“毁灭世界的力量”基于云计算的僵尸网络

云计算无疑是信息产业的一项重要革命,但是控管不好,也将为互联网带来巨大的灾难。昆明亭长朗然科技有限公司的安全研究员Bob Xue称:云计算可能会被僵尸网络利用,进而变成“毁灭世界的力量”。

传统中的僵尸网络往往有其命令与控制中心,即僵尸的老巢,互联网安全方面的专家一直致力于发现和捣毁这些老巢,进而把整个僵尸网络连根拔起。

处于僵尸网络控制顶端的超级黑客们在多次受到重创后,开始设立点对点的分布式僵尸网络,企图增加正义之师对其的打击难度,而安全专业人员显然不是巧妙地分析了分布式僵尸网络的命令传送特征,利用卧底僵尸来传播假命令,进而“一两拨千斤”,让点对点的分布式僵尸网络自动瓦解,这一招,不仅中断了僵尸之间通讯渠道,还修复了被黑客利用的相关安全漏洞。

顶级黑客们很受挫败,他们要卷土重来,企图东山再起,他们把眼光描向了云计算……

黑客们可以在短时间内创建数量庞大的虚拟僵尸系统,而根本不用费力气感染和摇控终端计算设备,云计算服务商的计算资源极其丰富,计算能力异常强大,而且多数交易是支持自助进行的。

所以,黑客现在不需要拉接或租用带宽线路,更不需要自行架设服务器系统,他们只需要打包好攻击程序,使用偷来的信用卡或Paypal帐户,快速购买云计算资源和创建用于进行网络攻击的虚拟系统。

互联网世界的末日真的快要到了吗?如何有效应对呢?亭长朗然公司Bob说:要有效防范黑客利用云计算发起大规模的攻击,需要多方协同工作。尽管对于个体组织来讲,基于云计算的僵尸网络攻击让人们防不胜防,但是必要的安全防范仍然不可或缺。

实际上,多数中小型组织不会成为顶级黑客们的攻击目标,但这并不表示中小企业可以高枕无忧,相反,中小企业很多互联网应用严重依赖大型的互联网厂家,这些大型的互联网厂商很容易成为黑客们的坚定目标。特别是同样租用云计算的中小企业,更容易受到“云攻击云”的严重伤害。

当人们谈到多方协作打击基于云计算的僵尸网络,往往会认为说起来容易,做起来难。由于利益的关系,某些云服务商和运营商可能并不愿意配合,这就让事情变得复杂,难以解决。最有效的解决方案是加强沟通和协调,不仅仅是经济利益上的平衡,更应该是信息安全意识理念的切磋。

举例讲,甲云计算服务商可能同甲电信运营商关系紧密,乙云计算服务商可能同乙电信运营商关系紧密,甲云计算客户对乙云计算客户发起分布式拒绝服务攻击,造成乙电信网络堵塞,运营商要赚云服务商的钱,云服务商要赚云计算客户的钱,这经济利益要如何平衡?

如果我们深陷进去,冤冤相报,不断以攻击对待攻击,我们终将难以自拔,并且只会造成越来越多的云计算用户、云计算服务商以及运营商变成黑客的帮凶,即使末日尚未来临,互联网世界也必将黯淡无光。

经过多年的发展,原本来管理全球及各地互联网的多数大型组织机构都已经名存实亡,沦为商业型的收费实体,所以,别想对它们抱太多幻想和期望。为什么说信息安全理念的切磋可以在云计算安全上帮上忙呢?这并非起源于人们对云计算及云安全理解的差异,而是多数人根本没有认识到云计算所面临,以及其可能带来的安全威胁。

这无疑是认知和理念层面的不足,要弥补这些,当然需要加强人们的信息安全意识,特别是云安全意识。只有和云计算相关的所有人的信息安全意识达到了必要的水平,顶级黑客们才会遇到“全民皆兵”的有效抵抗,此时,武艺再高强的黑客,也会被群众的大量口水给淹没的。

您可能还想问:为什么要让普通的云用户也了解云计算相关的信息安全基础理念呢?因为他们可能是黑客组织的目标、诱饵、人质甚至是僵尸。同时,他们也是云计算的最大买家,只有普通用户的安全意识得到了提升,云计算的安全才能被服务提供商真正重视起来。

简言之,要拯救世界,防止互联网的未来落入基于云计算的僵尸网络手中,需从人们的信息安全意识教育抓起。

不过Bob同时也表示:教育人们提升云计算安全意识并不容易,尤其是在云计算的用户大多懂些IT,几乎没有IT人会认为自己的信息安全意识水平低下,即使是经历了惨痛的安全事故教训,这些自大的IT人却仍然有可能觉得是自己运气不好,而刻意回避安全意识不够的根本原因。所以说“云计算可能会被僵尸网络利用,进而变成毁灭世界的力量”,并非危言耸听。

防范狡猾的社会工程黑客

安全是一种攻防双方的力量对比,也是一种共生的平衡艺术。对此,昆明亭长朗然科技有限公司网络安全研究员董志军说:在安全领域,警匪一家、养寇自重甚至攻防双方互换身份的情况很常见,网络安全行业也是如此,并不需要对此表示义愤。如同美国总是要在军事方面找一些敌人,甚至私下资助敌对势力一些军火“唯恐天下不乱”,以便不断获得军费预算提升军备水平一样,网络安全行业要发展,黑客也要进击,就是同样一个道理。

