要是脱离上下文,这就是个武断 ( judgmental ) 的标题。

商业操作系统不对外公开源代码,有很多已知或隐藏的未公布漏洞,甚至已形成了一个地下产业链。虽然 Linux 免费,权限紧还几乎没病毒,但对企业雇主来说,由于缺少应用与开发,多数商业软件无法在 Linux 下运行,对于个人用户,就算能安装发行版 Linux 可后续软件也无以为继,能够获得的那些 alternatives 多数还要自己手动配置,没法友好。

商业操作系统中的隐患主要是系统漏洞,跨平台脚本语言,下载可执行的木马程序,外接存储与打开邮件附件造成的。这其中又以 Windows 最为普遍,Mac 的可运行程序如果来源于 Mac App Store,有沙箱隔离机制,官网下载的应用大多也没问题;软件漏洞和跨平台脚本语言是不管 Mac 还是 Win 的,比如 Flash,PDF 工具,浏览器可执行文件,ActivX 脚本,跨平台的 Java Applet 甚至 Office Macro。只要有软件漏洞,就会有可执行文件,而目前被报告出来的大多数可执行文件还是基于 Windows 平台。

另外一种便是网页钓鱼或邮件钓鱼。严格说起来这些不能算作技术手段,更多偏向于社会工程范畴。iPhone 被偷的人过段时间会收到 「Password Reset」邮件,发件人不是 @apple.com ,链接转向一个非官方域名的仿站,大多没有 SSL,就算是高仿并且 HTTPS 的钓鱼网站,也不可能是 Class 2 以上的证书。

@kamonka 翻译的 NHK『网络冲击波 ~被猎取的日本机密情报~』中,一位日本牙科诊所的医生打开了一封钓鱼邮件中名为“调查问卷”的附件,致使本地的医学研究与临床统计数据被上传,这种定点打击的方式适合高价值目标,结合社会工程,以行业会议学术交流回访为幌子发送带有木马病毒附件的邮件,附件被下载运行后用户数据就回传入侵者指定的服务器。

作为专业的牙科医院,并没有改变医师和雇员使用计算机习惯的打算。于是,网络安全公司的生意便来了,报价不菲,一年要价折合 40 万人民币,可医院员工还在不断打开木马邮件。仔细看了下,是 Outlook。 天哪,云时代还在用 Outlook,Google 在你日本没被屏蔽好不好! 要是那家医院知道 Google Apps for Work 的自有域名邮箱,安全供应商的报价会收敛些吧。Google Apps 邮箱适合任何规模机构,它本身就是 Gmail。如果只要自有域名,Zoho,Yandex 和 QQ 都能实现,但 Google Gmail / Apps 的 Postini Anti-Spam 能最大程度抵御垃圾邮件和恶意附件,再加上加密与安全的特性,不仅被全世界用户所接受,更被中国国家防火墙所认证,可以放心使用。

你不能要求每个员工都能主动识别诈骗与钓鱼,不把自己隐私与企业信息信息到处注册。要是你对他人说「没有 HTTPS 的网站不要注册,真要注册的话,全部用一次性邮箱,想一个毫无关联的新用户名,随机密码」,抱歉,没什么人会听你的。就像那家日本牙科医院的工作人员在明知遭受入侵后还不断打开木马附件一样。 正规邮件服务商绝对禁止上传可执行的附件,钓鱼者必须压缩。纪录片中那家日本牙科医院收到的是 .lzh 这种流行于日本的压缩格式,相当于 .rar 。在 Outlook 这种远古客户端中下载解压然后打开,也同时运行了可执行文件。使用 Google Apps for Work 可以直接在云端的 Google Drive 中预览附件,在 Google Docs 中编辑文件,根本没必要下载到本地运行。有移动办公需求还能在云端完成。

那家诊所认为每年支付 40 万人民币的入侵监测系统和服务价格昂贵,所以就假定它是一家中小企业。对于内外两张网这种保密企业的标配是不现实的,同时那个系统无法根本上杜绝员工随意打开恶意附件,因此我觉得可以这么设计:

