現(xiàn)在有很多種 “后門”可被利用而危及系統(tǒng)的安全和隱私。雖然這些秘密訪問(wèn)方法有很多都是由供應(yīng)商和服務(wù)供應(yīng)商部署的，但其中一些后門程序還是帶來(lái)了遠(yuǎn)程可利用漏洞，給攻擊者提供了根系統(tǒng)訪問(wèn)權(quán)限。這些后門程序幾乎貫穿著整個(gè)現(xiàn)代計(jì)算時(shí)代，而隨著美國(guó)國(guó)家安全局(NSA)丑聞的暴漏，后門程序已成為當(dāng)前熱門的安全話題。

在本文中，我們將介紹IT后門程序的歷史、它們對(duì)企業(yè)帶來(lái)的威脅以及我們應(yīng)該如何緩解這種風(fēng)險(xiǎn)。

這一切是如何開(kāi)始：IT后門程序的歷史

后門程序是進(jìn)入網(wǎng)絡(luò)、應(yīng)用或系統(tǒng)的秘密方式，至少在理論上是這樣。部署后門程序的目的可能是用于支持，也可能是在調(diào)試時(shí)被意外創(chuàng)建或者由攻擊者故意插入。自計(jì)算時(shí)代以來(lái)，后門程序就廣泛存在于在軟件、硬件和所有其它類型的電子系統(tǒng)中。

第一個(gè)被熟知的后門程序由計(jì)算科學(xué)先驅(qū)者Ken Thompson在1984年創(chuàng)建。在接受計(jì)算機(jī)協(xié)會(huì)圖靈獎(jiǎng)發(fā)表獲獎(jiǎng)感言時(shí)，Thompson透露，他插入一個(gè)病毒到C編譯器，以在登錄信息被編譯時(shí)創(chuàng)建后門程序。這個(gè)名為“Trusting Trust”的編譯器后門程序可以秘密運(yùn)行，并且可以利用企業(yè)信任的工具，這表明在計(jì)算世界信任應(yīng)該保持相對(duì)性。

從那時(shí)起，很多其它后門程序開(kāi)始相繼出現(xiàn)。一個(gè)流行的軟件后門程序例子出現(xiàn)在電影《電影游戲》中。一個(gè)名為Joshua的用戶賬戶被硬編碼到系統(tǒng)中，供創(chuàng)造者使用;這個(gè)賬戶被Matthew Broderick扮演的角色利用來(lái)獲取未經(jīng)授權(quán)系統(tǒng)訪問(wèn)權(quán)。

對(duì)于操作系統(tǒng)中可能存在的軟件后門程序，人們有很多疑問(wèn)，特別是當(dāng)政府參與其中。在2013年的LinuxCon和CloudOpen北美會(huì)議上，針對(duì)美國(guó)后門程序的圓桌討論引發(fā)Linux項(xiàng)目協(xié)調(diào)員Linus Torvalds的有趣回應(yīng)。他是否證實(shí)了很多安全專家多年來(lái)質(zhì)疑的問(wèn)題?你需要自己判斷。

然而，軟件后門程序并不是唯一值得關(guān)注的問(wèn)題。雖然硬件后門程序不太常見(jiàn)，我們也時(shí)不時(shí)會(huì)看到這方面的消息。當(dāng)數(shù)據(jù)加密標(biāo)準(zhǔn)在1975年提出時(shí)，據(jù)稱NSA削弱了DES算法s-盒，使其更容易攻破它們。1993年，有人擔(dān)心NSA創(chuàng)建了“Clipper Chip”作為政府后門程序來(lái)繞過(guò)加密。2012年，美國(guó)認(rèn)為中國(guó)政府在華為產(chǎn)品中插入后門程序。

不過(guò)，并不是所有后門程序都被用于惡意行為。很多已知后門程序由供應(yīng)商和服務(wù)提供商部署，這些是為了方便支持人員的工作，并且經(jīng)常在供應(yīng)商層面廣泛共享，有時(shí)候甚至被公開(kāi)。

