信息安全意识

小心低技术的黑客入侵方法

admin

低技术的黑客方法往往不会受到IT专业人员的关注，这可以理解，术业有专攻，职责有分工，低技术或非技术的黑客入侵防范，往往区域安全和保密人员们的职责范围。不过，如果太过于强调职责区分，缺乏协同合作，则不利于组织机构整体的安全利益保护。对此，昆明亭长朗然科技有限公司网络安全与保密宣教专员董志军表示：早期，计算机及零部件价格昂贵，办公室计算设备的失窃问题很常见，近年来计算机硬件设备价格低廉，然而信息数据便值钱了，所以它们成了设施或区域的入侵者更愿意偷窃的目标。除了入侵者之外，低技术的黑客方法业已为世界各国共同面临的重大风险。近几年，公安网监部门联合大型企业发起的“护网”攻防行动中，不少白帽黑客便使用了大量的低技术黑客方法，成功入侵了对方。

为提升职员们对低技术黑客的警惕，我们对一家大型客户展示了一次“办公室入侵渗透”，我们的一些白帽黑客扮演了临时的角色，包括员工，并在可见范围内的佩戴了他人的工牌（安全徽章）。白帽黑客试图使用从视觉上破解敏感或机密信息，比如通过办公室巡走，在办公桌上一览无余地寻找信息；观察计算机显示器屏幕、如打印机和复印机等位置；从办公桌上取出一叠标为机密的商业文件并将其放入公文包；并使用智能手机拍摄计算机屏幕上显示的机密信息。所有这些任务都是在其他办公室工作人员的面前完成。

客户在震惊之余，对物理安全问题更加重视起来，“社会工程学”、“尾随”、“办公室肩窥”、“视觉黑客”等等是一个全球性的问题。所有的国家或地区都不能幸免会遭受这类攻击，即使在疫情肆虐的情况下亦不容乐观。

勿用置疑，员工电脑的屏幕最容易遭受视觉黑客或办公室肩窥攻击，而大量的敏感信息都是内部人员从员工电脑屏幕上以视觉方式窃取的。理想在状态是每人一个独立的单间，但是这种情况要求办公室空间大且要科学合理地进行空间布局，实际情况中，大多数员工办公区域是开放式的，只要稍稍用心，就可以很快发现很多有价值的信息。特别是敏感信息，包括用户名密码登录凭据、特权文件、机密文件以及财务信息等等，进而造成数据泄露事件的潜在安全风险。

如何破解这些困难，在办公室布局方面可以进行一些有限的措施，尽可能设置一些区域隔间或视觉隔挡物，在所有计算机上安装防窥屏，以便他人难以意外或故意看到计算机屏幕和纸质文档。

另外，组织机构可以强化办公室安全巡查流程，通过制度化的检查，以帮助员工们形成区域安全及桌面安全保密的好习惯，包括“防范尾随”和“桌面清洁政策”的遵守，如及时锁住敏感文件，离位时锁住电脑，在目睹异常人员或可疑行为后，立即进行质疑或报告。

对于涉密机构来讲，往往设置有涉密工作区域或机要场所，有很多严格的管控措施，当然，各种措施要生效，需要管理者和受影响者（员工）们协同合力，其中，从隐私、机密保护角度，进行全面沟通，是取得认可和执行的关键。

不管如何，低技术的黑客通常是被忽略的一种安全威胁，然而其影响可能与高科技网络攻击一样有害，甚至危害更大。因此，我们需要重视起来，通过改进区域设施的保密性，提升肩窥设备，防发动全员参与桌面清洁行动，可以很大程度上抵御低技术黑客的入侵，进而保护组织机构的安全利益。

昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。

  • 电话：0871-67122372
  • 手机、微信：18206751343
  • 邮件：info＠securemymind.com

守护数字城堡：从Unix安全机制看信息安全意识

admin

你有没有想过，我们每天使用的电脑、手机，甚至智能家居设备，都像一座座数字城堡，而守护这些城堡的，正是各种各样的安全机制？这些机制就像城堡的城墙、护城河和守卫，它们共同抵御着潜在的威胁。今天，我们就来聊一聊这些“守卫”，从一个古老而强大的操作系统——Unix，出发，深入了解信息安全意识的重要性。

Unix：信息安全的基础与挑战

Unix，作为现代操作系统的重要鼻祖，其安全模型深刻影响了后来的许多系统，包括我们熟悉的Linux和macOS。Unix的核心安全理念是“最小权限原则”，即每个用户和程序只应该拥有完成其任务所需的最低限度的权限。这与现代操作系统中常见的“默认给予较高权限，再逐步收紧”的模式截然不同。

在Unix中，文件权限通过一系列的“rwx”属性来控制：

  • r (read)： 读取文件内容。
  • w (write)： 修改文件内容。
  • x (execute)： 执行文件（如果是可执行文件）。

这些权限分别应用于文件所有者（owner）、文件所属的用户组（group）以及其他用户（world）。例如，drwxrwxrwx Alice Accounts 这个权限字符串表示：这是一个目录（d），所有者Alice拥有读、写、执行权限；所属用户组Accounts也拥有读、写、执行权限；其他用户也拥有读、写、执行权限。

然而，Unix的安全模型也面临着一些挑战。例如，系统管理员（通常拥有root权限）拥有绝对的权力，可以修改任何文件、成为任何用户，甚至禁用安全机制。这就像城堡的主人拥有开启和关闭所有门锁的钥匙，如果主人不小心或心怀不轨，整个城堡的安全就会受到威胁。

