攻击网站
2023年秋天，攻击网站一个叫“黑猫”的攻击网站勒索软件团伙用不到四十八小时，从MGM度假村集团的攻击网站服务器里卷走了约1亿美元。他们没用什么零日漏洞，攻击网站也没黑进什么核心数据库。攻击网站整个过程始于一个电话——打给拉斯维加斯某家酒店IT服务台的攻击网站电话。电话那头的攻击网站人自称是公司员工，说自己的攻击网站账号被锁了，需要重置密码。攻击网站服务台的攻击网站人查了查，信息对得上，攻击网站就给了。攻击网站就这么简单。攻击网站攻击者拿着这个账号进了内网，攻击网站找到了域控服务器，攻击网站然后花了几天时间慢慢摸清了整个网络结构。等到MGM的人发现不对劲，文件已经被加密了，备份也被删了。
这个案子后来被FBI写进了年度报告，但真正让我在意的是另一个细节：MGM其实有EDR系统，终端检测与响应，能监控异常行为。可攻击者用的是合法的远程管理工具，走的是正常端口，流量看起来跟运维人员日常操作没区别。EDR没报警。或者说，报警了，但没人看。安全团队那几天正好在忙别的项目，告警邮件堆在收件箱里，等有人点开的时候，已经晚了。
攻击网站这事，外行总觉得是技术活。得会写代码，懂协议，能绕过防火墙。实际上大多数成功入侵靠的是人。不是技术不行，是技术太行了，行到把人给忘了。我见过一个渗透测试报告，红队花了三周时间尝试各种漏洞利用，没进去。最后一天，他们换了件快递员的工作服，拿着个纸箱子走进大楼，说有个包裹需要IT部门签收。前台打了个电话，IT派了个实习生下来。实习生签完字，红队递给他一张名片，说“恭喜你，你被钓鱼了”。那个实习生后来成了他们公司安全意识培训的活教材。
技术防护当然要做。WAF、IDS、IPS、零信任架构，该上的都得上。但这些东西有个共同点：它们假设攻击者会犯错。可现实是，攻击者往往比防守方更耐心。他们可以花几个月时间研究一个目标，翻遍LinkedIn上的员工信息，模仿内部邮件的语气，甚至注册一个跟公司域名只差一个字母的钓鱼网站。防守方呢？预算有限，人手不足，每天要处理几百条告警，还得兼顾业务部门的各种需求。这种不对称，不是买几台设备就能抹平的。
有个做安全运维的朋友跟我说过一句话，我记了很久。他说：“我们这行最讽刺的地方在于，你做得好的时候，没人知道你在干什么。你出了事，全公司都知道你在干什么。”他负责的那套系统每天拦截上千次攻击尝试，但老板只记得上个月那次钓鱼邮件导致财务转了笔钱出去。那封邮件其实写得很糙，语法错误一堆，附件是个.exe文件，图标还是默认的。可财务那天忙，没细看，点了。
攻击网站的人不全是高手。有些就是脚本小子，拿着现成的工具扫IP段，碰运气。有些是组织化的犯罪集团，分工明确，有人负责踩点，有人负责钓鱼，有人负责洗钱。还有些，是国家背景的APT，潜伏在目标网络里几个月甚至几年，不偷钱，不搞破坏，就静静地看。你很难防住所有这些人。你能做的，是让攻击的成本变高，高到他们觉得不划算，转头去找下一个目标。
回到MGM那个案子。后来有记者问他们的CISO，如果重来一次会怎么做。CISO说，他会把服务台的电话录音调出来，让所有IT支持人员听一遍。听听那个冒充员工的人是怎么说话的，语气、节奏、用词，跟真正的员工有什么区别。他说技术手段能解决很多问题，但解决不了“一个人假装成另一个人”这件事。除非你让每个人都学会怀疑。
这话听着挺无奈的。但现实就是这样。你建再高的墙，总有人能翻过来。区别只在于，翻过来之后，你能不能及时发现，能不能在他走到核心区域之前拦住他。大多数时候，你拦不住。你只能希望他动作慢一点，或者你自己运气好一点。