好莱坞大片中的电脑安全常识

欧美大片、好莱坞大片年轻人都喜欢看，有的人喜欢强悍的画面视觉冲击，还有的人认为惊险的故事情节也很吸引人，如果你更喜欢电影里的型男靓女，一样也可以得到满足。前不久上映的经典大片“续集”——007之“大破天幕杀机”就让老影迷找回了昔日风光的老邦德。俗话说，“外行看热闹，内行看门道”，在大破天幕杀机扣人心弦的故事情节，以及老邦德宝刀未老的身手背后，作为一名安全相关人员，你更应该为电影里的“黑客”手段所吸引。

如果说强大的视觉冲击、超前的科技幻想是欧洲、美国大片的特色，一点也不为过。电影是时代的缩影，我们可以从里面看到许多那个时代的人物、风情，衣食住行、科技水平等等。而007之“大破天幕杀机”，则让我们深深的体验了一把“黑客”的无所不能。

谍战类影片，密码、手机等等都曾经成为故事的主要引线。大破天幕杀机影片则以一个失窃的硬盘为引，揭开了故事的序幕。原来在这个不寻常的硬盘上面，保存了所有英国情报局打入恐怖分子内部间谍人员的名单，故事便以老邦德如何找回这个失窃的硬盘而展开。对于故事的打斗精彩环节，不用我介绍，看过的朋友一定都记得。

这里，我们重点要关注的是神通广大的黑客行为。当情报局人员在努力搜寻发动恐怖袭击的人员时，让人哭笑不得的一幕出现了，最后目标定位到了正在搜寻恐怖袭击的这台中情局的电脑上面。难道这是一次间谍版的乌龙大戏？当然，故事不会这么拙劣。其实，事实上是这台中情局的电脑已经被黑客所控制，黑客借用情报局的电脑袭击情报局。

如果，你想知道黑客是怎么控制这台电脑的，那说来就话长了。大致的推断是，中情局之前的老间谍，反叛之后，通过和之前情报局人员的老关系，偷偷在情报局的电脑里植入了“病毒”、“木马”，控制了这台电脑。

用专业术语可以称之为“社会工程学”手段，再加上黑客行为。如果我说这是很重要的、大家要注意的安全常识，也许你会说，这些都是电影里的，我们这些普通老百姓哪里有那么多的机密需要保守。其实，网络安全和你息息相关，如果你明白了这个道理，就知道为什么自己会陷入许多“骚扰”和“危险”的原因了。

社会工程

其实，许多时候你因为没有意识到，或者一点小小的便宜诱惑，出卖了别人或者自己的隐私。等你被垃圾短信、骚扰电话更甚至有人为此付出生命之后，还不能明白其中的道理。社会工程学正是黑客利用了日常生活工作中，人们的这种虚于防范，或者故意制造时机，进而乘虚而入，达到自己各种目的。

“我又没有什么秘密”、“我又不是百万富翁”…提起个人隐私保护，绝大多数人现在都会拿出这种托词。似乎不是有钱人、不是名人，自己的信息就没有人盯上。其实，这是非常愚昧危险的看法。正是这种愚昧的看法，才带来了许多触目惊心的后果。甚至，有人因为自己对“个人隐私信息”不在乎，已经为此付出生命的代价。

 《人民法院报》2012年10月22日3版刊发了题为《网购露富引发的血案》的报道：厦门一白领刘艳喜欢网购，而且她习惯不把包装盒上的邮寄信息撕下就将其扔掉。去年7月，一男子无意中看到刘艳的快递邮寄信息，假扮快递公司员工，入室抢劫，刘艳遇害。

随着电子商务的迅猛发展，网购已经成为许多人的最爱。网购不但可以享受送货上门的服务，还往往能够享有比实体店便宜的价格。随之而来的是快递业务的崛起，快递包装箱、包装盒和快递包装袋，还有零星的快递单据慢慢的开始充斥在你我周围。

绝大多数人在欣喜的拿到自己订购的货物之后，把快递包装、单据随手丢弃。现行的快递包装、单据，一般都会包含收货人姓名、收货人地址、收货人手机或者电话号码，当然还有收货人所购货物类品。刘艳的遇害，正是无视这些个人隐私信息带来的后果。

当下，个人信息几乎都是互联互通的，往往是通过你的部分信息，还可以利用其他的途径获取更多相关的信息。比方说，这里的刘艳就是泄露了自己购物的品类，让别有用心的人推断出她的购买力，进而推断出她的经济情况、大致社会身份。进而通过快递包装、单据上的姓名、地址和电话等，实施犯罪行为。

持续攻击

俗话说“不怕贼偷，就怕贼惦记”，一旦你被黑客或者敌手盯上，那可真就要头疼了。你想啊，世上没有不透风的墙，如果有人打定主意要从你那里捞点什么，或者金钱或者什么其他的东西可以要挟你的，你是很难躲避的。在网络安全领域里，现在有个新的名词，叫作“APT”，中文意思“持续攻击”。

