BUSINESS BOOKS

8.1　系統的易損和濫用

你能想象如果你在沒有防火牆和殺毒軟件的情況下連接互聯網會發生什麼嗎？你的電腦將會在幾秒內癱瘓，並將花去你許多天的時間來修復。如果你使用電腦交易，當它癱瘓時你可能無法將貨物出售給消費者或出售到預訂地。你可能發現你的電腦被外來者入侵，他也許會盜竊或毀壞你有價值的數據，包括來自客戶的機密支付數據。如果太多數據被毀壞或者被洩露，你的交易可能永遠無法進行！

簡言之，當今如果進行交易，你需要確保安全並且是當務之急。安全（security）涉及策略、程序和技術，用來防止對信息系統的非授權的進入更改、盜竊或者物理毀壞。控制正是確保組織資產安全的方法、策略和組織程序，是記錄的精確度和可信度，也是管理標準可操作的信奉。

8.1.1　系統容易受到破壞的原因

當大量數據被存為電子文件，它們對於許多類型的威脅來說比以人工形式存在要更易受到破壞。通過聯網，不同地區的信息系統連接起來。非法進入、濫用或者欺詐不僅僅限制在單一的地區而是在網絡中的任何訪問點。圖8-2說明了絕大多數對當代信息系統的普遍威脅。它們來自技術的、組織的和由錯誤的管理決策導致環境的因素。在這裡說明的多終端客戶/服務計算環境中，脆弱性存在於每個層次和層次間的交流中。在客戶層面的用戶能通過引入錯誤或者未授權進入系統導致損害。很可能在瀏覽網頁時進入數據，在傳輸時盜取有價值的數據，或者沒有授權而更改信息。輻射同樣會以許多形式擾亂網絡。闖入者可能登錄否認服務或者惡意軟件干擾網站運行。那些有能力的公司系統可能毀壞或者更改公司儲存在數據庫或文件中的數據。

如果計算機硬件崩潰，系統故障不是配置不當，而是不適當使用導致的損壞或者犯罪行為。程序錯誤、不當配置或者非授權改變會導致計算機軟件崩潰。停電、洪水、火災或者其他自然災害也會擾亂計算機系統。

如果有價值的信息在網絡上和計算機上而在組織控制之外，那麼國內或者國外的公司間合作也增加了系統的脆弱性。沒有強大的安全保障，有價值的數據就會丟失、毀壞或者去錯誤的地方，暴露重要的交易祕密或者信息而違背個人隱私。

圖8-2　當代信息系統的普通威脅

商業交易中便攜設備越來越多的使用增加了這些困境。便攜設備使手機和智能手機容易丟失或者失竊，並且它們的網絡也容易被外來者進入。智能手機在公司經營中的使用可能包含敏感數據，如銷售數量、客戶名稱、電話號碼和電子郵件地址。闖入者可能通過這些設備進入內部公司網絡。非授權下載可能導致軟件癱瘓。

1.互聯網的弱點

大型公開網絡，如互聯網，會比內部網絡更加脆弱，因為它們對任何人開放。互聯網如此巨大，以至於當濫用發生時它們產生巨大、廣泛的影響。當互聯網成為公司網絡的一部分，組織的信息系統更易受到外來者侵入。

計算機始終通過調制解調器或者DSL與互聯網連接，這更容易被外來者入侵，因為它們使用固定的互聯網地址而更容易被識別。（用一個撥號服務器、一個臨時的互聯網地址指定給每一個線路。）一個固定的互聯網地址為黑客創造了一個固定的目標。

基於互聯網技術（見第7章的電話服務），如果不在安全的私人網絡運行，會比語音網絡交換機更脆弱。很多聲音通過IP通信，但在通過公眾互聯網時並沒有加密，因此任何人用一個網絡就可以竊聽談話。黑客們可以通過偽造通信量溢出VoIP服務來攔截談話或者關掉聲音服務器。

電子郵件的廣泛使用、即時消息和文件共享也增加了網絡的脆弱性。電子郵件可能包含被惡意軟件或非授權進入的互聯繫統當做跳板的附件。僱員可能使用電子郵件信息來傳送有價值的交易祕密、財務數據或者機密的客戶信息給非授權接收者。流行的即時消息應用不需要使用一個安全層面給文本文件，因此它們可以被攔截或者被外來者通過公眾互聯網的傳輸讀出。即時消息活動可以在一些情況下被用做另一種安全網絡的後門。通過P2P網絡共享文件，如那些非法的音樂共享，也可能傳播惡意的軟件或者在其他個人或者團體計算機上暴露信息給外來者。

