侦察作为黑客的工具

我在军旅生涯里一直记得一句话，大意是：“谁赢得侦察之战，谁就赢得战争”。这非常正确，而在黑客世界那种“狂野西部”式的环境里，这句话再没有哪儿比这里更贴切了。不过请记住，风格各不相同。通常这取决于知识和经验。

例如，有些黑客会花很长时间对其目标进行侦察。他们想要了解每一个端口、黑客攻击可能采用的每一种方法，最重要的是——一旦进入之后他们究竟想要什么。通常他们会慢慢来，提前规划如何发起攻击、如何掩盖行踪等等。这些黑客堪称黑客世界里的“毕加索”，他们会把一切都考虑进去，包括被抓这件事。既然这是他们希望避免的事情，他们就会尽最大努力确保它不会发生。因此，往往他们根本不会被抓到；即使真的被抓了，也可能需要几个月甚至几年。

与之相对的，是所谓的“Kiddie Scripters”——他们有点像在瓷器店里横冲直撞的公牛。很少有人会先计划好自己究竟想做什么，他们往往就是想到什么就直接去做。 我更愿意把他们看作是黑客世界里的喷漆破坏者。由于缺乏经验和规划，他们往往很容易被抓住。你大概已经知道这一点了，但黑客群体就是如此。就像任何一个群体一样，性格类型也各不相同。既有老师，也有学生；既有组织者，也有隐居者。有些人会自由地交换信息，有些人则会囤积起来。有些人喜欢和他人协作，而另一些人则是独行狼。 他们的一些目标完全说得通，另一些听起来则不只是有点疯狂，而是相当不正常。

他们都明白的是这一点：

1. 大多数 IT 系统并没有得到妥善管理。 现实情况往往是，管理员人手不足、精力被拉得太满，而预算也只能支持到有限的范围。系统没有被正确打补丁，为了让事情运转起来还会采取捷径。再加上用户教育的缺失，更不用说人类会做出的那些愚蠢事——这几乎等同于把“欢迎光临”的地垫都铺好了。
2. 需要跟进的东西很多，而且不可能知道一切。 每天都有新的漏洞以及利用它们的方法出现，而要保持信息同步并不容易。由于我们的人手同样紧张，时间管理就变得非常关键，于是就很容易错过诸如安全警报之类的事情。你不知道的东西可能会伤害你。在理想的世界里，我们会有一位专职人员，工作本来就是随时掌握新进展，从而避免发生安全漏洞（安全入侵）。
3. 系统每年都变得越来越复杂。 不仅需要花时间坐下来学习它们，它们本身也有一套独立的问题，其中并非所有问题都会立刻显现。当然，这同样会挤占我们的时间管理，并可能进一步削减我们的预算。说得更直白一点，这里还存在着一个隐患：为攻击者新增更多的切入方式。另外还有一个简单的事实——我们比以往任何时候都更“移动”，而业务几乎可以发生在任何地方——这也只是让一切更难以控制。

还有一件大多数管理员没有意识到的事情：时间站在攻击者一边。如果我们能够选择合适的时间来主动出击，那么最终就能掌控时间线。

• 可能发生的情况之一是，我们的攻击者可能会花时间来仔细查看目标。倘若突然大量的端口扫描可能会引起注意，那么偶尔发生一两次的情况可能就不会。攻击者也可能在攻击过程中同样慢慢推进，以缓慢而有条理的方式移动某些环节，从而不引起注意。
• 攻击往往发生在下班之后。为什么？因为可能发现它的人都在家里睡觉了。自动化告警系统在这里就体现出它的价值。当然，一个像样的黑客可能会在侦察阶段发现这些系统，并想办法将它们摧毁；更进一步的是，他们还可能把这些系统作为攻击的一部分加以篡改或彻底破坏。

最后说一句：黑客行为是一个达尔文式的过程。什么意思呢？意思是，真正厉害的那些会不断学习。他们会从错误中吸取教训，而曾经能够阻止他们的方法，在第二次或第三次时可能根本就不再奏效。请让自己从安全实践中学习。