當(dāng)伊朗總統(tǒng)馬哈茂德·艾哈邁迪-內(nèi)賈德在去年11月份宣布該國(guó)的核計(jì)劃遭到軟件攻擊后，他證實(shí)了許多安全研究人員的猜測(cè)：原因是Stuxnet大爆發(fā)，篡改了控制處理鈾所用的離心機(jī)電機(jī)的關(guān)鍵系統(tǒng)。
內(nèi)賈德對(duì)這起攻擊造成的影響輕描淡寫，但是安全研究人員認(rèn)為，造成的破壞范圍要比他所說(shuō)的廣泛得多。Eric Byres是專門保護(hù)制造和控制系統(tǒng)安全的Tofino工業(yè)解決公司的首席技術(shù)官兼聯(lián)合創(chuàng)始人;他表示，伊朗人訪問(wèn)與保護(hù)工業(yè)控制系統(tǒng)安全有關(guān)的網(wǎng)站的流量穩(wěn)步增長(zhǎng)，這表明該國(guó)的IT專家在尋求解決持續(xù)性威脅的辦法。
Byres表示，伊朗人沒有辦法清除掉Stuxnet。他稱，從一臺(tái)機(jī)器上清除Stuxnet很容易，"但是在網(wǎng)絡(luò)上，Stuxnet就如同人間煉獄，因?yàn)樗鼧O具侵略性，能夠以各種各樣的方式來(lái)進(jìn)行傳播。"
Stuxnet在去年7月份首次被確認(rèn)，它可以攻擊四個(gè)之前未知的安全漏洞，通過(guò)USB棒和網(wǎng)絡(luò)共享區(qū)來(lái)傳播。它可以感染用來(lái)管理工業(yè)控制系統(tǒng)的Windows系統(tǒng)，覆蓋嵌入式控制器，破滅破壞那些系統(tǒng)。
歡迎進(jìn)入到未來(lái)的網(wǎng)絡(luò)安全世界：當(dāng)今最先進(jìn)、最成功的攻擊會(huì)是將來(lái)很平常的安全挑戰(zhàn)。網(wǎng)絡(luò)犯罪分子可能會(huì)試圖同樣謀求Stuxnet的這種能力：在網(wǎng)絡(luò)上持續(xù)潛伏，隱藏在嵌入式設(shè)備里面。他們勢(shì)必還會(huì)企圖仿效其他攻擊采用的手法;比如說(shuō)，Zeus擅長(zhǎng)于操縱會(huì)話，而Conficker可以做到不被關(guān)閉。
攻擊者們還在改變運(yùn)作方式，采用新的方式來(lái)開發(fā)和傳播攻擊手法。網(wǎng)絡(luò)間諜行動(dòng)日益利用社交網(wǎng)絡(luò)來(lái)尋找容易下手的目標(biāo)。就拿網(wǎng)絡(luò)攻擊行動(dòng)"極光行動(dòng)"(Operation Aurora)來(lái)說(shuō)，涉嫌來(lái)自中國(guó)的攻擊者利用社交網(wǎng)絡(luò)，鎖定了及其他公司的員工，然后向他們發(fā)送針對(duì)性的電子郵件，目的是感染那些公司的關(guān)鍵計(jì)算機(jī)。
此外，軟件開發(fā)人員社區(qū)在支持先進(jìn)的即插即用惡意軟件，比如針對(duì)銀行的Zeus特洛伊。像Conficker那樣動(dòng)態(tài)生成的域?qū)⑹沟冒踩藛T更難查明僵尸網(wǎng)絡(luò)的指揮和控制網(wǎng)絡(luò)。
Stuxnet的遺產(chǎn)
最后，與我們將來(lái)要面對(duì)的那種網(wǎng)絡(luò)攻擊造成的長(zhǎng)遠(yuǎn)影響相比，Stuxnet給伊朗核計(jì)劃造成的影響可能要小得多。公司的全球情報(bào)網(wǎng)絡(luò)主管Dean Turner說(shuō)，就Stuxnet而言，它變得不太像針對(duì)金融和電力等行業(yè)的攻擊，而是更像"有的放矢的攻擊"。"Stuxnet針對(duì)的是具體目標(biāo)，即電機(jī)的變頻部件。"
