在本星期開幕的及夢幻力量(Dreamforce)大會(huì)之上，Salesforce.com針對(duì)安全問題給出了幾種內(nèi)容非常大膽的具體說法。舉例來說，該公司聲稱自身可以在漏洞被發(fā)現(xiàn)的24小時(shí)之內(nèi)就完成全部修復(fù)工作。盡管我們依然認(rèn)為這可能需要取決于漏洞的具體情況，但該公司卻堅(jiān)持認(rèn)為安全問題就需要在內(nèi)部完全消化。
實(shí)際上，該公司已經(jīng)在內(nèi)部建立起一支竭盡全力展開攻擊的滲透測試團(tuán)隊(duì)。這些全職測試人員的所有職責(zé)就是積極主動(dòng)地尋找到內(nèi)部潛在的風(fēng)險(xiǎn);此外，公司還將擁有訪問用戶口令權(quán)限的員工總?cè)藬?shù)限制在20名之內(nèi)。
通過將實(shí)際安全策略應(yīng)用到正在工作的內(nèi)部員工之上，該公司造就出了一個(gè)非常有趣的基準(zhǔn)。
實(shí)際上，公司所采取的某些安全測試就屬于非常有創(chuàng)意的類型。在公司剛剛宣布推出 3計(jì)算機(jī)的時(shí)間，這支安全團(tuán)隊(duì)就利用包含有折扣價(jià)格的危險(xiǎn)電子郵件進(jìn)行了一次內(nèi)部攻擊。結(jié)果，所有點(diǎn)擊該連接的開發(fā)人員最終發(fā)現(xiàn)自己所簽署的文件是一份參與另一場項(xiàng)目的同意書，這樣的結(jié)果讓他們明白到最好的選擇應(yīng)當(dāng)是不要盲目跟從。
或許，所有安全措施中最有創(chuàng)意的一種就是這匹擁有運(yùn)動(dòng)檢測器的仿生小馬。通常情況下，它會(huì)漫步在首席信用官帕特里克·海姆斯辦公桌的后面，在他正埋頭工作的時(shí)間還會(huì)試圖從背后進(jìn)行偷窺;除此之外，小馬將可以選擇利用大聲嘶叫、小聲嘶鳴以及搖擺自己的腦袋等常見動(dòng)作來吸引到周圍人群的注意力。
對(duì)于該公司來說，由于確保安全的關(guān)鍵之處就在于開發(fā)以及維護(hù)Salesforce.com平臺(tái)的運(yùn)行，因而選擇將安全策略應(yīng)用到正在工作的內(nèi)部員工之上就可以建立起一個(gè)非常有趣的基準(zhǔn)。盡管這家號(hào)稱要“擺脫軟件”的公司確實(shí)還在使用軟件，但涉及到的具體數(shù)目卻是非常有限的情況。
所有應(yīng)用程序都需要獲得白名單的支持才能投入使用
盡管員工可以選擇的系統(tǒng)有Windows、蘋果以及等類型，但只有位于白名單之中的應(yīng)用程序才會(huì)被容許運(yùn)行。這就意味著，所有情況不明、未經(jīng)批準(zhǔn)的程序——無論使用者認(rèn)為它們的作用會(huì)有多么大——除非已經(jīng)獲得了白名單的認(rèn)可為止，否則都會(huì)被直接禁止運(yùn)行。
此外，公司已經(jīng)對(duì)所配發(fā)的全部以及便攜式計(jì)算機(jī)安裝的進(jìn)行過全盤加密處理，并且絕對(duì)不容許在網(wǎng)絡(luò)中使用個(gè)人自帶設(shè)備。而對(duì)于需要使用個(gè)人平板計(jì)算機(jī)的用戶，公司的做法是專門提供了一張單獨(dú)的網(wǎng)絡(luò)，并且涉及到的所有個(gè)人工作以及管理用設(shè)備都被禁止連接官方網(wǎng)絡(luò)資源上。
按照公司的要求，使用的所有密碼都需要至少12個(gè)字符，并且還將會(huì)強(qiáng)制執(zhí)行復(fù)雜密碼策略。畢竟，加速模式加上已經(jīng)從成百萬的泄露事件以及大量不同攻擊中認(rèn)識(shí)到人們所使用密碼類型的黑客構(gòu)成的完美組合，可以輕松做到在短短一秒鐘之內(nèi)就測試完數(shù)億個(gè)不同的潛在密碼。
而這就意味著短短8個(gè)字符的密碼長度將完全無法達(dá)到最基本的安全要求。盡管理論上來看，如果僅僅依靠暴力破解的話，攻擊者依然需要大約19天的時(shí)間才能完成全部工作;但如果考慮到公眾對(duì)于密碼模式的有限認(rèn)識(shí)的話，就意味著Mary1234之類的密碼在不到90秒的時(shí)間內(nèi)就會(huì)被完全破解出來。海姆斯進(jìn)一步指出，這就相當(dāng)于所有8個(gè)字符長度的密碼幾乎都會(huì)在24小時(shí)之間被完全破解掉。因此，盡管較長的密碼可能會(huì)給使用者帶來令人討厭的感覺，但如果不強(qiáng)制這么做的話，就肯定會(huì)給系統(tǒng)造成潛在的漏洞。
換句話說，如果員工所選擇的密碼未能滿足上面提出的各項(xiàng)要求，是不是就應(yīng)當(dāng)需要仿生小馬盯著他們發(fā)出一聲長嘶來作為事前的提醒?