每季度，我總是撥部分預(yù)算給安全評(píng)估，這是預(yù)算中至關(guān)重要的一環(huán)。我的安全評(píng)估重點(diǎn)常為主體設(shè)施，關(guān)鍵應(yīng)用評(píng)估，或是公司產(chǎn)品的機(jī)能滲透測(cè)試。而本季度，我決定雇傭一名電腦黑客。

故障通知單一家專(zhuān)營(yíng)滲透測(cè)試的咨詢(xún)公司發(fā)現(xiàn)了不少漏洞。應(yīng)對(duì)方案就是修補(bǔ)漏洞，并重新編寫(xiě)程序，然后查明為何安全團(tuán)隊(duì)中無(wú)人發(fā)現(xiàn)可疑的威脅進(jìn)程。

大體上而言，我認(rèn)為公司已經(jīng)固若金湯，然而我亦明白，我們的基礎(chǔ)架構(gòu)仍不是100%的安全。內(nèi)部系統(tǒng)評(píng)估是找出漏洞的唯一方法，或者，還有一種更好的方法：雇一位黑客來(lái)為公司進(jìn)行評(píng)估，抑或是至少雇傭一家專(zhuān)營(yíng)滲透測(cè)試的咨詢(xún)公司來(lái)評(píng)估。

我的設(shè)想中，通過(guò)第三方的客觀評(píng)估，我們得到的信息更為全面。對(duì)于所雇傭的顧問(wèn)，我只提一項(xiàng)要求：禁止攻擊阻斷式服務(wù)。雇傭其他的公司，我就能進(jìn)行秘密測(cè)試，測(cè)試安全團(tuán)隊(duì)對(duì)可疑進(jìn)程的敏感程度；IT部門(mén)內(nèi)，只有極少數(shù)可信之人了解內(nèi)幕。這樣做還有一大好處，我們能及時(shí)發(fā)現(xiàn)漏洞，明確如何改良數(shù)據(jù)外泄防護(hù)方案，安全事件，甚至是為我們提供保護(hù)的事件管理系統(tǒng)。

對(duì)于那些顧問(wèn)，除了一張待評(píng)估關(guān)鍵件應(yīng)用列表，我不提供多余詳細(xì)信息。我需要他們像一名黑客，或一個(gè)組織那樣，有目的性地攻擊公司漏洞。

2周后，我收到了報(bào)告，此次報(bào)告最大的發(fā)現(xiàn)，是揪出了一個(gè)外部DNS（域名系統(tǒng)）服務(wù)器，該服務(wù)器提供公司內(nèi)部地址空間的鏈接。此外，這個(gè)DNS服務(wù)器經(jīng)過(guò)配置，允許任何人轉(zhuǎn)載公司包括內(nèi)部基礎(chǔ)架構(gòu)圖，以及命名約定在內(nèi)的機(jī)密信息。一名黑客能夠通過(guò)這些信息，找到公司的內(nèi)網(wǎng)，攻擊重要目標(biāo)。

還有一個(gè)問(wèn)題浮出水面：通過(guò)一些漏洞，公司的基礎(chǔ)架構(gòu)有被越權(quán)存取的可能。在一項(xiàng)網(wǎng)絡(luò)應(yīng)用中，一位顧問(wèn)發(fā)現(xiàn)了一處SQL資料隱碼漏洞，黑客能夠使用SQL語(yǔ)言詢(xún)問(wèn)，獲得密碼，破壞公司應(yīng)用服務(wù)器上的系統(tǒng)賬戶(hù)。密碼的破譯僅僅需要6秒的時(shí)間。

密碼能用于登陸Microsoft Outlook 網(wǎng)絡(luò)訪問(wèn)，之后，黑客/顧問(wèn)就能夠使用應(yīng)用服務(wù)賬戶(hù)注冊(cè)。出于安全考慮，服務(wù)賬戶(hù)最好別捆綁郵箱地址。

無(wú)論如何，顧問(wèn)能夠獲取整個(gè)公司的名冊(cè)，找出在郵件收發(fā)室的員工。取得該員工包括家庭住址，電話(huà)號(hào)碼，個(gè)人郵箱地址在內(nèi)的大量的信息，就如同他在網(wǎng)上所做的那樣。然后，他偽裝成該員工，向幫助臺(tái)求助（顧問(wèn)能從公司官網(wǎng)找到幫助臺(tái)的電話(huà)號(hào)碼）。幫助臺(tái)的技術(shù)人員幾乎不驗(yàn)證“用戶(hù)”身份，他們只會(huì)詢(xún)問(wèn)“用戶(hù)”的辦公室分機(jī)號(hào)。顧問(wèn)報(bào)上號(hào)碼后，技術(shù)人員毫不猶豫地重置“用戶(hù)”郵箱密碼，并提供一個(gè)臨時(shí)雙重認(rèn)證密碼，顧問(wèn)能憑其登陸員工VPN（虛擬私人網(wǎng)絡(luò)）。至此，黑客成功進(jìn)入公司內(nèi)網(wǎng)，接觸所有公司應(yīng)用。

如你所想，我有一堆任務(wù)要完成。我們需要制定新幫助臺(tái)流程，以進(jìn)行員工驗(yàn)證，我們還需要重新配置DNS服務(wù)器，修補(bǔ)SQL資料隱碼漏洞，合并Microsoft Outlook網(wǎng)絡(luò)訪問(wèn)的雙重身份認(rèn)證，以及查驗(yàn)服務(wù)賬戶(hù)。最后，我還需要查明一點(diǎn)：顧問(wèn)/黑客的那些作為，為何我的安全團(tuán)隊(duì)沒(méi)有一人發(fā)現(xiàn)？