企業(yè)網(wǎng)絡(luò)被攻破應(yīng)采取的措施

　　如果公司網(wǎng)絡(luò)和IT系統(tǒng)被黑客入侵后我們應(yīng)該做呢?這無疑是一個重要的問題。此前家得寶、索尼影視娛樂和其他很多公司都曾遭遇過這種不幸。在當今日益嚴峻的安全形勢之下，一個不得不承認的現(xiàn)實是，今后進入被黑名單的公司名錄還會不斷增加。

　　公司網(wǎng)絡(luò)和系統(tǒng)被黑是一件很不幸的事情，尤其是涉及到客戶數(shù)據(jù)被盜、營收受到影響時，但既然已經(jīng)發(fā)生，現(xiàn)在的關(guān)鍵問題是如何避免事情擴大，以盡可能降低被黑事件對公司經(jīng)營帶來的負面影響，從而讓公司業(yè)務(wù)盡快回到正軌。

　　比如，及時和有效的反應(yīng)可以盡量減少事件帶來的損失或至少通過一種積極的態(tài)度來安撫客戶、業(yè)務(wù)合作伙伴，而應(yīng)對不力或反應(yīng)遲緩則可能使原本糟糕的情況變得更糟，其影響可能需要公司多年才能彌補。以下是公司遭受了黑客攻擊且被其成功入侵之后需要做的六件關(guān)鍵的事情。

　　保持冷靜，制定并執(zhí)行應(yīng)對計劃

　　公司被黑客成功攻擊之后的第一件事是要馬上啟動之前制定的應(yīng)急響應(yīng)計劃。當然，之前公司必須已經(jīng)制定，如果沒有，公司需要組織必要的人員迅速地制定出來。

　　應(yīng)急響應(yīng)計劃需要包括誰應(yīng)該對應(yīng)急響應(yīng)計劃全面負責、哪些人需要參與到該計劃、具體應(yīng)該有哪些行動以及這些行動具體由誰負責，還有需要哪些技術(shù)工具來檢測以快速應(yīng)對等。

　　“一旦事件發(fā)生，很容易陷入恐慌之中，并立即試圖控制影響。”SANS研究院SANS網(wǎng)絡(luò)防御計劃負責人Eric Cole說，“很多時候，如果沒有適當?shù)挠媱潱憧赡苁窃跉缱C據(jù)，使事情更糟。”

　　應(yīng)急計劃還應(yīng)包括：確定該事件可能造成的破壞程度、哪些數(shù)據(jù)遭到破壞，并決定如何與法律部門更好地合作，以確定是否要向執(zhí)法和其他結(jié)構(gòu)披露該事件，另外還要搞清楚該事件可能對公司的整體業(yè)務(wù)帶來的影響，以及進行具體的損害評估工作。

　　“一旦應(yīng)急響應(yīng)計劃明確，下一步的重點就應(yīng)是執(zhí)行。”Cole說，在執(zhí)行應(yīng)急響應(yīng)計劃期間公司應(yīng)該專注于幾個重點，其中一個就是隔離以控制攻擊事件的波及范圍，防止事態(tài)進一步惡化。

　　“一旦你開始實施應(yīng)急響應(yīng)計劃，首先要確保攻擊者不再能進入公司的網(wǎng)絡(luò)，這一點非常關(guān)鍵。”Cole說，“攻擊者通常會很有辦法，如果他們知道你正在清理系統(tǒng)，他們必然要設(shè)法繼續(xù)潛入你的系統(tǒng)，這可能造成重大傷害。”

　　通常情況下，公司應(yīng)設(shè)法隔離或控制網(wǎng)絡(luò)流量，以盡量減少可能帶來進一步的損害。

　　另一個工作重點是清理。“在應(yīng)對攻擊事件期間，長時間完全停止系統(tǒng)通常是不現(xiàn)實的，因此盡快找出問題根源解決問題，防止二次感染至關(guān)重要。”Cole說，大多數(shù)時候，在事件處理期間公司都會要求盡快讓系統(tǒng)運行起來，但是沒有找出所有漏洞并徹底解決問題就讓系統(tǒng)重新上線是很冒險的，因為黑客完全有可能借助這些安全漏洞再次進入系統(tǒng)。