安全專家長(zhǎng)期以來(lái)就警告，嵌入式控制系統(tǒng)很容易受攻擊。2007年，美國(guó)能源部的測(cè)試表明，針對(duì)嵌入式系統(tǒng)的攻擊可以控制電力公司的發(fā)電機(jī)，引起發(fā)電機(jī)自毀。大多數(shù)工廠也由嵌入式系統(tǒng)和可編程邏輯控制器來(lái)控制。
在Stuxnet出現(xiàn)之前，這種危險(xiǎn)還僅限于理論上的。而現(xiàn)在，凡是能接觸到代碼的人都有辦法來(lái)攻擊嵌入式系統(tǒng)。而且Stuxnet代碼廣泛傳播，感染了全球各地的計(jì)算機(jī)。Tofino公司的Byres說(shuō)，Stuxnet為編寫可編程邏輯控制器的代碼提供了一堂"速成課"。我們遲早會(huì)開始看到各種各樣的"專門"伺機(jī)攻擊控制系統(tǒng)。
嵌入式系統(tǒng)通常把物理系統(tǒng)和數(shù)字系統(tǒng)連接起來(lái)，所以一旦攻擊者控制住了它們，也就控制住了關(guān)鍵系統(tǒng)。此外，代碼可以隱藏在嵌入式系統(tǒng)里面，讓攻擊得以持續(xù)存在，因而很難清理干凈。
托管安全提供商SecureWorks的首席技術(shù)官Jon Ramsey表示，私營(yíng)公司不大可能長(zhǎng)期不受到Stuxnet帶來(lái)的破壞，他提到"極光行動(dòng)"就是襲擊私營(yíng)公司的最先進(jìn)攻擊的第一起事件。攻擊者通過(guò)"極光行動(dòng)"表明："干嘛不攻擊行業(yè)……干嘛不攻擊擁有許多知識(shí)產(chǎn)權(quán)、在全球市場(chǎng)具有高度競(jìng)爭(zhēng)力的大公司?"Ramsey如是說(shuō)。
攻擊者專業(yè)化
關(guān)于這些先進(jìn)攻擊和所采用技術(shù)的知識(shí)在迅速傳播開來(lái)。一個(gè)主要原因是，攻擊者創(chuàng)建了自成體系的一整套聊天室、論壇、投件箱和技術(shù)刊物，以支持和擴(kuò)大他們的攻擊行動(dòng)。攻擊者在那里交流思想，培養(yǎng)特定的專長(zhǎng)。某個(gè)小組幫助成員磨練攻擊流行軟件方面的技能;另一個(gè)小組編寫惡意腳本，植入到流行的惡意軟件里面。還有些小組致力于發(fā)展和維護(hù)僵尸網(wǎng)絡(luò)，企圖竊取數(shù)據(jù)。
Zeus就是證明這種專業(yè)化的一個(gè)典例。這個(gè)針對(duì)銀行的特洛伊木馬通過(guò)和路過(guò)式下載攻擊，從合法網(wǎng)站傳播開來(lái)，它有一個(gè)龐大的生態(tài)系統(tǒng)，旗下的地下程序員編寫可植入Zeus的傳播活動(dòng)模板和可以利用特定漏洞的腳本工具包。犯罪分子可以購(gòu)買一個(gè)腳本工具包來(lái)攻擊運(yùn)行 Firefox瀏覽器的計(jì)算機(jī)，購(gòu)買另一個(gè)腳本工具包來(lái)攻擊 Acrobat的漏洞。Zeus的開放性更是推動(dòng)了其普及程度，還大大增強(qiáng)了破壞能力。據(jù)賽門鐵克聲稱，現(xiàn)在Zeus的變種超過(guò)了9000個(gè)。
