开发者的安全意识

计算机安全,随着历史的进程,曾被称过系统安全、开发安全、软件安全、信息安全等等,最近被称为网络安全,是计算机系统的属性。系统构建者关注的主要属性是正确性,他们希望他们的系统表现如预期的情况一样。

如果我正在开发一个银行网站,我所关心的是,当客户从她的一个账户中转出一笔1000块钱的资金时,如果资金余额足够,那么1000块钱就能转出成功。如果我正在开发一个文字处理器,我关心的是,当一个文件被保存并重新加载时,我上次离开时保存的数据能够被成功开启……等等诸如此类。

安全的计算机系统是在较宽范围的环境下防止特定的不良行为。虽然正确性在很大程度上是关于系统应该做什么的,但安全性是关于不应该做什么的。即使有对手居心叵测地试图规避任何可能实施的保护措施。昆明亭长朗然科技有限公司IT安全专员董志军说:通常有三个经典的安全属性需要系统来努力满足。这些是广为人知的属性,这些属性的破坏会导致不良的行为。根据系统的不同,它们将具有这些属性的某些特别实例。

  • 第一个属性是保密性。如果攻击者能够操纵系统以窃取个人信息或公司秘密等信息资源,那么他就破坏了机密性。
  • 第二个属性是完整性。如果攻击者能够修改或破坏系统所保留的信息,或者能够滥用系统功能,那么他就破坏了系统的完整性。破坏行为包括损毁记录、修改系统日志、安装不受欢迎的程序如间谍软件等。
  • 最后一个属性是可用性。如果攻击者侵入一个系统,以便使系统拒绝对合法用户提供服务,被拒绝服务的例子包括线上购物或网络银行访问,那么攻击者就破坏了系统的可用性。

今天,很少有系统是绝对安全的,如同您可能在新闻中看到的的一样,安全漏洞不断涌现。例如,在2011年,美国RSA公司被入侵,我在稍后将详谈。入侵者能够窃取与RSA SecureID设备相关的敏感令牌。然后,这些令牌被用来侵入使用了SecureID的公司。2013年底,美国Adobe公司遭到入侵,被盗的不仅有源代码,还有客户记录。几乎在同一个时期,攻击者入侵了美国零售业者Target的销售终端,部分门店内的客户信用卡和借记卡资料被盗。董志军表示:即使在标榜言论自由媒体自由的美国,典型的安全事故案例也都是尽可能被捂着的,如上这些只是一些影响较大且被媒体披露的例子,其实只是冰山一角。

攻击者是如何侵入这些系统的呢?许多入侵行为首先是利用了相关系统中的漏洞(也称弱点)。一项漏洞就是一项缺陷,入侵者可以利用精心构建的交互来使系统运行的不安全。一般来说,缺陷是系统在设计或实施时就已经产生了,这就使得它在后期无法避免出现问题。换句话说,它的运行就不安全。

缺陷是设计中的欠缺,而错误是实施中的欠缺。一个漏洞是一个影响安全相关行为的缺陷,而不是简单的正确性。让我们说回到RSA在2011年被入侵的案例,这种入侵行为取决于Adobe Flash播放器的执行缺陷。Flash播放器本来应该顺利地拒绝格式错误的输入文件,但是事实上,它的这个缺陷让攻击者成功利用了一个精心构建的输入文件,该文件可以操纵程序来运行攻击者编定的代码。该输入文件可以嵌入到微软Excel电子表格中,以便在电子表格在被打开时自动调用Flash播放器。

在实际的攻击中,入侵者将这样的电子表格发送给目标公司的执行官。由于电子邮件被伪装成来自于同事,所以执行官被误导而开启了该文件。这种伪造电子邮件的方法被称为鱼叉式网络钓鱼攻击,这种攻击方式是很常见的。一但电子表格被打开,攻击者就能够在该执行官的机器上悄悄安装恶意软件,并从那里发起进一步的渗透攻击。这个例子突出了通过正确性和通过安全性两个不同的视角来查看软件时的重要区别。

