■ 訊源
強大的功能總是讓Google成為關(guān)注的焦點(diǎn)，這次安全問(wèn)題又成話(huà)題。Google到底以何種方式給安全世界帶來(lái)沖擊？我們又該如何應對？ 從通用電氣的股票走勢，到如何到達紐約第七大街881號；從《碟中諜III》在哪里上映，到Brian W.九年級退學(xué)后發(fā)生了什么，無(wú)論把什么樣的問(wèn)題交給Google，你都會(huì )得到答案。這就是這個(gè)價(jià)值60億美元的搜索引擎的魅力所在，它的功能如此強大，以至于公司名Google成為一個(gè)動(dòng)詞。 CSO（首席安全官）和CISO（首席信息安全官）們從不同的角度看待Google和它那極易獲取的海量在線(xiàn)信息。盡管這些問(wèn)題與所有的搜索引擎都有關(guān)系，但Google卻得到了最多關(guān)注——不僅因為它在網(wǎng)頁(yè)搜索市場(chǎng)占有的巨大份額，更因為它企圖搜羅一切的野心：從圖像到圖書(shū)館，再到地球、月球，甚至火星。 “我們總是垂青于新技術(shù)，而理解為新技術(shù)付出的代價(jià)是需要時(shí)間的，” 貝爾（加拿大）公司的信息整合副總裁兼首席安全執行官Robert Garigue說(shuō)。對于安全專(zhuān)家們來(lái)說(shuō)，這種代價(jià)是Google可以挖掘網(wǎng)絡(luò )漏洞和定位敏感設備，還可以用來(lái)實(shí)施詐騙和其他針對企業(yè)的犯罪行為。 沖擊一 Google Hacking之嚴格定義 定義：Google Hacking是利用搜索引擎來(lái)尋找系統漏洞。黑客借助精心編寫(xiě)的搜索代碼，尋找目標組織計算機系統中的開(kāi)放端口、暴露出來(lái)的錯誤信息，甚至密碼文件等。任何搜索引擎都能完成這些任務(wù)。“Google Hacking”這個(gè)不算嚴密的說(shuō)法被認為是Johnny Long提出的，他是廣為傳閱的《Google滲透測試者》一書(shū)的作者。 沖擊方式: Google的工作原理是在網(wǎng)頁(yè)上“爬行”，將找到的一切建立索引，再把索引信息放入緩存，當用戶(hù)使用網(wǎng)頁(yè)搜索時(shí)用這些索引信息生成結果。不幸的是，一些組織的系統設置允許Google索引和保存大量原本不該公開(kāi)的信息。比如說(shuō)，為了查找CSO的Web服務(wù)器的開(kāi)放端口，黑客可以利用Google搜索 INURL:WWW.CSOONLINE.COM:1，然后INURL:WWW.CSOONLINE.COM:2，以此類(lèi)推，看看Google是否在端口1、端口2等等建立了索引。研究者也可能搜索“Apache test page”或者“錯誤信息”等關(guān)鍵詞，結果可能顯示出類(lèi)似黑客攻擊表的配置詳細資料。精心編寫(xiě)的Google搜索代碼有時(shí)甚至能查找出草率安裝的監視器和網(wǎng)絡(luò )攝影機，而它們原本是保密的。 沖擊后果: 假設有人在掃描你的所有端口。通常這樣的活動(dòng)會(huì )記錄在系統日志里或者觸發(fā)入侵探測系統，但是像Google這樣的搜索引擎一般能夠讀取和索引服務(wù)器上的一切信息。通過(guò)搜索這些索引而非系統本身，“你無(wú)需實(shí)際接觸被侵入站點(diǎn)，就可進(jìn)行侵入測試，” Security Compass的創(chuàng )始人Nish Bhalla 如是說(shuō)。 應對措施: 以其人之道，還治其人之身：組建自己的Google攻擊團隊，使Google和其他的搜索引擎成為公司常規入侵測試的一個(gè)組成部分。