The Security Industry, Down for the Count
Hacking Team has been hacked and 400GB of its data leaked, and Duqu 2.0 lurked inside Kaspersky for months: top players on both offense and defense have fallen one after another. I'm taking the occasion to repost my 2012 essay “The Rift”: why can't a security industry fifteen years old and worth 30 billion yuan a year keep pace with an increasingly “urbanized” digital world? As vulnerabilities and attacks mount and defenses fall behind, Stuxnet-style threats lurk below the surface, and their victims may never know they've been robbed.
大约30小时前，Hacking Team被入侵了(0)。400GB数据被放出（花了整整一个晚上才下完），有邮件，有代码，有合同，有财务数据。这是一家将各种入侵和窃取数据的技术编制成间谍软件售卖给各国政府的公司(1)，客户有美国的FBI和国防部，有墨西哥、意大利、埃及、埃塞俄比亚、黎巴嫩、蒙古、苏丹等国的政府。入侵的黑客自称是去年入侵另外一家售卖间谍软件的公司Gamma International的黑客。下面是HackingTeam公司间谍软件的广告。
两周多前爆出，卡巴斯基被自己曾经剖析过的间谍软件的新版本Dudu2.0入侵了。发现的时候，这一间谍软件在卡巴斯基内部已经潜伏数月之久。前面一篇《愈演愈烈的Nation-state Attack》中有提到。
后一个是“亲者痛”，前一个是“仇者快”。但无论如何，在网际空间的攻击和防御之战中，作为防御一方的信息安全业的顶级高手也败下阵来了。整个产业都毋容置疑地输了，输得连内裤都没了！可能真像SafeNet的首席战略官Tsion Gonen在InfoSec Summit 2015上的演讲所说：信息安全产业进入中年危机了！(2)
2012本人写过一篇短文阐述这个正在到来的败局，那时候还不知道震网病毒Stuxnet是美国制造，也不知道这个败局来得这么早，输得这么惨。在整个信息产业界在拳台上再一次被K.O.之际，再贴出来回顾一下，痛定思痛吧。
裂痕(2012.10)
中国信息安全产业兴起于上世纪末，到现在已经超过十五年。十多年来，产业规模从零起步发展到现在的每年三百亿人民币，厂商和产品更是成千上万。回顾发展历程，我们不禁想问：为其目标和存在价值——保护信息系统乃至整个数字世界的安全，信息安全产业表现如何？
毋庸查阅统计数字，眼前的事实和现象就能说明问题。骇客更多、地下活动更频繁，像LulzSec和Anonymous这样能力超强、兴风作浪、影响巨大的组织前所未有；病毒更多、攻击更多、事件更多、损失更大；Stuxnet这样有国家力量参与制造的超级病毒更是闻所未闻。
显然，比起十年前或更早的年代，数字世界显得更加脆弱。这本不难理解。早期如草原和农村一般地域广袤、人烟稀少的数字世界，如今变得集成度更高、连接更紧密——已经高度城市化了。有史为鉴，快速、大规模的城市化曾经和正在暴露出交通、排水等方面的诸多问题，那么数字世界的脆弱也就不足为奇。
实际上的问题可能比我们的想象更严重。有迹象表明，信息安全产业与其自身目标的距离不但在拉大，并且这一裂痕扩大的速度还在加速。社会化产生的更多连接、维度和分享使得安全防护更难。十五年前的防火墙只需顾及几十个周知端口，如今的NTFW号称能够识别1200种应用和2千万个URL，相对防护能力却在下降。
质量相对较高的开源代码每1000行存在1个安全漏洞。当今世界上运行的软件代码总量大约为1万亿行，每年还有数百亿行新的代码产生并投入运行。数字世界越来越脆弱。而通过网络协作和组织，加上国家力量的介入，网络攻击的能力越来越强。此消彼长，结果如何不言而喻。
数字世界中的问题隐蔽而难以察觉，遑论重视。实体的城市中，如果交通经常拥堵，人们就会想办法，哪怕只是限号这种消极的、不负责任的笨办法；下雨天主干道上淹死了人，人们就会重视排水问题，哪怕是每次预报有雨就发预警，并派消防队员值守每个易积水路段。但数字世界的发生的事情是往往看不见的。
表面风平浪静，水下可能暗潮汹涌。有可能网络被渗透、机密文件被窃取，人们却一无所知。“震网”病毒令人震惊之处不仅在于其编制技术水平之高超，还在于被发现之后人们才知道的这一病毒已经隐蔽传播的时间之久。是否只是冰山一角？类似的、未发现的病毒还有没有？有多少？有多久？我们不得而知。
人们往往好了伤疤忘了痛，更不必说这种没有切肤之痛、难以感同身受的事情。“震网”病毒带来的震惊只是在信息安全专业领域内小范围的，整个信息产业，包括软件平台和工具供应商、应用开发商，以及用户IT运维和管理者大都未曾听说、无动于衷，太阳每天都照常升起。
这是一个移动互联网的时代，人们随时随地在线，操作和访问属于他们个人或组织的信息系统和数据；这是一个云计算的时代，人们的关键应用和机密数据不再运行和存储于本机或本地安全牢靠的机房，而是在不知是私有、专有，还是公有的云里。
这是一个大数据的时代，数据喷涌而出，指数型增长。作为数字世界和基石与核心，各种业务、各类应用系统基于数据、归于数据。今天，每小时产生的数据量都超过去年的一天，超过前年的一个月。数据量之大、种类之繁复，能够对其进行分析、挖掘其中价值的工具与平台尚且不多，安全防护更是膛乎其后。
这是一个最好的时代，业务由信息化的应用系统承载，计算和存储越来越便宜，软件工具和平台越来越强大，应用系统用户体验越来越好。这是一个最坏的时代，安全防护成摆设，安全隐患被隐藏。也许有一天，系统被篡改应用崩溃，酿成大事故，损失无法挽回，甚至数据一直在被偷偷窃取，而你，自始至终一无所知。
中文版： http://www.freebuf.com/news/71712.html
注
Originally published on the WeChat account 网安志异, 2015-07-07 · original
Comments