像黑客一樣去思考

聶奧

在網絡安全領域，安全管理者和研究人員一直致力于發現和識別可能的攻擊對手，以及他們的攻擊思路和策略。然而，在強調邊界防護的傳統安全建設模式中，防護者深入了解黑客思維的能力會受到很多制約和限制。

為了解攻擊者如何思考，國際安全培訓與研究機構SANS近日發布了《2022年道德黑客調查報告》，報告認為，盡管組織已經投資各種安全技術，以緩解各種類型的網絡安全威脅，但攻擊者仍然能夠找到選擇阻力最小或最熟悉的路徑，原因在于很多安全團隊對于黑客如何攻擊組織的信息化系統始終存在誤解。他們往往過度關注漏洞管理，并急于盡快修補常見漏洞和暴露（CVE），然而事實上，這并不能顯著降低風險，因為他們與黑客的實際行為并不一致。

在商業化社會里，非法黑客團伙的運營也像一個企業組織，旨在尋求資源最小化和回報最大化。他們通常希望盡可能少地付出努力來獲取最大的收益，因此，現代黑客攻擊活動通常遵循一定的行動路徑，黑客通常不會僅僅為了利用某個漏洞或某種策略而接近組織。相反，他們會通過廣泛地發現和枚舉過程，檢查組織是否存在薄弱的安全防護指標，如果沒有發現有價值的元素，那么組織被攻擊的可能性就會大大降低。這就是組織應該從黑客的角度而非他們自己的角度來評估企業安全的原因所在。

了解黑客的思維模式和動機

Nash Squared全球CISO Jim Tiller認為，如果現代企業的CISO們不能像黑客那樣思考，就無法采取真正適合企業所處環境的網絡安全防護行動。而要像黑客一樣思考，就意味著要全面考慮他們到底想要什么———所有這些都可能因人而異，往往會比假設的更廣泛。

企業應該將這種洞察力不斷積累完善，并進一步塑造成構建縱深防御的戰略性方向，并以此創建一個真正由威脅驅動的安全戰略。了解黑客為什么要攻擊組織，以及為什么要攻擊您所在的組織同樣至關重要，您只是勒索軟件的攻擊目標嗎？您是否還有大量的機密信息可用于暗網出售牟利呢？這就涉及到犯罪的動機和心態問題，安全領導者必須利用這些來完善組織的安全策略。

尚普蘭學院副教授Adam Goldstein認為，組織安全建設的目標是專注于識別對手或敵對性團體，并確定他們的意圖。它是破壞性的嗎？是出于經濟動機還是知識產權盜竊？是否還為其他目標獲取資源？他們已經有明確目的還是在尋找機會？要了解所有不同的對手以及他們的意圖，這樣才可以幫助組織識別不同類型的風險。

這樣的調查很重要，因為它經常會顛覆一些錯誤的假設，有時還會讓企業管理層發現，他們對黑客的吸引力比自己想象得還要大，但目前許多企業安全部門仍未把黑客視角納入他們的戰略和防御體系。一些組織開展滲透測試只是為了合規目的，卻并未評估他們可能淪為攻擊目標的原因。

如何操作和利用黑客思維

從攻擊者的角度思考可以更快速地了解企業在網絡防御方面的不足。安全紅隊的工作本質上是扮演攻擊性黑客的角色，梳理企業的IT資產、尋找漏洞和攻擊路徑，以便更好地修復或應對風險。安全紅隊所具備的攻擊技能組合對企業來說很寶貴。其作用不僅僅在于發現安全問題，對系統開發人員深入了解計算機系統也會大有幫助。安全紅隊還可以為企業發揮更多的價值，比如滲透測試服務。

安全紅隊可以用實戰化的演練方式，以任何方式嘗試對企業應用系統的攻擊，包括對員工進行真正的網絡釣魚攻擊，以觀察企業的訪問控制策略是否符合要求，是否實施有效的多因素身份驗證產品。他們通常會直接向公司管理層匯報，公司其他人甚至不知道他們的存在或具體行動計劃。通過了解為企業效力的“壞人”的想法，有助于防止一些難堪的網絡安全事件影響企業及其客戶。

不過毫不奇怪的是，企業在培養像黑客一樣思考的能力和組織攻防演習方面會面臨很多挑戰。安全領導者必須為各種安全任務投入資源，而這些資源中最寶貴的就是人。此外，CISO可能會發現很難為這些活動獲得資金，因為很難證明它們的價值，而且支持這些模擬演練活動往往也并不便宜。

安全團隊可能還會發現，將他們自己的技能從防御轉移到攻擊同樣會具有很大的挑戰性，因為本質上，這是一種犯罪心態。而且白帽黑客們可能也無法完全體會到黑帽黑客的低調行事意愿與犯罪動機。

盡管如此，訓練藍隊的紅隊技能還是非常不錯的，企業也需要通過越來越多的資源投入來幫助他們實現這種轉變。這些資源包括NIST框架、MITRE Engage、MITRE ATT&CK知識庫等。此外，還有來自服務商、開源社區以及學術機構的威脅情報信息等。