黑客攻击死灰复燃 信息安全业下一步何去何从？

CNET科技资讯网 6月10日 国际报道：最近黑客活动相当猖獗，从Epsilon被黑致使数十家主流美国公司数百万用户资料外泄，到数家防御合约商遭攻击后迫使RSA公司更换客户安全身份认证、再到索尼网站最近数月定期遭黑客攻击，都凸显了黑客活动之频繁。

英国电信首席安全技术官布鲁斯·施奈尔（Bruce Schneier）是一位德高望重的安全专家，他说：“我认为现在并不是黑客攻击最猖狂的时候，应该是媒体炒作的缘故。我们曾见过大规模攻击，现在的情况并不是大规模攻击增加，而是新闻传播太快。”

没有人能够真正说清楚攻击是否增加。报告显示，攻击次数每年呈递增趋势。但这些统计数据只是根据报道过的事件采集的，大量只有黑客和犯罪分子清楚、而其他人并不知道的攻击事件无时无刻不在上演。

显然，最近更多攻击浮出水面，攻击类型也多样化，不再是单纯的暴露消费者个人资料的敏感数据攻击。

以RSA为例，该公司销售安全身份认证，企业、政府机构和其它组织使用安全身份认证让员工远程安全访问敏感网络。安全身份认证是双向认证的业界标准，要求用户在登录时同时提供一次性随机数字码和密码。

RSA今年3月份公布，该公司遭到一次“相当复杂的网络攻击”，与安全身份认证相关的敏感数据被盗，或被黑客用于访问使用该技术的RSA顾客网络。此消息一经公布，立刻震惊了安全界。

RSA对被盗细节一直三缄其口，但私下同重要客户进行了会谈，帮助客户强化防御系统。尽管如此，两家防御合约商Lockheed Martin和L-3 Communications还是报告称，黑客利用从RSA窃取的数据攻击其系统。上月，Northrop Grumman意外关闭远程访问网络，引发外界对该公司遭到与安全身份认证相关攻击的猜想。RSA本周表示，将为担忧该风险的用户更换安全身份认证。

业界电脑间谍活动并非新生事物，但针对安全技术先锋RSA的成功攻击却意义重大、影响广泛。企业可以转向其它解决方案，但在一家组织内部大规模更换安全部署绝非易事，成本也不菲。

网络攻击很有诱惑力，但网络犯罪分子针对包含客户信息的数据库攻击目的主要是谋财。今年4月份，针对电子邮件营销服务提供商Epsilon的攻 击使这家名不见经传的公司一夜之间家喻户晓。花旗银行、大通银行、美国第一资本投资国际集团（Capital One）、美国连锁药店Walgreens、Target、百思买、TiVo 、在线经纪商TD Ameritrade和Verizon等大公司客户都收到邮件，称其电子邮件地址在一次数据入侵中外泄。

今年3月份，黑客以一种完全不同的方式发起攻击，目标是提供数字认证的公司，网站通常采用数字认证技术证明访问者的合法性，黑客通过欺诈手段获得大量认证，或欺诈包括Google、雅虎、微软Live.com和Skype在内的主流站点。黑客窃取了注册机构经销商Comodo认证。一位21岁的伊朗爱国青年表示对此次攻击负责，他表示此举是抗议美国政策，是对去年Stuxnet恶意件创建目的是关闭伊朗核计划的报复。

最近，索尼登上媒体头版头条。该公司频繁遭到黑客攻击，一家黑客集团最近公然提出一个新词“Sownage”，意为“控制索尼网站”。

施奈尔说：“从某些方面说，索尼已经成为待宰羔羊。”

最近，索尼与客户就其PS3设备被修改而大打口水战，该公司将部分为不同用户修改PS3设备的黑客告上法庭后，一家黑客组织Anonymous发动了一场数字化抗议，4月初发起DoS攻击，致使数家索尼网站关闭。

Anonymous拥有大量在线激进活动纪录，曾锁定科学教派(Church of Scientology)网站、埃及和伊朗政府及有争议的威斯特布路浸信会（Westboro Baptist Church）。但该组织因去年支持解密网站WikiLeaks而声名鹊起，曾组织向终止为WikiLeaks提供资助的 PayPal、Visa、MasterCard和其它公司发起一连串攻击。

DoS攻击数周后，黑客闯入索尼网络，使7700万名PSN网络客户个人资料面临风险，其中包括信用卡信息，迫使索尼关闭该网络。不到一周，索尼公布逾2400万索尼娱乐在线（SEO）客户资料被暴露。

之后，针对索尼网站的攻击真正雪崩：索尼音乐印度尼西亚站点被黑，索尼泰国服务器上发现一个钓鱼网站，索尼日本、希腊、加拿大、比利时、荷兰和 俄罗斯站点资料被黑。约37500名Sony Pictures客户资料上周被暴露。有报道称，与索尼计算机娱乐开发者网络（Sony Computer Entertainment Developer Network）和Sony BMG相关的数据泄漏。

针对索尼的攻击也殃及其它公司，其中包括宏碁欧洲站点、索尼欧洲站点、任天堂、FBI合作伙伴Infragard。黑客集团LulzSec对一 名Infragard受害人（一家新创安全公司CEO）纠缠不清，该受害人犯下一个致命错误——在多个电子邮件账户和网站中采用同一个密码。 LulzSec在电子邮件和聊天信息中威胁该受害人称，希望获得金钱和数据，如果拒绝合作，就公布他的信息。

2011年网络为黑客提供了更广阔的舞台，除了攻击目标数量众多外，自我表达的工具也丰富多彩。如Twitter为黑客宣扬自己提供了一个很好的平台，LulzSec就利用该平台不断发布有关攻击的新信息。