網路戰爭時代 雲計算成駭客槍手新武器

近日《紐約時報》一篇專題報導，伊朗政府利用雲計算，針對美國金融機構實施了大規模的網路攻擊。 以往媒體頻繁報導的的網路攻擊(cyberattack )均為由Anonymous和LulzSec等駭客組織發動，但此次則是國家之間的「網路戰爭(cyberwar)」，由此，雲計算時代顯現出新的問題。

針對銀行莫名其妙的網路攻擊

上述《紐約時報》的新聞報導，2012年頻發的針對美國銀行(Bank of America)、花旗銀行(Citigroup)以及美國富國銀行(Welles Fargo)網路攻擊，介紹了一些安全專家的分析和看法。 報導指出，這些攻擊與傳統的方式有不同之處，並透露一些專家的意見，即伊朗政府參與其中。

關鍵是這些攻擊目標並不是個別的電腦，而是資料中心中的電腦(伺服器)網路。 與此同時，雖然攻擊目標是銀行機構但並沒有金錢損失，而且沒有跡象顯示顧客資訊洩漏。 設在華盛頓的戰略及國際問題研究中心的電腦專家James A. Lewis說：「美國政府懷疑伊朗政府與這些攻擊有關聯。 」Lewis曾就職于商務部。

報導指出，目前，存在Amazon Web Services(AWS)和谷歌等無數的雲計算服務，這些駭客通過運程劫持了其中的一些雲計算服務，利用雲計算龐大的資源，發起了針對銀行網站的分散式阻斷服務DDoS( Distributed Denial of Service)攻擊。

利用雲計算的網路攻擊

調查攻擊事件的雲計算供應商Radware的專家發現，用於攻擊的大量資料來自分佈于世界各地的資料中心和網路託管服務，並已經感染了一種隱蔽性極強且具有重複感染能力的名為「兄弟沒有問題(Itsoknoproblembro)」 的惡性軟體，其發送的資訊流量最高達到70G。 但是，Radware公司並沒有公開受到感染的雲計算供應商。

此外，這些攻擊另一個特點是使用了提高攻擊效率的手法，即通過向銀行網站輸送大量加密(Encryption)請求，以此減慢網站速度或崩潰其網站。 但是，除了惡性軟體外，無從知曉攻擊者究竟是如何劫持這些資料中心。

報導指出，這些針對資料中心的攻擊不過是時代的產物。 由於越來越多的企業和消費者利用雲計算服務處理他們的業務，因此，資料中心成為網路攻擊的目標。 調查公司Forrester Research的分析師指出，攻擊者通常構建獨自的私有雲，從管理不善的企業的雲計算系統盜取資源，或是通過由多個虛擬機器構建網路。

另一方面，對《紐約時報》的採訪，伊朗政府發表聲明否認參與了網路攻擊。

網路戰爭時代已經到來？

實際上，自從新型攻擊頻繁發生時起，媒體就開始出現有關Itsoknoproblembro和伊朗參與攻擊的報導。 例如，2012年10月，《華爾街日報(Wall Street Journal)》就曾報導說，伊朗的駭客組織發動了針對美國銀行的網路攻擊，而伊朗政府有可能給予支援。

報導證實，美國政府在2012年為阻止伊朗核計劃開發而實施經濟制裁時期，同時針對伊朗的核設施發動網路攻擊。 同年6月，New York Times通過採訪參加白宮的狀況分析室會議的有關人員，曾報導美國和以色列政府聯合開發Stuxnet蠕蟲病毒(超級工廠病毒)的事實。 根據維琪百科(Wikipedia)的說法，大約近六成的利用Stuxnet攻擊集中在伊朗。

同年秋季，美國科技博客Business Insider就發表名為《美國政府是如何引發了由伊朗的駭客發動的網路攻擊》文章，具體分析了網路戰爭的動向。 報導還披露，超過140以上的國家正在進行基於網路攻擊的間諜活動和針對戰爭的功能開發。

與此同時，該報導指出，由於美國國防部認為，網路攻擊已對國家安全構成威脅，因此，由軍隊參與報復行為合法，而這一系列網路攻擊的動向可能發展成真正的戰爭。 最後，文章引用網路安全企業Stonesoft的網路安全負責人Jarno Limnell博士的話說：「目前，網路戰爭還屬於未開墾的領域，預計今後將逐步完善相關規定。 」

駭客的武器「從手槍變為大炮」

而知名科技博客ReadWriteWeb的文章則並沒有談到這一系列攻擊事件是否與伊朗政府有關，而是從分析利用雲計算的攻擊手法探討問題。 文章談到這些攻擊的難度並不高。

英邁國際與遠端遙控資訊管理產品供應商Xceedium公司負責市場的副經理Patrick McBride警告：「託管虛擬機器集裝箱的作業系統和網路基礎設施方面是安全的，重要的是對於裝載使用者伺服器的集裝箱則需要制定控制訪問的對策。 」而這部分是屬於利用雲計算服務的使用者企業的工作。

McBride說：「如果在亞馬遜雲計算服務(AWS)擁有帳戶的人，可以輕而易舉地進行安裝配置Hadoop cluster。 但是，如果不對伺服器的訪問進行控制，實施補丁等維護，將同連接網路的伺服器一樣非常脆弱。 」也就是說，雲計算基礎設施方面是安全的，但根據使用者的訪問管理的情況會產生危險的局面。

Read Write Web最終得出結論，由於駭客能夠通過雲計算輕而易舉地實施攻擊，因此，即使事件背後沒有政府機構的參與也可以發動一系列的攻擊。 文章說：「對銀行和其他企業來說一個壞消息是，駭客的武器從傳統的虛擬手槍(PC)轉變為大炮(雲計算)。 」

目前，針對上述狀況相關部門也在加緊尋找相應的對策。 例如，美國線上AOL(American Online)就曾報導，美國國防部先進研究專案局DARPA(Defense Advanced Research Projects Agency) 為保護系統已著手開發阻止利用雲計算發動網路攻擊的軟體，未來可望使其成為商務用的解決方案。

可以認為，系統管理者和駭客之間的戰爭，由於雲計算已進入新的階段。

(責任編輯：施柏鵬)