北京時間9月26日消息，科技公司以技術著稱，本應該最懂得如何對抗黑客。但是一連串的黑客攻擊事件表明，就連這些科技大廠也存在薄弱環(huán)節(jié)，尤其是人。

就在最近，打車巨頭Uber和《盜獵車手6》游戲開發(fā)商Rockstar Games都披露了影響其運營的重大黑客攻擊事件。今年，已經(jīng)有多家公司成為了黑客攻擊的受害者，其中包括目前世界上一些最擅長技術的公司，例如芯片巨頭英偉達、身份驗證公司okta。

薄弱的“護城河”

傳統(tǒng)上，企業(yè)采用的是一種“城堡與護城河”的網(wǎng)絡安全模型。網(wǎng)絡外的任何人都無法訪問內(nèi)部數(shù)據(jù)，但網(wǎng)絡內(nèi)的每個人都可以。企業(yè)的內(nèi)部網(wǎng)絡可以想象成城堡，網(wǎng)絡邊界可以想象成護城河。一旦吊橋被降低且有人穿過它，他們就可以在城堡內(nèi)自由行動。

“我們只是在城堡周圍建了一條巨大的護城河。一旦你突破了護城河，你就進去了。”高盛前首席技術官鮑伊·哈特曼(Boe Hartman)表示。他在高盛領導的團隊建立了消費者銀行基礎設施，使得蘋果的信用卡及其引以為自豪的隱私功能成為可能。

當企業(yè)網(wǎng)絡主要由物理連接在辦公大樓里的個人電腦組成時，這種外圍安全是有意義的。但是如今，從個人移動設備、家用電腦到云服務和物聯(lián)網(wǎng)設備，各種各樣的設備、員工和外部合同工以越來越多的方式連接到企業(yè)系統(tǒng)。僅僅依靠保護每一個可能連接到公司系統(tǒng)的設備和賬戶不僅困難，而且往往是災難性的，因為攻擊者只需攻破一個門就能進入整個系統(tǒng)。

Uber遭到網(wǎng)絡攻擊

以Uber為例，攻擊者使用被霸占的合同工賬戶進入了內(nèi)部系統(tǒng)，在一個全公司使用的Slack頻道上發(fā)布消息，并接管了一個用于與安全研究人員溝通的賬戶。Uber不得不暫時中斷對內(nèi)部通信系統(tǒng)的訪問。Uber在上周一發(fā)表的聲明中稱，公司沒有發(fā)現(xiàn)任何跡象表明黑客訪問了用戶賬戶或Uber用于存儲敏感用戶信息的數(shù)據(jù)庫。

這些黑客攻擊的共同點在于，他們通過欺騙目標公司內(nèi)部人員或與目標公司關系密切的人，讓他們交出網(wǎng)絡接入證書或其他關鍵信息，這種技術被稱為“社會工程”。以Uber為例，該公司表示，黑客觸發(fā)了自動生成的訪問請求，導致一名合同工的手機受到了垃圾郵件的騷擾，最終批準了一項請求。其他例子還包括偽造的“網(wǎng)絡釣魚”電子郵件，誘騙員工將登錄憑證發(fā)送給攻擊者。

零信任

現(xiàn)在，科技公司得出了一個引人注意的結論：自特洛伊戰(zhàn)爭以來，安全領域最薄弱的環(huán)節(jié)就是人類。他們越來越多地采取了一種新的安全方法：不相信任何人。

這種理念被稱為“零信任架構”，假定無論一家企業(yè)的外部防御系統(tǒng)多么強大，黑客都能侵入。因此，企業(yè)需要確保即使是網(wǎng)絡內(nèi)的用戶也不會造成嚴重破壞。

美國及全球每周平均遭到的網(wǎng)絡攻擊數(shù)量

其實，許多指導工程師構建零信任系統(tǒng)的設計原則都很容易理解。如果你發(fā)現(xiàn)自己最近不得不更頻繁地登錄公司系統(tǒng)或銀行網(wǎng)站，這就是一種“零信任”策略，即定期“輪換”證書，從而允許人和電腦訪問其他系統(tǒng)。其理念是，即使攻擊者進入了你的賬戶，他們也只有有限的時間進行破壞。