2.無線網絡的安全挑戰

在機場、圖書館或者其他公共場所登錄一個無線網絡安全嗎？它取決於你有多警惕。無線網絡在你家中是脆弱的，因為收音機頻繁的波段很容易被監測。藍牙和Wi-Fi網絡都容易受非法入侵電腦的偷聽者影響。儘管Wi-Fi網絡的變動幅度只有幾百英尺，但是通過外置天線它可以擴展到1/4英里。局域網使用802.11標準可以通過便攜式電腦、無線網卡、外置天線和黑客軟件輕易地侵入。黑客使用這些軟件來發覺沒有防護的網絡，監視網絡通信量，在一些情況下還可以獲得互聯網或團體網絡的進入權。

Wi-Fi傳輸技術使得一個電臺能夠更加容易地找到並接聽到另一電臺。這種鑑別Wi-Fi網絡訪問點的服務設備標識符很容易被闖入者的探測程序打包（見圖8-3）。無線網絡在很多地區並沒有基本的保護來抵禦竊聽者的攻擊。

圖8-3　Wi-Fi安全挑戰

8.1.2　惡意軟件：病毒、蠕蟲、特洛伊木馬、間諜軟件

惡意軟件程序 （malware）涉及惡意代碼，包含各種形式的威脅，如計算機病毒 （computer virus）、蠕蟲 （worm）和特洛伊木馬。計算機病毒是一個附著在其他軟件程序或者數據文件上以獲取執行的流氓軟件程序，通常沒有用戶的許可。絕大多數計算機病毒會傳送一個有效載荷數據。這種有效載荷數據可能會相對的非惡意，如顯示消息或圖片的命令，或是毀滅性的毀壞程序或數據，改變計算機的硬驅，或者導致程序不當運行。當人們進行一項活動時，病毒典型地從一臺計算機傳播到另一臺計算機，如發送一個電子郵件附件或者拷貝一個傳染文件。

最近的許多攻擊來自蠕蟲，它是一種獨立的計算機程序，可以在網絡上將自己從一臺計算機複製到另一臺計算機。（與病毒不同，蠕蟲不附著在其他計算機程序文件上，可以自己運行，對人類活動的依賴比病毒少。這說明了為什麼計算機蠕蟲比計算機病毒傳播得更快。）蠕蟲毀壞數據和程序，同樣也擾亂甚至停止計算機網絡的運行。

蠕蟲和病毒通常在互聯網上通過下載的軟件文件、電子郵件傳送的附件文件以及電子郵件洩密信息或者臨時信息傳播。病毒同樣從感染的硬盤或者感染的機器入侵計算機控制信息系統。電子郵件蠕蟲是現在最為疑難的問題。

現在已有200種病毒和蠕蟲以手機為目標，如CABIR、Comwarrior和Frontal A.Frontal A，它會可以安裝一個導致電話癱瘓的破壞文件並阻止用戶重新啟動。移動設備病毒可以對企業計算造成嚴重的威脅，因為現在許多無線設備與公司信息系統連接。

Web2.0應用程序，如博客、維基和社交網站如Facebook和MySpace，已經顯現出惡意軟件和間諜軟件的新渠道。這些應用程序允許用戶登記軟件密碼作為許可的內容，而這種密碼可以在網頁打開時自動登錄。例如，2008年8月，惡意軟件黑客通過登記網站以Facebook用戶為目標，假冒成員朋友，惡意軟件黑客發送消息慫恿用戶單擊一個鏈接去看一段視頻來傳輸惡意軟件到一個流氓網頁。如果用戶授權下載，網頁將安裝一個特洛伊木馬——Troj/Dloadr-BPL。

在過去十年，蠕蟲和病毒已經導致公司網絡、電子郵件系統和數據上億美元的損失。根據2008年網絡用戶調查報告，由於惡意軟件和在線騙局使得美國用戶失去了85億美元，並且絕大多數損失來自惡意軟件。