賽門鐵克的Turner表示，Zeus的一整套開發(fā)機(jī)制讓用戶可以花更少的錢搞更大的破壞。這是下面這個(gè)趨勢(shì)的一方面：網(wǎng)絡(luò)犯罪分子正變得更高效，對(duì)攻擊行動(dòng)進(jìn)行了優(yōu)化，企圖從每次破壞事件中撈到最大的好處。邁克菲公司的全球安全戰(zhàn)略和風(fēng)險(xiǎn)管理主管Brian Contos表示，一些先進(jìn)的惡意軟件會(huì)將與之競(jìng)爭(zhēng)的、缺乏效率的程序從它們感染的系統(tǒng)上刪除，甚至還會(huì)給那些系統(tǒng)打補(bǔ)丁，目的是為了從被感染的機(jī)器撈到最大的好處。惡意軟件使用一臺(tái)計(jì)算機(jī)來(lái)從事多種不法勾當(dāng)，比如竊取數(shù)據(jù)和獲取登錄資料。Contos表示，毫無(wú)防備的受害者看起來(lái)也從中受益，因?yàn)樗麄兊臋C(jī)器運(yùn)行更順暢了，但其實(shí)已經(jīng)受到了感染。
攻擊者還在利用技術(shù)來(lái)提高攻擊效率。他們不是攻擊世界上的每個(gè)地址，而是側(cè)重攻擊已知屬于運(yùn)行容易受到攻擊的特定軟件(如WordPress)的計(jì)算機(jī)及其他流行博客平臺(tái)的地址。垃圾郵件發(fā)送者購(gòu)買即開即用的垃圾郵件活動(dòng)模板。而僵尸網(wǎng)絡(luò)經(jīng)營(yíng)者利用Web界面來(lái)監(jiān)視和控制由受危及系統(tǒng)組成的網(wǎng)絡(luò)。
網(wǎng)絡(luò)攻擊軟件開發(fā)、支持和整個(gè)配套機(jī)制方面會(huì)出現(xiàn)所有這些創(chuàng)新，源動(dòng)力是錢。許多網(wǎng)絡(luò)犯罪分子現(xiàn)在不是共享攻擊手法，而是變得更加隱秘，將自己的代碼和方法當(dāng)成知識(shí)產(chǎn)權(quán)那樣來(lái)保護(hù)。
Contos表示，以前你要是參加DEF CON大會(huì)這樣的會(huì)議，大家會(huì)共享工具?，F(xiàn)在不再是這樣了。而現(xiàn)在他們忙于開發(fā)零日威脅，"因?yàn)樗麄兿胭嶅X。"
明天的攻擊正在形成
事件下一代攻擊的屬性描述
極光行動(dòng)偵察社交網(wǎng)絡(luò)攻擊者使用社交網(wǎng)絡(luò)和網(wǎng)站，找目標(biāo)企業(yè)內(nèi)部的關(guān)鍵人員下手。
去年他們攻擊了谷歌及其他公司。
Conficker動(dòng)態(tài)域這種電腦蠕蟲使用計(jì)算出來(lái)的，因而加大了清除的難度。
Conficker.C在5000個(gè)計(jì)算域名中用了隨機(jī)選擇的一小部分域名，與指揮和控制進(jìn)行連接。
Stuxnet針對(duì)嵌入式控制器
的惡意軟件攻擊危及嵌入式控制器后，控制住物理設(shè)備。Stuxnet危及了制造流程和伊朗核計(jì)劃中的可編程邏輯控制器。
維基解密
攻擊分布式拒絕服務(wù)
暴民行動(dòng)攻擊者策劃了統(tǒng)一協(xié)調(diào)的網(wǎng)絡(luò)抗議。在維基解密網(wǎng)站受到攻擊后，2000名支持者迅速組織起來(lái)，利用自愿組建的僵尸網(wǎng)絡(luò)，攻擊萬(wàn)事達(dá)、維薩及其他網(wǎng)站。
ZeusXXX中間人攻擊攻擊者偷偷潛入到瀏覽器、移動(dòng)設(shè)備或其他信息流當(dāng)中，以獲取和篡改信息量。Zeus危及了瀏覽器通信，可實(shí)時(shí)動(dòng)態(tài)地篡改銀行交易頁(yè)面，從而竊取資金。
軟件開發(fā)生態(tài)系統(tǒng)開發(fā)人員生態(tài)系統(tǒng)已圍繞Zeus及其他攻擊軟件發(fā)展起來(lái)，可創(chuàng)建新的功能，并不斷改進(jìn)。Zeus的開發(fā)人員已開發(fā)了惡意腳本包和即開即用的垃圾郵件活動(dòng)模板。
