分類: 問答 常識詞典 編輯 : 常識 發(fā)布 : 08-19

閱讀 :390

sony怎么了？近來為何頻頻被黑？2 個答案

答案 1：

最近這段時間，PSN的一次次被-攻擊，把Sony推上了輿論的焦點，在一陣詫異后，大家紛紛猜測，到底是哪里出了問題，不差錢的PSN，會一次次的出問題，是GeoHot的兄弟們太厲害了？還是Sony的網(wǎng)絡安全防護太菜了，現(xiàn)在誰也說不清楚。事情的起因，是一個叫做Anonymous的-團體覺得Sony有點“逼人太甚”，打算讓Sony清醒一下，這個世界到底誰說了算。點燃這幫-怒點的是，Sony把-PS3的著名-GeoHot告到傾家蕩產(chǎn)逃到南美洲還不罷休，更要“逼”GeoHot寫下永不再犯的保證書，徹底不給GeoHot留面子。于是在4月初，這幫人開始發(fā)動攻擊，先通過洪水攻擊在全世界范圍內(nèi)將PSN的安全防范體系打亂，之后趁機進行滲透攻擊，一共獲得了近1億筆個人信息以及1000萬個-帳戶。很明顯這伙人的攻擊是有策略層次的，并且有團隊配合，打法有點像游擊戰(zhàn)。這場由DDoS引發(fā)的血案，給Sony帶來了巨大的經(jīng)濟損失和負面影響的同時，也給我們做安全的提供了很多看點?？袋c1：Prolexic 抗DDoS云服務從NetCraft的數(shù)據(jù)分析，在4月初，PSN被攻擊后，4月9日，北美的PSN網(wǎng)絡切換了新的-地址，網(wǎng)絡運營商也從SCE變換為Prolexic。（見以下鏈接）uptime.netcraft.co.uk/up/grap-...Prolexic是何方神圣？通過搜索，我們發(fā)現(xiàn)該公司是一家總部位于佛羅里達好萊塢的信息安全服務公司，專門從事抗DDoS服務，客戶包括世界排名最前的幾家大銀行和政府機構。由此分析，第一波攻擊是一種特別的DDoS攻擊，以至于通過PCI-DSS認證的PSN安全系統(tǒng)完全無法抵抗，這時候Sony沒有選擇自己重新部署來解決問題，他們選擇了這個時代最In的選擇，Security as a Service，安全云服務。贊一個。更亮的亮點是，Prolexic選擇了Netscaler作為最前線的交付-，直接作為對抗DDoS的最前沿攔截壩。（向所有購買Netscaler的用戶致敬，你們的選擇是明智的。）經(jīng)過此次事件后，相信會有更多的公司會將網(wǎng)絡安全，特別是最前線的-攻擊防御外包出去給專業(yè)公司，通過云安全服務來解決此類問題是可信并且經(jīng)濟的。看點2：1億個帳號1000萬個-外泄，0個被盜事件發(fā)生-接連攻破PSN的Apac-e服務器，黑進數(shù)據(jù)庫，盜走了1億個用戶帳號和1000萬個-信息，但是萬幸的是，雖然Sony沒有在網(wǎng)絡和應用上對數(shù)據(jù)進行必要的安全防護，但至少在數(shù)據(jù)存放上進行了必要的加密和分離存儲，被盜數(shù)據(jù)是主要是用戶密碼的哈希值和加密后的-數(shù)據(jù)，其本身不能直接引發(fā)帳戶和-盜用事件，這保證了在-信息被盜1個月后，也沒有爆出PSN用戶-被盜用的情況。Sony應該給提供數(shù)據(jù)加密的廠家送一面錦旗，感謝這最后一道防線至今還沒有被-。加密太重要了，無論是經(jīng)過網(wǎng)絡邊界時由DLP系統(tǒng)觸發(fā)的加密還是在數(shù)據(jù)存儲時進行的文件級加密，甚至是最簡單的全磁盤加密，都可以在最關鍵的時刻救你一命。如果沒有加密，Sony丟失的這1000萬個-帳號落入-手里，足夠發(fā)動一場針對美國的經(jīng)濟戰(zhàn)爭了。如果你實在沒有更多的預算加強網(wǎng)絡安全防護，那么就把錢花在數(shù)據(jù)加密上吧，這是最后一道防線。事實證明管用！