特洛伊木馬 （Trojan horse）是一種看起來並不危險但會做出出乎人意料事情的軟件程序。特洛伊木馬自身並不是病毒，因為它不能複製，但經常是病毒或其他惡意軟件進入一個計算機系統的途徑。

特洛伊木馬在今天的實例有Pushdo Trojan，用電子賀卡在電子郵件中引誘Windows用戶登錄一個可執行程序。一旦這種特洛伊木馬被執行，它會偽裝成一個阿帕奇網站服務器並且試圖傳送可執行惡意軟件程序給感染的Windows服務器。

一些類型的間諜軟件 （spyware）同樣扮演著惡意軟件的角色。這些小程序將自己偷偷安裝進計算機來監視用戶的瀏覽網頁活動並提供廣告。成千上萬形式的間諜軟件已得到記載。據Harris Interactive公司調查，92%的公司在自己網站中發覺了間諜軟件（Mitchell，2006）。

許多用戶發現這種間諜軟件讓人煩惱，一些批評家也擔心它對計算機用戶隱私的侵犯。一些形式的間諜軟件是極其惡劣的。“鍵盤記錄”（Keylogger）記錄計算機的每一次擊鍵來竊取軟件的連續數字，登錄互聯網連接，獲取電子郵件的進入，獲得計算機防禦系統的密碼，或者獲取個人信息如信用卡密碼。其他一些間諜軟件程序重新設置網站瀏覽主頁，更改查詢要求，或者佔用過多內存使計算機運行緩慢。

8.1.3　黑客與計算機犯罪

黑客 （hacker）是妄圖獲取對計算機系統非授權進入的個人。在黑客的團體內，電腦資料非法存取者典型地意味著有犯罪意圖的黑客，儘管在公共出版物上黑客與電腦資料非法存取者可以交互使用。黑客與電腦資料非法存取者通過尋找網站和計算機系統安全防禦的弱點來獲取非授權進入。

黑客活動已經擴展到不僅僅是系統指令還包括盜竊信息、系統損壞和破壞他人網站，故意干擾、損害甚至毀壞一個網站。例如，破壞他人網站使得許多MySpace網站成為虛擬的塗鴉牆，充滿了令人不快的評語和照片（Kirk，2008）。

1.欺騙和嗅探

為了隱藏自己的真實身份，黑客通常通過使用偽造的電子郵件地址隱瞞。電子欺騙法同樣可能通過將地址偽裝成原定目的來改變一個網站鏈接到另一個非原來的地址。例如，如果黑客改變用戶到一個偽裝的但看起來和真實地址無異的網站地址，而後他們就能收集和處理指令，有效地從真實地址盜竊商業和敏感的客戶信息。我們將在計算機犯罪的討論中提供其他形式的電子欺騙。

嗅探是一種在網絡中掌握信息的竊聽程序。當使用合法的時候，探查法能幫助鑑別潛在的網絡問題或者網絡犯罪活動，但是當為犯罪目的而使用時，它會具有損害性並且十分難發覺。嗅探使黑客能夠從網絡任何地方包括電子郵件消息、公司文件和機密報告中盜取有價值的信息。

2.拒絕服務攻擊

拒絕服務攻擊 （Denial of Service（DoS）attack）指黑客計算機向網絡服務器或Web服務器發送大量請求，使得服務器來不及響應從而無法正常工作。分佈式拒絕服務 （distributed denial of service，DDoS）攻擊的原理和傳統拒絕服務攻擊一樣，只是危害更大，因為黑客可以通過操縱的成千上萬臺計算機集中進行拒絕服務攻擊，導致服務器的癱瘓。2007年3月初，Bill O’Reilly官方網站防火牆因數據超過負荷而不得不關閉網站（Schmidt，2007）。

雖然拒絕服務並不會破壞企業信息系統，但通常會使網站關閉，合法用戶無法進入網站。對商業網站來說，這將帶來嚴重損失，因為網站關閉，顧客無法上網購物。這種情況對中小型企業來說更為嚴重，其企業網絡保護措施通常沒有大型企業那樣周密。拒絕服務操作者通常在用戶不知情的情況下利用惡意軟件攻擊多臺舊電腦，繼而造成網絡癱瘓。

3.計算機犯罪

美國司法部把計算機犯罪 （computer crime）定義為，“在導致成功起訴的非法行為中，計算機技術和知識起了基本作用的非法行為”。計算機可以成為犯罪的目標，也可以作為犯罪的工具。

