如果你是一名負(fù)責(zé)搭建嵌入式系統(tǒng)（或軟件、設(shè)備、網(wǎng)絡(luò)等）的工程師或開發(fā)者，那么你排在最高優(yōu)先級之一的事情是（或應(yīng)該是）鑒別并最大限度的減少潛在的數(shù)據(jù)安全漏洞。要想有效的實現(xiàn)這個目標(biāo)，你需要了解系統(tǒng)是如何被黑客入侵的，最終要理解如何“像黑客一樣思考”。

黑客攻擊利用的是漏洞，這些其中可能是設(shè)計缺陷、訪問控制薄弱、配置錯誤或者許多其他的問題等。這篇文章會深入探討黑客的思維，正如你所看到的，他們在發(fā)現(xiàn)和利用漏洞方面的過程和思維方式與工程師如何處理系統(tǒng)開發(fā)還是有很大不同的。

黑客的思維到底是怎樣的？下面的內(nèi)容可能有趣、混亂或枯燥，所以準(zhǔn)備一大杯咖啡讓我們深入探究一下。

黑客的心態(tài)和思維：執(zhí)行任務(wù)

黑客與工程師之間最顯著的區(qū)別在于他們?nèi)绾螒?yīng)對挑戰(zhàn)，工程師（和科學(xué)家，就此而言）是系統(tǒng)性的，首先會定義和分析問題，然后制定計劃（或假設(shè)），并對假設(shè)進(jìn)行測試，最后對測試結(jié)果進(jìn)行分析，不論成功和失敗都會得出結(jié)論。

這是科學(xué)的方法，數(shù)百年來人們都是采用這樣的流程，黑客則不會遵循這個流程。首先沒有什么計劃，而是當(dāng)做是一個任務(wù)。黑客的計劃是不確定的，靈活的，記住一點黑客并不是在構(gòu)建必須經(jīng)過時間考驗的工程，相反他們要做的就是破解。他們不需要讓管理者或CEO滿意，他們關(guān)注的是完成所定義的任務(wù)。

工程師做事是系統(tǒng)化的，黑客則是務(wù)實的，他們的方法非常的實際。雖然會有一些相似之處，但核心的不同之處在于黑客們會竭盡全力完成他們的任務(wù)，此外他們不會關(guān)注那些對自己沒有幫助的結(jié)果，而且無需向其他人作出解釋。

這有時也被描述為列表 vs 路徑思考：

? 科學(xué)家和工程師對列舉的每一項都會報告結(jié)果

? 黑客遵循路徑，他們會按一個思路一直繼續(xù)下去，知道這條路走不通

總而言之，工程師的目標(biāo)是徹底，黑客的目標(biāo)是有效。這些看似微小的細(xì)微差別一旦付諸實施則會顯現(xiàn)巨大的差別和影響。

常見的模式：殺傷鏈

當(dāng)黑客侵入到某個環(huán)境或者系統(tǒng)時，他們通常會遵循一個共同的模式，稱為殺傷鏈（kill chain），當(dāng)黑客對系統(tǒng)和網(wǎng)絡(luò)進(jìn)行攻擊時，他們會尋找該環(huán)境中更高級別的訪問和操作權(quán)限（圖1）。最后當(dāng)他們獲得足夠的訪問權(quán)限時，他們就可以竊取想要的數(shù)據(jù)或者植入惡意代碼。

圖1：如果你能在殺傷鏈的早期抓住黑客，那么你才可以防止黑客攻擊的發(fā)生

黑客經(jīng)常會在一個入侵環(huán)境中停留很長時間：平均100-140天，比如2013年零售連鎖企業(yè)遭遇了黑客攻擊，黑客使用了大概100多天的時間進(jìn)行了全面的攻擊，如果你能在殺傷鏈的早期發(fā)現(xiàn)黑客就可以阻止黑客攻擊的發(fā)生。

需要注意的是大多數(shù)的黑客攻擊都是使用機器人自動完成的，雖然我們可以在描述實際執(zhí)行這些操作是人為的，但是背后實際上是機器人完成了所有操作。

黑客的思維

黑客看待事物的角度是不同的，特別是以下幾點：

? 觀察明顯的細(xì)節(jié)

