谍变--反间谍技术的困惑与未来

　　浑 水

　　从理论上讲，要想有效地清除间谍软件，首先就要有一个清晰的标准来定义它，并以此作为准绳进行判断和查杀，但要做到这一点却是如此的困难。这也使得针对间谍软件的通缉令迟迟无法完成。

　　和病毒不同，间谍软件的标准并不是非黑即白，而是存在很大的灰色空间。通常情况下，我们认为，任何在计算机用户不知不觉的情况下，秘密搜集使用者的相关信息，并将其发给幕后操纵者的软件都可以称之为间谍软件，但是，很多合法的广告软件实现的也是类似的功能，这使得界定起来非常困难。

　　有的人认为，可以通过传送信息的最终结果是否带有恶意来进行判定，但实际上，是否具有“恶意”，人类能够通过智力和直觉来判断，但要没有意识的计算机软件来进行区分，却难以实现。

　　上述的原因，使得反间谍联盟内部就已经矛盾重重，因为有的企业本身就依靠广告软件来获利，它们加入反间谍联盟的重要目的之一，就是希望通过清晰的定义，把自己的软件划分到被清除的范围之外，而另一些公司则反对这种做法。这使得反间谍的工作，只能在一滩浑水里完成，各种麻烦层出不穷。例如，Gator的广告软件本来被CA公司列在间谍软件名单中，但今年年初，Gator提出了投诉，CA只得将其从黑名单中消除。在另外一起案例中，微软也面临着是否要提高广告软件Claria的威胁等级的两难境地。微软的反间谍软件AntiSpyware此前建议用户要隔离Claria的产品，而现在，微软仍对Claria的软件进行监控，但不再建议列为清除对象。同样的，赛门铁克也面临Trekeight LLC公司的投诉，因为它把后者的产品列为广告软件。而赛门铁克则认为，它是站在用户的立场上，并且有权利采取这样的行动。

　　挑 战

　　间谍软件上的纠缠不清，经济利益是一个重要原因，间谍软件可以给幕后操纵者带来巨大的经济利益，同样的，如果从生意的角度来看，反间谍市场也是“大有可为”。

　　据统计，2004年具备反间谍功能的套装软件销售额仅为850万美元，但预计2005年此类软件的销售额将产生500%以上的增长，Radicati集团发表的一份相关报告预测，安装反间谍件工具的用户数量将由2005年的1600万增长到2009年的5.4 亿，未来4 年内，反间谍软件工具的销售收入也将由1.03亿美元增长至10亿美元。

　　这些数字无疑也暗示出，间谍软件和反间谍工具的斗争将进入一个前所未有的白热化阶段。

　　不过，和“间谍”作斗争，显然比清除病毒要困难得多，因为应对后者，最重要的是能够及时捕捉，而前者即使仅从技术角度来看，就牵扯到了很多棘手的问题。

　　比如前面所提到的对间谍软件准确判断的问题，由于缺乏统一的标准，不同的厂家都有不同的方式，比较严谨合理的像赛门铁克所采取的“风险影响模型”(参看表1)，就是综合多种行为因素，包括能否让用户自由选择删除等，来判定是不是间谍软件。

　　再比如，究竟从什么位置阻挡间谍软件是最有效的，有的企业认为应当从桌面阻止，因为移动技术在企业内的大量应用，使得越来越多的计算设备脱离了由网关所划定的安全疆域，如果他们在网关的保护之外感染了间谍软件，然后又再次被接入网络，这台机器本身就成了协助“间谍”潜入的“间谍”。所以，先要保证每一个“内部成员”的可靠性。

　　而另外一部分企业则认为，桌面工具始终是被动防线，“更好的”间谍软件总会突破这道防线。因此，应该在网关处采取防护措施。

　　目前较为公认的看法是，针对间谍软件，企业应该采取多层次的防护措施，才能收到理想的效果。

         反 击

　　由于间谍软件的扩散方式是非线性的，而且越来越有攻击性。因此，它的防护问题已经影响到整个信息王国的安全，这种威胁对企业而言尤其严重，根据Forrester Research一份名为“2005反间谍软件方案”的报告显示，目前企业被感染间谍软件的程度还难以准确统计，由于间谍软件超常的隐蔽性，和现阶段很多查杀工具的无力，使得不少公司都不清楚自己的电脑设备中有多少被感染，但至少一点，已经发现被感染企业的数量，正在以惊人的速度攀升。

　　分析师们认为，受到困扰的企业用户，首先会向传统的防病毒厂商那里寻求帮助。反间谍软件就如同防病毒一样，都需要一种可靠的解决方案和专门的研究及响应机制，来跟踪新的间谍软件风险，并及时提供随威胁变化而变化的升级版本。虽然间谍软件与传统病毒存在区别，但是防范它们的目标是相同的，即保护客户电脑不受有害软件的侵扰。

