这是《无间道》里的经典桥段，一个明明是好人却在黑帮里做卧底，一个偏偏是混混却伪装成警察做内鬼，这是一场双方内部都有内鬼的激烈角斗。 千万不要以为这只是电影里的情节，也许此时此刻在某间办公室里正秘密地上演着没有硝烟的现实版“无间道”， “屋子”都被内鬼盗了，而老板们也许正后悔自己当初看走了眼。 不过，是不是内鬼光靠看面相是不够的，相比于黑客内鬼的隐蔽性更强，知道创宇大客户服务部总监王皓伟表示，内鬼轻则盗取信息，重则谋取钱财，作案之后还会抹除作案痕迹，是企业不可忽视的安全隐患。 为了更深入地了解企业内鬼引起的安全隐患及有效防御措施，雷锋网小编跟王皓伟聊了聊。 内鬼踪迹何处寻 这个世界总是看似风平浪静，其实早已暗流涌动。或许坐你对面吃早饭的那个人昨晚就上演了一把《无间道》里的刘建明，窃取了公司的重要情报，而你却全然不知。然鹅内鬼也有一些特定的攻击策略：
在具体实施作案中，钓鱼是很多内鬼管用的手段。他们通过发送一个邮件和二维码，当有人打开邮件、扫描二维码的时候就进入了危险的程序，这个危险的程序在你不知情的情况下就对设备实施了非法操作损害了个人利益。 钓鱼的手段不仅成本极低，隐蔽性也很高。成本低到只要去一个邮件平台上花钱开一个账户，注册一个商户，一个月可能就是几百或几千块钱，却可以进行大量的邮件发送，这些发送的附件里面有可能就留下危险的连接，而收到邮件后很多人都不认真去看，甚至有些人会误以为是公司邮件，不经意间就中招了。 王皓伟表示，这种紧急事件发生以后要第一时间到现场评估态势，还要进一步评估公司信誉和技术环境。在评估公司的过程中，主要依赖公司内部基本的信息技术，关键在于是否能够找到内鬼作案的痕迹。 “所以我们往往去现场第一件事是收集证据，在不允许动任何数据的前提下全面排查数据。当拿到了可能证明有作案痕迹的数据后，会进行还原，如果能找到这个数据的产生与产生的结果之间存在因果关系，就证明这个数据是跟作案有直接相关的痕迹，之后进一步展开追溯，比如调取监控录像、某系统的某个时间段，以及登录的个人信息等。这个说起来容易，实际上工作量很大，也很复杂。” 王皓伟认为追查内鬼痕迹有关键的两点： 第一要对客户所有设备的IP进行收集和整理。 一方面客户要清楚自己的物理IP资产，比如打印机、交换机、防火墙等数量，可以使用第三方的资产统计产品。另一方面要经常检查这些资产，比如一个只承载中间数据传输的资产，突然有一天变得很活跃，此时就要警觉是否出现非法入侵，尽快检查。 第二个就是流量的使用方面，有实时流量监测。 一般情况下我们的办公网都是在刚上班的时候流量会比较大，而中午和晚上相对较小。这样的流量数据日积月累会有一个统计曲线，如果突然有一天流量活跃数量大范围跳出这一曲线后，就要警惕是不是有人在恶意进行数据传输，此时管理员要立即查询是那个设备流量突然增大。 不过话说回来，内鬼既然想作案就一定是挑准了时机，网络管理员又不可能时时刻刻盯着电脑查看流量， 这样难道就只能被钻空子了吗？ “这就涉及到了日志，每台设备上都有日志留存，记录着访问的数据库，访问了哪台服务器，通过哪台交换机访问。日志中的信息可以在发现内部出现异常后，调取出来核查某个时间段哪台设备是可疑的，无论是外鬼还是内鬼，可疑行为可能是直接造成客户经济或者是无形资产损失的直接动作，所以日志很重要。” 但是一些公司往往疏于管理日志，日志就是很简单的放在机器本身，或者放在某一个管理平台上，并没有进行加密，没有进行权限的界定，从而导致别人很容易就能访问到。这就导致内鬼或是外鬼作案之后可以顺手删除日志，抹掉了作案痕迹。此时就要看能不能恢复数据，如果可以恢复就要对设备一一排查找到设备留存的蛛丝马迹，将大大增加推演难度。 除了内鬼扰乱作怪，还有一种极端的情况就是内鬼和外鬼串通好作案，面对这种情况就不是简单的技术防护能够解决的，即便做了技术屏障，但是薄弱点也会由内而外泄露，外部的人发起攻击和实施的工作已经是事先规划好的。