Bhalla建議技術(shù)人員關(guān)注兩個(gè)方面：哪些端口是開(kāi)放的；哪些錯誤信息是可用的。 發(fā)現問(wèn)題的時(shí)候，你的第一反應就是驅逐Google遠離你的系統。有一個(gè)小竅門(mén)可以達到這一目的：運用一個(gè)名為“robots.txt”的公共協(xié)議文件。這個(gè)文件位于網(wǎng)站的根目錄，包含著(zhù)不允許搜索引擎跟蹤的文件和文件夾的目錄。許多提供搜索引擎服務(wù)的公司都會(huì )留意這個(gè)文件中的目錄。 有些搜索引擎對 robot.txt文件視而不見(jiàn)，直接把所有信息加入索引。更糟糕的是，robot.txt文件向黑客泄露了Web服務(wù)器上你不想被訪(fǎng)問(wèn)的公共部分。與此同時(shí)，通過(guò)Google入侵測試，你的信息已經(jīng)泄露出去了。當然，你可以單獨地和搜索引擎公司聯(lián)系，禮貌地請他們把信息從緩存中移除。但最好是讓這些信息失去效用。 “這些緩存信息的保存時(shí)間是無(wú)法管理的，因此你必須假定它一旦出現，就會(huì )永遠保存在那里。”AT&T的CISO Ed Amoroso說(shuō)。他的解決方案很簡(jiǎn)單，“如果你是通過(guò)一串密碼找到的某個(gè)文件，那就把密碼更改一下。” 接下來(lái)的步驟是解決潛在的問(wèn)題。刪除或隱藏非公用的信息。長(cháng)遠看，這也是一項艱巨的工作，可以通過(guò)關(guān)閉多余端口或者完善應用程序來(lái)實(shí)現這一點(diǎn)。 沖擊指數 ★★★★ 你必須確保你的公司沒(méi)有意外地發(fā)布攻擊自身系統的說(shuō)明。 沖擊二 Google Hacking之廣泛定義 定義：使用搜索引擎查找知識產(chǎn)權。這是Google的核心：研究者采用目標網(wǎng)頁(yè)搜索來(lái)搜集零碎的信息，放在一起，就組成了一個(gè)企業(yè)的戰略圖。但是與SQL注入式攻擊不同的是，使用公共資源搜集競爭情報是完全合法的。 沖擊方式: 研究者為了獲取信息而瀏覽網(wǎng)頁(yè)，這些信息包括學(xué)術(shù)會(huì )議上發(fā)表的研究成果、聊天室里的評論、個(gè)人簡(jiǎn)歷或者工作機會(huì )，公司在互聯(lián)網(wǎng)各處都可能留下零星的線(xiàn)索。通常的手段是用搜索查詢(xún)某一具體格式的文件，比如微軟Excel電子表格、Word文檔或者Adobe的PDF文件。通過(guò)這種方式，可以過(guò)濾掉許多多余的信息。比如說(shuō)想查找關(guān)于通用汽車(chē)的信息，輸入“GENERAL MOTORS”、“FINANCIAL ANALYSIS”作為關(guān)鍵詞，會(huì )產(chǎn)生56400個(gè)結果，而采用“GENERAL MOTORS”、“FINANCIAL ANALYSIS”、FILETYPE:XLS，就只得到34個(gè)文件。 另一種做法是搜索具有非公開(kāi)信息含義的短語(yǔ)。比如“personal”、“confidential”或者“not for distribution”。這些目標搜索未必能夠回回命中，但他們仍有相當大的吸引力。比如說(shuō)，搜索“GENERAL MOTORS”“NOT FOR DISTRIBUTION”，首先得到的是來(lái)自一個(gè)客戶(hù)信貸分類(lèi)公司的PDF文件。 最后一種方式是到目標組織的網(wǎng)站上尋找信息，比如說(shuō)，電話(huà)簿可能在社交工程詐騙中被利用。