沒有人知道計算機犯罪的數量究竟有多大：究竟有多少系統被入侵？究竟有多少人受到計算機犯罪的影響？究竟計算機犯罪導致了多大的經濟損失？這些問題都很難有準確的答案。根據2007年CSI對將近500家公司進行的計算機犯罪和安全調查，因計算機犯罪與安全問題每年平均損失350424美元（Richardson，2007）。企業及其員工都擔心公佈系統受到計算機犯罪攻擊的消息會影響企業形象，故而並不是所有的企業都願意報告計算機犯罪。經濟損失最嚴重的計算機犯罪包括：拒絕服務攻擊、病毒、服務盜竊、破壞電腦系統。

4.身份盜竊

隨著互聯網和電子商務的廣泛應用，身份盜竊 （identity theft）也成為特別的困擾。身份盜竊是一種犯罪，進入者獲取個人信息的一段密碼，例如社會保障識別號碼、駕駛執照號碼或者信用卡號碼，以此來假冒別人。這些信息可能會被用來以被害者的名義獲取信用卡、商品或者服務，或者為盜竊者提供虛假的資格證書。根據身份欺詐調查報告，在2007年8400萬美國人成為身份盜竊的受害者，他們的損失達493億美元（Stempel，2007）。

身份盜竊已經通過信用卡文件這一網絡黑客的主要目標在互聯網上氾濫，並且，電子商務地址是豐富的客戶個人信息——名稱、地址和手機號碼。使用這些信息，犯罪分子可以假裝新的身份併為他們自己的目的創建新的信用卡。

流行的策略是一種形式的電子欺騙法稱為“網絡釣魚”。網絡釣魚 （phishing）包括偽造網站地址或者發送看起來像是合法商務詢問用戶機密個人數據的電子郵件消息。這種電子郵件消息通過社會保障號碼、銀行和信用卡信息及其他機密數據或是通過回覆電子郵件消息，在偽造網站地址鍵入信息，或者撥一個電話號碼，以此來指示接收者更新或者確認記錄。

新的網絡釣魚技術被稱為邪惡的雙胞胎（evil twins）。邪惡的雙胞胎是偽裝提供值得信賴的互聯網Wi-Fi連接的無線網絡，如機場、旅店、咖啡屋或者商店。這種偽造網絡看起來與公眾網絡相同，詐騙者試圖捕獲非故意的登錄用戶密碼或者信用卡號碼。

網址嫁接 （pharming）改變用戶地址到一個偽造的網頁，即使正確的網頁地址已經進入瀏覽。很可能網址嫁接罪犯獲取進入儲存在互聯網服務器中的互聯網地址信息來加速網頁瀏覽。

美國國會在1986年頒佈了《計算機欺詐和濫用條例》。這個條例使得非授權進入計算機成為不合法行為。大多數州也有類似的法令，並且歐洲國家也有與此類似的立法。1996年，國會同樣通過了國家信息基礎設施保護法，以此來防止病毒侵擾和黑客襲擊而使網站崩潰的聯邦犯罪。美國立法，如反竊聽法、反無線欺詐法、反經濟間諜法、電子交流隱私保護法、反電子郵件威脅和干擾法以及反兒童色情法，這些法令包含了各種計算機犯罪，如攔截電子通信，使用電子通信詐騙，竊取交易祕密，非法進入和存儲電子通信，使用電子郵件威脅或騷擾以及傳送兒童色情。

5.點擊詐騙

當你通過搜索引擎點擊一個廣告，期望向潛在消費者直接出售其產品的廣告者會為每一個點擊付費。點擊詐騙 （click fraud）發生在一個個體或者計算機程序欺詐性地點擊一個在線廣告。在Google和其他網站點擊詐騙已經成為嚴重的問題。

一些公司通過僱用第三團體（主要來源於某些低收入國家）來欺詐性地點擊一個競爭者的在線廣告，通過提高它們的市場開銷來削弱它們。點擊欺詐同樣可以通過使用計算機軟件程序進行點擊來犯罪。

