每年的年底，一些保守派總是試圖用一個矯揉造作的主題來總結(jié)一年發(fā)生的事情。不過我會繼續(xù)采用一個簡潔的主題，即：2010是充滿警醒的一年。
去年伊始，我們就被先進(jìn)持續(xù)威脅(advanced persistent threat)這一概念給搞得摸不著頭腦。極光行動(Operation Aurora)成功侵入了、系統(tǒng)公司和其他20多個組織。
同大多數(shù)APT類型的攻擊一樣，極光采用了零日攻擊和已知未打補(bǔ)丁的軟件漏洞結(jié)合的方式，侵入傳統(tǒng)防御并維護(hù)長期訪問的敏感數(shù)據(jù)和關(guān)鍵任務(wù)的系統(tǒng)，監(jiān)測內(nèi)部通訊，竊取商業(yè)機(jī)密，最終給造成無法修復(fù)的損失。
2010年，ATP的確言過其實(shí)，并不是每個攻擊都被認(rèn)定為APT。但是，我們正在總結(jié)2010年出現(xiàn)的另一個APT事件，即最近的Gawker Media攻擊，所以這并非巧合。事實(shí)證明，在Gawker的IT員工意識到系統(tǒng)是錯誤的及其企業(yè)領(lǐng)導(dǎo)決定處理之前，Gnosis攻擊群已經(jīng)進(jìn)入了Gawker的系統(tǒng)有幾周或幾個月了。
正如Gawker攻擊證明，并不只是像谷歌這樣的行業(yè)巨頭，實(shí)際上越來越多的企業(yè)正成為先進(jìn)的持續(xù)威脅(advanced persistent threat)的目標(biāo)。幾乎所有組織都有敵人，正如我們所看到的，Gawker類型利用了的疏忽和自大，這將導(dǎo)致災(zāi)難。
ATP幫助我們明確指出，傳統(tǒng)的信息安全模式需要更新。正如我們的信息安全威脅專家Nick Lewis寫道，企業(yè)必須假設(shè)在其網(wǎng)絡(luò)存在一個只有攻擊者才可以看到大漏洞，并且公司應(yīng)該通過限制用戶權(quán)限級別來對其進(jìn)行保護(hù)，仔細(xì)考慮攻擊者使用的Web，再訪問對外流量監(jiān)測程序，甚至排查PCI類型網(wǎng)絡(luò)分段。還有，一旦要發(fā)生攻擊，準(zhǔn)備好進(jìn)行詳細(xì)的DNS日志分析或者請專家在線幫你做。
同樣，我們不能忽視新型惡意軟件，包括特洛伊如Zeus和。Zeus已經(jīng)侵入過幾次，但新的日益危險的Zeus變種隨時都在出現(xiàn)，不能被忽略。根據(jù)公司與零日攻擊組合周旋的結(jié)果，蠕蟲病毒在2010年七月出現(xiàn)，最初的目標(biāo)是西門子SCADA系統(tǒng)軟件，并成功感染了10萬個系統(tǒng)。
為什么我們可能處于惡意軟件復(fù)興之中？有些人喜歡指責(zé)軟件制造商。畢竟，或的確如此，如果軟件制造商把側(cè)重點(diǎn)放在使軟件開發(fā)最佳實(shí)踐安全上，這些惡意軟件不會很高效(盈利)。
實(shí)際上軟件總是有缺陷的。也許沒有商業(yè)軟件供應(yīng)商比投資的更多在確保安全軟件開發(fā)上，但微軟在2010發(fā)布了比往年更多的軟件補(bǔ)丁，攻擊者不斷地尋找和利用新的零日。即使供應(yīng)商同微軟一樣勤奮并關(guān)注安全，他們也不能填補(bǔ)所有軟件漏洞，沒人能完全做到這一點(diǎn)。
相應(yīng)的，企業(yè)必須假設(shè)他們的應(yīng)用程序是脆弱的，并且一直都是。引用SANS風(fēng)暴中心主任Marcus Sachs的話，企業(yè)不但需要實(shí)行深入防御的安全和維護(hù)多種安全保護(hù)層，還應(yīng)該為那些保護(hù)層考慮多種新的不同的技術(shù)和戰(zhàn)略，包括漏洞管理、內(nèi)部侵入測試、基于主機(jī)的職責(zé)和機(jī)器的檢測和隔離等等。
很明顯，這些措施并沒有新的突破，但是攻擊者正在做的就用到了上述提到的方法，其他的入侵手段大多也是惡意的。隨著2010年的結(jié)束，新的攻擊類型已經(jīng)突破了今天傳統(tǒng)的防御措施，這給我們敲響了警鐘。因為疏忽，谷歌、Adobe和Gawker在安全方面都打了盹，也都因此付出了代價。在2011年，其他企業(yè)也將會犯同樣的錯誤，請不要讓你的公司成為其中之一。