为了应对这种挑战，一些Unix变种（如FreeBSD和macOS）引入了更高级的安全特性，例如：

  • append-only、immutable、undeletable： 这些属性可以防止用户、系统或两者都无法修改、删除或写入文件。
  • 分离职责： 在军事应用中，会采取更复杂的措施来将不同的安全职责分配给不同的用户或程序，以避免单点故障。
  • 将系统日志发送到其他安全可靠的机器： 这可以防止攻击者通过修改系统日志来掩盖其入侵行为。

SUID：赋予程序特权

在Unix中，还有一个重要的安全机制是 SUID (Set User ID) 属性。当一个程序被设置为SUID时，它会以文件所有者的权限运行，而不是以执行该程序的用户的权限运行。

想象一下，我们需要一个程序来访问其他用户的账户信息。如果直接以普通用户身份运行这个程序，它可能会因为权限不足而无法访问这些信息。但如果我们将这个程序设置为SUID，并让账户信息文件的所有者（通常是系统管理员）拥有读写权限，那么这个程序就可以以管理员的权限访问这些信息了。

然而，使用SUID也存在潜在的风险。如果一个SUID程序存在漏洞，攻击者可能会利用这些漏洞来获取更高的权限，甚至控制整个系统。这就像给城堡的守卫赋予了钥匙，如果守卫被邪恶势力控制，就会对城堡造成巨大的危害。因此，在使用SUID时，必须非常谨慎，确保程序是安全可靠的。

访问控制列表 (ACL)：更精细的权限管理

除了传统的rwx权限外，Unix还提供了更精细的访问控制机制——ACL (Access Control List)。ACL允许我们为特定的用户或组设置更具体的权限，而不仅仅是所有者、组和其他用户。

例如，在我们的第一个例子中，drwxrwxrwx Alice Accounts 这样的ACL表示：

  • 这是一个目录。
  • 所有者Alice拥有读、写、执行权限。
  • 所属用户组Accounts也拥有读、写、执行权限。
  • 其他用户也拥有读、写、执行权限。

而 -rw-r----- Alice Accounts 这样的ACL表示：

  • 这是一个文件。
  • 所有者Alice拥有读、写权限。
  • 所属用户组Accounts拥有读权限，但没有写权限。
  • 其他用户没有任何权限。

ACL的优势在于，它可以更灵活地控制对文件的访问，例如，我们可以允许某个特定的用户读取某个文件，但禁止他写入。

然而，ACL也存在一些局限性。例如，ACL只包含用户名，没有程序的名字。因此，我们无法直接用ACL来定义(用户，程序，文件)这样的三元组权限。我们需要借助SUID等其他机制来实现这种功能。

为什么信息安全意识至关重要？

从Unix的安全机制中，我们可以看到，信息安全是一个复杂而多层次的问题。即使拥有强大的安全工具，如果没有正确的使用和意识，也可能导致严重的漏洞。

例如，很多开发者在编写程序时，为了方便，就直接将程序设置为SUID root，使其拥有完全的权限。这就像给城堡的守卫赋予了无限的权力，一旦守卫出现问题，整个城堡就会暴露在危险之中。

此外，信息安全还涉及到用户自身的行为。例如，不要轻易点击不明链接、不要随意下载未知来源的文件、不要使用弱密码等等。这些看似微不足道的行为，都可能成为攻击者利用的漏洞。

信息安全意识，就像城堡的每一位居民都必须具备防盗的意识，时刻警惕潜在的威胁。只有每个人都提高安全意识，才能共同守护我们的数字城堡。

故事案例：SUID的陷阱

想象一下，一家公司的财务部门开发了一个名为“报表生成器”的程序，用于自动生成财务报表。为了方便生成报表，开发人员将该程序设置为SUID root，使其能够访问所有财务数据。

然而，由于开发人员没有充分考虑安全性，程序中存在一个漏洞，攻击者可以利用这个漏洞来修改财务数据。一旦攻击者成功利用这个漏洞，就可以随意篡改公司的财务报表，造成巨大的经济损失。

这个案例告诉我们，即使是强大的安全机制，如果使用不当，也可能导致严重的后果。在使用SUID等高级权限时，必须非常谨慎，确保程序是安全可靠的。

故事案例：未加密的敏感数据

一位用户在电脑上保存了大量的个人隐私文件，例如银行账单、医疗记录、身份证复印件等。由于用户没有采取任何加密措施，这些敏感数据都以明文形式存储在电脑上。

有一天，用户的电脑被黑客入侵，黑客轻松地获取了这些敏感数据，并用于进行诈骗活动。

这个案例告诉我们，保护敏感数据，不仅仅是依靠操作系统提供的安全机制，还需要采取额外的安全措施，例如数据加密。数据加密就像给城堡里的重要文件上锁，即使城堡被攻破，攻击者也无法轻易打开这些文件。

总结

Unix的安全机制为我们提供了一个理解信息安全的基础。从最小权限原则到SUID、ACL等高级特性，这些机制都旨在保护系统和数据的安全。然而，这些机制并非万能，如果没有正确的使用和意识，也可能导致严重的漏洞。

信息安全意识，是每个人都应该具备的必备素质。只有提高安全意识，才能更好地保护我们自己的数字城堡，避免成为攻击者的目标。

关键词： Unix 安全机制 信息安全意识 数据安全

我们公司专注于帮助中小企业理解和应对信息安全挑战。昆明亭长朗然科技有限公司提供经济实惠的培训服务，以确保即便是资源有限的客户也能享受到专业的安全意识教育。欢迎您查看我们的产品线，并探索可能的合作方式。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898