零日攻击正日益增多。现在是时候规划防御优势了。

本文的一个版本曾发表于《SC杂志》。此处内容经过修改并转载。


如果你曾经历过家中被盗，你就会明白那种最初感到不对劲的沉重感，随后意识到自己确实被偷窃和侵犯了。这通常会带来持久的不适感，更不用说随后会采取堪比诺克斯堡（Fort Knox）的安保措施。

现在想象一下，你的家被闯入了，因为小偷自己配了一把钥匙。他们悄悄潜入，来去自如，但小心翼翼地不被发现。然后有一天，你太迟地发现藏在冰箱里的珠宝不见了，保险箱被清空，个人物品被洗劫一空。如果一个组织沦为零日网络攻击的受害者，其面临的现实正是如此。2020年，波耐蒙研究所（Ponemon Institute）的一项研究显示，80%的成功数据泄露是由零日漏洞利用造成的，遗憾的是，大多数公司在改善这一统计数据方面仍然准备不足。

零日攻击从定义上讲，让开发人员没有时间去发现和修补可能被利用的现有漏洞，因为威胁行为者总是抢先一步。当损害已经造成，企业只能手忙脚乱地去修复软件并挽回声誉损失。攻击者始终占据优势，因此尽可能缩小这一差距至关重要。

没人想要的节日礼物——Log4Shell——目前正在互联网上引爆，据称有超过十亿台设备受到这一灾难性Java漏洞的影响。这正演变成有史以来最严重的零日攻击，而且一切才刚刚开始。尽管一些报道称漏洞利用在公开披露前几天就已经开始，但2016年黑帽大会（Black Hat Conference）上的一场演讲表明，这其实是一个早已为人所知的问题。糟糕的是，它极易被利用，全球所有的脚本小子和威胁行为者都在利用这个漏洞牟取暴利。

那么，面对这种狡猾、险恶的威胁，以及软件开发过程中被遗漏的漏洞，最好的防御途径是什么？让我们一起来看看。

针对大型目标的零日攻击很少见（且成本高昂）

暗网中存在一个巨大的漏洞交易市场，零日漏洞往往价格不菲，本文撰写时，文中提到的一个案例标价为250万美元。据报道，这是一个针对苹果iOS系统的漏洞，安全研究人员开出如此天价并不令人意外；毕竟，这确实可能成为入侵数百万台设备、窃取数十亿条敏感数据记录的门户，并且在被发现和修补之前，攻击者可以长期利用它。

但到底谁有这么多钱呢？通常，有组织的网络犯罪集团如果认为值得，就会筹集资金，尤其是针对广受欢迎的勒索软件攻击。然而，全球各国政府和国防部门也是这些漏洞的客户，他们将其用于威胁情报；在更积极的情况下，公司本身也可能购买针对其自身的潜在零日漏洞，以便化解灾难。

2021年，实时零日漏洞的发现数量打破了记录，大型组织、政府部门和基础设施最容易因任何弱点而受到探测。没有任何方法可以完全免受零日攻击的威胁，但你可以通过提供慷慨且结构完善的漏洞赏金计划来“参与这场博弈”。与其坐等别人在暗网市场上兜售你软件城堡的钥匙，不如争取合法的安全专家站在你这边，为他们的道德披露和潜在修复提供合理的奖励。

如果这恰好是一个令人毛骨悚然的零日威胁，可以肯定的是，你需要付出的代价远不止一张亚马逊礼品卡（而且这样做是非常值得的）。

你的工具集可能会成为安全人员的负担

繁琐的安全工具长期以来一直是个问题，首席信息安全官（CISO）平均要管理55到75种工具。据波耐蒙研究所的一项研究显示，除了成为世界上最令人困惑的（隐喻意义上的）瑞士军刀外，53%的企业甚至不确定这些工具是否在有效运作。另一项研究显示，只有17%的CISO认为他们的安全技术栈是“完全有效”的。

在这样一个以职业倦怠、缺乏安全技能人才以满足需求、且需要敏捷性的领域，强迫安全专业人员处理海量数据、报告和庞大工具集的监控，是一种沉重的负担。这正是导致他们错过关键警报的典型场景，在正确评估Log4j的弱点时，情况很可能就是如此。

预防性安全应包括开发人员驱动的威胁建模

代码层面的漏洞通常是由开发人员引入的，他们需要精确的指导和定期的学习路径来培养安全编码技能。然而，更高级的安全开发人员已经有机会在软件创建过程中学习和实践威胁建模。
‍
最了解软件的人正是那些亲手编写代码的开发人员，这一点不足为奇。他们拥有强大的知识储备，了解用户如何与软件交互、功能在何处使用，并且在具备足够的安全意识时，还能预判软件可能在哪些潜在场景下崩溃或被利用。

如果回到Log4Shell漏洞，我们不幸地看到一个灾难性漏洞逃过了专家和复杂工具集的检测，然而，如果该库被配置为对用户输入进行清理，这种情况可能根本不会发生。反对这样做的决定似乎是为了增加便利性而保留的一个晦涩功能，但这却使其极易被利用（想想SQL注入级别，这绝对不是什么天才之举）。如果威胁建模是由一群敏锐、精通安全的开发人员完成的，那么这种场景极有可能在事前就被推测并考虑到了。

一个出色的安全计划具有情感成分，以人为干预和细微差别为核心来解决人为产生的问题。威胁建模需要同理心和经验才能有效，软件和应用程序架构层面的安全编码和配置也是如此。这不应该是开发人员一夜之间就能掌握的，但为他们提供一条清晰的技能提升路径，使他们能够分担安全团队在这项重要任务上的压力，是理想的选择（这也是建立两个团队之间融洽关系的绝佳方式）。

零日漏洞会导致N日漏洞

应对零日漏洞的下一步是尽快发布补丁，并祈祷所有用户都能在攻击者得手之前尽快完成更新。就 Log4Shell 而言，其影响力和持久性可能会超过 Heartbleed，因为它嵌入在数百万台设备中，并在软件构建中形成了复杂的依赖关系。

现实地说，没有任何方法可以完全阻止这种隐蔽的攻击。然而，只要我们致力于通过各种途径打造高质量、安全的软件，并以对待关键基础设施的态度来对待开发工作，我们就能拥有一线生机。