　　“只要黑客進到企業(yè)網(wǎng)絡(luò)內(nèi)部一次，他就希望進來第二次，如果你不花點時間來徹底解決問題。黑客幾乎肯定還會再次光臨。”他說。

　　應(yīng)急響應(yīng)計劃的第三個重點工作是恢復(fù)。一旦被黑客用來進入系統(tǒng)的漏洞找到并被解決，下一步的工作重點就要馬上轉(zhuǎn)向恢復(fù)數(shù)據(jù)，讓系統(tǒng)重新運行。“尤其值得注意的是，在讓系統(tǒng)恢復(fù)運行前，對系統(tǒng)進行檢驗，確信問題被徹底解決。”Cole說，“很多時候在恢復(fù)期間，系統(tǒng)可能會意外地重新感染。”

　　最后別忘了，在系統(tǒng)通過了檢驗，確信系統(tǒng)安全之后，還要密切監(jiān)視其運行，以確保攻擊者不會再次入侵。

　　集眾人之力

　　“在發(fā)生系統(tǒng)被攻擊事件后，成立一個應(yīng)急響應(yīng)團隊來對事件進行全面評估至關(guān)重要。”Travelers公司網(wǎng)絡(luò)安全部負責人Tim Francis表示，這個團隊應(yīng)包括IT部門、業(yè)務(wù)部門、人力資源、公共關(guān)系、法律和運營部門等多個部門的相關(guān)人員。

　　Francis說，“IT部門可以擔任總負責人，但要和其他人一起群策群力。比如，你需要一個在安全和隱私法規(guī)遵從方面有經(jīng)驗的律師來協(xié)助你，他會利用其經(jīng)驗來幫助你應(yīng)對各種隱私保護以及數(shù)據(jù)泄露方面的法律問題。”

　　請供應(yīng)商和安全專家協(xié)助

　　很多時候，企業(yè)還需要關(guān)鍵的安全供應(yīng)商和安全咨詢公司的幫助，來確定系統(tǒng)出現(xiàn)漏洞的原因，并確保在黑客有進一步的攻擊之前阻止他們，以避免進一步的損失。

　　在2014年年初，伊利諾伊州技術(shù)研究所的虛擬機 (VM) 被黑客入侵，并被用作向另一所大學發(fā)起DDoS[注](分布式拒絕服務(wù)[注])的跳板。

　　“我們發(fā)現(xiàn)，在VMware平臺中有一個未打補丁的安全漏洞。”該研究所IT和管理研究兼職副教授兼電腦系統(tǒng)管理Louis McHugh介紹說，“這是我們在對系統(tǒng)進行了仔細檢查，并直接與VMware的技術(shù)支持人員進行咨詢后才發(fā)現(xiàn)的。實際上，這是一種簡單的黑客技術(shù)，即利用NTP反射攻擊來放大DDoS，因為我們?nèi)栽谑褂肗TP來保持我們不同服務(wù)器時間的同步。”

　　該研究所沒有按照最佳實踐的要求及時打上安全補丁，其中有一個關(guān)于NTP的漏洞補丁程序當時就錯過了。McHugh說，“后來，我們根據(jù)VMware的推薦在所有服務(wù)器上打上了這個補丁，以確保類似攻擊不再發(fā)生。”

　　另外，McHugh還采取了一系列步驟來改善服務(wù)器的安全性，包括關(guān)閉所有非必需的服務(wù)，無論是Windows還是Linux服務(wù)器都定期堅持打安全補丁，在網(wǎng)絡(luò)邊界路由器上安裝防火墻等，從而強化整個IT環(huán)境的安全。”

　　小心處理法律方面的問題

　　發(fā)生黑客入侵事件之后，IT部門、安全部門和其他高級管理人員應(yīng)該和企業(yè)內(nèi)外部的法律團隊討論事件可能潛在的影響。

　　“律師可以根據(jù)不同地方的要求來幫忙通知所有利益相關(guān)方，此外，還有與供應(yīng)商的合同問題以及信用卡方面的問題需要處理。”律師事務(wù)所Morris Manning & Martin LLP負責數(shù)據(jù)安全的Larry Kunin介紹說。

　　“修復(fù)問題可能需要一段時間，因為要查清黑客如何入侵、找到漏洞所在可能并不總是很容易，而且公司還需要考慮保留所有證據(jù)。”律師事務(wù)所Fox Rothschild隱私和數(shù)據(jù)安全事務(wù)負責人Scott Vernick說。

　　“一旦有任何法律訴訟，他們也可以及時提供幫助。”Vernick 說，公司處理事件的整個過程(包括調(diào)查和修復(fù))必須要小心，確保不會影響證據(jù)的保留。“這包括但并不僅限于克隆服務(wù)器、筆記本電腦和臺式機，復(fù)制文檔，確保你調(diào)查過程使用的是文檔的復(fù)制版，從而盡可能保留原始材料。”他說。

