用不同的視角看待問(wèn)題，安全威脅也會(huì)不同。我們?cè)趯?duì)應(yīng)用系統(tǒng)進(jìn)行安全構(gòu)建時(shí)也是如此。雖然，我們有通用的漏洞列表和其他以最佳實(shí)踐形式存在的指導(dǎo)材料可供參考，然而，要真正保護(hù)我們的軟件，我們需要從黑客的視角對(duì)應(yīng)用程序進(jìn)行認(rèn)真考慮，然后以安全專(zhuān)家的身份去解決其中的問(wèn)題。
一、像黑客一樣思考
要像黑客一樣思考，就要不僅僅是考慮技術(shù)方面的攻擊，還要考慮以下一些其他方面的事情：
1、黑客要對(duì)我們進(jìn)行攻擊的動(dòng)機(jī)是什么？他們想得到什么？
2、黑客是否會(huì)有針對(duì)性對(duì)我們發(fā)起攻擊，還是投機(jī)取巧分子在網(wǎng)上胡打亂撞，碰巧發(fā)現(xiàn)我們的應(yīng)用程序有漏洞，才會(huì)對(duì)我們發(fā)起攻擊？
3、黑客會(huì)如何對(duì)我們的應(yīng)用程序發(fā)起攻擊？
4、黑客會(huì)在什么時(shí)候?qū)ξ覀兊膽?yīng)用程序發(fā)起攻擊？
舉例來(lái)說(shuō)，如果我們的應(yīng)用程序漏洞百出，那我們就要知道，黑客肯定是樂(lè)意怎么省事怎么來(lái)。這就是為什么防止顯而易見(jiàn)、眾所周知的攻擊來(lái)源是至關(guān)重要的。盡管有很多神秘而詭異的高級(jí)持續(xù)性威脅（APT），但如果可以通過(guò)像SQL注入這樣簡(jiǎn)單的、屢試不爽的手段就可以輕松搞定的事情，黑客們就不會(huì)在構(gòu)建高級(jí)持續(xù)性威脅上多花時(shí)間和精力。
那么，我們?cè)撊绾蝸?lái)保護(hù)我們的組織呢？
二、像安全專(zhuān)家一樣做事
1、跑不過(guò)熊但要跑過(guò)同伴。
有一個(gè)古老的寓言，講的是關(guān)于遇熊逃生的故事。故事講的是兩名徒步旅行者遇到了一頭熊，其中一個(gè)人趕緊穿上跑步鞋，因?yàn)樗溃灰艿帽韧榭欤蜎](méi)必要跑得過(guò)熊。對(duì)于組織來(lái)說(shuō)，如果我們的應(yīng)用程序關(guān)閉了所有眾所周知的漏洞，那黑客就會(huì)將攻擊目標(biāo)轉(zhuǎn)移到其他沒(méi)有做好相關(guān)防護(hù)的組織。通過(guò)這種方法，我們就沒(méi)必要比黑客還要更進(jìn)一步，只要讓黑客去選擇更為容易攻擊的目標(biāo)就可以了。
2、千里之堤，毀于蟻穴。
許多經(jīng)典的數(shù)據(jù)泄露事件都是由于黑客僅僅注意到了防御系統(tǒng)中一個(gè)看似無(wú)害的缺陷，然后對(duì)系統(tǒng)進(jìn)行繼續(xù)探索而最終得逞的。不要小看這樣一個(gè)小小的缺陷，因?yàn)橄到y(tǒng)運(yùn)行的每個(gè)線程都相互關(guān)聯(lián)，黑客順藤摸瓜很快就能得到權(quán)限，到那時(shí)一切都悔之晚矣了。為了防止這種情況發(fā)生在我們的組織，理論上我們不應(yīng)該放過(guò)任何一個(gè)發(fā)現(xiàn)的系統(tǒng)缺陷，找到該缺陷的根源所在，徹底將其解決。
以對(duì)進(jìn)入一棟大樓的入口點(diǎn)進(jìn)行檢查的家庭安防公司為例，其中某個(gè)入口點(diǎn)可能比較薄弱，但如果該入口點(diǎn)只是通向一個(gè)死胡同，那我們還算安全；但如果該入口點(diǎn)可以通向某個(gè)貴重物品的存放處，或者可以通向另一個(gè)形同虛設(shè)的入口，那我們就有麻煩了。
3、要對(duì)我們的系統(tǒng)要了如指掌。
知道我們的系統(tǒng)有哪些弱點(diǎn)固然重要，但對(duì)這些弱點(diǎn)進(jìn)行評(píng)估，知道如果系統(tǒng)被攻陷后會(huì)造成什么樣的信息泄露會(huì)更重要。要做到這一點(diǎn)，關(guān)鍵是要做一些面向業(yè)務(wù)的思維，理解有人進(jìn)行數(shù)據(jù)竊取的動(dòng)機(jī)是什么。知道這一點(diǎn)，有助于我們思考來(lái)自?xún)?nèi)部的威脅，而我們的防御系統(tǒng)往往卻是著重于由外而內(nèi)的思維。
使用威脅建模來(lái)理解攻擊的路徑、成功阻擊每次攻擊的價(jià)值以及每個(gè)路徑的預(yù)期收益。首先應(yīng)關(guān)閉那些輕而易舉就能獲取高額回報(bào)的攻擊路徑，再去利用最小阻力的概念。因?yàn)槲覀儾灰欢ㄓ凶銐虻臅r(shí)間和預(yù)算來(lái)對(duì)系統(tǒng)的所有漏洞和潛在威脅進(jìn)行阻擊和防范，所以要多從人性的角度進(jìn)行分析，減少攻擊發(fā)生的可能性。
黑客天生就有創(chuàng)造性，所以我們要心情發(fā)揮我們的想象力。例如，黑客總是會(huì)想方設(shè)法以他們從來(lái)沒(méi)有用過(guò)的方式來(lái)對(duì)利用一切可以利用的東西。這是個(gè)邏輯的概念，如果開(kāi)發(fā)人員從未考慮過(guò)這樣的途徑，那他開(kāi)發(fā)出來(lái)的程序就不能提供必要的保護(hù)。這種思維方式需要經(jīng)過(guò)訓(xùn)練。對(duì)于開(kāi)發(fā)人員來(lái)講要做到這一點(diǎn)尤為困難，因?yàn)樗麄儗?duì)自己開(kāi)發(fā)的功能也如指掌，能想到的早就想到了，要讓他們想方設(shè)法去利用自己開(kāi)發(fā)的程序已經(jīng)想不出什么花樣來(lái)了。
結(jié)語(yǔ)
一個(gè)好的安全專(zhuān)家明白，有效防御來(lái)自對(duì)攻擊的理解。像黑客一樣思考，擁有和組織業(yè)務(wù)相結(jié)合的知識(shí)，有助于我們更好的理解為什么會(huì)被黑客盯上，以及我們的組織會(huì)遭遇怎樣的攻擊。這些見(jiàn)解對(duì)于彌補(bǔ)黑客可能會(huì)利用的漏洞和攻擊路徑是必不可少的。通過(guò)假定的攻擊者視角，可以將這些知識(shí)轉(zhuǎn)為自己的優(yōu)勢(shì)。一旦我們從黑客的角度來(lái)看來(lái)審視我們的組織，我們就能像安全專(zhuān)家一樣對(duì)我們的組織進(jìn)行防衛(wèi)。
京公網(wǎng)安備 11010502049343號(hào)