另一個被稱為“行為分析”的零信任原則是，軟件應該監(jiān)控網(wǎng)絡上人們的行為，并標記出任何做了不尋常事情的人，比如試圖從銀行取一大筆錢。例如，當你去一個新城市旅行時，如果發(fā)生了一筆不符合你一貫風格的信用卡購物，銀行就會給你發(fā)短信，這也是基于同樣的分析。

谷歌超前部署

雖然許多企業(yè)現(xiàn)在才采用真正的零信任系統(tǒng)，但安全行業(yè)對信任問題的討論已經(jīng)持續(xù)了十多年。

其中一家公司很早就意識到城墻和護城河已無法提供足夠的保護，它就是谷歌。在2009年吸取了網(wǎng)絡安全教訓后，谷歌開始部署自主版本的零信任系統(tǒng)，并將其稱為BeyondCorp。

谷歌很早就部署“零信任”系統(tǒng)

谷歌發(fā)言人說，該公司的防御方法適用于IT系統(tǒng)的所有部分：用戶、設備、應用和服務，不考慮所有權、物理或網(wǎng)絡位置。所有這些因素都會被以同樣固有的懷疑態(tài)度對待。自然地，谷歌也把它變成了一種產(chǎn)品，供那些為其云服務付費的公司使用。

弊端

哈特曼稱，為一家公司現(xiàn)有的IT基礎設施創(chuàng)建一個從上到下的零信任架構需要公司最高層領導的承諾，最終可能需要對其系統(tǒng)進行本質上的內(nèi)部改造。哈特曼目前是醫(yī)療創(chuàng)業(yè)公司Nomi Health的聯(lián)合創(chuàng)始人。

在遭到攻擊的幾個月前，美國市值最高的半導體公司英偉達發(fā)布了一款名為Morpheus的數(shù)字指紋工具，可在英偉達的硬件上運行。它使用人工智能每周分析數(shù)千億的用戶行為，并在用戶似乎在做一些不尋常的和潛在高風險的事情時標記實例。例如：一個通常使用Microsoft Office的用戶突然試圖訪問公司源代碼所在的工具和存儲庫。

因此，英偉達對“零信任”是略知一二的。然而，今年3月，它的系統(tǒng)還是遭到了攻擊。在這之后，英偉達CEO黃仁勛(Jensen Huang)表示，這一事件給英偉達敲響了警鐘，并誓言要加速擁抱零信任架構。

黃仁勛稱攻擊事件敲醒警鐘

然而，推出“零信任”系統(tǒng)并非沒有缺點，包括它可能會限制工程師的工作效率，因為他們都希望獲得盡可能多的訪問系統(tǒng)。英偉達企業(yè)計算副總裁賈斯汀·博伊坦諾(Justin Boitano)表示，要在安全和可訪問性之間取得平衡，就意味著安全團隊和他們服務的員工之間要不斷進行對話。他補充說，這是有幫助的，其CEO黃仁勛在3月的攻擊后直言不諱地點出了網(wǎng)絡安全問題，“員工們似乎明白了，我們現(xiàn)在生活在一個新世界里，你的網(wǎng)絡中可能有壞人”。

哈特曼指出，這種變化的廣度意味著重建舊系統(tǒng)的公司需要設定優(yōu)先級，首先要保護他們的掌上明珠：源代碼、其他知識產(chǎn)權、客戶信息等等。在這之后，他們可以通過系統(tǒng)的其他部分進行工作。微軟企業(yè)安全副總裁瓦蘇·賈卡爾(Vasu Jakkal)指出，這種挑戰(zhàn)的規(guī)模從一定程度上解釋了為什么只有22%的公司實施了多重認證，盡管這是最好的一線網(wǎng)絡訪問防御措施之一。

就連“零信任”的支持者也承認，“零信任”不是靈丹妙藥，這在很大程度上是因為它需要花費大量的時間和努力才能做到。但是在一個監(jiān)管機構、股東和客戶都準備讓企業(yè)及其領導者為黑客攻擊和數(shù)據(jù)泄露負責，攻擊者比以往任何時候都更機智、更激進的世界里，企業(yè)可能沒有太多選擇，他們必須致力于讓自己變得不那么脆弱。

“在新的世界里，你必須假設你的網(wǎng)絡上總是會有壞人，”英偉達的博伊坦諾表示，“問題是你如何保護你的資源和公司的知識產(chǎn)權。”(作者/簫雨)

關鍵詞： 科技公司 黑客攻擊 盜獵車手 游戲開發(fā)商