搜索

[11148] 2017-03-19_美国交通部对ShadowIT的安全管理启示录

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-03-19_美国交通部对ShadowIT的安全管理启示录 美 国 交 通 部 对 S h a d o w   I T 的 安 全 管 理 启 示 录 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 3 - 1 9 在 在 R i c h a r d M c K i n n e y 开 始 计 划 为 美 国 交 通 部 （ 开 始 计 划 为 美 国 交 通 部 （ D O T ） 的 办 公 设 备 部 署 ） 的 办 公 设 备 部 署 M i c r o s o f t   O f f i c e   3 6 5 的 过 程 中 ， 的 过 程 中 ， s h a d o w   I T 给 他 上 了 宝 贵 给 他 上 了 宝 贵 的 一 课 。 对 于 其 他 想 要 升 级 或 加 固 办 公 及 网 络 系 统 的 政 府 部 门 领 导 人 来 说 ， 这 个 故 事 同 样 具 有 很 好 的 教 育 意 义 。 的 一 课 。 对 于 其 他 想 要 升 级 或 加 固 办 公 及 网 络 系 统 的 政 府 部 门 领 导 人 来 说 ， 这 个 故 事 同 样 具 有 很 好 的 教 育 意 义 。 F r e e B u f 百 科 ： 什 么 是 百 科 ： 什 么 是 “ s h a d o w   I T ” ？ ？ 随 着 法 规 日 趋 完 备 、 网 络 建 设 与 应 用 渐 趋 成 熟 ， 以 及 软 硬 件 技 术 的 不 断 精 进 ， 企 业 信 息 安 全 的 重 要 性 ， 但 也 面 临 更 为 严 峻 的 挑 战 。 尤 其 是 近 年 来 ， 因 为 智 慧 手 持 装 置 的 兴 起 ， 愈 来 愈 多 的 员 工 ， 希 望 能 使 用 自 己 熟 悉 的 智 能 型 手 机 或 平 板 工 作 ， B Y O D ( B r i n g Y o u r   O w e   D e v i c e ) 的 风 潮 也 已 经 渐 渐 被 企 业 所 接 受 ， 但 也 因 此 衍 生 过 去 从 未 发 生 过 的 资 安 议 题 ， S h a d o w   I T 的 问 题 也 开 始 延 烧 。 云 安 全 联 盟 （ C S A ） 将 s h a d o w   I T 定 义 为 “ 在 企 业 I T 部 门 以 外 所 发 生 的 技 术 投 入 和 部 署 ， 包 括 个 别 员 工 、 团 队 和 业 务 部 门 所 采 用 的 云 应 用 程 序 。 ” 近 一 半 的 受 访 者 ( 4 9 % ) 表 示 ， 关 于 s h a d o w   I T ， 他 们 主 要 关 心 的 是 企 业 数 据 在 云 中 的 安 全 性 。 在 此 之 前 ， M c K i n n e y 曾 是 美 国 交 通 部 （ D O T ） 的 首 席 信 息 官 ， 但 是 他 却 在 前 段 时 间 向 D O T 递 交 了 辞 呈 。 实 际 上 ， 在 他 走 马 上 任 之 前 ， D O T 的 网 络 安 全 状 况 简 直 是 “ 一 片 狼 藉 ” 。 当 时 ， 微 软 公 司 刚 刚 推 出 了 O f f i c e   3 6 5 ， 而 且 O f f i c e   3 6 5 在 政 府 部 门 内 的 受 欢 迎 程 度 非 常 高 ， 但 随 之 而 来 的 安 全 问 题 也 不 容 忽 视 ， 因 为 任 何 时 候 都 有 可 能 有 上 百 个 未 经 授 权 的 设 备 可 以 不 受 任 何 监 控 地 访 问 D O T 的 网 络 系 统 ， 而 这 种 情 况 是 每 一 位 C I O 都 不 愿 意 看 到 的 。 