A级黄片视频在线播放|黄色影视视频A片电影国|国产成人无码综合|国产免费无码视频|日韩成人毛片av在线|亚洲一区二区三区免费|无码精品激情东京热|日韩中文字幕色情|中文有码av日韩|国产一级作爱A片

安全隱患起于蕭墻 2006-8-15 文/Sharon Gaudin 譯/柯睿 　　俗話說(shuō)“家賊難防”，員工在企業(yè)系統(tǒng)內(nèi)部植入的一小段惡意代碼使得瑞士銀行在2002年陷入了混亂。時(shí)至今日，接受審判的除了具有嫌疑的前系統(tǒng)管理員，還有企業(yè)不甚嚴(yán)密的安全措施。 　　信任同事是人之常情——因?yàn)樗麄冊(cè)��?jīng)和你共飲咖啡，為你公司的壘球隊(duì)效力，或是在大廳和你打過(guò)招呼。內(nèi)部員工之間的相互信任使得IT管理者將網(wǎng)絡(luò)安全的工作重心放在了抵御來(lái)自外部的威脅。 　　然而，2002年3月4日發(fā)生在瑞士銀行潘恩韋伯公司(UBS Paine Webber)的事件證明：這種單方面的內(nèi)部信任是多么危險(xiǎn)。僅僅50～70行惡意代碼，造成了大約2,000臺(tái)服務(wù)器癱瘓，全美國(guó)有8,000名經(jīng)紀(jì)人無(wú)法工作。原告聲稱(chēng)這個(gè)“邏輯炸彈”是由一名心懷不滿的內(nèi)部員工植入的。IT小組同國(guó)際商業(yè)機(jī)器公司（IBM）徹夜召開(kāi)電話會(huì)議并匆忙重啟服務(wù)器，嘗試恢復(fù)已經(jīng)被破壞的數(shù)據(jù)。然而，四年過(guò)去了，造成的破壞仍然難以修復(fù)。 　　最近，美國(guó)新澤西州一家地區(qū)法院開(kāi)始審理的一場(chǎng)訴訟案，正把事故發(fā)生的原委和細(xì)節(jié)和盤(pán)托出。羅杰•杜羅尼奧（Roger Duronio）以前是該公司一名系統(tǒng)管理員，他被以從事計(jì)算機(jī)破壞活動(dòng)和證券欺詐的罪名起訴。這個(gè)案件給IT從業(yè)者描繪了一個(gè)噩夢(mèng)般的場(chǎng)景：系統(tǒng)故障迫使至少400名雇員停止手中的工作去尋找問(wèn)題所在。損失評(píng)估和故障修復(fù)工作的花費(fèi)高達(dá)310萬(wàn)美元。視不同情況，經(jīng)紀(jì)人在幾天甚至數(shù)周之內(nèi)都無(wú)法工作。損失的具體后果取決于計(jì)算機(jī)遭到破壞的程度、辦公地點(diǎn)的遠(yuǎn)近、以及分支機(jī)構(gòu)是否保留了備份磁帶。由于后果還在延續(xù)，這個(gè)現(xiàn)在改名為瑞士銀行美國(guó)財(cái)富管理公司（UBS Wealth Management USA）的企業(yè)目前還無(wú)法估算商業(yè)損失的具體數(shù)額。 　　“破壞性太大了。我們究竟要怎樣做才能恢復(fù)所有的數(shù)據(jù)？這對(duì)我們公司的影響有多大？” 瑞士銀行美國(guó)財(cái)富管理公司IT部門(mén)經(jīng)理，訴訟第一證人埃爾韋拉•M•羅德里格斯（Elvira Maria Rodriguez）在作證時(shí)說(shuō)道，“如果用1到10來(lái)打分的話，那么它的破壞性就是10＋（意指超過(guò)10分）�！� 　　受到攻擊之后的幾天，交易仍然在繼續(xù)。但是受到惡意代碼侵害的一些服務(wù)器卻永遠(yuǎn)無(wú)法完全恢復(fù)了，主要原因是大約20%的數(shù)據(jù)沒(méi)有備份磁帶。羅德里格斯表示，受到攻擊之后“這些大型的服務(wù)器總是有問(wèn)題”。據(jù)她估計(jì)，讓所有的服務(wù)器都恢復(fù)正常大約耗費(fèi)了一年時(shí)間。“我們甚至要學(xué)會(huì)如何同這些問(wèn)題共存�！彼�說(shuō)。 　　金錢(qián)與報(bào)復(fù) 　　原告聲稱(chēng)，現(xiàn)年63歲，來(lái)自新澤西州波哥大市的杜羅尼奧，通過(guò)編寫(xiě)、植入并散布邏輯炸彈，試圖刪除中央數(shù)據(jù)中心主機(jī)和美國(guó)其他分支機(jī)構(gòu)服務(wù)器上的所有文件，報(bào)復(fù)其雇主。