? 想象最壞的情況

? 探索每一個潛在的訪問入口

? 喜歡一切數(shù)據(jù)

? 理解人是薄弱的環(huán)節(jié)

? 喜歡晦澀難懂的信息

? 尋找并利用后門

? 利用第三方漏洞

? 尋求憑據(jù)

? 清理垃圾

觀察明顯的細(xì)節(jié)

當(dāng)你深入開發(fā)時很容易忽略某個明顯的弱點，不妨后退一步問問自己一些基本的問題，使用如下“五個為什么”評估一下：

? 為什么你的產(chǎn)品要這樣做？

? 為什么有這個必要？

? 為什么要采用這種設(shè)計方式？

? 為什么這樣是好的？

? 為什么不換一種不同的方式？

? 這個練習(xí)的目的是找出明顯的薄弱環(huán)節(jié)，黑客會發(fā)現(xiàn)它們，而且會比你想象的要快得多。

想象最壞的情況

最壞的情況是什么？它發(fā)生的可能性有多大？黑客一般沒有道德標(biāo)準(zhǔn)。當(dāng)你的網(wǎng)絡(luò)或應(yīng)用正深陷泥潭并努力恢復(fù)時，他們并不會感到同情，因此你需要制定計劃來處理那些更糟糕的情況。

然而還是要小心不要卷入所謂的“僵尸場景”中，也就是由于一系列的荒唐事件而引發(fā)的災(zāi)難，大多數(shù)僵尸電影都是基于這個前提的。

探索每一個潛在的訪問入口

你必須知道任何人或任何事物訪問你系統(tǒng)的每一種可能的方式，黑客會進(jìn)行所有的嘗試，并且很多次。你可能認(rèn)為你的藍(lán)牙接口是超級安全的，但是有幾十種方法可以專門利用藍(lán)牙讓你的系統(tǒng)變得不安全，確保你對每個接口都進(jìn)行了積極的測試，無論你的系統(tǒng)設(shè)計有多么的復(fù)雜。

喜歡一切數(shù)據(jù)

黑客們更喜歡數(shù)據(jù)或某些類型的數(shù)據(jù)，數(shù)據(jù)存儲也是黑客在環(huán)境中獲得持久性訪問的一種方式，你必須分析你的系統(tǒng)數(shù)據(jù)：

? 數(shù)據(jù)是怎樣存儲的？

? 數(shù)據(jù)是如何傳輸?shù)模?/p>

? 誰可以訪問這些數(shù)據(jù)？

? 如何監(jiān)控、管理和控制對數(shù)據(jù)的訪問？

? 訪問日志是怎樣的？這些數(shù)據(jù)都到哪里去了？

理解人是薄弱的環(huán)節(jié)

黑客們明白人是數(shù)據(jù)安全方面的薄弱環(huán)節(jié)，我們不僅不穩(wěn)定、不可靠，而且極易受到操縱，如果你的系統(tǒng)涉及任何這些有弱點的人（他確實有這些弱點），那么這就是你系統(tǒng)的弱點。

所有的信息安全問題通常歸結(jié)為人類的弱點。無論我們是否進(jìn)行了錯誤的配置或編寫了錯誤的代碼，人都制造系統(tǒng)的一些弱點。假設(shè)用戶會犯錯誤，并且會有很多錯誤，因此我們要格外注意人的一些操作。

喜歡晦澀難懂的技術(shù)信息

黑客們都喜歡晦澀難懂的技術(shù)信息，他們會隨機挖掘出你幾年前存放的文檔，從而使用這些文檔的數(shù)據(jù)對你的系統(tǒng)發(fā)起攻擊，這也是破解新系統(tǒng)的樂趣之一。

當(dāng)你向公眾發(fā)布某些技術(shù)數(shù)據(jù)類型時要謹(jǐn)慎，假設(shè)黑客們會得到并進(jìn)行分析，如果你的產(chǎn)品是在一個開放的環(huán)境中開發(fā)的，那么你就更應(yīng)該以更加安全的方式設(shè)計某些組件和功能特性。

