全球最具影響力的有線電視公司HBO，以一場(chǎng)大規(guī)模的數(shù)據(jù)泄露事件拉開(kāi)了8月的序幕。這場(chǎng)泄露中，從敏感內(nèi)部文件到未發(fā)行的完整劇集，統(tǒng)統(tǒng)被黑客搜刮一空。之后不久，另外的獨(dú)立事件中，兩集《權(quán)力的游戲》過(guò)早放出。8月18日，黑客組織OurMine劫持了HBO主推特賬戶，以及幾個(gè)HBO節(jié)目的推特賬戶。對(duì)于HBO，這簡(jiǎn)直是地獄般的幾個(gè)星期。
HBO這充斥著數(shù)據(jù)泄露與黑客事件的困難時(shí)期，也再次提醒了我們：當(dāng)今時(shí)代，無(wú)論哪家公司，想保護(hù)好自己的東西有多么困難。雖然有些模糊不清，但這些攻擊實(shí)際上是4起獨(dú)立的事件，每一起都有其特別的經(jīng)驗(yàn)教訓(xùn)——包括“供應(yīng)鏈問(wèn)題、內(nèi)鬼、無(wú)意識(shí)內(nèi)部員工、被盜賬戶“。這一系列問(wèn)題凸顯出HBO這樣的大企業(yè)所面臨的挑戰(zhàn)。
不安感
HBO的麻煩其實(shí)從6月末就開(kāi)始了，當(dāng)時(shí)黑客 Mr. Smith 放出了HBO尚未發(fā)行的4部劇集，包括計(jì)劃到明年才推出的《Barry》，以及《權(quán)力的游戲》未發(fā)行劇集的劇本。黑客稱，共握有1.5 TB的HBO數(shù)據(jù)，從更多劇集到財(cái)報(bào)到其他敏感文檔，應(yīng)有盡有。
一周后，同一批黑客發(fā)出勒索通告，要求數(shù)百萬(wàn)美元的止損費(fèi)，還附帶一張證明他們手握信息和劇集的文件目錄截圖，其中包括劇集《抑制熱情》和《不安感》。
情況略有點(diǎn)令人迷惑。這兩起被熱炒的黑客泄露事件中間，有一集《權(quán)力的游戲》在正式播放前2天被泄露。但不像人們以為的是 Mr. Smith 的杰作，而是4個(gè)印度人從星空集團(tuán)印度公司( Star India )的合作伙伴Prime Focus Technologies偷渡出來(lái)的——Star India 負(fù)責(zé)在印度播出HBO節(jié)目。
盡管不是黑客入侵系統(tǒng)的傳統(tǒng)攻擊，Star India劫案代表著娛樂(lè)產(chǎn)業(yè)等行業(yè)中越來(lái)越常見(jiàn)的一種災(zāi)禍：不那么內(nèi)部的內(nèi)部人作案。無(wú)論HBO把自己防護(hù)得多么嚴(yán)實(shí)，它都無(wú)法置喙 Star India 的數(shù)據(jù)保護(hù)策略，對(duì) Prime Focus Technologies 的做法就更沒(méi)有發(fā)言權(quán)了。
跨國(guó)IT安全公司ESET高級(jí)安全研究員史蒂芬·科布稱：“今天的商業(yè)模型加劇了內(nèi)部人威脅，因?yàn)榭煞Q為內(nèi)部人的變多了很多。一部電影的制作過(guò)程涉及到數(shù)千人，其中大部分人實(shí)際上并非派拉蒙或索尼或隨便哪個(gè)片頭片尾中出現(xiàn)的公司的員工。能接觸到高價(jià)值產(chǎn)權(quán)的人太多了。”
HBO并非遭此厄運(yùn)的唯一一家;Netflix最近就面對(duì)并拒絕了一次勒索——黑客從第三方制作工作室偷出了新一季的《女子監(jiān)獄》。而不道德員工偷渡產(chǎn)權(quán)的容易性，讓該問(wèn)題愈加嚴(yán)重。
福特說(shuō)：“觀察內(nèi)部人知識(shí)產(chǎn)權(quán)泄露事件，你會(huì)發(fā)現(xiàn)：以前需要將又大又沉的東西實(shí)際搬運(yùn)出去，至于電影，那就是一筒膠片;而現(xiàn)在，僅僅需要傳輸一份文件即可。”
總而言之，Mr. Smith 黑客事件和《權(quán)力的游戲》初始泄露，就已經(jīng)構(gòu)成了娛樂(lè)產(chǎn)業(yè)近期歷史上最重大安全失誤之一。但要記得，這還僅僅是第1周。接下來(lái)，還發(fā)生了另外2起規(guī)模沒(méi)那么大，但依然具有破壞性且令人尷尬的黑客事件。
8月16日，HBO自亂陣腳。這次事件與 Mr. Smith 或 Star India 無(wú)關(guān)，HBO北歐和HBO西班牙將本周日的《權(quán)力的游戲》播放了1小時(shí)——足夠轉(zhuǎn)錄到BT網(wǎng)站供下載。
