網(wǎng)絡(luò)安全：行將淪陷的特洛伊

馮　艷

網(wǎng)絡(luò)的誕生，一如火藥的發(fā)明，初衷無害，卻在人貪欲的驅(qū)策下，一天天淪為惡者的幫兇。時至今日，它只走了不到四十個春秋，卻已毒入膏盲，淪為騙子行騙和小偷盜竊的新天堂。病毒軟件：道高一尺，魔高一丈

盡管計算機(jī)安全產(chǎn)業(yè)不懈地努力，malware(惡意的軟件)還是比任何時候都更瘋狂地蔓延。僅2008年一年，其數(shù)量就翻了三番，比過去21年內(nèi)累積的總和還增加了200％。

malware會在暗中占領(lǐng)一臺PC，然后利用它以幾何級數(shù)向其他電腦傳播更多的malware。2008年10月，位于馬薩諸塞州貝德福的一家安全咨詢團(tuán)體——RSA欺詐行為研究實(shí)驗(yàn)室——發(fā)現(xiàn)50萬信用卡號碼和銀行賬戶登陸信息已被一個所謂的超自然計算機(jī)偷竊，該計算機(jī)由一個網(wǎng)上幫派遠(yuǎn)程控制。同月，GeorgiaTech信息安全中心的研究員稱，全世界遭到botnets(通過互聯(lián)網(wǎng)發(fā)送垃圾信件或干擾以互聯(lián)網(wǎng)為基礎(chǔ)的服務(wù)的網(wǎng)絡(luò)，也稱僵尸網(wǎng)絡(luò))感染的聯(lián)網(wǎng)計算機(jī)可能將于2008年底增至25％，而2007年只有10％。這意味著多達(dá)1000萬臺電腦將有可能遭到感染，被犯罪分子用于通過互聯(lián)網(wǎng)發(fā)送垃圾信件和計算機(jī)病毒。

電腦科學(xué)家和安全研究人員承認(rèn)，他們無法與這些襲擊抗衡。

越來越狡猾的病毒

迄今為止，人們對抗病毒的努力幾乎是杯水車薪，因?yàn)樯⒉ビ嬎銠C(jī)病毒的botnets和蟲子一樣，可以從一臺電腦爬向另一臺電腦，商業(yè)殺毒軟件目前還無法識別它們。2008年11月，硅谷電腦安全公司FireEye的首席科學(xué)家Stuart Staniford指出，在36個商業(yè)殺毒產(chǎn)品測試?yán)?，只有少于一半的最新病毒程序被發(fā)現(xiàn)。

而幫派分子們?nèi)栽谧巫尾痪氲馗牧计洳《尽，F(xiàn)在，他們已寫出用于搜尋個人電腦里某種特定信息的程序。一些病毒會利用操作系統(tǒng)尋找用戶近期生產(chǎn)的文件，推定它們更具價值。而另外一些會定期監(jiān)測和偷盜登陸及密碼信息，特別是客戶的金融信息。

這些程序的復(fù)雜性在過去兩年內(nèi)已賦予它們以假亂真的能力。比如，病毒程序一旦感染了一臺電腦，就會定期使用其自身殺毒功能，不僅令殺毒軟件失效，還清除與其競爭的病毒程序。最近，微軟反病毒研究員破解了一個感染程序，他們驚異地發(fā)現(xiàn)，當(dāng)它攻占用戶的電腦后，它會定期打開Windows的升級功能，保證其自身不受其他犯罪者的侵襲。

但最大的問題是人們不知道自己的計算機(jī)是否被感染了。因?yàn)椴《境３窝b自己，逃脫殺毒軟件的視線。眼下，蘋果的Macintosh計算機(jī)或多或少能幸免于這些侵襲，但研究人員認(rèn)為，隨著市場分額逐日增大，蘋果電腦會成為更大的目標(biāo)。

感染驅(qū)動的時代

盡管新技術(shù)阻遏了一些病毒的侵襲，一些計算機(jī)安全專家表示，眼下水深火熱的經(jīng)濟(jì)低谷有可能會導(dǎo)致計算機(jī)安全成為第一個被削減預(yù)算的項目，這是因?yàn)槠溆行院茈y得到印證。而網(wǎng)絡(luò)罪犯卻至少和尖端的大軟件公司一樣技術(shù)先進(jìn)，也更快，更靈活。當(dāng)軟件公司加緊提高基本操作系統(tǒng)如Windows和Macintosh的安全性時，進(jìn)犯者已轉(zhuǎn)移到網(wǎng)絡(luò)瀏覽器和程序上，如Adobe Flash和Apple QuickTime。由于資源有限，安全人員無力重新設(shè)計架構(gòu)，只能力求解決現(xiàn)存問題，這就造成了好人被壞人牽著鼻子走的窘?jīng)r，也即所謂的“感染驅(qū)動”的時代。

警惕：社交網(wǎng)絡(luò)中那個自稱是你朋友的人

如果說病毒是人們難以抵御的災(zāi)難的話，那么很多網(wǎng)絡(luò)詐騙似乎該是可以避免的了，因?yàn)樗鼈兊男纬纱蠖夹枰獌蓚€不可或缺的要件：騙子施騙，以及受害人上當(dāng)受騙。既然此類犯罪的要素之一是人們自身的行為，那么是不是就可以輕易避免受害了呢?