从正确性的角度来说,Flash漏洞只是一个错误而已,除了非常简单的小程序之外,其它所有的软件不可避免会出现错误。软件公司通常在认可他们的软件有已知错误的情况下出售软件,因为要解决这些错误花费过于昂贵。相反,开发人员主要关心在通常情况下会出现的错误。剩下的错误,比如Flash漏洞,很少会出现,用户们也习惯于自己处理它们。如果做某些事情导致了软件的崩溃,用户们很快就会了解到,这不算什么大不了的事情,重试一下或者换种方式就好了。最终,只有当大量用户的遭遇到同样的错误时,软件公司才会解决这个问题。

另一方面,从安全性的角度来看,仅仅针对常规典型的用例来判断错误的重要性是不够的。开发者必须考虑非常规非典型的滥用情况,因为这正是入侵者所处心积虑的地方。

正常用户可能会跳过软件错误,然后导致软件崩溃,但是入侵者则会尝试让该崩溃情景重现,以便了解其为什么发生,然后操纵交互将该崩溃转化为利用方式。简而言之,为了确保系统达到其安全目标,我们必须努力消除错误和设计缺陷。我们必须仔细思考哪些安全属性是我们要牢牢掌握的,并确保我们在设计和实施时不会出现危害安全的缺陷。我们还必须设计系统,使得任何不可避免的缺陷都难以被入侵者恶意利用。

而软件特别是互联网创新的市场竞争那么激烈,时间就是效率,在争分夺秒增加系统功能的时候,别指望开发者或测试人员能主动解决危害安全的缺陷。昆明亭长朗然科技有限公司董志军表示:入侵者不断发现和利用这些缺陷,或者在找出缺陷之后立即在地下市场当天出售(零天漏洞)。要防范入侵者利用零天漏洞借助用户的失误造成破坏,提升用户安全意识是较为有效的途径。在上述RSA被入侵的案例中,如果执行官有足够的信息安全防范意识,不去开启被黑客伪造的电子表格,直接删除那封钓鱼邮件,则至少可以在Flash漏洞被厂商修复之前,保护住自己。

说到底,对安全管理者来讲,安全是一整套解决方案,立体防御、多重防御无疑是正确的安全战略;开发者的安全意识是软件产品和服务是否稳健与安全的关键;用户的信息安全防范意识,也是整体安全管理体系中的不可或缺的重要一环。

在针对用户的网络信息安全意识方面,昆明亭长朗然科技有限公司创作了几十部安全教程模块、互动小游戏,以及三百来部信息安全动画视频、宣传画和培训系统等等。有多种沟通方式和展示渠道来灵活地使用它们,学员也可以通过电脑、平板和智能手机随时随地参与信息安全学习。如果您有兴趣预览,欢迎您通过如下方式快速联系到我们。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

互联网监控项目“棱镜计划”曝光对安全监控机构和人员的警示

prism-whistleblower

“棱镜计划”被爆料者一公开,便成为全球特别是中美大众和媒体关注的一个重要话题,泄密者斯诺登选择了一个“出名”的最佳时机——恰逢中美两国元首会晤洽谈国家黑客主义和网络安全之际。

观看互联网舆情,媒体和大众多在对美国国家安全局进行指责,不少计算机网络信息安全业者更是抓住这个监控“把柄”,大释宣扬国外信息系统服务的不可靠,其目的无疑是推广信息安全要使用“自主创新”产品的目标。

不过,在我们多数人的有生之年,美国创新精神仍将会引领世界潮流,核心产品和营销理念仍将领先中国多年,拨开“自主创新”的外衣,我们依然要做多年的“跟随者”。

要说核心战略行业和领域早已开始在安全保障方面“国产化”,政策层面各网络信息安全主管机关以及重点行业监督委员会不断出台相关信息安全法规和指南,要求信息系统在本土登记、注册和使用经授权的本土信息安全产品和服务,大批的产品和服务如防火墙等设备的使用、信息安全管理等保体系的建立等等让国内的一批网络信息安全公司乘势得到快速成长和扩张。