近 期 ， 近 期 ， M c K i n n e y 在 接 受 在 接 受 C I O . c o m 的 采 访 时 表 示 ： 的 采 访 时 表 示 ： 毫 无 疑 问 ， 当 初 并 没 有 人 专 门 为 D O T 设 计 过 一 套 合 适 的 网 络 系 统 。 由 于 交 通 部 门 的 业 务 范 围 非 常 广 ， 而 交 通 部 门 的 各 种 终 端 联 网 设 备 数 量 也 越 来 越 多 ， 因 此 D O T 急 需 一 个 量 身 定 做 的 网 络 系 统 来 更 好 地 管 理 这 些 设 备 。 但 是 ， 我 们 现 在 甚 至 连 一 份 部 门 网 络 系 统 的 完 整 设 计 蓝 图 都 还 没 有 。 前 人 栽 树 ， 后 人 可 以 乘 凉 吗 ？ 前 人 栽 树 ， 后 人 可 以 乘 凉 吗 ？
于 是 M c K i n n e y 必 须 有 所 行 动 了 ， 他 聘 请 了 一 家 名 叫 “ D e c i s i v e   C o m m u n i c a t i o n s ” 的 供 应 商 来 整 理 美 国 交 通 部 当 时 杂 乱 无 章 的 网 络 系 统 ， 并 识 别 所 有 远 程 访 问 该 网 络 的 未 经 授 权 设 备 。 D e c i s i v e 所 用 的 技 术 来 自 于 R i v e r b e d 公 司 ， 在 该 公 司 的 技 术 人 员 对 美 国 交 通 部 的 网 络 进 行 了 分 析 之 后 ， 立 刻 发 现 了 超 过 两 百 多 个 之 前 从 未 检 测 到 的 联 网 设 备 ， 而 且 其 中 还 有 很 多 设 备 使 用 的 仍 是 出 厂 密 码 。 原 来 ， 美 国 交 通 部 的 很 多 下 属 部 门 （ 包 括 交 通 哨 岗 ） 都 会 在 自 己 的 办 公 地 点 添 加 各 式 各 样 的 网 络 设 备 来 满 足 职 员 的 需 求 。 比 如 说 ， 如 果 办 公 室 里 的 十 六 孔 交 换 机 全 部 插 满 了 网 线 ， 而 此 时 办 公 室 还 有 很 多 设 备 仍 然 需 要 更 多 的 网 线 （ 假 设 无 线 网 络 不 是 可 选 项 ） ， 所 以 交 警 们 的 解 决 方 案 可 能 就 是 上 “ X 宝 ” 然 后 网 购 一 台 新 的 交 换 机 来 满 足 需 求 。 如 果 有 需 要 的 话 ， 很 多 地 方 办 公 室 通 常 会 自 行 购 买 消 费 者 级 别 的 联 网 设 备 ， 这 种 情 况 越 来 越 常 见 了 。 因 此 ， 我 们 在 将 来 会 购 买 更 多 的 企 业 级 设 备 ， 并 且 还 需 要 将 之 前 这 些 不 符 合 政 府 部 门 安 全 要 求 的 设 备 替 换 掉 。 信 息 安 全 的 阿 喀 琉 斯 之 踵 信 息 安 全 的 阿 喀 琉 斯 之 踵 在 发 现 了 这 些 未 经 授 权 的 网 络 设 备 之 后 ， M c K i n n e y 不 得 不 停 下 手 头 上 的 工 作 ， 因 为 这 些 不 知 从 何 而 来 的 设 备 肯 定 会 影 响 D O T 的 系 统 安 全 性 ， 这 一 点 是 毋 庸 置 疑 的 。 如 果 这 些 潜 在 的 网 络 接 入 点 能 够 一 直 在 一 个 缺 乏 中 心 管 理 节 点 或 可 视 化 管 理 方 案 的 网 络 系 统 中 运 行 的 话 ， 那 么 我 们 同 样 可 以 认 为 ， 恶 意 攻 击 者 一 样 可 以 在 不 受 任 何 监 控 的 情 况 下 渗 透 并 感 染 D O T 的 网 络 系 统 。 更 糟 糕 的 是 ， 由 于 D O T 的 网 络 系 统 存 在 严 重 的 设 计 缺 陷 ， 因 此 当 攻 击 者 入 侵 了 该 系 统 中 的 一 个 安 全 薄 弱 点 之 后 ， 他 就 可 以 访 问 更 多 的 敏 感 信 息 。 