　　由于防病毒厂商能够迅速探测到全球爆发的威胁，在第一时间内发布计算机防护和恢复的安全更新，并且能够集中管理已部署的解决方案，因此面对不断增长的间谍软件风险，防病毒厂商在提供长期全面解决方案方面拥有无可比拟的优势。

　　当然，我们需要注意的要点仍然很多，最基本的一点就是首先要选择一款好的反间谍软件工具，它不仅应该能够检测尽可能多的间谍软件，毫无残留地消除“间谍”在系统每一个角落中留下的残渣余孽，避免死灰复燃，还应该安装和部署简便，可以方便地升级间谍软件特征表。好的反间谍工具应该提供迅捷明了的状态显示报告，可以让用户及时了解间谍软件给公司造成多大的损害，最大的风险和威胁在哪里。当然，在企业中，一个方便管理的中央控制台也是必不可少。

　　尽管关于“及时更新补丁、避免从不安全的站点下载文件”这类的安全建议我们已经听过不少次，但仍然会有很多用户不留意这方面的警告;此外，即使我们禁止员工安装未经认证的程序，限制他们访问与工作无关的站点，但敲错一个字母就可能进入包含恶意代码的网站，因此，客观地说，间谍软件是无法根本禁绝的，所以，及时做好灾难备份也是对数据敏感企业必要的准备。

　　在这方面，一度被不少人认为“捞过界”的赛门铁克公司，无疑体现出了先见之明，因为事实表明，在有些情况下，选择数据的重新恢复，比清除间谍软件还要保险和方便得多。

　　最后，我们要忠告所有的企业，信息数据已经成为现代企业生存的根基，到2012年，企业需要管理的数据量将是现在的30倍，“匹夫无罪，怀璧其罪”，当信息之“璧”有了越来越重要的价值，再面对环伺四周，狡猾狠毒的间谍，即使是最乐观的企业，也决不能掉以轻心。

　　编看编想:菊花与剑

　　在人类的历史中，间谍一直无所不在，《孙子兵法》在“用间第十三”就曾明确提到过:“无所不用间也”，意思是没有什么地方你用不到间谍。

　　2500多年后，这句话因为互联网的普及再次发扬光大，而泛滥汹涌的间谍软件所影响的，也不再仅仅是网络安全的行当。

　　在做这期专题的时候，笔者一直在考虑这样一个问题:实际上，大多数的间谍软件和反间谍工具并不矛盾，他们并非代表着黑或白的对立面，因为它们都是为着商业利益而进行博弈。就像电影《绿茶》中的那句话，“这世界上没有好人、坏人，只有生意人。”间谍和反间谍软件更像是怀着不同目的人，被使命挤到了同一条道路上。

　　间谍本身就是矛盾的，他在达到自己的目的之前，先要具备对于目标的诱惑力，而冰冷的刀锋，则在深处暗藏。这让人想起日本文化中所推崇的菊花与剑:至刚与至柔，冷酷与娇媚，形成了一种奇特的难以言说的力量。

　　对于间谍软件，我们将其定义为:任何在用户不知情的情况下，把计算机使用者的信息，秘密发送给幕后操纵者的程序。我们为什么要反对间谍软件?很简单，因为它侵犯了我们的隐私，但另一方面，不少间谍软件却又显示出潜在的魅力。

　　以笔者为例，我是一个计算机DIY的爱好者，经常在网上寻找相关的信息与文章，久而久之，我发现，网络似乎已经了解我的爱好，在搜索时，更相关的链接会排在前面，在登陆一些网站时，会给我推荐相关的信息与产品，后来我才明白，这其中很大一部分是“间谍”的作用，我的爱好等信息已经通过它，在不知不觉中传递给了那些网站和广告商。

　　人类的行为本身是很有关联性的，也容易从数据中来推测，比如我热衷于可以超频的CPU，根据统计，这样的爱好者也会对相关的降温设备感兴趣，于是广告商也会向我推荐这类产品，我不仅不会反感，甚至可以说很愿意看到。

　　你可以设想一下，如果间谍软件只是悄悄运行，不影响你的正常使用，也不会盗取那些口令或密码，但却能够让网络变得“懂事”，提供符合你口味的信息、书籍或者其他产品，而不用你费尽心力地在网络上反复搜索，你难道不愿接受吗?

　　但换个角度来说，关键的症结就在于，我们怎么确定“间谍”是在做我们允许它做的事情，我们怎么知道在赏心悦目的花朵之下，没有伤人的剑刃?

　　现在的互联网，稀缺的不是眼球，因为它很容易来，也很容易流走;稀缺的也不是“芙蓉姐姐”似的噱头，因为个性的张狂早已随处可见;互联网稀缺的是信任，人与人的信任、企业与企业的信任、用户对厂商的信任，而正是这种信任的缺失，才赋与了“安全”在网络时代非同寻常的意义。

上一页  [1] [2]