初步斷定他的動(dòng)機(jī)為貪圖錢(qián)財(cái)和惡意報(bào)復(fù)。起訴人•G•奧梅利(V. Grady O'Malley)在他的公開(kāi)聲明中表示，杜羅尼奧希望年薪從12.5萬(wàn)美元提高至17.5萬(wàn)美元，并得到一筆最高5萬(wàn)美元的年度獎(jiǎng)勵(lì)。在2002年2 月，他得到的獎(jiǎng)勵(lì)額度比期望值少了1.5萬(wàn)美元。 　　以下是起訴人毛羅•沃爾夫（Mauro Wolfe）宣稱(chēng)的杜羅尼奧犯罪過(guò)程：杜羅尼奧在家中利用虛擬專(zhuān)用網(wǎng)絡(luò)（VPN）連接登錄到中央主機(jī)服務(wù)器，而在此之前的數(shù)月杜羅尼奧就已經(jīng)植入了惡意代碼。當(dāng)發(fā)現(xiàn)他所得到的獎(jiǎng)勵(lì)并沒(méi)有達(dá)到自己的期望值時(shí)，他便要求公司同他簽訂一份17.5萬(wàn)美元薪水的合同，否則當(dāng)天就走人。瑞士銀行潘恩韋伯公司沒(méi)有同他簽訂合同，杜羅尼奧也被請(qǐng)出了公司。然而此時(shí)邏輯炸彈已經(jīng)被植入，啟動(dòng)時(shí)間則設(shè)定在2002年3月4日早上9點(diǎn)30分——就在股票市場(chǎng)開(kāi)盤(pán)、交易剛開(kāi)始的時(shí)候。原告在法庭上說(shuō)，搜查杜羅尼奧住所的調(diào)查人員在其家中的個(gè)人電腦和梳妝臺(tái)上的打印件中找到了一些惡意代碼片斷。 　　據(jù)原告稱(chēng)，杜羅尼奧從個(gè)人退休賬戶中支出兩萬(wàn)美元，意圖通過(guò)購(gòu)買(mǎi)瑞士銀行（UBS）認(rèn)沽期權(quán)（Put Option）的辦法牟利，這種方法只有在公司股票11天內(nèi)大幅下跌的情況下才可能得到回報(bào)。奧梅利告訴陪審員:“如果他（杜羅尼奧）沒(méi)有得到那些獎(jiǎng)勵(lì)，他將給UBS帶來(lái)一場(chǎng)足以撼動(dòng)其穩(wěn)定性的巨大災(zāi)難，而這一天同時(shí)也將成為他一生中得到回報(bào)最多的工資日（Payday）�！北M管遇到攻擊，瑞士銀行的股票并沒(méi)有下跌，杜羅尼奧的投資也沒(méi)有得到回報(bào)。 　　杜羅尼奧的辯護(hù)律師克里斯•亞當(dāng)斯（Chris Adams）則把矛頭指向瑞士銀行脆弱的安全防護(hù)措施。亞當(dāng)斯是Walder,Hayden & Brogan律師事務(wù)所的合伙人。他表示，杜羅尼奧不應(yīng)該成為這些“既不復(fù)雜又相當(dāng)初級(jí)的”代碼的替罪羊，這些代碼看起來(lái)更像是惡作劇。真正的問(wèn)題在于，他在一份公開(kāi)聲明中寫(xiě)道，瑞士銀行的網(wǎng)絡(luò)充滿了安全漏洞，這使得公司容易受到攻擊。 　　亞當(dāng)斯并不承認(rèn)這些代碼是內(nèi)部行為，但是他同時(shí)也試圖說(shuō)服陪審團(tuán)相信其他員工也負(fù)有責(zé)任。瑞士銀行IT系統(tǒng)的弱點(diǎn)造成其他人利用杜羅尼奧的用戶名和密碼在網(wǎng)絡(luò)中暢行而沒(méi)有被檢測(cè)到，亞當(dāng)斯表示。 　　亞當(dāng)斯提到，2002年1月，瑞士銀行潘恩韋伯公司通過(guò)IT部門(mén)的一次內(nèi)部審查發(fā)現(xiàn)，公司的Unix系統(tǒng)以及Sybase數(shù)據(jù)庫(kù)軟件安全存在問(wèn)題，特別是涉及密碼的環(huán)節(jié)。亞當(dāng)斯表示，當(dāng)時(shí)，40名管理員可以使用同一個(gè)密碼獲得Root 權(quán)限（注：Root是用戶賬號(hào)之一，擁有服務(wù)器的最高權(quán)限），這使得系統(tǒng)無(wú)法辨明是哪一個(gè)Root用戶發(fā)出了指令。 　　