看點3：為什么要有最初的一場DDoS攻擊，干嗎不直搗黃龍？4月初的DDoS危機發(fā)生后，Sony只是把焦點集中在抗DDoS，哪知道這只是-們的佯攻，我們猜測-使用了AET高級逃逸技術，由于該技術進行逃逸的方式是2的N次方，并且需要進行大量的嗅探式踩點，以確定后端的系統(tǒng)漏洞點，所以-制造了一場DDoS來作為背景-，以掩蓋AET的嗅探式踩點攻擊，但是顯然Sony最初只是把這次攻擊當作一場特殊但是又平常的DDoS事件處理，并沒有對風險進行徹底全面的評估，對數(shù)據(jù)安全更是缺乏認識，直接導致了既便在4月9日就引進了專業(yè)的安全廠家Prolexic，但是還是未能阻止之后的用戶數(shù)據(jù)外泄事件。隨著AET技術不斷被-集團熟練使用，未來會有更多的以DDoS為背景-進行的AET踩點行動，你的-S要換代了?？袋c4：PSN下線近1個月，他們到底在忙什么？下線一個月，直接經(jīng)濟損失不說，Sony的面子怎么掛得住。為什么需要那么長時間恢復服務？沒有建設SoC，定位問題并且進行修補的方式和策略沒有系統(tǒng)，Sony系統(tǒng)內(nèi)的日常安全維護工作欠賬太多，是造成PSN下線1個月時間的主要原因。蒼蠅不叮無縫的蛋，修補好漏洞，再犀利的攻擊也沒法子發(fā)作。亡羊補牢，之后亡牛補牢，再之后亡人補牢，不能再亡了，重新建個牢吧？Sony能停一個月，說明Sony對安全對用戶的負責態(tài)度。但是1個月時間真得有點太長了，而且Sony肯定不會允許再有下一次了。系統(tǒng)地修補系統(tǒng)漏洞是需要一套完整的-IT管理系統(tǒng)來維持的。ISO27001的標準的執(zhí)行需要一個很長的過程，平時的欠賬在關鍵時刻都是要還的。看點5：Sony為什么沒有設CSO的職位？不只是Sony沒有設，太多的大公司都還沒有CSO這個職位，特別是我們國內(nèi)的企業(yè)，對于信息系統(tǒng)的安全重要性認識非常不足，在CIA這樣的大是大非問提上，對安全的認識還只是停留在維持可用性的高度，對于數(shù)據(jù)安全的認識很不充分。沒有高層配合，很多安全項目執(zhí)行的質量真得無法保證，不僅存在著Sony這樣的風險，很多甚至更加嚴重。我們在安全上花錢是一回事，在安全上花好錢是另外一回事，怎么樣才能花好錢，花到位，就需要有專門的人來花！如果PSN事件促使有更多的國內(nèi)企業(yè)設CSO這個職位，這未嘗不是壞事變好事。最后，聯(lián)想到最近故宮4層防護系統(tǒng)，敗在一個-手里，心防在這次PSN事件中肯定也有很大的關系，現(xiàn)在很多管理員為了避免誤殺誤報在策略的設定上都偏向保守，造成了很多“海綿內(nèi)的水分沒有擠干”，留下很多漏洞，這些還需要進一步的工作。關于Sony PSNPSN指的是PlayStation Store，即PlayStation網(wǎng)絡商店。PlayStation Store是PSN內(nèi)一個下載中心，提供PS3/PSP游戲宣傳及展示片段、PS3游戲試玩版、收費的下載專用PS3游戲、PS游戲(下載至PSP及 PS3內(nèi)游玩)、電視及音樂宣傳片等下載服務。收費的項目需要使用“電子錢包”來付款，為“電子錢包”充值的方法包括利用-或購買 PlayStation Network Card。Sony于2006年6月15日的“PlayStation Business Conference”中首度公布PSN。

答案 2：

其實該事件簡而言之就一句話，做人不可學sony，給人一條路，也是給自己一條路。囧

下一篇:經(jīng)濟 Geek 們，你們怎么看建立中國東盟自由貿(mào)易區(qū)的利弊以及影響？ 下一篇 【方向鍵 ( → )下一篇】

上一篇: Windows 的日期/時間功能沒有農(nóng)歷？ 上一篇 【方向鍵 ( ← )上一篇】