最近，澳大利亞公民Karina Wells在社交網(wǎng)站碰到一個酷似尼日利亞詐騙犯的家伙。此人在Facebook上發(fā)給她一條信息，自稱是她現(xiàn)實(shí)生活中的朋友Adrian，被困在尼日利亞拉格斯，附近找不到電話。他請求Wells匯來500美金，好讓他買機(jī)票回家。

Wells當(dāng)然不肯買他的帳。她向澳大利亞當(dāng)局和Facebook發(fā)出警報。兩者現(xiàn)在都在調(diào)查中。盡管細(xì)節(jié)還需證實(shí)，F(xiàn)acebook官方已經(jīng)認(rèn)定，有人誘使Adrian在一個虛假網(wǎng)址上輸入其在Facebook上的密碼，從而獲取了他的登陸信息。

Wells挫敗了這個明顯的騙局，但官方和安全專家警告，由于數(shù)百萬人每天在社交網(wǎng)絡(luò)中互動，人們常在越來越廣闊的朋友圈內(nèi)分享詳細(xì)個人信息，這將導(dǎo)致類似的網(wǎng)絡(luò)詐騙越來越常見?！澳J(rèn)的信任”

FBI和國家白領(lǐng)犯罪中心指出，雖然e-mail仍是詐騙高手接觸潛在受害人的最常見網(wǎng)上手段，騙子們已日益轉(zhuǎn)向包含社交網(wǎng)絡(luò)的網(wǎng)頁。他們還指出，美國人2007年在互聯(lián)網(wǎng)犯罪中被卷走的金額總數(shù)增加了21％，達(dá)到空前的2億4千萬美元。在此類案件中，通過網(wǎng)頁被鎖定的受害人占32.7％，而2005年僅有16.5％。官方表示，社交網(wǎng)絡(luò)要對這一增長負(fù)局部責(zé)任。因?yàn)樵谶@些網(wǎng)頁上，存在著一種默認(rèn)的信任，人們感覺不到人身威脅。FBI網(wǎng)絡(luò)調(diào)查部門副主任Shawn Henry指出，很多罪犯如今轉(zhuǎn)向了計算機(jī)網(wǎng)絡(luò)，因?yàn)槟抢锸鞘芎θ嗽萍?，也即機(jī)會之所在。

安全專家也被騙

最近，一對網(wǎng)絡(luò)安全顧問做了一個試驗(yàn)，證明在Linkedln上偽裝成另一個人是如何輕而易舉。他們從他們的朋友Marcus Ranum那里得到允許，在以專家為目標(biāo)讀者的網(wǎng)站上建立了一個關(guān)于他的虛假資料網(wǎng)頁。MarcusRanum是為白宮官方網(wǎng)站建立第一個e-mail服務(wù)器的顧問，并因此聞名。這兩個安全顧問就使用他的名字，簡歷，照片(所有照片皆來自網(wǎng)絡(luò)，無需任何幫助)。然后他們試圖聯(lián)系大公司主要信息官員，安全交易雜志的主編，防御產(chǎn)業(yè)專家，以及其他現(xiàn)實(shí)生活中Ranum可能知道的人。

盡管這些人都專長于網(wǎng)絡(luò)安全，卻大都接受了這個請求。一旦假Ranum和這個產(chǎn)業(yè)有了切實(shí)的聯(lián)結(jié)，他對下一個目標(biāo)就顯得更可信了。這一實(shí)驗(yàn)表明，社交網(wǎng)站的用戶對一個朋友身份信息的期待少之又少。一個名字，一張照片，一些關(guān)于他們真實(shí)生活的了解就足矣了。

2008年網(wǎng)絡(luò)詐騙手段排名

除冒充別人行騙外，還有數(shù)不勝數(shù)的其它門類的網(wǎng)絡(luò)詐騙。美國消費(fèi)者詐騙舉報協(xié)會融合美國互聯(lián)網(wǎng)犯罪舉報中心及自身追蹤系統(tǒng)提供的數(shù)據(jù)，發(fā)布了2008年網(wǎng)絡(luò)詐騙統(tǒng)計。根據(jù)此項統(tǒng)計，排名前八的現(xiàn)行詐騙手段如下：