此时，一套管理评估的规章制度是必不可少的。 首先在管理制度上要有严格的权限等级界定，某些权限应该界定在一定的人之内。在很多重要的关键地方，进入关键敏感数据存储房间的人应该界定在什么范围，应该是刷卡进入还是只能进入还是扫虹膜进，都必须有严格的限制，而且权限应该相互之间是使用不同的方式，比如说第一级刷卡机，第二级是指纹接入，第三级就扫虹膜，只有这样分级管理，不同权限的受理才应该是相对安全的。 其次要有奖惩措施，没有奖惩，制度是无法建立和无法实施违法无法维系的。对于遵守次序的员工你该怎么奖励，对于违反规则制度的该如何惩罚，都应该明确。并且要有专人和专门的团队来进行监控。 技术+策略 软硬兼施 "出来混嘛，不是你暴我的头就是我暴你的头" 不知道已被实时监控的内鬼，在危机关头还能不能放出这样的狠话。 监控和追踪内鬼是离不开策略和技术。王皓伟举了一个例子，在一个项目中，“钟馗之眼”（产品名）发现一个IP对应的资产是一个服务器，突然变成了一台笔记本电脑，操作系统和数据库等相关的东西也都变化了，此时系统向管理员提出了警告。这种情况就是内鬼把终端网线拔掉以后，非法接入了一个自己的设备，通过这个设备发起了非法攻击。而此时，管理员可以一键断网，立刻切断了这个IP，随后立即派人去现场清查，查看到底是谁切换了设备，是否有备案。 这其中看似简单，这实际上是“钟馗之眼”资产发现和识别的过程，首先要把现存所有的设备资产数量统计清楚，并且识别出是什么设备，甚至是使用的什么数据库、用的什么操作系统，识别之后记录在案。由于每个资产跟它的IP是一一对应的，所以在出现变化时会提出警告信息。 在这些过程中也也有“慧眼”在发挥功效。而“慧眼”在其中主要就是把流量日志资产全部都集成，相当于是一个大的管理控制台，所有的数据在这个平台上都能展示出来。当涉及到危险的情况时，可以一键断开IP连接，同时可以实现日志自动化的规则匹配分析。如果有异常系统就会报警，管理人员或安全施工团队就会介入对告警进行分析。 除了在资产发现中挖掘内鬼踪迹，王皓伟指出，也可以通过流量产品侦测识别内鬼。“很多安全公司都在做流量产品，等保2.0和相关的合规性要求里面，流量侦测的要求现在非常高。流量产品已经成为互联网中网络必备的设备，有这样的保障才能说有安全网络的基本架构。” 提到流量就涉及到日志，整合日志平台将所有设备的日志都收集上来建库，把这些数据经过加密整理保存起来。随后管理员可以随时在一个管理界面上看到他想看的每一个设备的日志情况，而这些日志经过打包加密压缩管理，没有权限的人访问不了，更拿不走，改不了也看不懂。 这种多重的安全性的操控管理，增加了访问者想抹除痕迹的难度和技术成本。对于入侵者或者是非法破坏分子能起到一个技术威慑的作用，起码他要考虑发起一个攻击是没有权限的，是否有足够的技术可以抹除痕迹。 另外从大数据与云计算的结合角度，可以通过构建指纹库监测在网设备，监测内鬼动作。我们将每一个可能要接触的设备定义为一个指纹。从医学上来说，每个人的指纹是不相同的，并且每个人一辈子只有一个指纹，以这个理念为出发点，将设备按这个思路去做一种对应，所以每个设备基于cpu、芯片、操作系统、数据库，会综合体现出一个指纹，最后将资产设备的指纹录入。 这一工程操作起来很麻烦，最初的指纹库在建立时是完全靠人力，而指纹越多，可识别的设备就越多，识别的能力就越紧，费力而耗时。王皓伟告诉雷锋网(公众号：雷锋网)，目前我们的智库指纹已达到几万个，且每天都在增加，可甄别范围在不断扩展。 在指纹库识别设备时最重要的是精准，不会有遗漏，并且能够随时将危险情况上报。当设备上装了操作系统类型的数据库时，恰好是操作系统或者这个类型数据库在某个时间点爆出了一个最新的漏洞，指纹库的设备实时更新，及时曝出新漏洞的情况，并立即对网内的所有的设备进行匹配，跟这种最新的漏洞相匹配的设备，系统就会立即向管理员告警，管理员可以及时关停设备，或者立即打补丁，加以防范。 