研究者可以使用站內搜索功能查找“phone list”或“contact list”等語(yǔ)句。事實(shí)上，這個(gè)搜索可以是SITE:CSOONLINE.COM“PHONE LIST”，如果你嘗試一下這個(gè)搜索，你就會(huì )發(fā)現CSO曾經(jīng)發(fā)表過(guò)文章，指出為什么公司的電話(huà)目錄最好隱藏起來(lái)。 沖擊后果：信息安全顧問(wèn)、《間諜在我們之中》的作者Ira Winkler認為：“只要Google上有的東西，就是合法的。”這種競爭情報的偵察只有在涉及商業(yè)秘密的時(shí)候才是非法的，也就是說(shuō)，倘若它在Google上公開(kāi)化了，你還能把它作為商業(yè)秘密來(lái)保護嗎？ 應對措施: Google Hacking涉及到一些對敏感文件的站內搜索，比如像財務(wù)記錄和標記為“禁止傳閱”的文件。在你的界限之外，最好對別人對你的組織的評價(jià)有所了解，即便你改變不了什么。“利用搜索引擎調查自己的公眾形象實(shí)際上已經(jīng)成為每個(gè)公司安全規劃的一個(gè)組成部分，”Amoroso 說(shuō)。 如果愿意，像MarkMonitor和Cyveillance這樣的商標保護公司可以替你做這些事。制定一些制度，約束職員使用博客、留言板和聊天室，也可以減少公司泄密。 沖擊指數 ★★★ 這種競爭情報永遠存在，并且具有破壞性?；ヂ?lián)網(wǎng)意味著(zhù)更多的信息泄露，而且越來(lái)越容易獲取。 沖擊三 Google Earth 定義: Google Earth是一款下載軟件，可以提供全球的航拍空拍圖片，相同圖片也可以通過(guò)Google Maps網(wǎng)站獲得。圖片的視野和分辨率令人乍舌，以至于在2005年Google Earth推出beta版的時(shí)候就引來(lái)非議。有人認為他們的家的后院僅僅是點(diǎn)擊幾下鼠標就可以到達，另一些人害怕恐怖分子利用地標和關(guān)鍵性軍事設施的圖片策劃襲擊。 沖擊方式: 用戶(hù)安裝完這款軟件之后，可以選擇地球上任何地點(diǎn)進(jìn)行縮放，即使分辨不出汽車(chē)，通常也可以分辨出公路。虛擬地球可以被各種各樣的信息覆蓋，包括公路、鐵路、咖啡館、賓館等等。企業(yè)的研究人員也可以在Google Maps上添加任何信息，從兇案發(fā)生的位置到哪個(gè)公共衛生間有放置嬰兒的桌子。圖片分辨率有大有小，最新的攝于3年前，主要來(lái)源于商業(yè)公司和公共領(lǐng)域。
沖擊后果: 如此容易地獲得這些信息是否合理，從整個(gè)社會(huì )來(lái)說(shuō)，是值得探討的，但是對于美國本土的公司來(lái)說(shuō)，其安全風(fēng)險并不大。這些信息中大部分可以通過(guò)其他途徑獲得。比如說(shuō)，微軟曾經(jīng)將10年前美國地質(zhì)勘測Terraserver計劃的圖片進(jìn)行拼接，只不過(guò)效果不太平滑罷了。 這些圖片不但早就可以在網(wǎng)上獲得，而且可以輕易地從政府和私人處購買(mǎi)，軍方智囊團Globalsecurity.org的負責人John Pike解釋道。對此惟一的限制是兩條法律條款。第一，這些圖像至少拍攝于24小時(shí)之前；第二，美國軍方對圖片享有Pike稱(chēng)之為“快門(mén)控制”的權利，即商業(yè)衛星公司不得發(fā)布可能危及美軍軍事行動(dòng)的圖像。據Pike所知，美國軍方從未行使過(guò)這種權利，也沒(méi)有在布什領(lǐng)導的反恐戰爭中更改對衛星圖像管制的條款。 