像黑客一样的思考?黑客思维漫谈

许多安全行业的资深人士都会给出这样的建议，想要在信息安全道路上更进一步的话，要学会像黑客那样的思考。 的确，这个建议听上去非常好。它听上去十分专业和深刻，而且短小精悍适合微博转发，还可以印到T恤上彰显个性。但如果你拿这句话去问一些安全专业人员，它的含义到底是什么?答案可能五花八门。人们对黑客及黑客的想法有着各自的理解，换句话说吧，从传统意义上讲，有大量的安全从业人员从未做过黑客。 说起来容易，做起来难 “像黑客一样的思考”的确让人意识到安全是一种专业技术，但如果你不是一名黑客，也许你永远也不能“像黑客那样的思考”。举个例子： 车祸现场，受伤者躺在地上血流如注，肋骨从胸膛可怕的戳出。这时，有人对你说：别怕，要像“医生一样的思考”。如果你不是医生，这句话有意义吗? 当然，非黑即白的思维方式是不可取的。不是外科医生的话，药剂师或护士也会有所帮助，而一个专业急救人员，更是可以现场“救火”的最佳选择。因此问题来了，到底什么是黑客?黑客思维又是指什么? 黑客思维 许多媒体对黑客的概念局限于网络骗子、小偷、敲诈者等网络罪犯，或是迷途的不良少年。但许多真正理解黑客文化的人士认为，黑客无论其本意还是其蕴含的内在精神，更接近于那些拥有创造力的头脑的人，而不是以违法属性来定义的坏蛋。 记得在去年的网络安全大会上，知道创业的技术副总余弦说道：“其实本质上都是为了能够解决问题的一种思维方式，一种补充思维方式，不是那么板板正正的，而是有其他解决问题的方式去实现目的。” 国外的安全专业人员分别有着类似的看法： “拥有解决问题或难题的能力和愿望，好奇心，享受挑战，不想被规则限制，寻找打败规则的办法，更高深的黑客则倾向于以系统的观点看待整个社会。”安全顾问杰西卡·巴克洛博士 “有两点：一是试图找出任何事物能够被利用的办法，但这种办法不是这种事物本来的使用目的;二是假定任何系统都可以被入侵，基于这种假定，来推算出会发生什么，恢复计划是什么，隔离方案是什么，该找谁等等。”--白帽子安全实验室副主管罗伯特·汉森 “我更愿意把黑客称做攻击者。如果你无法寄更多的希望在防护上，那么就需要了解攻击者的思想，理解他们的动机，他们攻击的手段、攻击的时间以及攻击的形式，这样才能兵来将挡、水来士淹。不站在攻击者的立场思考的话，将是一个最大的错误。”--佳能欧洲信息安全主管奎特恩·泰勒

　　杰西卡·巴克洛博士

(ISC)2董事会主席威姆·瑞姆斯则表达了更为详细的看法：“具备理解、分析和解决难题的能力，并能跳出常规思维模式，从非常规的角度考虑问题，想常人所不能想，做常人所不能做。并不只是解决技术问题，包括业务问题，甚至是生活问题。安全专业人员更象是工程师，被各种条件所限制。人力、资金、时间、规定、决策等等。只有那些具备黑客思维和业务敏感的安全人员，才能够做到正确的安全防护。” 这些观点阐明了黑客思维，并引出黑客思维在保护机构业务中的关键作用。 在企业或说机构中，有一种普遍的错误观念，业务部门与IT部门是两个完全不同的概念。但实际上，随着数字空间全面渗入人类的生活，机构的业务与安全处处存在交叉。想要做好安全工作，就需要用系统的观点进行全盘考虑，理解业务的管理和运营，核心价值在何处，关键资产是什么，系统弱点在哪里，它能被怎样的利用和如何去保护。安全人员不考虑到这些，则几乎无法抵挡得住黑客的攻击。 试想，如果一个安全人员连自己公司的业务都不了解，又怎能希望他很好去保护它呢? 黑客与自由 诚然，黑客与安全人员有着很大的区别。前者非常独立，总是一个人在不分昼夜的编写代码，测试程序，寻找机会，追逐利益，甚至任性妄为。而后者则是团队的一份子，有着各种规定或纪律的约束，包括资源使用，部门配合，公司政策等。一个从安全角度考虑的想法，即使再优秀再完备，也不得不让位于产品研发，市场推广，战略架构…… 作为安全从业人员有着太多的束缚，很难跟的上哪些凭着自己的兴趣和激情自由发挥，并将自己的想法付诸于行动的优秀黑客们。 就在近期国内首次举办的苹果系统越狱黑客大会上，被全球越狱粉丝视作“大神”级的Comex，在回答安全牛记者的提问时承认，自从进入苹果公司工作后，给追求自由和探索欲望的黑客精神带来限制，并对个人的技术能力进步有所阻碍。而安全牛就此进一步发问时，Comex选择了拒绝回答。