此外，无论是流量产品还是其他，从整体上来看，可视化的界面呈现可以更直观地看到异常的提示和变化。但是可视化是有权限限制的，某一岗位上的人只能看到属于他自己权限之内的数据。在使用中客户可以根据自己的要求，使用日志模块，或是流量的模块、资产发现模块，选择之后就只能看到这个模块所能显示的东西。 实际上在公司内部，员工的分工不同，每个人的专业角度也不一样，因而可视化要既兼顾不同职位的人员。对于管理者，可能并不是信息安全出身，但是需要从公司的安全的大局、政治安全、经济安全等角度来看问题，因而对数字很敏感，所以要以简单易懂的界面和判断准则，满足管理者的需求。而对于公司专业的技术人员来说，简单的界面数据统计图表对他来说太简单了，他们需要去看一些很细节的数据问题，可以提供深层次的细化角度的数据给他们进行审阅。 在整个公司内，只的超级管理员才能对数据和相关的管理平台进行调整，而这个调整也不是随意进行的，需进行备案，并且调整之前要发起申请，需要上级领导的批准，通过审批之后，在某一个安全的时间段实施调整后，也要将系统的情况如实填写上报，以便备案，让公司知道调整结果是否达到预期，只有这样才是合规的，符合公司管理上要求。 面向未来 目前的信息安全已经不再是企业或者个人自己的事情，而是关系到国家和社会安危的重大议题，各级政府对整个安全市场的重视也出现了质的变化，对安全服务厂商也提出了更高的要求。 王皓伟表示，要想做好攻防，首先要做好规划，一方面要防止别人攻，一方面要加强防的能力建设，如果客户的专业力量不够，可以输出人员设备进行安全方案的制定，使整个环境的安全程度更高。 在技术方面，人工智能、大数据、云计算等技术的应用可以处理海量数据，并对相关数据进行关联定位分析和数据联动，将大大提升信息安全技术的升级和迭代。 所以，无论是黑产也好，内外鬼也好，攻也好，防也罢，都将在一番决斗中暴露出来。还是那句话，出来混的，迟早是要还的！ -----招聘好基友的分割线-----  招聘岗位： 网络安全编辑（采编岗） 工作内容： 主要负责报道国内外网络安全相关热点新闻、会议、论坛、公司动向等； 采访国内外网络安全研究人员，撰写原创报道，输出领域的深度观点； 针对不同发布渠道，策划不同类型选题； 参与打理宅客频道微信公众号等。 岗位要求： 对网络安全有兴趣，有相关知识储备或从业经历更佳； 科技媒体1-2年从业经验； 有独立采编和撰写原创报道的能力； 加分项：网感好，擅长新媒体写作、90后、英语好、自带段子手属性…… 你将获得的是： 与国内外网络安全领域顶尖安全大牛聊人生的机会； 国内出差可能不新鲜了，我们还可以硅谷轮岗、国外出差（+顺便玩耍）； 你将体验各种前沿黑科技，掌握一手行业新闻、大小公司动向，甚至是黑客大大们的独家秘闻； 老司机编辑手把手带； 以及与你的能力相匹配的薪水。 坐标北京，简历投递至：liqin@leiphone.com
--- “喜欢就赶紧关注我们” 宅客『Letshome』 雷锋网旗下业界报道公众号。 专注先锋科技领域，讲述黑客背后的故事。 长按下图二维码并识别关注 上一篇：10800字深度解析淘宝客这个赚钱的神秘行业 下一篇：3月13日(周五)@深圳“AI+投资+social”闭门晚宴|AI投资人和创业者的硬核分享 |
/1 
加载中...
AI智能体
|最近更新|Archiver|手机版|小黑屋|DZ插件网!
( 鄂ICP备20010621号-1 )
知道创宇云防御
您的IP:216.73.217.22(美国),GMT+8, 2026-10-27 19:29 , Processed in 0.042571 second(s), 44 queries , Gzip On, Redis On.
Powered by Discuz! X5.1 Licensed
© 2001-2026 Discuz! Team.