M c K i n n e y 表 示 ， 由 于 整 个 网 络 全 部 是 联 通 的 （ 未 进 行 网 络 分 割 ） ， 那 么 当 攻 击 者 成 功 渗 透 进 了 D O T 的 网 络 系 统 之 后 ， 他 就 可 以 轻 而 易 举 地 遍 历 整 个 网 络 。 正 是 由 于 网 络 系 统 中 的 所 有 设 备 全 部 是 “ 拴 在 一 条 绳 上 的 蚂 蚱 ” ， 所 以 整 个 系 统 的 安 全 性 将 完 全 取 决 于 “ 安 全 薄 弱 点 ” 的 健 壮 程 度 ， 也 就 是 所 谓 的 “ 木 桶 原 理 ” 。 除 此 之 外 ， 这 些 安 全 缺 陷 已 经 不 仅 仅 是 一 种 简 单 的 I T 问 题 了 。 M c K i n n e y 表 示 ， 他 已 经 对 D O T 的 网 络 系 统 进 行 了 一 次 彻 底 的 安 全 扫 描 ， 但 是 目 前 还 没 有 发 现 任 何 证 据 可 以 表 明 美 国 交 通 部 的 网 络 系 统 或 数 据 库 遭 到 过 非 法 入 侵 。 但 是 他 同 时 指 出 ， 技 术 高 超 的 黑 客 在 入 侵 之 后 是 不 会 留 下 痕 迹 的 。 因 此 ， M c K i n n e y 必 须 将 他 的 发 现 上 报 给 政 府 高 层 。 M c K i n n e y 说 到 ： “ 我 认 为 这 是 一 种 潜 在 的 安 全 漏 洞 ， 而 我 必 须 将 这 个 信 息 上 报 给 政 府 领 导 ， 这 也 是 我 应 尽 的 责 任 。 因 为 现 在 不 仅 只 有 美 国 交 通 部 存 在 这 个 问 题 ， 政 府 的 很 多 其 他 部 门 同 样 也 存 在 这 种 问 题 。 ” 解 决 方 案 ： 重 构 网 络 架 构 解 决 方 案 ： 重 构 网 络 架 构
在 发 现 了 S h a d o w   I T 所 带 来 的 安 全 问 题 之 后 ， M c K i n n e y 启 动 了 一 个 重 构 美 国 交 通 部 网 络 架 构 的 项 目 ， 目 前 该 项 目 仍 在 进 行 之 中 。 根 据 他 的 描 述 ， 技 术 人 员 将 在 网 络 系 统 中 增 加 更 多 的 集 中 化 控 制 ， 并 对 各 个 部 门 内 部 的 网 络 系 统 进 行 更 加 清 晰 的 划 分 。 除 此 之 外 ， 美 国 交 通 部 目 前 也 在 着 手 改 进 部 门 引 进 新 的 网 络 设 备 的 内 部 管 理 流 程 。 当 部 门 需 要 引 入 新 的 网 络 设 备 时 ， 有 关 人 员 必 须 要 将 信 息 上 报 给 管 理 层 ， 并 以 此 来 禁 止 部 门 职 员 通 过 一 些 不 安 全 的 网 络 设 备 来 扩 展 不 受 管 理 的 网 络 接 入 点 。 M c K i n n e y 表 示 ： “ 其 实 美 国 交 通 部 早 就 已 经 出 台 了 相 关 的 政 策 了 ， 即 禁 止 部 门 在 没 有 经 过 正 规 管 理 审 核 的 情 况 下 擅 自 添 加 网 络 设 备 ， 但 是 很 多 人 往 往 会 直 接 忽 略 这 条 规 定 。 ” M c K i n n e y 认 为 这 是 一 个 非 常 好 的 开 始 ， 我 们 必 须 要 百 分 之 百 地 了 解 自 己 的 网 络 系 统 ， 包 括 网 络 架 构 、 服 务 器 、 以 及 所 有 的 网 络 接 入 点 。 只 有 当 我 们 清 楚 地 知 道 自 己 拥 有 什 么 ， 我 们 才 能 更 好 地 保 护 它 们 。 *   参 考 来 源 ： n e t w o r k w o r l d ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理