Google经历APT攻击后的安全防护思考

以下内容改编自全球事务总裁肯特·沃克在 2022年 7 月 19 日举行的2022 年网络安全国际会议上的讲话。

感谢您有机会参与这次有关网络安全的重要对话。

在 Google，我们很自豪地说，我们比世界上任何其他人都让更多的人保持在线安全。但情况并非总是如此。

因此，让我首先告诉你一个关于我们如何做错的故事，以及我们都可以从那次经历中学到的两件事。我爸爸总是告诉我，从别人的错误中吸取教训是最便宜的。所以让我告诉你我们的一个。

你们中的一些人可能还记得，在 2009 年末，谷歌是一次重大网络安全攻击的受害者，代号为 Operation Aurora。

长期以来，我们拥有一些世界上受攻击最严重的网站。但奥罗拉很特别。

Aurora 是由中国政府发起的攻击，是一起导致谷歌知识产权被盗的重大安全事件。

但极光不仅仅是任何安全事件。这不仅仅是针对谷歌。

作为我们调查的一部分，我们发现其他几家知名公司也受到了类似的攻击。其他公司要么没有发现这些攻击，要么不想披露它们。当我是一名专门从事技术犯罪的联邦检察官时，我们遇到的最大挑战之一是让公司上市，甚至向当局求助。

因此，我们认为谈论这次攻击很重要——向全世界介绍它的影响、黑客的方法以及面临风险的部门。

我们与美国政府合作分享威胁媒介和漏洞。

我们并没有就此止步：在 Aurora 之后，我们成立了一个名为Project Zero的整个团队，以发现并及时披露我们自己和其他公司软件中以前未被发现的零日漏洞，从而提高每个人的安全标准。

如今，Google 的威胁分析小组(TAG) 致力于应对一系列持续存在的威胁，从政府支持的攻击者到商业监控供应商再到犯罪分子。TAG 定期公开披露外国攻击者的攻击，包括进行艰巨的归因工作。

所以我想说，Aurora 攻击的第一个持久教训是需要将开放性和透明度融入网络安全响应的结构中。这并不总是舒服的工作——在此过程中，我们不得不与合作伙伴和我们自己的团队进行一些艰难的对话——但有必要推动行业向前发展并确保快速修复错误，然后才能在野外利用它们.

在随后的几年中，我们制定了一些原则，以确保我们能够负责任地、透明地和有帮助地与公众、我们的合作伙伴和执法部门分享有关漏洞、网络攻击（例如对选举的攻击）和虚假宣传活动的知识.

反过来，美国政府也建立了自己的流程，以促进与行业合作伙伴的更多信息共享，以加快保护我们所有人的补丁程序。

但透明度的价值并不是我提出 Aurora 故事的唯一原因。

Aurora 不仅教会了我们拥抱透明度的必要性，还教会了我们第二个，甚至更重要的一课：在安全架构方面什么有效，什么无效。

仅对信息共享进行过度索引是可能的。

在某些方面，关注软件安全的基础对于将我们所有人提高到我们今天看到的不安全水平之上更为重要。

我们策划和使用威胁情报来保护数十亿用户——并且已经这样做了一段时间。但您需要的不仅仅是智能，而且您需要的不仅仅是安全产品——您需要安全产品。

必须内置安全性，而不仅仅是固定。

Aurora 向我们展示了我们（以及业内许多人）在网络安全方面的做法是错误的。

那时的安全通常是“外面脆，中间有嚼劲”。非常适合糖果棒，但对于防止攻击不太好。我们正在建造高墙以将不良演员拒之门外，但如果他们越过这些墙，他们就有了广阔的内部通道。

这次攻击帮助我们认识到我们的方法需要改变——我们需要在设计上加倍提高安全性。

我们需要一个面向未来的网络，它反映了互联网的开放性、灵活性和互操作性，以及人们和组织已经越来越多地工作的方式。

简而言之，我们知道我们必须重新设计云的安全性。

因此，我们发起了一项名为BeyondCorp的内部计划，该计划开创了零信任和深度防御的概念，并允许每位员工在不使用 VPN 的情况下在不受信任的网络上工作。今天，世界各地的组织都在采用同样的方法，将访问控制从网络边界转移到个人和数据。

如果您快进到今天的混合云环境，零信任是必须的。

零信任的核心是安全没有明确边界的想法。它与用户和数据一起旅行。例如，随着政府推动政府系统的多因素身份验证，我们会自动为用户注册两步验证，以在他们登录我们的产品时通过点击手机确认确实是他们。

实际上，这意味着员工可以在世界任何地方工作，通过互联网访问最敏感的内部服务和数据，而不会牺牲安全性。这也意味着，如果攻击者碰巧突破了防御，他们就无法全权访问内部数据和服务。

