面对网络黑客攻击,我们最该做的是“合作反击”

标签:合作黑客

访客:13856  发表于:2015-01-14 09:39:27

【导读】自Sony遭黑客袭击以来,网络安全如同阴霾一般笼罩着诸多企业。长久以来,企业对安全问题的态度或是回避或是自欺欺人,Sony的悲剧使得各大公司不得不直视自己的心病。是时候正面迎战网络攻击了

面对网络黑客攻击,我们最该做的是“合作反击”

2014年末,Sony的黑客袭击让人不寒而栗。黑客在其服务器内部横行、商业机密悉数泄露,局面一发不可收拾。在离新年还有一周时,已经有大部分比特币遭到攻击,而网络系统攻击紧随其后。这就像是轮盘赌博,轮盘停止时即是下一个受害者确定时,我们只能任人宰割!

为什么我们毫无还手之力?为什么企业间不能合作解决该问题呢?纵观政府、金融界、各类私营企业,哪个能忽视安全问题?没人想步JP Morgan、Home Depot 或Sony(三家公司均遭受过网络攻击,损失惨重)的后尘。正因为我们各自的脆弱才需要合作,集各家之长解决问题。关键的是,事不宜迟。

风险投资公司Bessemer Ventures 的合伙人David Cowan自上世纪90年代就开始与安全公司合作,他说:“多数公司的问题是不擅长安全防御。比如Sony的科技确实无可厚非,但它不像Google和Amazon有自己的安全措施。它依靠别人的安全防护,连自己的数据、信托和安全问题都不考虑。”

Ping Identity的CEO Andre Durand则指出安全产业的缺陷,他认为安全产业均采用被动防御的模式,并不能主动修缮漏洞。

网络安全2

他解释说:“只有攻击发生后,安全公司才能发现漏洞并修补,而不是主动寻找和排除潜在威胁。尽管也有漏洞检测功能,但效果微乎其微,主要还是以防御为主。”

Cowan指出,多数企业都普遍存在安全隐患,这些骇人听闻的网络攻击,可能会促使它们重新审视这个严峻的问题。

他说:“以前,许多公司和个人以事不关己的态度看待网络攻击。他们觉得没人会打自己电子邮件的主意。”不过今年的Sony袭击事件让他们幡然醒悟——面对国家级的黑客进攻,个人的防御根本微不足道。

Cowan说: “像俄罗斯、美国、以色列、朝鲜或者伊朗等国家的技术,足以获得他们想得知的任何信息。”

政府、企业和个人应该承认自身的脆弱、直面自己的安全隐患。即使关闭网络也无法保证信息的安全,比如Edward Snowden,他可没有精心策划入侵,只是简单地用U盘存储了不利文件,公诸于世罢了。

Cowan强调,这不是夸大的FUD(Fear, Uncertainty, Doubt,即惧、惑、疑),这即是现代网络的残酷现实。每次遭受攻击后,我们总想找些借口来略微宽慰自己,这根本就是自欺欺人。

他说:“正是因为轻视态度使得网络攻击如此猖獗。在这样的阴影下,人们变得绝望。诚然,安全问题确实棘手,而且没有一劳永逸的解决办法。网络安全就像漏洞百出的边境围栏一样。只有在受到攻击后,才能发现漏洞,才能修缮,留下摄像机和武装警卫后我们安心地离开。一旦我们放松警惕,又遭到更大的攻击。因为围栏有上千米长,我们应接不暇。”

合作是有效的防御手段,我们应视安全为集体问题,集众人之长来应对网络攻击。

Steve Herrod(General Catalyst Partners 的总经理兼VMware的前首席技术官和研发部的高级副总裁)不久前撰文称,他认为企业分享其内部和外部的网络安全数据,安全防护才能有所起色。尽管已有公司分享了数据,但很不情愿,他们执迷不悟地认为这些数据是私有财产。

网络安全4

Herrod wrote.  Herrod在文章中写到,数据分享和最新的大量数据分析(在安全产业中非常实在的效用)的运用,让企业认识到数据的力量。孤立的企业确实难以阻挡有组织的犯罪和恶意国家的入侵,然而合作使得防御能力大大增加。

ThreatStream(一家网络安全公司,资金源于General Catalyst)的CEO Hugh Njemanze赞同Herrod的看法。他补充说:“群聚比孤立更安全,因为当第一家公司受到攻击后,其余公司都会提高警惕。”

除了合作的另一种有效途径则是悬赏漏洞。诸如Google等一些公司已经采取这种机制,它们以现金的形式鼓励他人举报自身产品的漏洞。这种机制的好处在于一旦得知漏洞,即可在遭受攻击前采取修补措施。Rapid7(一家网络安全厂商)的CEO HD Moore指出,每次举报漏洞都相当于给了这些公司一笔可观的投资。

近年来上市的两家创业公司帮助包括HackerOne 和 Synack在内的公司研发漏洞悬赏程序。这种鼓励人们举报漏洞的奖励机制应该进入所有公司,而不是局限在Google、 Yahoo!和 Facebook等大型公司。

Moore说:“Yahoo、Google和 Dropbox等服务提供商的漏洞悬赏机制是明智的选择,花几千美元就找到一个漏洞实在是太划算了。这点钱虽然不至于使安全专家心动,但足以使擅长该领域而又不宽裕的人行动。

Cowan指出,企业合作固然是很好的办法,但最根本的途径还是提高设备和软件的安全性。我们本该在设计时就添加保护措施,可惜程序员不是安全专家。

他说:“在应用开发时添加保护措施是非常有效的防御手段。可惜程序员和大多数人一样,不了解加密档案、访问权限和多方识别等方面的技术。好在出现了一类新型安全公司,它们为应用开发商提供API(应用程序接口),为应用增添保护措施。”他以Stripe为例,该公司向开发商提供API的访问权,使他们可以轻松地为信用卡添加保护层。

网络安全3

不过安全问题的阴影并没有笼罩在每个人的心头。ThreatStream公司的Njemanze认为这是一场持续的战斗,尽管目前黑客猖獗,但我们未来的表现会更好。

他说:“我们应该换个角度来看待网络安全问题。它就像一场我们与黑客间的军备竞赛。倘若没有安全工具的防御,我们的网络可能很早以前就崩溃了。所以不要觉得这场竞赛我们一败涂地。”

我们确实该保持乐观的态度,同时也不能否认许多公司还处在进退维谷的局面。如Cowan所言,网络安全仍旧脆弱,如果某人有意盗取数据,总是有可趁之机的。所以企业绝对不能懈怠,提高警惕、找到有效的防御手段才是当务之急。

Cowan说:“纵然此刻我们驰骋于科技大潮的浪尖,但也要留有救生员有备无患…增加安全防御方面的预算,不仅是为了企业自身,也是为员工、用户和投资者考虑。” 他的话确实无从反驳。(via 猎云网 )

评论(0)

您可以在评论框内@您的好友一起参与讨论!

<--script type="text/javascript">BAIDU_CLB_fillSlot("927898");