羅德里格斯作證時(shí)曾經(jīng)提到，在攻擊開(kāi)始后不久，她離開(kāi)了辦公室，在另外一名系統(tǒng)管理員的電腦上使用一個(gè)開(kāi)放的Root賬號(hào)去監(jiān)視網(wǎng)絡(luò)上發(fā)生的一切。在被問(wèn)及公司是否允許管理員走開(kāi)，并在無(wú)人使用的計(jì)算機(jī)上留下Root權(quán)限時(shí)，羅德里格斯表示公司沒(méi)有這方面的規(guī)定，但是如果出現(xiàn)這樣的情形她也不感到意外。 　　亞當(dāng)斯表示，該金融企業(yè)在2000年3月對(duì)VPN網(wǎng)絡(luò)進(jìn)行的一次評(píng)估顯示，一個(gè)已經(jīng)在使用中的用戶名和密碼可以同時(shí)開(kāi)啟另外一個(gè)進(jìn)程。羅德里格斯則表示，她不能確定攻擊發(fā)生時(shí)是否存在類(lèi)似問(wèn)題，但是現(xiàn)在并不存在這種情況。 　　不眠之夜 　　攻擊引發(fā)的災(zāi)難性后果是毫無(wú)爭(zhēng)議的。而且審訊也通過(guò)前所未有的視角來(lái)審視了一個(gè)處于危機(jī)中的IT團(tuán)隊(duì)。 　　羅德里格斯負(fù)責(zé)維護(hù)分支機(jī)構(gòu)服務(wù)器的穩(wěn)定運(yùn)行。當(dāng)晚，200名IBM技術(shù)人員中的一部分被迅速派往公司的各個(gè)分支機(jī)構(gòu)，羅德里格斯通過(guò)電話會(huì)議和這些人員協(xié)調(diào)。她當(dāng)晚沒(méi)有睡覺(jué)，整夜都在進(jìn)行電話會(huì)議。像羅德里格斯這樣通宵忙碌的員工還有很多。 　　羅杰夫•哈納（Rajeev Khanna）在攻擊發(fā)生時(shí)正擔(dān)任UBS的Unix系統(tǒng)小組經(jīng)理。在2002年3月4日那天晚上，他同樣沒(méi)有回家。哈納負(fù)責(zé)監(jiān)督系統(tǒng)恢復(fù)進(jìn)程，他連續(xù)工作了三天。哈納的團(tuán)隊(duì)對(duì)400～500名UBS的工作人員重新進(jìn)行部署——其中包括應(yīng)用程序開(kāi)發(fā)員、項(xiàng)目經(jīng)理、系統(tǒng)管理員、以及數(shù)據(jù)庫(kù)管理員——讓他們放下正常工作，投入到修復(fù)工作中去。“最重要的是讓用戶能夠登錄他們自己的電腦�！惫�納在作證時(shí)表示，“他們無(wú)法登錄，就無(wú)法提取客戶數(shù)據(jù)，無(wú)法進(jìn)行交易，無(wú)法核實(shí)市場(chǎng)數(shù)據(jù)，當(dāng)然最終也無(wú)法進(jìn)行日常工作�！� 　　問(wèn)題不僅僅在于那些癱瘓的服務(wù)器。系統(tǒng)管理員以及其他IT工作人員蜂擁而入，提出各種問(wèn)題和建議，使原本就亂作一團(tuán)的數(shù)據(jù)中心和升級(jí)中心（Escalation Center）更加混亂不堪。一個(gè)平常容納六七個(gè)人的房間一上午就聚集了二三十人。到中午，有50個(gè)人在已經(jīng)癱瘓的網(wǎng)絡(luò)上工作，而僅僅一個(gè)小時(shí)之后，全國(guó)又有數(shù)百人受到了影響。 　　這個(gè)問(wèn)題讓IT團(tuán)隊(duì)的年度慶祝頗不光彩。為了避免類(lèi)似事故再次發(fā)生，羅德里格斯在接下來(lái)的兩三年里，每逢3月4日都要提前準(zhǔn)備好攔截潛在攻擊——采取措施讓重要的服務(wù)器保持脫機(jī)，這樣一來(lái)，即便潛伏在網(wǎng)絡(luò)某處伺機(jī)攻擊的殘留代碼突然爆發(fā)，至少可以保證這些脫機(jī)的服務(wù)器幸存下來(lái)。“我們必須采取措施保證不會(huì)再有業(yè)務(wù)上的損失�！彼�這樣說(shuō)道。 　　謹(jǐn)防家賊 　　內(nèi)部人員甚至是IT專(zhuān)業(yè)人員制造的計(jì)算機(jī)攻擊事件并不罕見(jiàn)。