應對措施: 如果你的組織的安全計劃是建立在一個(gè)沒(méi)人可以獲得空拍或航拍照片的設施之上，那么Google earth可能對計劃沒(méi)有多大影響。“任何人，只要能按照設施的草圖進(jìn)行恐怖襲擊，同樣也會(huì )按照設施的圖像進(jìn)行攻擊，”Pike說(shuō)，“如果安全負責人們不想讓別人看見(jiàn)什么，最好在上面加個(gè)屋頂。” 沖擊指數 ★ 煙霧彈里的安全防范是20世紀的事情了，Google Earth恰恰證明了這一點(diǎn)。 沖擊四 點(diǎn)擊詐騙 定義: 點(diǎn)擊詐騙是操縱按點(diǎn)擊廣告付費的行為。犯罪者夸大點(diǎn)擊在線(xiàn)廣告的人數，或者為自己斂財，或者大幅增加競爭者的廣告負擔。 沖擊方式: 在按點(diǎn)擊付費廣告中，廣告主按照網(wǎng)站廣告鏈接的點(diǎn)擊數付費。Google、雅虎和其他搜索引擎公司允許廣告主將文字廣告放置在他們的頁(yè)面上，當用戶(hù)搜索的關(guān)鍵詞與之匹配時(shí)，文字廣告出現在搜索頁(yè)上，搜索引擎公司通過(guò)這種方式賺取廣告費。操縱按點(diǎn)擊數付費的廣告有兩種手段：競爭者點(diǎn)擊詐騙和網(wǎng)絡(luò )點(diǎn)擊詐騙。 假設某家出售壽險的公司要在Google上做廣告。這家公司可能申請并取得了“人壽保險”的關(guān)鍵詞。那么，當用戶(hù)Google這個(gè)關(guān)鍵詞的時(shí)候，公司的廣告以付費鏈接的形式出現在搜索結果旁邊。每次有人點(diǎn)擊付費鏈接，壽險公司就按照協(xié)議付給Google費用。通過(guò)競爭者點(diǎn)擊詐騙，不正當競爭者可以通過(guò)瘋狂點(diǎn)擊此壽險公司的廣告鏈接來(lái)提高其廣告費用。 網(wǎng)絡(luò )點(diǎn)擊詐騙利用Google不是惟一的Google廣告發(fā)布者這一點(diǎn)牟利。比如某人有一個(gè)關(guān)于保險的博客，他可以成為Google廣告的代理，將Google廣告放置在他的頁(yè)面上。如果壽險公司付給Google公司每點(diǎn)擊5美元，該博客可能從對其頁(yè)面廣告的點(diǎn)擊中收益1美元。網(wǎng)絡(luò )點(diǎn)擊詐騙就是廣告代理通過(guò)產(chǎn)生欺詐性的流量來(lái)提高自身的收益。 Google堅持說(shuō)它一直在試圖監控這一問(wèn)題。Google信用安全產(chǎn)品經(jīng)理Shuman Ghosmajumder說(shuō)，公司監控著(zhù)各種形式的“非法點(diǎn)擊”，通常會(huì )將多余的費用退還廣告主，并關(guān)閉有欺詐行為的廣告代理。但是一些廣告主反映，Google阻止和監控欺詐行為不力，因為它本身也在這種欺詐中獲利。 沖擊后果：點(diǎn)擊詐騙對每個(gè)CSO來(lái)說(shuō)將會(huì )成為一種司空見(jiàn)慣的手段。它證明了電子犯罪已經(jīng)變得多么錯綜復雜和有利可圖。起初，CSO們開(kāi)始察看服務(wù)器日志，通過(guò)查找列表中的IP地址來(lái)發(fā)現騙子。作為回應，騙子們編寫(xiě)自動(dòng)程序變換IP地址，更改時(shí)間標志。接下來(lái)，CSO們改進(jìn)點(diǎn)擊詐騙探測工具，致力于幫助網(wǎng)絡(luò )廣告主進(jìn)行監視。但隨之而來(lái)的是“點(diǎn)擊農場(chǎng)”，騙子們雇用境外人員點(diǎn)擊，手段更加隱蔽。