Facebook攻擊刺激對(duì)社交網(wǎng)站的安全投入
為應(yīng)對(duì)長(zhǎng)期以來(lái)發(fā)生的來(lái)自網(wǎng)絡(luò)釣魚、垃圾郵件以及其它網(wǎng)絡(luò)犯罪的轟炸，F(xiàn)acebook和其它的社交網(wǎng)絡(luò)紛紛向安全團(tuán)隊(duì)訴苦，并部署起新的網(wǎng)絡(luò)防御措施。
對(duì)安全的投資說(shuō)明社交網(wǎng)站正協(xié)同努力打擊攻擊者，那些攻擊者們拼命地攻擊這些流行平臺(tái)以兜售色情和醫(yī)藥產(chǎn)品、散布惡意軟件或單單提取其中包含的潛在客戶數(shù)據(jù)。
社交網(wǎng)站部署的主要新技術(shù)包括網(wǎng)絡(luò)流量異常系統(tǒng)，這一系統(tǒng)監(jiān)測(cè)失去控制的Web應(yīng)用，還有其它的掃描用戶生成頁(yè)面中的惡意內(nèi)容的安全工具。
Facebook的發(fā)言人Simon Axten 說(shuō)：“對(duì)用戶來(lái)說(shuō)，這些防御措施中的大多數(shù)都不可見，惡意攻擊者還在繼續(xù)攻擊網(wǎng)站，你所能看到的實(shí)際上只是我們所作出的努力中的很小的一部分。我們建立了龐大的防御設(shè)施來(lái)抗擊網(wǎng)絡(luò)釣魚和惡意軟件的入侵，其中包括工作在后臺(tái)的復(fù)雜的自動(dòng)系統(tǒng)，它能夠檢測(cè)和標(biāo)記有可能受到侵害的Facebook賬戶。”
Axten說(shuō)Facebook將其資源集中于監(jiān)測(cè)用戶生成的內(nèi)容并檢測(cè)進(jìn)入框架中的Web應(yīng)用的流量。他說(shuō)如今，大眾社交網(wǎng)站的系統(tǒng)已能夠檢測(cè)短期內(nèi)非正常的信息激增情況，或發(fā)現(xiàn)將用戶轉(zhuǎn)入攻擊網(wǎng)站的惡意鏈接，并有能力采取行動(dòng)應(yīng)對(duì)這些威脅。
Facebook攻擊和安全問(wèn)題映射出那些流行的微博客平臺(tái)Twitter，它們?cè)?009年處理了大量的大型安全事件。這一年始于Twitter最受歡迎的用戶賬戶劫持事件。黑客使用了暴力攻擊來(lái)劫持這些賬戶，其中包括奧巴馬、CNN主持人Rick Sanchez，甚至使用劫持的Britney Spears賬戶向其關(guān)注者發(fā)布色情信息。
Tweets一直出于監(jiān)測(cè)之中，以防止社交網(wǎng)站中使用短型URLs的釣魚攻擊的發(fā)生。但掃描成千上萬(wàn)的用戶生成的140字符的Tweets的資源系統(tǒng)在本質(zhì)上是相當(dāng)密集的，Twitter的安全研究人員向工程團(tuán)隊(duì)透露消息稱精明的僵尸網(wǎng)絡(luò)操作者使用了特殊編碼的信息成功躲過(guò)了掃描，這一問(wèn)題在這一年年底受到了廣泛關(guān)注。
Twitter在如何推進(jìn)它的安全策略以抗擊日益上升的威脅的問(wèn)題上沒有作出回應(yīng)。
美國(guó)加州的安全廠商M86 Security的安全研究領(lǐng)導(dǎo)人Bradley Anstis說(shuō)“網(wǎng)站經(jīng)營(yíng)者所面臨的殘酷事實(shí)是需要盡可能多的實(shí)際資產(chǎn)投入。開始的時(shí)候，開發(fā)資金會(huì)投入到吸引更多用戶的結(jié)構(gòu)上，然而如今安全成為了事后重頭戲。”
著名的應(yīng)用安全專家Herbert "Hugh" Thompso說(shuō)，最大的問(wèn)題是可測(cè)量性。他是紐約的安全教育公司People Security的創(chuàng)始人和首席安全策略師，并兼任2010年的RSA會(huì)議的項(xiàng)目委員會(huì)主席。Thompson說(shuō)社交網(wǎng)站一直努力和爆炸性增長(zhǎng)的用戶生成內(nèi)容保持同步——這也是他們網(wǎng)站中流動(dòng)的生命之血。
Thompson在郵件中說(shuō)：“這些網(wǎng)站需要在信息投放的風(fēng)險(xiǎn)方面做好用戶的教育工作。Web是互通的；一旦某條消息被放到了網(wǎng)上，它就會(huì)被存儲(chǔ)在那兒，在多個(gè)網(wǎng)站同時(shí)發(fā)布出來(lái)，并被多次復(fù)制等，還會(huì)有可能被存檔并一直保持為可搜索的狀態(tài)。”
Thompson說(shuō)，到現(xiàn)在為止，還沒有很多刺激社交網(wǎng)站強(qiáng)化安全系統(tǒng)的防御攻擊的措施。他說(shuō)，用戶只會(huì)在他們?cè)馐艿酵纯嗟臅r(shí)候才會(huì)關(guān)注安全問(wèn)題，而且到目前為止，唯一的痛苦體驗(yàn)是諸如Twitter網(wǎng)站遭受停機(jī)和無(wú)法訪問(wèn)的問(wèn)題。Thompson說(shuō)，如果社交網(wǎng)站需要采取措施，賬戶劫持和假扮是一個(gè)應(yīng)當(dāng)馬上解決的問(wèn)題。
【編輯推薦】