6.全球威脅：網絡恐怖主義與計算機戰爭

我們所描述的計算機犯罪活動（登錄惡意軟件，拒絕服務襲擊和網絡釣魚探針）都不是主要的。計算機安全公司Sophos報告，在2008年早期他們鑑別的42%的惡意軟件發源於美國，10.3%來自俄羅斯（Sophos，2008）。全球性的互聯網使得計算機犯罪的運行成為可能，危害存在於世界的任何地方。

互聯網或者其他網絡的脆弱性使得數字化網絡很容易成為恐怖分子、國外智能服務器或者其他企圖造成廣泛干擾和危害的團體襲擊的目標。這種計算機襲擊可能以電力運行網、交通控制系統或者主要銀行和財政機構軟件為目標。至少20個國家致力於發展進攻和防禦計算機戰爭的能力。2007年，12986份報告送往美國政府部門，對美國軍事網絡的襲擊達55%。公司防禦部門承包者同樣陷於包圍之中（Grow et al.，2008）。

為了解決這些威脅，前美國總統喬治W.布什於2008年1月8日簽署了一項計算機虛擬主動指示文件，授權國家安全局監控所有聯邦部門的計算機網絡並且鑑別計算機襲擊。美國國家安全局將會保護這個系統。所有政府部門被命令削減連接到互聯網的端口，從4000個以上減為不到100個。

8.1.4　來自員工的內部威脅

我們趨向於對商業的安全威脅認為是發源於外部組織。實際上，公司內部員工造成了嚴重的安全問題。僱員可以進入特權信息，隨意的內部安全程序的存在，使他們經常可以不留痕跡地遊移於各個組織之間。

研究發現，缺乏專業知識的用戶是導致網絡安全問題的重大缺口。許多僱員忘記了他們進入計算機的密碼或者允許同事使用，這些將暴露系統。惡意的闖入者尋找系統入口有時會通過裝作公司需要信息的合法成員誘使僱員洩露他們的密碼。這種事實稱為社會工程 （social engineering）。

終端用戶和信息系統專家同樣都是導致信息系統錯誤的主要來源。終端用戶通過進入錯誤的數據或者沒有按照適當的程序處理數據和使用計算機設備導致錯誤。信息系統專家可能會在他們設計和開發新軟件或者維持現存程序時創造軟件錯誤。

8.1.5　軟件缺陷

軟件缺陷長期威脅信息系統，造成不計其數的損失。多種因素造成軟件缺陷的增加：軟件程序越來越複雜，規模越來越大，進入市場需要越來越大。例如，2007年4月17日到18日，由於軟件升級錯誤，造成北美地區黑莓郵件系統關閉12個小時。使用黑莓郵件系統數以百萬計的用戶無法工作，黑莓的穩定性也遭到質疑（Martin，2007）。美國國家標準技術研究院（National Institute of Standards and Technology，NIST）報告指出，美國經濟每年由於軟件缺陷（包括易受黑客和惡意軟件攻擊）損失59.6億美元。

軟件最大的問題是存在隱藏錯誤或程序代碼錯誤。調查表明，無法消除大型程序的所有錯誤。錯誤來源於代碼的複雜性，包含幾百行代碼相對較小的程序可能包含幾十個判定，通向上千甚至上萬條路徑。大部分企業內重要程序代碼更多，有成千上萬甚至上百萬行代碼，每條代碼又是包含大量命令和路徑的小程序。

大型代碼中不可能不出現錯誤，也不可能對代碼進行全面檢測。全面檢測包含檢測成千上萬的內部命令和數百萬路徑，而這一過程要數千年才能夠完成。即使經過嚴密的檢測，軟件的穩定性仍然無法得知，只有當大量用戶實際使用後才能得出結論。

商業軟件缺陷不僅影響性能，而且會使安全系統易受入侵者的攻擊。安全部門每年確定5000例網絡及計算機軟件攻擊事件。例如，2007年Symantec檢測出39例Microsoft Internet Explorer攻擊，34例Mozilla攻擊，25例Apple Safari攻擊，以及7例Opera攻擊。有些受損非常嚴重（Symantec，2007）。

軟件受到攻擊後，軟件供應商就會發行補丁（patches）程序來彌補缺陷。微軟就曾在2008年2月發行Windows Vista Service Pack 1，增強抵抗惡意軟件和黑客攻擊能力。用戶可自行選擇是否報告軟件錯誤，檢測軟件及安裝補丁。這一過程稱為補丁管理。