樂透中獎騙局：受害人會被告知他們已進(jìn)入一個抽獎程序，之后他們會收到祝賀電話，恭喜其中獎。但在領(lǐng)獎前，他們必須繳納管理費(fèi)和稅款。這里

的獎品當(dāng)然是子虛烏有。任何真正的樂透也都不會在中獎人領(lǐng)取錢款之前，先要求其交錢。

互聯(lián)網(wǎng)拍賣詐騙：通常被稱為Ebay或PayPal詐騙。在此類詐騙中，或者拍賣貨品是假的，或者拍賣人收了錢而不發(fā)貨。

尼日利亞預(yù)付款詐騙：詐騙人通過信件，e-mail或傳真，提出和受害人分享巨額款項，前提是要用后者的銀行賬戶向國外轉(zhuǎn)賬。罪犯常常會使用這些銀行賬戶詳細(xì)信息提走受害人名下的存款。

身份盜竊：受害人會收到一個看似真實(shí)可信的銀行或信用卡公司的email，其中包含一個網(wǎng)頁的鏈接，要求受害人更新賬戶信息。但這些網(wǎng)頁和email都是假的，目的只是在騙取帳戶信息，然后偷竊。

致富騙局：此類詐騙會許諾你一旦收到他們的免費(fèi)書籍或CD，就能了解他們致富的秘密。這些網(wǎng)頁本身就是詐騙，其產(chǎn)品更是毫無價值。他們根本沒什么秘密可言，更糟的是，他們中很多人是身份盜竊犯。

假支票：你從email里收到一張支票，看起來是真的，但當(dāng)你試圖去取錢時，你會發(fā)現(xiàn)它是假的。你會因此而被捕!

免費(fèi)信用卡報告：該網(wǎng)頁的名字是“免費(fèi)信用卡報告.com”，但你只在申請其有償服務(wù)時才會收到一份報告。這是多么公然的欺詐!

在家中工作：當(dāng)你申請了這類工作后，你將被要求付材料費(fèi)，錢一到手，對方就會人間蒸發(fā)。

套用一句耳熟能詳?shù)膹V告詞，正所謂：網(wǎng)絡(luò)詐騙，種類繁多，總有一款適合您!

網(wǎng)絡(luò)安全保衛(wèi)戰(zhàn)：路漫漫其修遠(yuǎn)

美國政府已意識到問題的嚴(yán)重性。2008年1月，布什總統(tǒng)簽署了國家安全總統(tǒng)指示54號文件，建立了一個國家網(wǎng)絡(luò)安全創(chuàng)制權(quán)。這一計劃預(yù)計將在未來七年內(nèi)花費(fèi)3百億美元，旨在保護(hù)聯(lián)邦政府電腦及運(yùn)營國家重要架構(gòu)的系統(tǒng)，如石油和天然氣網(wǎng)絡(luò)以及電力和水系統(tǒng)。

目前正在參議院接受討論的2008互聯(lián)網(wǎng)犯罪預(yù)防法案(InternetCrime Prevention Act of 2008)提出了互聯(lián)網(wǎng)犯罪預(yù)防教育計劃，旨在教育家長，孩子，教育工作者及公眾如何識別和防范潛在的網(wǎng)絡(luò)犯罪活動。筆者認(rèn)為，在互聯(lián)網(wǎng)犯罪愈演愈烈的今天，這類法律在全世界各國都勢在必行。因?yàn)?，很顯然地，這將是一場世界范圍內(nèi)曠日持久，也許永無盡頭的戰(zhàn)役。和現(xiàn)實(shí)世界一樣，哪里有利可圖，哪里就會有犯罪。隨著網(wǎng)絡(luò)一日千里地滲透到人們生活的方方面面，特別是經(jīng)濟(jì)領(lǐng)域，其中的“利”會越來越耀眼，照出虛擬世界里的犯罪更加猙獰而真實(shí)的存在。和現(xiàn)實(shí)世界中的犯罪相比，也許網(wǎng)絡(luò)世界里的犯罪更容易，更安全，成本也更低廉。同時，有關(guān)網(wǎng)絡(luò)犯罪的法律還在創(chuàng)立和完善階段，這就為罪犯成為漏網(wǎng)之魚提供了條件。既然如此，一個詐騙犯何必不在網(wǎng)絡(luò)里詐騙呢?也許正像.com公司的興起，這是一個新興的犯罪領(lǐng)域，其中蘊(yùn)藏著無限“商機(jī)”。所以，這不會是一場容易的仗。誰也無法預(yù)測它將如何演變。形勢也許會得到控制，也許會更糟。重要的是，人們必須要意識到問題的嚴(yán)重性，在網(wǎng)絡(luò)犯罪肆虐到不可收拾前，同心協(xié)力去打這場保衛(wèi)戰(zhàn)，讓網(wǎng)絡(luò)時代的孩子們從小就形成網(wǎng)絡(luò)安全意識，讓每一個普通人都把網(wǎng)絡(luò)當(dāng)作現(xiàn)實(shí)世界的延伸，以及不法分子犯罪舞臺的延伸，充分提高警惕，這樣，才會將犯罪分子的破壞性降到最低，也才能維持住已成為21世紀(jì)商業(yè)基礎(chǔ)的電子商務(wù)。