適逢其時(shí)的攻擊
網(wǎng)絡(luò)犯罪分子攻擊手法的改變使得另一種攻擊：網(wǎng)絡(luò)抗議更容易組織和執(zhí)行。我們也可以從最近針對(duì)萬(wàn)事達(dá)、維薩和亞馬遜等網(wǎng)站的拒絕服務(wù)攻擊中一窺網(wǎng)絡(luò)犯罪的未來(lái)，這些攻擊是為了報(bào)復(fù)這些網(wǎng)絡(luò)拒絕與維基解密網(wǎng)站有業(yè)務(wù)往來(lái)。
雖然網(wǎng)絡(luò)抗議和拒絕服務(wù)攻擊不是什么新攻擊，但支持它們的技術(shù)變得越來(lái)越好，也工具變得越來(lái)越先進(jìn)--這個(gè)趨勢(shì)會(huì)繼續(xù)下去。比如說(shuō)，一個(gè)名為Anonymous的組織實(shí)施的維基解密攻擊采用了一種名為低軌道離子加農(nóng)炮(LOIC)的程序。該程序讓任何抗議者只要輸入IP地址，都能加入針對(duì)目標(biāo)網(wǎng)絡(luò)或系統(tǒng)的攻擊大軍。
安全公司Renesys的副總裁兼總經(jīng)理Earl Zmijewski表示，三個(gè)因素導(dǎo)致了分布式拒絕服務(wù)攻擊屢屢得逞。首先，受到攻擊的系統(tǒng)擁有比以往任何時(shí)候都要多的帶寬，所以攻擊者只要危及比較少的系統(tǒng)，就能對(duì)目標(biāo)造成相當(dāng)大的影響。其次，許多用戶繼續(xù)在運(yùn)行舊軟件，因而攻擊者更容易接管他們的計(jì)算機(jī)，讓它們成為僵尸網(wǎng)絡(luò)的一員。第三，目前還是沒有輕松的辦法來(lái)對(duì)付拒絕服務(wù)攻擊。雖然內(nèi)容分發(fā)網(wǎng)絡(luò)能起到幫助，但最有效的防御還是使用一個(gè)專門的網(wǎng)絡(luò)，在惡意流量進(jìn)入到目標(biāo)之前先將它們過(guò)濾掉。
由于這三個(gè)因素，僵尸網(wǎng)絡(luò)經(jīng)營(yíng)者擁有了巨大威力。邁克菲的Contos表示，比如說(shuō)，Conficker危及了640萬(wàn)個(gè)系統(tǒng)，為它提供了每秒28 TB(注：1TB=1012字節(jié))的聚合帶寬。他說(shuō)："這超過(guò)了亞馬遜和的帶寬總和--這實(shí)在太大了。"
安全威脅正將自己安插到用戶與互聯(lián)網(wǎng)之間。這種"中間人"(man-in-the-browser)攻擊--針對(duì)銀行的Zeus特洛伊廣泛使用這種攻擊--讓攻擊者可以控制用戶能看到的一切。如果用戶依賴被Zeus感染的計(jì)算機(jī)，他會(huì)誤以為自己將100美元的電費(fèi)劃到電力公司賬戶，實(shí)際上7000美元被劃到了另一個(gè)地方屬于網(wǎng)絡(luò)犯罪團(tuán)隊(duì)某個(gè)成員的賬戶。用戶確認(rèn)交易后，他看到的只是付款100美元，而實(shí)際上銀行接到的是轉(zhuǎn)賬7000美元的請(qǐng)求。
銀行安全公司Trusteer的首席技術(shù)官Amit Klein說(shuō)："你從來(lái)不知道自己受騙上當(dāng)，等到上銀行分行查賬后才恍然大悟。這種伎倆最先由其他惡意軟件采用;但是拜Zeus所賜，這種伎倆現(xiàn)在變得極其普遍。"