正如SearchEngine-Watch.com執行編輯Chris Sherman說(shuō)的那樣：“這是一場(chǎng)貓捉老鼠的游戲。” 應對措施: 第一步是采用追蹤手段。但根據搜索引擎行銷(xiāo)專(zhuān)業(yè)組織Sempo的最新調查，42%的被調查者曾經(jīng)受到點(diǎn)擊詐騙的困擾，但有近1/3的被調查者說(shuō)他們不會(huì )主動(dòng)去追蹤詐騙。 “通常搜索引擎可以發(fā)現明顯的欺詐行為，甚至可以不必為此付出成本，”Sempo研究委員會(huì )主席Kevin Lee說(shuō)，但是如果你的問(wèn)題比較嚴重，你就需要搜集信息來(lái)證明為什么你認為一些點(diǎn)擊是詐騙性質(zhì)的，并且要求廣告經(jīng)營(yíng)商退還廣告費。Ghosmajumder說(shuō)Google在調查組身上下了很大力氣，這個(gè)組負責前瞻性的監控詐騙行為，同時(shí)對廣告主報告的可能的詐騙行為進(jìn)行研究。Google的工程師也在努力，希望通過(guò)技術(shù)手段識別非法點(diǎn)擊。 沖擊指數 ★★ 對于采用按點(diǎn)擊數付費的公司，這是一個(gè)應該關(guān)注的問(wèn)題。點(diǎn)擊詐騙有可能在很大程度上降低在線(xiàn)廣告的收益。但是對于90%收益來(lái)自廣告的Google來(lái)說(shuō)，公司有足夠的動(dòng)機解決這個(gè)問(wèn)題，讓廣告主們不至于對點(diǎn)擊付費模式失去信心。 沖擊五 Google桌面 定義: Google提供的免費工具，允許用戶(hù)快速搜索硬盤(pán)內容，其最新版本可以用來(lái)在計算機之間共享文件。
沖擊方式: 和Google為網(wǎng)頁(yè)建立索引相似，用戶(hù)下載這一工具后，Google Desktop在后臺為硬盤(pán)上的所有文件建立索引。按照默認設置，所有固定驅動(dòng)器都被建立索引，用戶(hù)也可以自行指定某個(gè)文件夾不在索引之列，或者添加某個(gè)驅動(dòng)器。搜索結果的文件格式可以設定：包括文本文件、電子表格、PDF、網(wǎng)頁(yè)歷史紀錄、電子郵件等等。一旦索引建立，用戶(hù)運行Google搜索的時(shí)候，本地硬盤(pán)上的文件出現在搜索結果的頂部。用戶(hù)也可以在桌面上打開(kāi)這個(gè)工具軟件，單獨使用，甚至不需要連接互聯(lián)網(wǎng)。 新版本還有一個(gè)有爭議的特性：允許用戶(hù)在計算機間共享文件。如果啟用這一功能，Google在一臺計算機上建立索引，將索引上傳至Google服務(wù)器，再將其下載到另一臺計算機上。然后，在一臺計算機上進(jìn)行搜索，返回兩臺機器上的結果。 沖擊后果: 人們對此感到棘手的原因是顯而易見(jiàn)的。一旦安裝了這一工具，文件被建立了索引，偷窺者甚至只需一杯咖啡的時(shí)間，就可以搜到別人硬盤(pán)上的文件。更糟糕的是，普通用戶(hù)可能并沒(méi)有意識到或者理解如何確保敏感文件不被索引。 為了自身的聲譽(yù)，Google已經(jīng)試圖改進(jìn)這一工具的標準配置。新版的Google 桌面自動(dòng)返回的結果，是具有密碼保護的文檔和HTTP頁(yè)面?，F在，如果用戶(hù)不更改設置，那些格式的文件不會(huì )被索引。即便如此，恰當的設置依然顯得很復雜。一些公司，以及那些擔心泄露個(gè)人隱私的個(gè)人，也對Google心存戒備。 跨機搜索的功能加劇了這種擔心。Google表示，通過(guò)這種功能，用戶(hù)的個(gè)人文件可以在Google服務(wù)器上保留30天。