公司、组织或政府为防御网络攻击所能做的最有影响力的事情就是升级他们的传统架构。

总是很容易吗？不，但是当您考虑到具有数百万行专有代码的遗留架构具有数以千计的错误，每个错误都是潜在的漏洞时，这是值得的。

除了更换现有管道之外， 我们还需要考虑下一个挑战，并部署最新的工具。

就像世界竞相升级加密以应对量子解密的威胁一样，我们需要投资尖端技术，以帮助我们在日益复杂的威胁面前保持领先。

好消息是网络安全工具正在迅速发展，从人工智能功能到高级密码学，再到量子计算。

如果今天我们谈论设计的安全性，那么接下来是通过创新来实现安全性——在设计时考虑到人工智能和机器学习的安全性——旨在使用新工具来对抗不良行为者，以逃避过滤器、侵入加密通信并生成定制的网络钓鱼电子邮件。

我们有一些业内最好的 AI 工作，我们正在测试新方法并使用我们的一些领先的 ​​AI 工具来大规模检测恶意软件和网络钓鱼。人工智能使我们能够更快地发现更多威胁，同时减少人为错误。人工智能、图挖掘和预测分析可以显着提高我们识别和阻止网络钓鱼、恶意软件、滥用应用程序和恶意网站代码的能力。

我们期待分享更多我们的发现，以便组织和政府做好准备。毕竟，现在不是锁定学习或成功技术的时候。不良行为者不仅在寻找利用您未知漏洞的方法。与 Hafnium 和 SolarWinds 一样，他们正在寻找安全链中的薄弱环节，让他们从一次攻击跳到另一次攻击。一个组织的漏洞可能会对整个行业和基础设施造成损害。

网络安全是一项团队运动，我们都需要一起变得更好，不仅在安全社区内部，而且在国家安全社区与学术界和硅谷之间建立桥梁。

从一个故事开始，让我给​​你们讲另一个故事——网络安全和俄罗斯在乌克兰的战争。

自 Aurora 以来，我们的方法发生了很大变化。也许没有比我们对乌克兰战争的反应更能说明这种转变的例子了。

俄罗斯的入侵引发的，不仅是一场军事和经济战，还有一场网络战和信息战。最近几个月，我们目睹了越来越多的威胁行为者——国家行为者和犯罪网络——利用战争作为网络钓鱼和恶意软件活动的诱饵，开始从事间谍活动，并试图散布虚假信息。

但这一次，我们准备好了现代化的基础设施和监控和响应威胁发生的流程。

我们已经向外国行为者针对的用户发送了数千条警告——这是我们在 Aurora 之后开创的做法。在绝大多数情况下，我们已经阻止了攻击。

我们启动了 Project Shield，不仅将记者，而且将乌克兰的易受攻击的网站置于 Google 的安全保护伞之下，以抵御 DDOS 攻击。虽然您可以对小型网站进行 DDOS，但事实证明，对 Google 进行 DDOS 非常困难。我们中断了来自白俄罗斯的演员 Ghostwriter 的网络钓鱼活动。我们还帮助乌克兰政府对其网络基础设施进行了现代化改造，帮助加强其抵御攻击的能力。

我们很自豪我们是第一家获得乌克兰政府特别和平奖以表彰这些努力的公司。

但这项工作还远未完成。

即使是现在，我们也看到有报道称，克里姆林宫可能正计划在东欧及其他地区加强攻击并协调虚假宣传活动，以试图分裂和破坏西方对乌克兰的支持。事实上，就在今天，我们的 TAG 团队发布了一份关于与俄罗斯联邦安全局、FSB 和威胁行为者有关的威胁组织的活动的新报告，该组织使用网络钓鱼电子邮件针对政府和国防官员、政治家、非政府组织、智库和记者。

而且，放眼俄罗斯和乌克兰之外，我们看到来自伊朗、中国和朝鲜的威胁不断增加。

Google 是一家引以为豪的美国公司，致力于捍卫民主以及全世界人民的安全和保障。

我们相信网络安全是我们面临的最重要的问题之一。

这就是为什么我们在未来五年投资 100 亿美元来加强网络安全，包括扩大零信任计划、帮助保护软件供应链以及增强开源安全性。

这就是为什么我们刚刚创建了一个新部门——谷歌公共部门——专注于支持与美国政府的合作。这就是为什么我们总是对与公共部门建立新的合作伙伴关系和项目持开放态度。

近年来，我们与FBI 的外国影响特别工作组合作，以识别和对抗针对美国的外国影响行动。我们与NSA 的网络安全合作中心合作。我们加入了联合网络防御协作组织，以帮助保护关键基础设施并改善对全国范围内事件的集体响应。

让我们的整个数字经济处于领先地位至关重要。并且取得了一些令人鼓舞的进展。例如，我们很高兴看到上周网络安全审查委员会报告深入调查了 log4j 漏洞并就如何改善生态系统提出了重要建议。

我们需要更多。

展望未来，我们防止网络攻击的集体能力将不仅来自透明度，还来自于加强我们防御的承诺——摆脱传统技术、实现基础设施现代化以及投资尖端工具来发现和阻止未来的挑战.

我们无法用昨天的工具战胜明天的威胁。我们需要集体行动来加强我们的数字防御。但是通过利用美国的集体能力和优势，我们可以为我们所有人实现更高水平的集体安全。

谢谢你。