建数量庞大的虚拟僵尸系统,而根本不用费力气感染和摇控终端计算设备,云计算服务商的计算资源极其丰富,计算能力异常强大,而且多数交易是支持自助进行的。

所以,黑客现在不需要拉接或租用带宽线路,更不需要自行架设服务器系统,他们只需要打包好攻击程序,使用偷来的信用卡或Paypal帐户,快速购买云计算资源和创建用于进行网络攻击的虚拟系统。

互联网世界的末日真的快要到了吗?如何有效应对呢?亭长朗然公司Bob说:要有效防范黑客利用云计算发起大规模的攻击,需要多方协同工作。尽管对于个体组织来讲,基于云计算的僵尸网络攻击让人们防不胜防,但是必要的安全防范仍然不可或缺。

实际上,多数中小型组织不会成为顶级黑客们的攻击目标,但这并不表示中小企业可以高枕无忧,相反,中小企业很多互联网应用严重依赖大型的互联网厂家,这些大型的互联网厂商很容易成为黑客们的坚定目标。特别是同样租用云计算的中小企业,更容易受到“云攻击云”的严重伤害。

当人们谈到多方协作打击基于云计算的僵尸网络,往往会认为说起来容易,做起来难。由于利益的关系,某些云服务商和运营商可能并不愿意配合,这就让事情变得复杂,难以解决。最有效的解决方案是加强沟通和协调,不仅仅是经济利益上的平衡,更应该是信息安全意识理念的切磋。

举例讲,甲云计算服务商可能同甲电信运营商关系紧密,乙云计算服务商可能同乙电信运营商关系紧密,甲云计算客户对乙云计算客户发起分布式拒绝服务攻击,造成乙电信网络堵塞,运营商要赚云服务商的钱,云服务商要赚云计算客户的钱,这经济利益要如何平衡?

如果我们深陷进去,冤冤相报,不断以攻击对待攻击,我们终将难以自拔,并且只会造成越来越多的云计算用户、云计算服务商以及运营商变成黑客的帮凶,即使末日尚未来临,互联网世界也必将黯淡无光。

经过多年的发展,原本来管理全球及各地互联网的多数大型组织机构都已经名存实亡,沦为商业型的收费实体,所以,别想对它们抱太多幻想和期望。为什么说信息安全理念的切磋可以在云计算安全上帮上忙呢?这并非起源于人们对云计算及云安全理解的差异,而是多数人根本没有认识到云计算所面临,以及其可能带来的安全威胁。

这无疑是认知和理念层面的不足,要弥补这些,当然需要加强人们的信息安全意识,特别是云安全意识。只有和云计算相关的所有人的信息安全意识达到了必要的水平,顶级黑客们才会遇到“全民皆兵”的有效抵抗,此时,武艺再高强的黑客,也会被群众的大量口水给淹没的。

您可能还想问:为什么要让普通的云用户也了解云计算相关的信息安全基础理念呢?因为他们可能是黑客组织的目标、诱饵、人质甚至是僵尸。同时,他们也是云计算的最大买家,只有普通用户的安全意识得到了提升,云计算的安全才能被服务提供商真正重视起来。

简言之,要拯救世界,防止互联网的未来落入基于云计算的僵尸网络手中,需从人们的信息安全意识教育抓起。

不过Bob同时也表示:教育人们提升云计算安全意识并不容易,尤其是在云计算的用户大多懂些IT,几乎没有IT人会认为自己的信息安全意识水平低下,即使是经历了惨痛的安全事故教训,这些自大的IT人却仍然有可能觉得是自己运气不好,而刻意回避安全意识不够的根本原因。所以说“云计算可能会被僵尸网络利用,进而变成毁灭世界的力量”,并非危言耸听。

博客相继被黑给科技公司的启示

近期,科技公司博客站点被黑的案子越来越多,造成系统的用户邮箱及密码等信息失窃,相信会给上下游的其它科技公司带来一定的安全管理启示。

关注互联网安全新闻的朋友们应该知道一个常识,就是几乎每周都会有黑客攻击造成密码泄露的安全事故发生。

这些安全事故多数发生在国外,但并不表示国内的事件不多,因为法治严谨的发达国家多会严格规定各组织机构在受到黑客攻击之后要立即通知受影响客户,而相对自由独立的海外媒体会捕捉并公开这些“丑闻”,通过引导大众,进而给那些遭遇安全事故的组织以压力。