不过,“跟随者”们在崛起的过程中,仍然被领先者美国牵制着信息技术的应用,如我国关键的行业如电力、银行等的核心信息系统仍然有90%以上使用国外的领先产品。

近几年,由美国引头儿折腾的“云计算”风水渐起,特别表现在“公有云”——互联网领域,美国的志向和眼光早已不局限于北美,而是全球,这让信息化相对落后的“跟随者”们很惊恐。加之美国不断输出西方文化理念和普适价值观,冲击着其他的文明,于是各国纷纷启用国家防火墙,监控和过滤着不利的信息流。

对使用者的信息流进行监控是拥有互联网主权的国家和组织的正常行为,甚至各国和一些商业公司都有实施一些间谍活动,这都是些常识并且无可厚非。泄密者斯诺登正好参与了对民众进行互联网信息监控的“棱镜计划”,从广义上讲,将范围由国家缩小到组织机构,有多少信息安全从业人员甚至IT人不是也有从事类似的工作呢?那些IDS、网络审计、内容过滤、上网行为管理、文档安全、数据安全之类的信息系统不都或多或少在监控着员工们的通讯信息吗?

在国家层面,美国不时出台国家安全和互联网监控相关的法律法规,授权相关机构合法监听监控国民的通讯信息。而在组织机构如公司层面,多数也有信息系统使用规范,强调信息数据和信息系统归公司所有,公司有权查看和监控员工工作相关的通讯信息。

所以,我们不必要跟风起哄或赞扬或鄙视或同情斯诺登,或责怪美国政府的网络安全双重标准。我们需要分析研究泄密者斯诺登的动机,以及如何防止事情发生到自身或自己的组织里面。

问题的根本原因在哪里?斯诺登是个异类或叛徒?不是,他自称并没有反对美国国家和人民的利益,他坚持自己的民主价值观,认为民众应该有知情权并且投票决定这一政策。我们从美国的政治文化上看起来,这合乎逻辑,是正常的。

斯诺登在受采访时提到周边人员对他的疑问的漠视,他称“在圈子里已经无法解决这个问题,只有交给大众。”这才是问题的核心所在,在他周边的从业人员可能和我们多数IT及安全从业人员一样,认为这是天经地仪的事,不需要大惊小怪。他服务的组织可能也觉得给了他丰厚的金钱报酬,甚至让他签定了保密协议,再说他看起来也是个正常人,也就没把他放在心上。

正是这些漠视,激起了他在大范围内进行爆料的想法,让大众知道,让大众来评断……他爆料的想法越来越强烈,最终他选择了行动!

人是有思想的复杂的动物,要防范人们做出偏激甚至怪异的行动,要从内心活动抓起。昆明亭长朗然科技有限公司信息安全分析师James Dong说:这就是我们常说的“把恶念消除在萌芽状态”。试想,如果斯诺登的同事和领导们对他进行一些必要的开导,让他正确认识到互联网信息监控的合法性,或许他对监控工作的认识会更进一步,他可能根本都不会有爆料的想法。

说到底,要有效解决这种问题,防范未来再次发生类似事故,还是得从安全意识沟通开始,这也确确实实是一个信息安全认知的问题。当然到目前为止,斯诺登还算是一个好人,没有泄漏手头上所有的更多内幕信息。要知道,来自内部的安全威胁要远远高于外部,掌握更多内幕信息的IT人干起坏事儿来杀伤力更是强大。

回顾起差不多十年前的一起员工网络通讯监控案例,再看看今天的事情,深深觉得雇佣双方在安全认知方面的沟通不足,危害甚大。而解决之道,无疑是强化对员工进行信息安全意识教育,将相关的安全政策、标准、制度和规范详细告知员工,并将此作为一项常规培训活动,而不是简单地让员工们签定一下信息安全和保密相关的法律文件。