从权力的游戏中学到的7大安全课程

原文：7 security lessons from Game of Thrones
作者：Vincenzo Marsden 翻译：赖信涛 责编：仲培艺

小细节可能造成大问题

---

在大数据时代，被认为是很小的风险，由于数据的隐私性，有时候会给公司造成巨大的隐患。但这也取决于公司对数据采用的界限和协议。

在权力的游戏一开始的时候，没有人把龙和冰原狼当回事，但是在第三季的时候，他们已经能造成巨大的破坏，甚至能消灭军队。

小问题如果不去解决的话，到头来会变成很棘手的麻烦。

对于任何员工能接触到的信息，让员工定期更改口令是非常有必要的。现在人们越来越多地使用移动系统，但是移动安全却并没有达到标准。

无面人无处不在

---

匿名者现在几乎等同于全球的黑客，因为相同的理由联系起来，尝试危及网络安全的无面人并不是什么新鲜事。在这方面，法律总是落后一步，同时计算机罪犯和黑客总是盼望着明天，想办法破坏网络安全。

一些新的技术——混合云端存储系统，数据分离，密码学和集中存储数据库正在成为准则。

防火墙并不总是有用

---

现代的防火墙非常复杂，通常需要数月的时间去熟悉，但即使是最复杂的防火墙也只是软件。也存在瑕疵。单向网关拦截一切不信任的网站，无论其IP地址是什么，如果没有这个的话，通过伪造IP地址很容易就可以通过防火墙，特别是当有人进入了和目标网络同一网段的IP之后。

有时候通过防火墙只需要一些有魔法的文字。

密码盗窃是进入一个网络最简单的方法，而且近年来偷取密码的方法正在变得越来越高明。

钓鱼者通常会使用非常有说服力的邮件窃取密码和协议。加密和双向授权在同一网络下应对这些攻击几乎是没用的，但是单向网关可以拦截会话和攻击。

不光和敌人保持距离，和你的朋友也要保持距离

---

允许个人或员工接触敏感数据并不总是安全的。从Mark Abene 和Julian Assange，到Chelsea Manning 和 Edward Snowden都告诉我们，人们可以在有限的资源和时间下收集到大量的数据。

在2015年9月，Morgan Stanley发现，730，000个账户的电话号码被雇员盗窃。此员工在过去的三年间一直收集账户的号码，然后将他们转移到家中的私人服务器上。对公司来说，最好将敏感信息存放在安全的数据库中，采用“信任但要核查身份”的模式，使用“需要确认员工身份的政策”。

死人也可以复活

---

很多小型、中型甚至大型的公司认为，一旦计算机系统的硬盘被擦除了就可以高枕无忧地出售或者丢掉。但是权利的游戏告诉我们，死了有时候并不是彻底死了。自从21世纪以来，一些ATA、IDE、和SATA硬盘开始支持ATA安全擦除标准。但是2011年的一项研究发现，有一半的厂商没有达到ATA的安全擦除标准。

然而，大公司一般会尽他们最大的努力确保数据被擦除。Gutmann方法是一项可以重复复写删除数据35次的技术，可能有些过分处理了，但是这项技术已经被实践多年。

铁价格

---

最著名的安全专家的问题，是对基于云端安全的理解。基于网络的公司花在软件上的投资远高于硬件和他们员工。现在网络安全的一个趋势是混合存储、私有云存储、超大规模计算存储和集中存储，基本上都是将过去的技术和新技术集合。数据的价值不断上升，人力资源和对数据的控制却停滞不前。

新神还是旧神

---

从小型业务到使用了各种新兴技术的大型公司；从移动应用到量子计算，安全必须被视为一个重要的问题，以应对时代的变换，但基于云端的安全存储是如何处理庞大的数据的？

“数据保护的未来应该是安全存储和强加密。安全存储是一个广泛的话题，但是我不喜欢基于云端的东西，就像我们在InfoSec说的：云端存储就像把你的数据存储在别人的电脑上。”信息安全咨询公司Krypton Security的创始人Khalil Sehnaoui说道。

很显然，很多小型和中型公司以及很多个人用户，在使用数据存储公司方面并没有选择。在这种情况下，这些组织想要花更多的精力在安全方面，例如冗余、多层安全和加密程序等。

2016年8月12日-13日，由CSDN重磅打造的互联网应用架构实战峰会、运维技术与实战峰会将在成都举行，目前18位讲师和议题已全部确认。两场峰会大牛讲师来自阿里、腾讯、百度、京东、小米、乐视、聚美优品、YY互娱、华为、360等知名互联网公司，一线深度的实践，共同探讨高可用/高并发/高性能系统架构设计、电商架构、分布式架构、运维工具研发与实践、运维自动化系统的构建、DevOps、云上的运维案例分析、虚拟化技术、应用性能检测与管理、游戏行业的运维实践等，将和与会嘉宾共同探讨「构建更安全、更高性能、更稳定的架构和运维体系」等领域的话题与技术。【八折优惠中，点击这里抢票，欲购从速。】