HBO歐洲發(fā)言人湯姆·尼爾森在聲明中稱：“該失誤似乎源于第三方供應(yīng)商，一經(jīng)發(fā)現(xiàn)我們便移除了這一集。”關(guān)鍵詞：第三方。
最后，或者說(shuō)，最近，就是OurMine黑客事件了。該組織引發(fā)的傷害最小，只留了條消息：“嗨~OurMine來(lái)了，我們只是在測(cè)試你們的安全，HBO團(tuán)隊(duì)請(qǐng)聯(lián)系我們升級(jí)安全。”HBO在1小時(shí)之內(nèi)就拿回了該賬戶的控制權(quán)。
HBO發(fā)言人杰夫·卡森稱：“對(duì)我們社交媒體賬戶的侵權(quán)行為馬上就被發(fā)現(xiàn)并矯正了。”
但是，OurMine事件，除了雪上加霜，還顯露出了兩種不同類型的安全威脅。
首先，遭攻擊的公司更容易吸引其他黑客的注意。比如說(shuō)，索尼，2014年那次災(zāi)難性黑客事件后的2個(gè)月里，又遭到了20次黑客攻擊。任何高調(diào)黑客事件都會(huì)觸發(fā)模仿犯罪，遭攻擊的公司會(huì)突然陷入聚光燈下，成為眾矢之的。人們會(huì)想，這種大工作室也會(huì)防護(hù)不周。
更實(shí)際的層面上，OurMine推特劫持事件，提供了憑證竊取的典型案例。憑證竊取是一種很普遍的攻擊，可導(dǎo)致的傷害遠(yuǎn)比社交媒體曝光要嚴(yán)重得多。
安全公司Malwarebytes首席惡意軟件情報(bào)分析師杰羅姆·塞古拉說(shuō)：“魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)攻擊越來(lái)越常見(jiàn)，只要對(duì)目標(biāo)進(jìn)行適當(dāng)偵察，這種攻擊方式可成為獲取電郵賬戶、云存儲(chǔ)，甚或社交媒體主頁(yè)憑證的最快途徑。”目前尚不清楚OurMine到底有沒(méi)有使用該方法，但看起來(lái)魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)是個(gè)很可能的路線。
最小化損害
若說(shuō)HBO這幾周的陰云密布之下還有什么太陽(yáng)的金邊散出，那可能就是這些事件闡明了公司需要抵御多少攻擊，以及在攻擊確實(shí)發(fā)生時(shí)應(yīng)怎樣應(yīng)對(duì)。
佛瑞斯特研究公司安全分析師杰夫·波拉德稱：“像HBO這樣數(shù)字公司面對(duì)的，是一個(gè)不斷擴(kuò)張的攻擊界面。復(fù)雜度、各種應(yīng)用、第三方合作伙伴、社交媒體，其中任何一個(gè)都可以成為攻擊者登堂入室的途徑。”
正如HBO領(lǐng)會(huì)到的，同時(shí)抵御所有這些威脅，至少要建立一種有助于最小化損害的思維。
從防御的立場(chǎng)出發(fā)，就是要能夠全程保護(hù)好你的數(shù)據(jù)，無(wú)論你數(shù)據(jù)流向哪里;以及理解該數(shù)據(jù)最終是怎么脫離你的控制的。在安全上，大多數(shù)時(shí)候我們關(guān)注的是入站流量，我們基本是以威脅為中心。但向外看，無(wú)論數(shù)據(jù)在哪兒都做好防護(hù)，是我們應(yīng)該做好的一個(gè)范式轉(zhuǎn)移。
否則，缺乏關(guān)于 Mr. Smith 黑客事件更多詳細(xì)信息的情況下，可采取的最佳措施，同時(shí)也是最簡(jiǎn)單的那些。
大多數(shù)時(shí)候，此類事件中學(xué)到的教訓(xùn)就是，最基礎(chǔ)的安全原則和安全衛(wèi)生往往沒(méi)被遵從。比如說(shuō)，即便是采用雙因子身份驗(yàn)證這么一步，都能預(yù)先阻止掉潛在的推特賬戶劫持。
最后，HBO黑客事件已證實(shí)沒(méi)有3年前的索尼數(shù)據(jù)泄露事件那么嚴(yán)重。個(gè)人電子郵件并未被公開(kāi)，目前泄露的劇集似乎也對(duì)收視率無(wú)甚影響。這糟糕透頂?shù)?月，并沒(méi)有如最初看起來(lái)的那樣演變成災(zāi)難性的。
不過(guò)，還有2周在等著我們，天知道還會(huì)發(fā)生什么樣的事情。
京公網(wǎng)安備 11010502049343號(hào)