网络行为管理系统(终端安全管理系统)

《环球时报》记者13日从有关部门获悉，在美国国家安全局(NSA)对西北工业大学的网络攻击中，名为“饮茶”的嗅探窃取网络武器是导致大量敏感数据被窃取的最直接“元凶”之一。对此，网络安全专家建议，在信息化建设过程中，建议选择国产产品和“零信任”的安全解决方案。

9月5日，中国官方向外界宣布，西北工业大学此前声称遭到了境外网络攻击，攻击者是美国国家安全局(NSA)特定入侵行动办公室(TAO)。此后，国家计算机病毒应急处理中心和北京齐安盘古实验室对入侵做了进一步分析。在最新的调查报告中，美国实施的攻击的技术细节已经公开:在41种网络武器中，名为“喝茶”的嗅探和窃取网络武器是导致大量敏感数据被窃取的最直接“元凶”之一。

据相关网络安全专家介绍，陶将“喝茶”作为嗅探窃取工具，植入西北工业大学内网服务器，窃取SSH等远程管理和文件传输服务的登录密码，从而获取内网其他服务器的访问权限，实现内网横向移动，并向其他高价值服务器发送嗅探窃取、持久控制、隐蔽等其他网络武器，造成敏感数据大规模、持续窃取。

通过技术分析判断，“喝茶”不仅可以窃取服务器上各种远程管理、远程文件传输服务的账号密码，而且具有很强的隐蔽性和环境适应性。据文中网络安全专家介绍，“喝茶”被植入目标服务器和网络设备后，会伪装成正常的后台服务进程，采用模块化的方式分阶段传递恶意负载，隐蔽性强，不易被发现。“喝茶”可以在服务器上秘密运行，实时监控用户在操作系统控制台终端程序上的输入，从中截取各种用户名和密码，就像站在用户背后的“偷窥者”。网络安全专家表示:“一旦这些用户名和密码被陶获得，就可以用于下一阶段的攻击，即利用这些用户名和密码访问其他服务器和网络设备，然后窃取服务器上的文件或传递其他网络武器。”

技术分析表明，“饮茶”可以与其他NSA网络武器有效集成联动，实现“无缝对接”。今年2月，北京赤岸盘古实验室公开了顶级武器“电报行动”(Bvp47)的技术分析，该武器属于美国国家安全局(NSA)的黑客组织，被赤岸盘古用于名为“电报行动”的攻击活动中。在陶对西北工业大学的网络攻击中，“喝茶”嗅探和窃取工具配合Bvp47木马程序的其他组件进行联合攻击。据介绍，Bvp47木马具有极高的技术复杂度、灵活的架构、超高强度的分析取证对抗特性。它与“喝茶”组件配合使用，窥视和控制受害组织的信息网络，秘密窃取重要数据。其中，“喝茶”嗅探木马秘密潜伏在受害组织的信息系统中，负责拦截、记录并发回“战果”——受害者使用的账号和密码，无论是在内网还是外网。

源地图

报道还指出，随着调查的逐步深入，技术小组还在西北工业大学以外的其他机构网络中发现了“喝茶”攻击的痕迹，很可能是因为陶利用“喝茶”对中国发动了大规模的网络攻击。

值得注意的是，在美国对其他国家实施的多起网络攻击中，美国IT行业巨头的身影屡屡出现。比如“棱镜”项目，美国情报部门拥有高级管理员权限，可以随时访问微软、雅虎、谷歌、苹果等公司的服务器，长期秘密进行数据挖掘。在“影子经纪人”公布的“公式”组织使用的黑客工具中，已经出现了很多微软、思科甚至中国一些互联网服务提供商旗下产品的“零0Day漏洞”或后门。“美国正在利用其在网络信息系统软硬件领域的领先地位。在美国IT行业巨头的全力配合下，它正利用各种尖端网络武器在全球范围内发动无差别的网络攻击，并持续窃取全球互联网设备的账户密码，以便在未来任何时候‘合法’登录受害者信息系统，进行更大规模的盗窃甚至破坏活动。其网络霸权显露无疑。”因此，网络安全专家建议用户加强关键服务器，尤其是网络运维服务器，定期更换服务器和网络设备的管理员密码，加强对内网网络流量的审核，及时发现异常远程访问请求。同时，在信息化建设过程中，建议选择国产产品和“零信任”的安全解决方案。(“零信任”是新一代网络安全保护理念，默认不信任企业网络内外的任何人、设备和系统。)

这位专家进一步指出，无论是数据窃取还是系统破坏或瘫痪，网络攻击都会对网络空乃至现实世界造成巨大破坏，尤其是针对重要和关键信息基础设施的攻击。“网络空很大程度上是物理空之间的映射，网络活动容易跨越国界的特性使其成为持续斗争的先行者。没有网络安全，就没有国家安全。只有发展我们在科技领域的非对称竞争优势，才能建立中国独立的网络防护和对抗能力。”(特约记者袁弘)

来源:环球时报