国内的组织机构往往担心遭受巨额索赔或罚款,或者怕给商业信誉带来不良影响而喜欢疏通政府和媒体关系,企图通过公关来捂住“丑闻”,进而希望将大事化小,小事化了。

在笔者的安全审计工作中,经常有碰到客户拿出一大堆安全管理文档和流程,但没有相关的记录,就安全事件响应流程方面,多数客户称组织内部并没有严重安全事故发生过,这令人哭不得。

事实上,任何组织难免都会遭遇安全事故,“不经历风雨,怎能见彩虹”,小孩在学习走路掌握身体平衡的过程中必定要经历一些摔打的,那些自称没有经历过严重信息安全事故的组织在安全管理方面肯定是不成熟的,因为成熟的安全事故响应体系会要求有详细的事故响应处理记录、根本原因分析以及防范再次发生的根治措施。没有这些记录或报告,是企图在表明安全运行状态一直很良好呢?还是在从侧面证明安全管理水平一直处于混沌而不成熟的状态呢?

当然,安全事故发生后的响应目标是将损失降至可能最低,这里面的损失最重要的是商业信誉,诚然,目前国内几家互联网公司的流氓黑社会行为很令人不齿,这主要原因是大量的用户都是互联网安全小白,他们缺乏辨识是非正误的能力,以便被绑架了都不知晓。

事实上,那些流氓黑社会尽管短期获得了所谓的“成功”,但一点都不受社会中坚阶层如白领精英们的尊重,随着社会大众的互联网安全意识的提升和中产阶级队伍的扩大,那些没有基本商业道德准则,不讲信誉的流氓行径会受到越来越多人的唾弃,不过我们似乎也应该相信,少部分黑社会也可能会在积累了血泪资本之后通过洗钱等手段而逐渐转向正路。

我们提到的这“正路”,是指尊重比较普世的商业价值,就互联网安全事故来讲,至少有一条,是善待客户,连客户网络帐户被窃的基本知情权都给剥夺了,还谈什么客户至上,提高服务质量,改进客户满意度,超越客户期望,给客户带来最佳体验……

在普世商业价值观的指导下,回到安全事故响应的目标,将可能的损失降至最低,降低谁的损失?有人们往往会错误地将自身和客户的利益对立起来,这是严重违背普世商业伦理的,就比如你不能以更低的价格向客户提供更好的产品或服务,不要坑蒙拐骗,最好在你能做到更有竞争力之前推荐客户去其他家。因为当今竞争激烈,尽管建立客户的忠诚度难,但是你的坑蒙拐骗行为可能无疑是在将难上加难。

当你提供的互联网服务出现问题时,比如用户的密码外泄时,应该马上响应、迅速通知受影响的用户,并在技术层面帮助用户挽回可能的损失,比如要求用户登录之后立即更改密码、加入手机验证码之类的多重身份验证机制、暂时锁定那些未修改密码和确认身份的帐户进行虚拟财产交易、加强异常登录监控等等,这些措施都能够给服务质量带来积极的影响,因为安全事故已经发生,用户能理解而且只能接受现实,良好的补救措施反而会给商业信誉加分。

更多的,就是分析事故发生的根本原因,制定防范措施,相信组织内部的管理和沟通协调不是大的问题。对外,在制定这些安全措施的同时,也需要加强对系统用户的安全意识教育和安全措施使用培训,昆明亭长朗然科技有限公司的安全咨询顾问James Dong认为有有几点是必需的:

1.教育用户密码安全,使用强健的密码,包含大小写字母、数字和特殊标点符号,这些正好也可以结合网站密码强度验证功能;避免和其它网站使用相同的密码;定期更改密码等等。

2.注意防范社交攻击和钓鱼攻击,犯罪分子可能会冒充各类身份使用各种下三滥的手段来入侵用户的大脑和计算终端,甚至包括冒充你的网站服务人员来实施诈骗,教育用户不要随意接收可疑文件或点击网络链接。

3.梳理沟通渠道和紧急情况响应指南,便于用户在发现异常或问题时及时报告,以便采取适当的安全响应措施。

4.注意社交网络安全,动态网站论坛和博客被黑的概率要远高于静态网站,社交网络里的一些互动内容更是不能轻易相信,也不要在社交网站发表可能会犯罪分子利用的言论。

最后相信您已经知道,网站、应用平台和数据的安全维护关键在科技公司,但记住最终客户的水准提升上来,才是保障商业流程安全的核心,因为最终用户的安全意识低下是整体商业流程中最严重的安全漏洞,最终用户可能也是网络犯罪等安全威胁所最为关注的目标,还是一个较为散漫的大群体。