“報復黑客”:可行的戰(zhàn)略還是重大的風險?

責任編輯:editor005

作者:Peter Sullivan

2016-05-19 14:24:14

摘自:TechTarget中國

常用的防御戰(zhàn)略無法有效保護重要信息資產(chǎn),這增加了企業(yè)的挫敗感,他們花費在網(wǎng)絡安全的資源充其量只能提供低水平的保護。對于刑事起訴,美國政府在積極查找違反CFAA的行為,盡管不是針對反攻擊而言的。

現(xiàn)在世界各地的企業(yè)都在關注如何保護他們的信息資產(chǎn),他們需要這些資產(chǎn)用以制造產(chǎn)品、提供服務、在市場區(qū)分自己、生成利潤以及為其客戶和股東創(chuàng)造價值,為此,這些企業(yè)正在投入巨大的資源來保護重要的信息資產(chǎn)。

企業(yè)和政府機構每天都在攻擊籠罩之下,這種預防攻擊的成本非常巨大。根據(jù)國際戰(zhàn)略研究中心和安全公司McAfee在2014年的研究顯示,美國網(wǎng)絡犯罪成本每年占國內(nèi)生產(chǎn)總值的0.64%。從2015年18萬億美元國內(nèi)生產(chǎn)總值來看,這意味著每年的網(wǎng)絡犯罪成本是1152億美元。

鑒于網(wǎng)絡犯罪成本如此之高,企業(yè)可能會想“為什么我不能保護自己以抵御不斷的攻擊,并減少損失呢?”其實,企業(yè)可以保護自己,甚至可以進行“反攻擊”。但典型網(wǎng)絡安全防御通常是這樣:被動地坐著,等待下一次攻擊,同時祈禱自己部署的防御措施會發(fā)揮作用。

企業(yè)可能希望攻擊者不會發(fā)現(xiàn)他們沒有部署任何防御措施的位置,但也知道攻擊者會比他們更早地知道下一個新漏洞。攻擊者在企業(yè)部署有效防御之前就已經(jīng)有了漏洞利用包,企業(yè)最終會意識到,這種采用純粹的防御戰(zhàn)略來保護其信息資產(chǎn)的方式已然行不通。

這種類型的戰(zhàn)略會失敗在于信息防御的不對稱性。這種不對稱性往往表現(xiàn)在,“要想成功抵御攻擊者,防御者需要確保所有時間內(nèi)100%的正確,而攻擊者只需要找準‘一次的錯誤’就可成功。”

常用的防御戰(zhàn)略無法有效保護重要信息資產(chǎn),這增加了企業(yè)的挫敗感,他們花費在網(wǎng)絡安全的資源充其量只能提供低水平的保護。

對于投資了網(wǎng)絡安全但仍遭受攻擊、入侵和損失的企業(yè),受挫和憤怒之情會讓他們變得更加愿意積極進取地應對攻擊者。美國黑帽大會2012年的調(diào)查顯示,36%的受訪者聲稱他們已經(jīng)開始對網(wǎng)絡安全攻擊進行打擊報復。

打擊報復攻擊者的一種具體方法是“反攻擊”,是指受攻擊的目標會反過來攻擊網(wǎng)絡罪犯或黑客。對于愿意考慮對黑客進行反攻擊的企業(yè)來說,都有哪些問題需要考慮呢?

攻擊與反攻擊

攻擊的定義是在未經(jīng)授權的情況下,訪問計算機、網(wǎng)絡或信息系統(tǒng),包括其信息。攻擊涉及繞過安全控制或惡意的漏洞利用。

反攻擊也是指在未經(jīng)授權的情況下訪問計算機、網(wǎng)絡或信息系統(tǒng)。這兩者的區(qū)別在于動機不同。企業(yè)進行反攻擊的動機可能是恢復或擦除被盜數(shù)據(jù)或知識產(chǎn)權,其他反攻擊的動機可能從本質(zhì)上來看屬于報復,包括破壞或損壞攻擊者的系統(tǒng)以及破壞他們今后執(zhí)行攻擊的能力。

是否執(zhí)行反攻擊應該由最高管理層作出決策。反攻擊是技術性活動,是否要這樣做屬于企業(yè)性決策。信息安全是以業(yè)務為核心的運營風險管理活動,用反攻擊來保護信息需要從風險管理的角度來考慮。

法律和道德問題

如果惡意攻擊是非法活動,那么反攻擊也是非法的。在美國,1986年的計算機欺詐與濫用法案(CFAA)表明,對計算機的未經(jīng)授權訪問被視為非法。

反攻擊的另一個問題是附帶損害。網(wǎng)絡罪犯通常使用不知情的第三方計算機執(zhí)行攻擊,有時候會整合這些受感染計算機為僵尸網(wǎng)絡,用于發(fā)動攻擊和分發(fā)垃圾郵件及惡意軟件。明確攻擊者的真正來源很困難,對第三方擁有的計算機執(zhí)行的反攻擊帶來了嚴重的責任問題。1994年對CFAA法案的修正案允許民事索賠。

撇開合法性來看,簡單的道德準則包括“不傷害”,“尊重員工、承包商和供應商”以及“遵守法律”等都會被反攻擊涉及的活動和結果所侵犯。

風險

反攻擊包含以下風險:

經(jīng)濟損失

企業(yè)需要回答幾個問題:反攻擊是否提供任何財政激勵措施?反攻擊是否會減少損失或恢復信息資產(chǎn)及知識產(chǎn)權?反攻擊是否可防止對計算機和網(wǎng)絡的損壞?反攻擊可節(jié)省多少成本?反攻擊需要什么代價?

信譽與客戶信心

如果反攻擊活動吸引了媒體和執(zhí)法組織的目光,這可能會影響企業(yè)的聲譽。如果反攻擊對第三方造成損害呢?這還會影響客戶的信心,可能影響企業(yè)收入。

民事和刑事處罰

反攻擊可能導致哪些潛在處罰?攻擊者不太可能被起訴,但企業(yè)可能因為反攻擊被強制執(zhí)行離線及造成業(yè)務損失。

對于刑事起訴,美國政府在積極查找違反CFAA的行為,盡管不是針對反攻擊而言的。

生產(chǎn)效率

拒絕服務供給帶來的工作效率和業(yè)務損失可能非常嚴重。反攻擊是對拒絕服務供給的現(xiàn)實應對策略嗎?反攻擊能否減少破壞以及加速從惡意攻擊事件中恢復的速度?

安全性

在試圖反攻擊后,如果攻擊者決定進行更多攻擊,僅僅是為了破壞你的信息系統(tǒng)以及你開展業(yè)務的能力呢?全面的拒絕服務對你的企業(yè)意味著什么?

責任

如果反攻擊對第三方造成損害呢?第三方?jīng)Q定在民事法庭尋求賠償呢?

反攻擊并非……

反攻擊并非網(wǎng)絡安全最佳做法的替代品,反攻擊是所有其他辦法都失效情況下,不得已而為之的策略。在企業(yè)已經(jīng)部署了世界級的網(wǎng)絡安全計劃、政策和程序,并有豐富運作經(jīng)驗后,才可考慮反攻擊。對于可能存在的各種法律和道德問題,企業(yè)應該思考反攻擊是否確實是合理可行的網(wǎng)絡安全保護戰(zhàn)略。

鏈接已復制,快去分享吧

企業(yè)網(wǎng)版權所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號