Zeus及其他威脅在避開旨在消除銀行詐騙的保護(hù)措施，比如雙因子驗(yàn)證。由于攻擊是實(shí)時(shí)進(jìn)行的，而且從受害者的計(jì)算機(jī)上發(fā)動(dòng)，所以常規(guī)保護(hù)措施不管用。
更好的防御
許多公司想當(dāng)然地以為，僅僅遵守法律要求的安全控制措施就夠了。但是單單遵守還不行。SecureWorks的Ramsey表示，先進(jìn)的威脅會(huì)避開眾所周知的安全要求。要是每個(gè)人都使用同樣的技術(shù)和控制措施，"那么犯罪分子就會(huì)改動(dòng)攻擊手法，破壞那些類型的防御機(jī)制，"他說(shuō)。
美國(guó)聯(lián)邦存款保險(xiǎn)公司要求銀行應(yīng)使用雙因子驗(yàn)證和加密技術(shù)，正是這一要求促使犯罪分子開發(fā)出了Zeus，以避開那些保護(hù)措施。惡意廣告是表明攻擊者在避開防御機(jī)制的另一個(gè)例子，這種網(wǎng)上廣告把點(diǎn)擊廣告的用戶引到惡意網(wǎng)站。這些攻擊避開的手段是，通過(guò)互聯(lián)網(wǎng)進(jìn)入。據(jù)SecureWorks聲稱，許多公司發(fā)現(xiàn)互聯(lián)網(wǎng)是第一大攻擊途徑。
Trusteer的Klein表示，像反軟件這些常規(guī)防御機(jī)制對(duì)付先進(jìn)的攻擊效果并不好。Stuxnet在傳播了一年多后才被發(fā)現(xiàn);Zeus經(jīng)常避開基于特征的防御機(jī)制。
的Turner表示，公司需要全面的防御，而不是僅僅需要技術(shù)。他說(shuō)："我們必須開始討論我們?cè)撊绾卧诰W(wǎng)上共享信息、如何使用安全系統(tǒng)。政策及實(shí)施與技術(shù)本身來(lái)得一樣重要。"
保護(hù)網(wǎng)絡(luò)邊界是關(guān)鍵，但由于像和這些消費(fèi)級(jí)移動(dòng)設(shè)備進(jìn)入到公司，連保護(hù)邊界這項(xiàng)工作都變得更為復(fù)雜。Turner表示，隨著個(gè)人設(shè)備與企業(yè)之間的界線日益模糊，"我們已增加了我們的機(jī)密數(shù)據(jù)或企業(yè)數(shù)據(jù)擁有的接觸點(diǎn)的數(shù)量。"
公司不但要找出潛在威脅，還要找出最寶貴的資產(chǎn)。SecureWorks的Ramsey表示，公司需要了解威脅、這些威脅要攻擊的目標(biāo)，以及威脅如何攻擊目標(biāo)。
公司還必須確定有多少用戶和系統(tǒng)可以訪問(wèn)重要信息、哪些對(duì)象值得保護(hù)。Turner表示，它們必須實(shí)施一套數(shù)據(jù)分類系統(tǒng)，確定最寶貴的知識(shí)產(chǎn)權(quán)，然后將安全經(jīng)費(fèi)和人員重點(diǎn)投入到這部分?jǐn)?shù)據(jù)上。與試圖一視同仁地保護(hù)所有數(shù)據(jù)相比，企業(yè)成功保護(hù)一小部分?jǐn)?shù)據(jù)的可能性要大得多。
IT經(jīng)理也不能再忽視網(wǎng)絡(luò)上計(jì)算機(jī)和之外的其他部件。安全研究人員已證明，越來(lái)越像小型服務(wù)器的打印機(jī)可以作為進(jìn)入企業(yè)網(wǎng)絡(luò)的跳板，而Stuxnet正是通過(guò)嵌入式控制器一路傳播的。
Turner說(shuō)："我們不得不開始考慮技術(shù)的不同部分。閥門歸工程師管理，而網(wǎng)絡(luò)歸IT人員管理，"我們必須讓它們可以說(shuō)相同的語(yǔ)言。