Google對這個(gè)時(shí)間范圍沒(méi)有太重視。Google事業(yè)部產(chǎn)品經(jīng)理Matthew Glotzbach表示，如果你的兩臺電腦在線(xiàn)并且處于同步狀態(tài)，只需幾分鐘，Google就能從一臺計算機上上載信息并將它下傳到另一臺計算機上。 但是，將信息全部保存在Google服務(wù)器上可能會(huì )帶來(lái)麻煩。在一個(gè)案件里，Google收到美國司法部的傳召，要求搜索結果幫助分析兒童在線(xiàn)隱私保護法案的執行情況。法官減少了Google應移交的信息量，但在接下來(lái)的辯論中，人們逐漸意識到Google保存信息的數量和性質(zhì)。 應對措施：Sarbanes-Oxley法案要求公司對信息的保留地點(diǎn)和時(shí)限記錄在案?？紤]一下你的用戶(hù)在工作中是否需要桌面搜索，如果需要，就要著(zhù)手去了解它是如何配置和使用的。而CSO可以確保用戶(hù)理解這些工具軟件的隱私含義，而不是僅僅讓用戶(hù)閱讀隱私權政策。 在食品藥品管理局，Stine是最早關(guān)注這款工具軟件的。“曾經(jīng)有人提出過(guò)要求使用桌面搜索，但呼聲不強烈”，他說(shuō)。如果大量用戶(hù)確實(shí)需要桌面搜索，Stine說(shuō)，他會(huì )認真研究一下這種技術(shù)是如何識別、索引和顯示信息的。“我們必須確保我們還在對信息保持全面的控制——至少盡可能全面的控制，”他說(shuō)。 幸好，他有多種選擇。有些公司采用企業(yè)桌面搜索工具，協(xié)助CISO們保存信息表格。Google桌面3企業(yè)版目前尚處在測試階段，它允許管理員徹底禁止像跨機搜索這樣的功能。Google表示正在致力于使這款軟件的后續版本更加便于管理。“我想我們會(huì )收到樂(lè )觀(guān)和正面的響應。我們已經(jīng)深入研究了關(guān)于跨機搜索功能的反饋，尤其在企業(yè)的環(huán)境中，我們正努力讓公司使用起來(lái)更簡(jiǎn)單。” 沖擊指數 ★★★★ 桌面搜索系統是一項未經(jīng)測試的很可能被濫用的技術(shù)。如果你的用戶(hù)不需要，不要讓他們使用它。如果他們確實(shí)需要，應考慮使用具有中央控制管理功能的企業(yè)工具軟件。 未來(lái)的沖擊 Google沖擊著(zhù)我們，它豎起一面鏡子，強迫我們審視放在網(wǎng)上的一切。“Google具備強大破壞力的同時(shí)也提供了搜索能力，”Winkler說(shuō)，“它的強大所在也是它的危險所在。” 未來(lái)的搜索技術(shù)只會(huì )更加危險，貝爾（加拿大）公司的Garigue指出，搜索引擎技術(shù)尚處在它的嬰兒期，僅僅是淺嘗輒止，用他的話(huà)說(shuō)，只是“淺網(wǎng)”。“淺網(wǎng)”是網(wǎng)頁(yè)服務(wù)器上的一切公開(kāi)信息，”他說(shuō)，“深網(wǎng)則是暗藏在數據庫里的一切。”從國會(huì )圖書(shū)館，到Lexis-Nexis的受法律保護的新成果，再到聯(lián)機醫學(xué)文獻分析和檢索系統的數據庫，人們通過(guò)在線(xiàn)模式得到的信息還是只向特定用戶(hù)開(kāi)放，而不是Google。“Google是第一代工具，”Garigue說(shuō)。隨著(zhù)這些工具的不斷完善，沖擊波一定會(huì )變得越來(lái)越強大。 （計算機世界報 2006年06月05日 第21期 A22、A24）
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