除了加強(qiáng)立法，美國還采取了一系列其他防治措施：

強(qiáng)制報案制度：這一制度在一些國家和地區(qū)已經(jīng)興起。比如，美國佐治亞州和猶他州在立法中規(guī)定，知道計算機(jī)犯罪事件的人、企業(yè)或者單位有向有關(guān)當(dāng)局舉報的義務(wù)。佐治亞州還規(guī)定，如果報告者出于真誠，將免于承擔(dān)任何因進(jìn)行報告而導(dǎo)致的民事責(zé)任。

成立互聯(lián)網(wǎng)欺詐投訴中心：為打擊計算機(jī)和互聯(lián)網(wǎng)犯罪，美國各種專門機(jī)構(gòu)如雨后春筍，紛紛涌現(xiàn)。2000年5月8日，美國政府成立了“互聯(lián)網(wǎng)欺詐投訴中心(the Internet Fraud Complaint Center，IFCC)”，作為聯(lián)邦調(diào)查局的分支，專門負(fù)責(zé)調(diào)查和打擊日益猖獗的網(wǎng)上欺詐行為，消費(fèi)者可以隨時通過該中心的網(wǎng)站(www.ifccfbi.gov)進(jìn)行投訴。這是世界上第一個專門針對網(wǎng)絡(luò)欺詐的政府機(jī)構(gòu)。通過設(shè)立這樣一個專門受理網(wǎng)絡(luò)欺詐的政府機(jī)構(gòu)，那些懷疑受到電子商務(wù)欺詐侵害的消費(fèi)者可以迅速有效地與執(zhí)法部門分享有關(guān)信息。美國互聯(lián)網(wǎng)欺詐投訴中心在成立之初就配備了12名聯(lián)邦調(diào)查局特工和15名來自全國白領(lǐng)犯罪調(diào)查中心的人員，在全國范圍內(nèi)履行執(zhí)法任務(wù)。

此外，美國司法機(jī)關(guān)于1991年就成立了國家網(wǎng)絡(luò)犯罪訓(xùn)練合作社，訓(xùn)練地方，州及聯(lián)邦法律執(zhí)行機(jī)關(guān)識別和打擊網(wǎng)絡(luò)犯罪。網(wǎng)絡(luò)欺詐罪犯可被判為重罪，面臨高達(dá)25萬美金的罰款和長達(dá)20年的牢獄生涯。

裝備專業(yè)技術(shù)警察：目前，大多數(shù)國家都裝備了專業(yè)計算機(jī)技術(shù)警察。美國的“C-37”就是偵查計算機(jī)犯罪行為的行動小組。他們的裝備不僅有手槍等武器，還配備了便攜式計算機(jī)，其任務(wù)是追蹤計算機(jī)系統(tǒng)和網(wǎng)絡(luò)空間的犯罪分子。

面對鋪天蓋地的網(wǎng)絡(luò)犯罪，來自政府的努力顯然遠(yuǎn)遠(yuǎn)不夠，網(wǎng)絡(luò)安全更需全體網(wǎng)民的努力，所謂匹夫有責(zé)。安全專家摩耶認(rèn)為，各個網(wǎng)站都應(yīng)采取用戶的認(rèn)證措施。他建議新用戶的檔案資料都建立日期顯示，以打擊那些每天都開設(shè)很多新帳戶的詐騙犯。另外，網(wǎng)站應(yīng)發(fā)展某種友情提醒系統(tǒng)，讓用戶舉報他人的可疑行為。最好的預(yù)防措施仍然是教育網(wǎng)民當(dāng)心網(wǎng)上的人?；蛘邔σX或銀行賬戶信息的要求留個心眼兒。

一言以蔽之，面對日益兇險的網(wǎng)絡(luò)犯罪，每個人都要在戰(zhàn)爭中學(xué)習(xí)戰(zhàn)爭，并且牢記：勝利不會向我們走來，我們必須自己走向勝利。