北京时间9月26日消息，科技公司以技术著称，本应该最懂得如何对抗黑客。但是一连串的黑客攻击事件表明，就连这些科技大厂也存在薄弱环节，尤其是人。就在最近，打车巨头Uber和《盗猎车手6》游戏开发商RockstarGames都披露了影响其运营的重大黑客攻击事件。今年，已经有多家公司成为了黑客攻击的受害者，其中包括目前世界上一些最擅长技术的公司，例如芯片巨头英伟达、身份验证公司okta。
薄弱的“护城河”
传统上，企业采用的是一种“城堡与护城河”的网络安全模型。网络外的任何人都无法访问内部数据，但网络内的每个人都可以。企业的内部网络可以想象成城堡，网络边界可以想象成护城河。一旦吊桥被降低且有人穿过它，他们就可以在城堡内自由行动。
“我们只是在城堡周围建了一条巨大的护城河。一旦你突破了护城河，你就进去了。”高盛前首席技术官鲍伊·哈特曼(BoeHartman)表示。他在高盛领导的团队建立了消费者银行基础设施，使得
当企业网络主要由物理连接在办公大楼里的个人电脑组成时，这种外围安全是有意义的。但是如今，从个人移动设备、家用电脑到云服务和物联网设备，各种各样的设备、员工和外部合同工以越来越多的方式连接到企业系统。仅仅依靠保护每一个可能连接到公司系统的设备和账户不仅困难，而且往往是灾难性的，因为攻击者只需攻破一个门就能进入整个系统。
以Uber为例，攻击者使用被霸占的合同工账户进入了内部系统，在一个全公司使用的Slack频道上发布消息，并接管了一个用于与安全研究人员沟通的账户。Uber不得不暂时中断对内部通信系统的访问。Uber在上周一发表的声明中称，公司没有发现任何迹象表明黑客访问了用户账户或Uber用于存储敏感用户信息的数据库。
这些黑客攻击的共同点在于，他们通过欺骗目标公司内部人员或与目标公司关系密切的人，让他们交出网络接入证书或其他关键信息，这种技术被称为“社会工程”。以Uber为例，该公司表示，黑客触发了自动生成的访问请求，导致一名合同工的
零信任
现在，科技公司得出了一个引人注意的结论：自特洛伊战争以来，安全领域最薄弱的环节就是人类。他们越来越多地采取了一种新的安全方法：不相信任何人。
这种理念被称为“零信任架构”，假定无论一家企业的外部防御系统多么强大，黑客都能侵入。因此，企业需要确保即使是网络内的用户也不会造成严重破坏。
美国及全球每周平均遭到的网络攻击数量
其实，许多指导工程师构建零信任系统的设计原则都很容易理解。如果你发现自己最近不得不更频繁地登录公司系统或银行网站，这就是一种“零信任”策略，即定期“轮换”证书，从而允许人和电脑访问其他系统。其理念是，即使攻击者进入了你的账户，他们也只有有限的时间进行破坏。
另一个被称为“行为分析”的零信任原则是，软件应该监控网络上人们的行为，并标记出任何做了不寻常事情的人，比如试图从银行取一大笔钱。例如，当你去一个新城市旅行时，如果发生了一笔不符合你一贯风格的信用卡购物，银行就会给你发短信，这也是基于同样的分析。
Google超前部署
虽然许多企业现在才采用真正的零信任系统，但安全行业对信任问题的讨论已经持续了十多年。
其中一家公司很早就意识到城墙和护城河已无法提供足够的保护，它就是Google。在2009年吸取了网络安全教训后，Google开始部署自主版本的零信任系统，并将其称为BeyondCorp。
Google发言人说，该公司的防御方法适用于IT系统的所有部分：用户、设备、应用和服务，不考虑所有权、物理或网络位置。所有这些因素都会被以同样固有的怀疑态度对待。自然地，Google也把它变成了一种产品，供那些为其云服务付费的公司使用。
弊端
哈特曼称，为一家公司现有的IT基础设施创建一个从上到下的零信任架构需要公司最高层领导的承诺，最终可能需要对其系统进行本质上的内部改造。哈特曼目前是医疗创业公司NomiHealth的联合创始人。
在遭到攻击的几个月前，美国市值最高的半导体公司英伟达发布了一款名为Morpheus的数字指纹工具，可在英伟达的硬件上运行。它使用人工智能每周分析数千亿的用户行为，并在用户似乎在做一些不寻常的和潜在高风险的事情时标记实例。例如：一个通常使用Microsoft
因此，英伟达对“零信任”是略知一二的。然而，今年3月，它的系统还是遭到了攻击。在这之后，英伟达CEO黄仁勋(JensenHuang)表示，这一事件给英伟达敲响了警钟，并誓言要加速拥抱零信任架构。
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】