　　法律問題主要圍繞政府部門可能介入調(diào)查，比如可能是在聯(lián)邦或州的層面，并確保根據(jù)相關(guān)法規(guī)規(guī)定通知了各個利益相關(guān)方以及商業(yè)伙伴。

　　據(jù)Vernick介紹(+微信關(guān)注網(wǎng)絡(luò)世界)，有些地方對某些公司發(fā)生黑客入侵事件后需要報告的流程和程序有明確規(guī)定。例如，如果是在醫(yī)療保健領(lǐng)域，健康保險可攜性與責任法案(HIPAA)和健康信息技術(shù)經(jīng)濟及臨床健康法案(HITECH)對此都有嚴格且明確的規(guī)定。

　　“基本原則就是公司盡可能提前準備并且盡可能透明。”Vernick說，“其中有一些是很難做到的，因為對整個事件的了解是一個動態(tài)的過程，隨著調(diào)查的進行和問題的解決，整個事情的原委才逐漸清晰起來。不過，出于對公司利益相關(guān)方，特別是客戶、公司員工以及政府機構(gòu)的尊重，你越透明其結(jié)果往往就越好。”

　　找保險公司申請賠付

　　如果之前在保險公司投有相關(guān)的保險，在出現(xiàn)系統(tǒng)被黑和數(shù)據(jù)泄露事件之后，要盡快通知公司的保險代理人和索賠代表。

　　“公司需要確保IT員工必須收集并記錄與該事件有關(guān)的所有東西，以此作為索賠的依據(jù)。”Francis說，“其中，網(wǎng)絡(luò)安全事件日志經(jīng)常是至關(guān)重要的證據(jù)，用以幫助確認事件發(fā)生的日期、具體時間和事件所涉及的服務(wù)器等。”

　　還要對受影響的數(shù)據(jù)進行分類，以了解是否有可用來識別個人身份的信息被竊取，比如社會安全號碼或醫(yī)療記錄、財務(wù)信息以及其他敏感數(shù)據(jù)。

　　Francis表示，借助這種方法，公司可以把重點放在保護和保障其最敏感的那些數(shù)據(jù)上。另外，除了系統(tǒng)宕機的直接損失之外，還要記錄花在處理這次事件上的時間成本和人力成本。

　　及時對外公開相關(guān)信息

　　與公司員工、客戶、合作伙伴和其他利益相關(guān)方保持聯(lián)系，讓它們了解最新情況，包括本次攻擊何時發(fā)生、會對公司帶來哪些影響以及公司的應(yīng)對之策等，這一點非常重要。相反，沉默可能暗示無能、混亂或變得更糟。

　　“公司可能需要多次評估他們了解的網(wǎng)絡(luò)入侵的危害程度。”佩斯大學貝格計算機科學和信息系統(tǒng)學院系主任和助理教授Darren Hayes說，“像Target公司這樣的情形，可能最終也不確定到底有多少客戶記錄被盜齲正因為如此，絕對不能低估攻擊可能產(chǎn)生的影響，應(yīng)通知所有有必要保持警惕的客戶。”

　　應(yīng)用程序開發(fā)商Evernote就是一個很好的例子，這家公司的IT系統(tǒng)被黑，其及時告知了相關(guān)人有關(guān)風險。“他們要求所有用戶重置其密碼，包括那些沒有受到影響的用戶。” Hayes介紹說，“他們通過各種通信渠道來告知客戶哪些系統(tǒng)被攻破了，什么數(shù)據(jù)可能被盜取，哪些則不用擔心。”

　　Evernote公司還使用情緒分析工具來識別和響應(yīng)客戶通過社交媒體表達出來的擔心。Hayes說，“我們往往認為情緒分析主要用于營銷活動，實際上，在發(fā)生系統(tǒng)被黑之后，它也可以非常有效。”

　　除了有效地溝通，公司還需要考慮黑客攻擊事件對員工和客戶的心理影響，尤其是當涉及到電子郵件或可識別個人身份的信息時。

　　《Technocreep》一書的作者、卡爾加里大學計算機科學與環(huán)境設(shè)計教授Tom Keenan說：“如果公司的系統(tǒng)被未經(jīng)授權(quán)的人進入，就相當于有人未經(jīng)允許進入了他人的私人空間，這會對相關(guān)人的心理帶來很大影響。因為不管正確與否，大多數(shù)人都認為電子郵件是很私人的。”

　　“有必要的話，企業(yè)應(yīng)該找到適當?shù)膶I(yè)人士來幫助人們擺脫因這次被黑事件，特別是私人信息被公布于眾帶來的影響。”Keenan說。