首页 > 业界动态 > 正文

“报复黑客”:可行的战略还是重大的风险?
2016-05-20 15:44:00   来源:来源:TechTarget中国   评论:0 点击:

企业和政府机构每天都在攻击笼罩之下,这种预防攻击的成本非常巨大。根据国际战略研究中心和安全公司McAfee在2014年的研究显示,美国网络犯罪成本每年占国内生产总值的0 64%。从2015年18万亿美元国内生产总值来看,这意味着每年的网络犯罪成本是1152亿美元。

现在世界各地的企业都在关注如何保护他们的信息资产,他们需要这些资产用以制造产品、提供服务、在市场区分自己、生成利润以及为其客户和股东创造价值,为此,这些企业正在投入巨大的资源来保护重要的信息资产。

“报复黑客”:可行的战略还是重大的风险?

企业和政府机构每天都在攻击笼罩之下,这种预防攻击的成本非常巨大。根据国际战略研究中心和安全公司McAfee在2014年的研究显示,美国网络犯罪成本每年占国内生产总值的0.64%。从2015年18万亿美元国内生产总值来看,这意味着每年的网络犯罪成本是1152亿美元。

鉴于网络犯罪成本如此之高,企业可能会想“为什么我不能保护自己以抵御不断的攻击,并减少损失呢?”其实,企业可以保护自己,甚至可以进行“反攻击”。但典型网络安全防御通常是这样:被动地坐着,等待下一次攻击,同时祈祷自己部署的防御措施会发挥作用。

企业可能希望攻击者不会发现他们没有部署任何防御措施的位置,但也知道攻击者会比他们更早地知道下一个新漏洞。攻击者在企业部署有效防御之前就已经有了漏洞利用包,企业最终会意识到,这种采用纯粹的防御战略来保护其信息资产的方式已然行不通。

这种类型的战略会失败在于信息防御的不对称性。这种不对称性往往表现在,“要想成功抵御攻击者,防御者需要确保所有时间内100%的正确,而攻击者只需要找准‘一次的错误’就可成功。”

常用的防御战略无法有效保护重要信息资产,这增加了企业的挫败感,他们花费在网络安全的资源充其量只能提供低水平的保护。

对于投资了网络安全但仍遭受攻击、入侵和损失的企业,受挫和愤怒之情会让他们变得更加愿意积极进取地应对攻击者。美国黑帽大会2012年的调查显示,36%的受访者声称他们已经开始对网络安全攻击进行打击报复。

打击报复攻击者的一种具体方法是“反攻击”,是指受攻击的目标会反过来攻击网络罪犯或黑客。对于愿意考虑对黑客进行反攻击的企业来说,都有哪些问题需要考虑呢?

攻击与反攻击

攻击的定义是在未经授权的情况下,访问计算机、网络或信息系统,包括其信息。攻击涉及绕过安全控制或恶意的漏洞利用。

反攻击也是指在未经授权的情况下访问计算机、网络或信息系统。这两者的区别在于动机不同。企业进行反攻击的动机可能是恢复或擦除被盗数据或知识产权,其他反攻击的动机可能从本质上来看属于报复,包括破坏或损坏攻击者的系统以及破坏他们今后执行攻击的能力。

是否执行反攻击应该由最高管理层作出决策。反攻击是技术性活动,是否要这样做属于企业性决策。信息安全是以业务为核心的运营风险管理活动,用反攻击来保护信息需要从风险管理的角度来考虑。

法律和道德问题

如果恶意攻击是非法活动,那么反攻击也是非法的。在美国,1986年的计算机欺诈与滥用法案(CFAA)表明,对计算机的未经授权访问被视为非法。

反攻击的另一个问题是附带损害。网络罪犯通常使用不知情的第三方计算机执行攻击,有时候会整合这些受感染计算机为僵尸网络,用于发动攻击和分发垃圾邮件及恶意软件。明确攻击者的真正来源很困难,对第三方拥有的计算机执行的反攻击带来了严重的责任问题。1994年对CFAA法案的修正案允许民事索赔。

撇开合法性来看,简单的道德准则包括“不伤害”,“尊重员工、承包商和供应商”以及“遵守法律”等都会被反攻击涉及的活动和结果所侵犯。

风险

反攻击包含以下风险:

经济损失

企业需要回答几个问题:反攻击是否提供任何财政激励措施?反攻击是否会减少损失或恢复信息资产及知识产权?反攻击是否可防止对计算机和网络的损坏?反攻击可节省多少成本?反攻击需要什么代价?

信誉与客户信心

如果反攻击活动吸引了媒体和执法组织的目光,这可能会影响企业的声誉。如果反攻击对第三方造成损害呢?这还会影响客户的信心,可能影响企业收入。

民事和刑事处罚

反攻击可能导致哪些潜在处罚?攻击者不太可能被起诉,但企业可能因为反攻击被强制执行离线及造成业务损失。

对于刑事起诉,美国政府在积极查找违反CFAA的行为,尽管不是针对反攻击而言的。

生产效率

拒绝服务供给带来的工作效率和业务损失可能非常严重。反攻击是对拒绝服务供给的现实应对策略吗?反攻击能否减少破坏以及加速从恶意攻击事件中恢复的速度?

安全性

在试图反攻击后,如果攻击者决定进行更多攻击,仅仅是为了破坏你的信息系统以及你开展业务的能力呢?全面的拒绝服务对你的企业意味着什么?

责任

如果反攻击对第三方造成损害呢?第三方决定在民事法庭寻求赔偿呢?

反攻击并非……

反攻击并非网络安全最佳做法的替代品,反攻击是所有其他办法都失效情况下,不得已而为之的策略。在企业已经部署了世界级的网络安全计划、政策和程序,并有丰富运作经验后,才可考虑反攻击。对于可能存在的各种法律和道德问题,企业应该思考反攻击是否确实是合理可行的网络安全保护战略。

【编辑推荐】

  1. 企业安全方案:不只要向‘钱’看 更要向前看
  2. 谁是未来企业安全的最大“绊脚石”?
  3. 企业安全风险管理:以人为中心
【责任编辑:蓝雨泪 TEL:(010)68476606】

相关热词搜索:企业安全 风险管理

上一篇:专访GeekPwn澳门赛冠军――长亭科技杨坤
下一篇:合作?共赢――ISACA启程中国?2016 成功举行

分享到: 收藏