　　越狱大会上的Comex

谈到这里，似乎有些无奈。黑客思维只能停留在安全人员的口头上吗? 鸟群的安全机制 有人曾举出一个鸟群自我保护机制的例子。鸟类有着许多天敌，除了能够飞翔以外，它们又是如何避免成为捕食者的口中的美味呢?简单的很，当有危险接近任何一只鸟时，这只鸟会向其他伙伴发出警报，从而避免伤害扩大。 同样，安全从业者也可以学习鸟群的这种警报信息共享的保护机制，共同检测并防止危险的扩大。许多人已经明白，这里谈的是威胁情报。 威胁情报共享机制目前已经成为安全生态系统中的重要一环。 像黑客那样的攻击? 还有一些安全圈子的人士认为，只有参与到黑客攻击的活动中，才能真正的像攻击者一样地思考，并从活动中取得第一手经验，从而更好的实施防御和保护工作。未知攻，焉知防!但这种模式的问题在于，真正的攻击会带来负面影响，其程度有可能超过正面的意义。而且，这种想法的逻辑上也容易遭到诟病。 比如，刑侦人员需要做过罪犯才能理解罪犯的思维模式并破案吗?同理，你能为了做好安全工作的目的而跑去入侵别人的网站吗?如果回答是肯定的，那你就要小心了。这种行为毫无疑问是恶意的，未经事主允许则是违法的。 至此，似乎又到了两难的地步。像黑客那样的思维需要做个黑客(如同像医生那样的思维就要从事医生的工作)，而做一个真正的黑客则意味着付诸于一定的黑客行动，否则岂不是纸上谈兵? 一种解决方案 在信息安全培训中，经常会有一些模拟仿真类的课程学习。这种实战性质的教学环境，保证了学员不用参与任何有嫌疑的非法活动，就能将所学到的各种原理应用到日常工作当中。 “每堂课后，讲师都会留下各种作业让学员攻击训练营建立的测试网站，包括密码破解、漏洞扫描、SQL注入、代码分析等。”--星火计划：互联网安全人才训练营课程经理赵毅 近年来逐渐流行的各种攻防夺旗(CTF)赛事也是一个非常不错的黑客技术模拟仿真平台。中国的参赛队伍已经在国际CTF赛事上取得了不俗的成绩，同时国内的网络安全技术对抗联赛XCTF也正在如火如荼中。其中，刚刚落下帷幕的北京选拔赛，共吸引89个国家和地区的1770支战队、近4000位选手报名参赛。 另一种解决方案 在管理人员的许可下，安全人员对内部系统实施的入侵活动，称为渗透测试。它本身并不是一种非常前沿的安全检测手段，但目前渗透测试已经从内部发展到外部，从个人测试发展到小组甚至是群体测试，并形成了一种新兴的安全业务市场--漏洞众测。 漏洞众测的好处是摆脱了内部和单一人员的局限性，在保障受测方安全的情况下，由优秀的白帽子黑客群体进行渗透测试，从而尽可能地从最真实的场景中，集群体专业人员的合力找到系统漏洞。优秀意味着寻找与挖掘漏洞的质量和深度，受到信任则是确保客户的秘密不会被利用和公开。 乌云网创始人方小顿曾表示，漏洞众测的兴趣极大的改观了过去企业与白帽黑客之间的冷战态度，帮助了企业更好的防护恶意黑客的攻击。这意味着企业安全观更加成熟，“对整个安全行业都是好事”。

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/