  • 企业邮箱与共享办公使用 Google Apps for Work;主页和对外服务器托管躲到 Cloudflare 后防止攻击,启用 CDN。
  • 官网下载 Google Chrome。直接在浏览器端打开 Google Apps 公司邮件,附件转 Google Drive 里预览,在 Google Docs 里在线编辑,全部在浏览器中完成,不允许下载到本地。多说一句,Google Chrome 能拦截并警告带有恶意脚本的网页,减少中马的可能性。
  • 卸载所有如 Outlook 那种的本地邮件客户端,戒掉 Office 依赖症,文字处理不需要用到庞大的 Office,用 PDF 作为标准输出格式。鼓励员工使用 Markdown。除去相关财务人员或者做些小规模期权投资的,大部分人不会去调用 Office VB。培训员工使用 Google Docs,充分发挥 Google 整个套件的功能,节省下购买 Office License 的成本。真要使用 Office,用 LibreOffice 或 OpenOffice。
  • 统一严格控制计算机权限,禁止私自安装软件。
  • 在网络端屏蔽非标准端口,或按需开放,比如 IM 内部通讯。
  • 鼓励转移到 Mac 平台,并购买虚拟机软件 License,毕竟多数临床研究和医学统计软件多为 Windows 开发。Stata / SAS / SPSS 虽然也有 Mac 版,可 License 不便宜,转去虚拟机后依然跑在 Windows 下。R 之类的可以无痛迁移去 Mac。虚拟机与操作系统严格隔离,不允许互相访问共享剪贴板。
  • 考虑对磁盘全盘加密,可以在性能与安全之间权衡,定期检测是否有病毒驻留内存读取加密密钥。
  • 尽量使用沙盒,有安全顾虑的直接在 Mac Appstore 购买,受制于功能的再去开发商官网购买。

因为在日本,Google 访问速度极佳,不会去考虑 Office 365,虽然都能做邮件和云端文件共享编辑,但是 Anti-Spam / Malware 与 Gmail 没法比,收费策略也多,价格比 Google Apps 贵上不少。同等服务下,Google Apps for Work 5美元 / 每人每月,Office 365 12.5美元 / 每人每月。虽然我并不是出生论者,但是一个靠卖单机拷贝起家与一个从出生到成长都浸淫在互联网云服务里的两家企业,产品使用感受的区别不言自明。

往高了算,假设牙科诊所 100 人 ,每月 500 美元,Google Apps for Work 每年才 4 万人民币不到的价格, 是纪录片中那个商业入侵检测系统的 1/10,客服 24×7 在线,还能更好杜绝恶意邮件,不需要受制于入侵监测系统的软硬件。事实上,Google Apps for Work 的介绍页面上已经有了兵库县红十字医院的 Reference Case,超过 300 名员工规模的大医院,有着各种临床研究,不会比纪录片中那家牙科专科医院小。

由于中国网络环境和国家防火墙,写了那么多,不可能是在推销大多数人不能使用的服务,只是有感于在日本无墙的网络环境下,经受过科学训练的专业化人士仍旧对网络攻击一筹莫展,甚至还在使用 Outlook 这种本地邮箱客户端。那 40 万 / 每年看似专业的解决方案,对于中小企业或创业型企业,无法从根本上解决困扰,可以说是知识结构与观念的落后所需要支付的成本。企业是不是该砸了那些角落里的服务器,把部署在上面的应用与数据库移植到云端,再提升下网络接入速度呢?不由想到了 36氪上的一篇文章,里面写道:

Druckenmiller 说,“如果你今天开一个公司,你不需要一个技术部,你不需要后台支持,你可以用 AWS (亚马逊的云服务)。顺便跟你说,AWS 可以把 10-15 个 IBM 的顾问撕成碎片。(这些顾问)你以前需要,现在不需要了,因为你用云计算。”

云,能干掉一切。