尋找并利用后門

20世紀(jì)80年代的一部電影《戰(zhàn)爭游戲》讓很多黑客體驗到了黑客攻擊的滋味。電影中間有一個很棒的場景，一個計算機科學(xué)家責(zé)備他的書呆子同事把計算機系統(tǒng)的后門當(dāng)做秘密：“Potatohead先生，這些后門不是秘密！”

他的話在現(xiàn)在看來一樣的真實，應(yīng)用程序或設(shè)備的后門非常的常見，黑客們會尋找它們，它是侵入系統(tǒng)最古老和最可靠的技術(shù)之一，在《戰(zhàn)爭游戲》中就有展示，當(dāng)然在今天也仍然適用。

利用第三方漏洞

盡管你可能會深切關(guān)注系統(tǒng)的安全性問題，但是你的供應(yīng)商或合作伙伴是否也和你一樣的關(guān)注？黑客們通常會將第三方組件作為目標(biāo)，因為通過獲取某一項技術(shù)就可以攻擊大量的相關(guān)目標(biāo)。Heartbleed就是不安全的第三方組件造成系統(tǒng)風(fēng)險的一個例子，Heartbleed是OpenSSL設(shè)計實現(xiàn)的一個缺陷，OpenSSL被應(yīng)用到數(shù)百萬中產(chǎn)品中，這意味著一個漏洞足以使數(shù)百萬（可能是數(shù)十億）臺設(shè)備遭受到攻擊。

如果你的系統(tǒng)中集成有第三方組件，則會繼承該組件的所有弱點，雖然產(chǎn)品可能屬于其他人，但是你需要對其安全問題負(fù)責(zé)。

尋找憑據(jù)

合法的用戶賬戶是黑客們最終想要獲取的，一旦他們獲取了憑據(jù)，黑客就會升級他們的權(quán)限從而進(jìn)入你的系統(tǒng)，此外使用合法憑據(jù)通常不會引發(fā)警報。

雖然你可能無法始終保護(hù)用戶的憑據(jù)（因為它在用戶的手中），但是你仍然可以防止惡意使用這些憑據(jù)，這就要從實施最小權(quán)限開始，也就是說用戶永遠(yuǎn)不能擁有比他們需要更多的訪問權(quán)限，此外你應(yīng)該積極的測試系統(tǒng)對于權(quán)限升級類型的攻擊。

清理你的垃圾

你的系統(tǒng)是整體的一部分嗎？一部分受到攻擊會讓其他部分也遭受到攻擊？給你的系統(tǒng)傳遞虛假數(shù)據(jù)會怎樣？這就是Stuxnet惡意軟件的工作方式。它會向工業(yè)控制系統(tǒng)提供虛假信息并讓系統(tǒng)過載，如果黑客們想竊取你的數(shù)據(jù)或進(jìn)行破壞操作，那么可能就會像過多的網(wǎng)絡(luò)流量一樣使你的系統(tǒng)過載。

拒絕服務(wù)類型的攻擊很難阻止，當(dāng)設(shè)計你的系統(tǒng)時，你需要考慮它是否有可能會過載，并建立相應(yīng)的機制來阻止或忽略大量的輸入數(shù)據(jù)，此外時鐘都需要驗證發(fā)送給你系統(tǒng)的數(shù)據(jù)是否是可信任的，這一點非常的重要。

總結(jié)

作為一名設(shè)計工程師，確定并最大限度的減少潛在的數(shù)據(jù)安全漏洞是主要目標(biāo)，黑客的工作方式與工程師工作方式大不相同，他們并不是采用系統(tǒng)化的方法，他們有屬于自己的殺傷鏈方法，按照這種方式他們會持續(xù)不斷的尋找到漏洞來利用，“像黑客一樣進(jìn)行思考”要求你以不同的方式來看待你設(shè)計的系統(tǒng)，其中一部分意味著理解漏洞和解決方案的技術(shù)細(xì)節(jié)，然而更重要的部分是需要觀察一些明顯的缺陷，理解人所犯的一些錯誤和疏忽，了解黑客會尋找什么以及他們是如何利用這些線索的。