半桶水

我的朋友余弦在币安这次安全事件后发 Twitter 说：

许多人看了币安披露的被盗过程，觉得其中工程师 A/B/C 怎么这么弱，这种低级错误都犯，权限还那么大。

其实看戏是最轻松的，自己被打了才知道原来还有那么多道道，比如人性利用，情报踩点，恶意代码免杀，信任链利用，针对性横向投毒，云环境渗透，风控绕过，相关 0day 穿插着等等。

这是个 APT（高级持续性威胁）过程…

许多人看完后，更应该看看自己会不会被这类投毒攻击，自己的同事会不会，自己的公司员工会不会…别只看戏吃瓜，好好加强下自己，不要以为只是开始那个社工，其实要黑掉一个目标，方式太多了，你以为的傻逼技巧到你这可能就是个大杀器

我非常认同余弦的观点。

我挺怕半懂的人——他们看到各种安全事件后，通常会很不屑地认为出事情的团队说草台班子，也认为自己的团队做了各种防范，有安全制度，有安全产品，不会出问题。

我的观点一直是：

1. 任何组织都无法保证绝对安全。
2. 做好已经被入侵的准备（比如能不能发现？能不能控制？能不能止损？能不能恢复？）。

拿币安这件事，挑一个细节来看，你想象一下：

• 你们公司的一位工程师，电脑上有公司的代码仓库、文档库、组织的通讯工具以及一些密码、密钥，这合理吧？
• 他在职时，也在找工作。这很正常吧？
• 他找工作时，对方 HR、CEO 分别视频面试。这很正常吧？
• 工程师用了办公电脑接受了面试。这有可能发生吧？
• 面试时，有笔试、实践环节。这很正常吧？
• 对方 CEO 给了一个仓库，让工程师拉代码，然后针对代码做讨论。这很正常吧？

是的，就这样，这位工程师的电脑就被入侵了。

对一个精通安全技术且警惕性极高做了各种防护的个人，自保似乎没那么难，但对大中型组织里不同背景与性格的人们，防护起来可就困难多了。

说个事实：我们在新闻里能看到的绝大多数网络攻击事件的受害者，都有职业安全团队，购买了安全产品与服务--也就是，至少他们投入了金钱和资源做过安全，但仍然未能幸免。

说个猜测：国内的信息安全厂商，普遍无力防范这种类型的攻击。主要原因是，他们还不如攻击者了解业务。

---

然后继续推荐我的小书《夹缝生长》

也欢迎看过的朋友去豆瓣留下自己的评价、感受、建议、批评，我会隔段时间去豆瓣看看，有问题我会及时回复。