公司還必須關(guān)注更好的檢測(cè)和響應(yīng)機(jī)制。Ramsey表示，網(wǎng)絡(luò)異常檢測(cè)和情報(bào)服務(wù)可以識(shí)別在企業(yè)網(wǎng)絡(luò)已成功找到立足點(diǎn)的攻擊。但檢測(cè)并不能有效地防御這些攻擊。他說(shuō)："阻止攻擊所需的成本低于清理攻擊所需的成本;攻擊潛伏時(shí)間越長(zhǎng)，重新控制自己的IT系統(tǒng)所需的成本就越高。"
如果關(guān)注一下將來(lái)司空見慣的先進(jìn)攻擊，防范工作顯得尤為重要。正如Stuxnet告訴我們的那樣，這類程序持續(xù)時(shí)間越長(zhǎng)，造成的破壞就越大。最終，防御人員必須完善防御機(jī)制，以便時(shí)時(shí)比壞人搶先一步。
嚴(yán)加防范，應(yīng)對(duì)將至的威脅
不要單單遵守。法律要求的安全控制措施很少足夠安全。
擴(kuò)大關(guān)注范圍。技術(shù)不是安全工作的全部;還要關(guān)注政策及實(shí)施。
保護(hù)移動(dòng)用戶。所有那些新設(shè)備都讓你的數(shù)據(jù)面臨風(fēng)險(xiǎn)。
分析你的數(shù)據(jù)。確定自己的最寶貴信息，然后重點(diǎn)保護(hù)這部分信息。
仔細(xì)觀察一切。數(shù)字系統(tǒng)和物理系統(tǒng)的所有部分現(xiàn)在都面臨風(fēng)險(xiǎn)。
2011年會(huì)是攻擊盛行的一年?
今年，網(wǎng)絡(luò)犯罪分子可能會(huì)將注意力轉(zhuǎn)向Mac，這是他們之前基本上沒去碰的一種平臺(tái)。Steve Santorelli以前是倫敦警察廳的一名偵探，現(xiàn)在是安全研究組織Team Cymru Research負(fù)責(zé)全球?qū)ν饴?lián)系的主管，他表示，俄羅斯雜志《Xakep》里面的幾篇文章著重介紹了如何攻擊Mac X，表示東歐的黑客們可能已經(jīng)在開發(fā)攻擊技術(shù)。
由于很少面臨威脅，大多數(shù)Mac用戶并沒有運(yùn)行反惡意軟件程序。Santorelli說(shuō)："要是有人在明年推出了瀏覽器漏洞包，我們會(huì)看到許多人會(huì)被感染。所以，你最后會(huì)遇到針對(duì)OS X的Zeus。"
公司嚴(yán)格控制Mac、比較簡(jiǎn)單的代碼以及比較出色的安全模型，這讓OS X比Windows來(lái)得安全。據(jù)Santorelli聲稱，但OS X并不是從根本上比更安全的一款操作系統(tǒng)。針對(duì)OS X的惡意軟件之所以數(shù)量比較少，原因在于面向OS X的應(yīng)用程序數(shù)量少得多。
2008年，計(jì)算機(jī)科學(xué)家Adam O'Donnell利用博弈論推算出：一旦Mac機(jī)占到計(jì)算機(jī)安裝總量的大約17%，惡意軟件對(duì)OS X來(lái)說(shuō)就會(huì)開始成問(wèn)題。據(jù)NetMarketshare.com網(wǎng)站聲稱，如今，Mac機(jī)約占美國(guó)計(jì)算機(jī)安裝總量的11.5%，約占全球安裝總量的5%。
有跡象表明地下犯罪分子對(duì)Mac產(chǎn)生了興趣，這表明蘋果用戶要小心了。去年10月，Koobface病毒的一個(gè)版本攻擊了OS X用戶，該病毒在用戶中廣泛傳播。攻擊者利用了Mac機(jī)上Java軟件存在的漏洞，將Mac機(jī)變成了僵尸網(wǎng)絡(luò)的指揮和控制服務(wù)器。