盡管每年變化不大，來(lái)自企業(yè)內(nèi)部的攻擊和外部攻擊幾乎同樣頻繁。然而，內(nèi)部人員犯案卻更具危險(xiǎn)性，因?yàn)樗麄儞碛邢鄬?duì)外部更高的權(quán)限，而且事先不會(huì)受到懷疑�！捌髽I(yè)的系統(tǒng)管理員權(quán)利很大，因?yàn)檫@些權(quán)利本質(zhì)上也是他工作的一部分�！辈�頓集團(tuán)（Burton Group）分析師埃里克•麥沃爾德（Eric Maiwald）表示，“就常理而言，你認(rèn)為他們不會(huì)對(duì)你造成傷害。如果對(duì)他們的管束太多，他們就無(wú)法正常工作�！� 　　然而，如果對(duì)他們監(jiān)控不夠，不眠之夜將會(huì)再次降臨。 　　軟件炸彈：僅僅是個(gè)玩笑？ 　　巨額損失讓瑞士銀行“買(mǎi)”回了血的教訓(xùn)：一旦讓心懷不軌的內(nèi)部人員逃過(guò)監(jiān)控，植入了代碼，那么由這些代碼組成的軟件炸彈就能要了企業(yè)的命。 　　“軟件炸彈”由看似簡(jiǎn)單的代碼組成，在進(jìn)行網(wǎng)絡(luò)犯罪時(shí)可能具有異�？膳碌钠茐牧�。一個(gè)典型的案例就是2002年瑞士銀行潘恩韋伯公司（UBS Paine Webber）服務(wù)器上被植入的惡意代碼最終給企業(yè)帶來(lái)了永久性的傷害。 　　軟件炸彈由觸發(fā)器和破壞功能所構(gòu)成，他們幾乎無(wú)一例外都是由公司內(nèi)部人員所部署。觸發(fā)器可以和某個(gè)特定時(shí)間相關(guān)聯(lián)，或者由某個(gè)特定事件的發(fā)生與否來(lái)開(kāi)啟—例如，炸彈制造者某一天早上沒(méi)有進(jìn)行登錄，炸彈隨即被觸發(fā)。 　　與病毒或特洛伊木馬那種源自外部的攻擊方式不同，軟件炸彈往往由具備一定權(quán)限的內(nèi)部人員植入。典型的炸彈破壞功能是刪除文件。這些惡意破壞行為唯一缺陷在于代碼自身占用了存儲(chǔ)空間。如果公司有軟件檢測(cè)流程，那么“體積”越大的軟件炸彈就越容易被發(fā)現(xiàn)。 　　軟件炸彈困擾IT人員已有數(shù)十年時(shí)間了。首次發(fā)生的案例是在1988年，發(fā)生于德克薩斯州沃斯堡（Fort Worth）一家名為USPA&IRA的股票交易公司。炸彈制造者離開(kāi)公司六個(gè)月之后，16.8萬(wàn)條工資記錄從數(shù)據(jù)庫(kù)中被刪除。一名內(nèi)部員工被定罪，他曾經(jīng)因?yàn)樗阶允褂昧艘慌_(tái)公司的計(jì)算機(jī)而遭受了斥責(zé)。1992年，英國(guó)Chilworth 通信公司的一名員工被指控在1990年9月辭職之前植入了一枚邏輯炸彈。軟件炸彈在1990年10月被觸發(fā)，破壞了重要的文件，造成公司超過(guò)5萬(wàn)美元的損失。這名被處罰的員工，僅僅從事了140小時(shí)的社區(qū)服務(wù)，同時(shí)支付了6,000美元作為賠償。 　　公司可以采取很多措施來(lái)排除這些軟件炸彈；多數(shù)措施是針對(duì)工作流程而不是技術(shù)手段。賽門(mén)鐵克安全響應(yīng)中心（Symantec Security Response）高級(jí)主管文森特•偉佛（Vincent Weafer）表示：“軟件炸彈通常隱藏于人們的視野之內(nèi)�！惫�司必須保證，開(kāi)發(fā)軟件和運(yùn)行測(cè)試這個(gè)軟件的員工不是同一個(gè)人。除了對(duì)IT員工的犯罪背景進(jìn)行徹底調(diào)查之外，公司應(yīng)該建立同級(jí)評(píng)審機(jī)制，這樣多名程序員就可以了解分析同一段代碼的用途�！叭绻�你的產(chǎn)品開(kāi)發(fā)生命周期非常完整，”偉佛表示，“你應(yīng)該知道都有誰(shuí)接觸過(guò)軟件代碼，他們做了些什么，以及該行為何時(shí)發(fā)生�！碑�(dāng)然，同時(shí)還會(huì)發(fā)現(xiàn)他們?cè)噲D“植入”的代碼。