后門程序也存在于網(wǎng)絡(luò)中，允許來(lái)自特定IP地址范圍的連接或者使用某個(gè)端口竅門來(lái)繞過(guò)網(wǎng)絡(luò)訪問(wèn)控制。即使是通訊強(qiáng)制法律援助法案(Communications Assistance for Law Enforcement Act)執(zhí)行的執(zhí)法竊聽(tīng)功能也被看做是后門程序，因?yàn)槲唇?jīng)授權(quán)的第三方可能用它來(lái)竊聽(tīng)通信。

后門程序?qū)ζ髽I(yè)的威脅

從風(fēng)險(xiǎn)方面來(lái)看，后門程序給企業(yè)帶來(lái)巨大的風(fēng)險(xiǎn)，因?yàn)榭赡苤阑蛘哒业胶箝T程序的任何人都可能濫用它，并且不容易被檢測(cè)到。

無(wú)論是攻擊者利用供應(yīng)商創(chuàng)建的后門程序還是插入他自己的后門程序，他都可以獲取對(duì)系統(tǒng)的完全訪問(wèn)權(quán)限，然后利用它作為攻擊其他企業(yè)資源的起點(diǎn)，最終完全破壞企業(yè)的安全性。

不幸的是，一些已知后門程序并沒(méi)有被禁用，并且需要額外的安全措施來(lái)減少威脅。

如何最大限度地降低風(fēng)險(xiǎn)

IT管理員可以采取很多步驟來(lái)緩解已知和未知后門程序帶來(lái)的風(fēng)險(xiǎn)。企業(yè)應(yīng)該采取的最重要的做法之一是監(jiān)控。

監(jiān)控對(duì)于檢測(cè)已知后門程序非常有效，雖然這可能很難完成。要做到這一點(diǎn)，企業(yè)應(yīng)該監(jiān)控特定系統(tǒng)的進(jìn)程，找出哪些進(jìn)程在未包含在系統(tǒng)的密碼文件中的賬戶下運(yùn)行。此外，沒(méi)有定期監(jiān)測(cè)的另一種通信渠道(例如調(diào)制解調(diào)器)應(yīng)該被限制或禁止。

此外，IT管理員可以通過(guò)下面的方法來(lái)減少他們環(huán)境中使用的產(chǎn)品被植入后門的風(fēng)險(xiǎn)：

◆使用多個(gè)供應(yīng)商來(lái)減少不同系統(tǒng)共同后門的風(fēng)險(xiǎn)

◆更改后門支持賬戶的默認(rèn)密碼來(lái)防止未經(jīng)授權(quán)訪問(wèn)

◆安裝開(kāi)源軟件

◆檢查軟件完整性簽名

◆掃描已知后門程序

◆監(jiān)控網(wǎng)絡(luò)中的可疑通信

另外，管理員還可以部署漏洞掃描器或者配置管理工具來(lái)識(shí)別已知后門程序，并檢測(cè)和禁用它們。供應(yīng)商應(yīng)該使用強(qiáng)大的軟件開(kāi)發(fā)生命周期來(lái)盡量減少未經(jīng)授權(quán)后門程序被插入其產(chǎn)品或調(diào)試功能被用于后門程序，從而避免這些后門程序進(jìn)入到客戶的生產(chǎn)環(huán)境。

對(duì)于具有最高安全要求的企業(yè)，最好執(zhí)行內(nèi)部審計(jì)或者聘請(qǐng)第三方審計(jì)來(lái)檢查源代碼和封閉源產(chǎn)品及系統(tǒng)中的后門程序。

底線

IT供應(yīng)鏈非常脆弱。消費(fèi)者和企業(yè)必須確保沒(méi)有已知后門程序插入到其產(chǎn)品中。更進(jìn)一步說(shuō)，企業(yè)必須確保其服務(wù)供應(yīng)商和政府機(jī)構(gòu)不會(huì)利用后門程序。鑒于當(dāng)前的局勢(shì)，我們很容易理解為什么IT管理員如此謹(jǐn)慎。

只要我們使用計(jì)算機(jī)，后門程序?qū)⒗^續(xù)成為企業(yè)的風(fēng)險(xiǎn)。然而，早期規(guī)劃和保護(hù)企業(yè)免受各種形狀和大小的后門程序可以幫助顯著降低潛在風(fēng)險(xiǎn)。