正如大破天幕杀机里的反面主角，自己苦心孤诣，周密计划，利用数年的时间去从各个角度攻破英国情报局，这就是一个典型的带有社会工程学色彩的高危胁持续攻击。这种威胁不像我们上网购物，路过一个恶意网站，被黑一次两次，我们只是一个过客。

高危胁持续攻击，都是“被贼惦记上的”。黑客是由明确的破坏目标的，他不会轻易的暴露自己，不会因为一些其它诱惑而蠢蠢欲动。这就让安全防护人员无所适从，因为他的行为在网络上看起来是正常的。更让传统的防护设备、防护软件失去作用。

高危胁持续攻击一旦达到最终目的，比如说掌控了你的电脑，也不会像病毒那样立即发作，而是等待时机。就如同大破天幕杀机，就要在那个时刻炸毁情报局大楼。甚至，有时候黑客都不会实施破坏行为，比方说黑客只是为了窃取你的机密资料，得手之后就悄悄地毁尸灭迹，等过了很长时间，甚至你永远等不知道，自己已经被黑了，等到你丢失的资料对你形成影响的时候，你可能都无法想明白是怎么丢失的。

对于APT持续攻击，目前安全界并没有一个统一的或者一定百分百行之有效的解决方案。从防护思路上大概有这么几种，一种是正面的防护思路，就是针对APT去防护，一种是从源头保护机密信息，就是将机密信息隔离或者进行加密，还有一种是综合类的，会采取各种手段，侦测该类威胁，预警即将被攻击的目标等等。无论采取哪种方式，我们最终的目的还是要保护好机密信息，保护好关键业务应用。

钓鱼木马

当然，如果说你没有那么多的秘密保守，或者银行账户没有多少银子，不会成为黑客的目标。也是有道理的。毕竟这种持续攻击在我们一般老百姓的身边还是不多见的，但是如果你看过《在劫难逃》这部电影，那么你或许会注意到这部电影有许多可圈可点的“安全知识”。

看过这部电影的朋友不知道记不记得，当主人公打开那个所谓的“孤儿”搜寻网站，在暴露自己有可能是“孤儿”之后，被远在地球另一边的电脑黑客，远程打开了苹果电脑的摄像头，自己的长相自然被黑客看个无疑。

这种通过网页远程打开别人摄像头的行为，可以称之为钓鱼。黑客首先伪装一个正规网站，等待“鱼儿”上钩。一旦有黑客的既定目标用户群，打开该网页，黑客或者已经在网页上预置了恶意程序，自动感染来访的用户。或者如同在劫难逃中的男主人公那样，被黑客手动远程控制自己的电脑设备。

目前，这种钓鱼或者类似情况并不少见。尤其在网购等方面，黑客往往煞费苦心制作一些高仿正规购物网站。不知情的用户误进入这类网站，只要在看似正常的登陆窗口输入自己的帐户和密码，这些信息就自动地发送到了黑客预先定义好的地方，于是帐户、密码丢失，进而发生财务的损失。

对于这类钓鱼行为，其实非常容易辨识。有经验的用户只需要查看网站的域名、地址，即可辨别真伪。尤其是网银、网购，用户一定要在打开的网页地址，察看是否是官方的地址。譬如，我们登陆京东商城正常地址应该是http://www.jd.com，而里面所有的商品或者其他的网页，都应该是以jd.com为根域名的形式。黑客制作的钓鱼网站则往往看起来让人莫名其妙，或者说也会加入一些类似官方网站的域名字母，但是域名是不能仿冒的，怎么伪装都能识破。

此外，微博等短地址让人无法知道自己点击的链接将链接到哪里，给我们造成了人工手动识别地址造成了障碍。移动智能终端也有类似的难题，就是自己不能通过鼠标悬停来查看自己即将点击的链接是通往哪里的。这时候，我们建议用户安装可信赖的安全软件，对所有的链接进行安全识别。

编辑点评：

当然，国内近年来也拍摄了一些贴近科技现实的电影，比方说搜索、手机等等，都从某个方面来为我们展示网络科技。比方说搜索这部电影，就给我们新的思考，当网络上纷纷指责的对象、行为，是否就真的如同事件、人物的表象那样？但，同时也告诉我们，科技发达了，信息流通飞快，自己的信息、行为，瞬间就可以被公众看到。

社交网络、移动智能等等，为我们带来了便利，但同时也要看到，信息的过度暴露，正在为人们带来困扰，甚至威胁。如何保护个人隐私已经成为移动互联的必谈话题，希望用户能够在满足个人展示欲望的同时，不要忘记自己多一点暴露，自己就多一个被人了解你的信息。当然，这对于普通人来说没有多大意义，但是你不要忘记一旦有别有用心的人盯上你，微博、空间、社区等等，都会成为别人APT你的工具。

 

转载自新浪博客：http://blog.sina.com.cn/msdcs