话说回来,当下平庸的黑客不容易混饭吃,因为软硬件方面的已有系统漏洞很容易被修复,而新的漏洞并不是菜鸟级“脚本小孩”容易发现的。故而,而纯粹依赖于人性弱点或人类漏洞的黑客群体开始壮大,他们往往则是心理学操控的高手,即所谓的社会工程黑客,依靠不断更新诈骗脚本和流水线式的标准化、系统化诈骗操作,这个群体发展盛行,带来的社会危害很严重,几近打破传统上的攻防平衡共生的关系,让公共安全界以及网络安全界深深感到不安。因为他们不必绕过例如强密码等技术保护,而只需与人交谈即可获取他们想要的利益,包括信息和金钱。到目前为止,人员是所有安全系统链条中最薄弱的一个环节。

通常来说,防范社会工程学黑客是一项社会性的人类工程,所有人都可以通过教育来提高安全性,面对社会工程黑客不断变化的伎俩,更新自己的安全大脑,锻造一双慧眼,保持坚定的安全信念,以“不变应万变”。因此,了解常见的社会工程攻击类型并遵循基本的安全预防措施,是网络时代所有“社会人”必备的江湖行走技能。

常见的社会工程学攻击手法有哪些呢?具体来讲包括多种方式。

1.假托。这是一种制造虚假情形,以迫使针对受害人吐露平时不愿泄露的信息的手段。该方法通常预含对特殊情景专用术语的研究,以建立合情合理的假象。

2.调虎离山。这个多看看抢银行的片子应该就很好理解——押款车既定的路线重重安防,如果让其被迫改道,则实施攻击就容易多了。如果用户电脑上有机密资料,想要获取的有心人可以临时叫用户出去喝杯咖啡,另外的人就可以在其之上进行信息偷窥。

3.钓鱼。这个估计大家也有所耳闻——给用户发封邮件告诉用户由于安全事故可能导致用户某某银行的密码泄露,然后给个链接修改密码。打开的页面是和某某银行的界面高度一致,但实际上是事先构建好的钓鱼网站,用户输入账号密码等信息后便被窃取。

4.下饵。这个手段就多的去了,用户下载的软件,打开的E-mail附件都有可能被注入各种各样的恶意代码。

5.等价交换。攻击者伪装成市场推广人员或者问卷调查人员,通常以企业品牌推广的名义,用小礼品作为交换请求消费者进行微信扫码,悄悄植入恶意程序或盗取信息。

6.尾随。尾随者利用另一合法受权者的识别机制,通过某些检查点,进入一个限制区域。

7.肩窥。通过某人的肩膀来查看,来获取信息。在拥挤的地方,肩窥是获取信息的一种有效方法,因为当别人填表、在ATM机输入PIN码或者在公共付费电话亭使用电话卡时,比较容易站在他旁边观察。

8.垃圾站潜水。当用户不经过任何安全处理,丢弃含有商业机密的企业文件的时候,自然会有人在别人的垃圾中“寻找宝藏”。

正如您所看到的那样,社会工程学依赖于我们的易信度和用于验证人们身份的信息量。不要以为了解常识,您就永远不会被这些技巧所欺骗,要知道即使是精通技术的网络安全人员,甚至公安警察,也容易受到个人信息分享所带来的攻击。当黑客似乎处于权威地位或代表的领导或老板行事时,想逃过魔掌就更难了,

如何避免成为社会工程学黑客的受害者呢?

  • 大部分人并非公安警察,也不是网络安全专家,在避免遭受社会工程黑客攻击方面,我们可以做的最重要的事情就是保持警惕,保持警惕,始终保持警惕。知晓一些常见的技巧可以使我们领先于游戏竞赛,但是切记不要太自以为是,对所有东西保持疑心是行走江湖的关键——小心驶得万年船。
  • 无论是通过电话的、在线的还是面对面的,都绝不泄露任何有关个人或工作单位的机密信息,包括看似并非机密的信息,除非可以验证被问者的身份以及该需求的合理合规性。
  • 永远记住,真正的IT部门、财务服务、人力资源部门绝不会通过电话询问您的密码或其他机密信息。
  • 还有,防范个人信息泄露,充分利用碎纸机并正确销毁个人电子数据和隐私信息。

对于组织机构来讲,需要培训员工并赋能,以令其有意愿、有能力发现社交工程黑客并修复系统的安全性,以防止黑客轻易入侵。为了更好地防护社会工程学黑客,昆明亭长朗然科技有限公司推出了网络钓鱼攻击的基础知识课程,通过学习,学员可以掌握如何防范网络钓鱼、电信诈骗等社会攻击黑客。

总之,社会工程黑客想要打破安全攻防方面的平衡,电信网络新型违法犯罪猖獗,这也怪不了国家网安机关一次次出国“捞人”。对于公司企业来讲,网络空间安全世界不仅仅是自然科学技术方面的利益博弈,也是人文科学技术领域的战场,增强员工们的安全防范意识和思想觉悟,改善组织的安全文化建设,是保护知识产权、商业机密和核心资产的关键措施。如果您对这个话题有话说,或者需要一些网络安全培训和宣教内容,请不要客气地联系我们。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898