凯文·凯利——预测未来的12个趋势

网络钓鱼攻击

网络钓鱼攻击仍然是最受欢迎的网络攻击工具。为了进行更具有危害性的攻击或者行动，通常需要打开进入目标企业的“大门”，一般情况下都使用钓鱼邮件。比如在2016年，全球太阳能电池板制造商旭乐公司内一名员工收到了自称是CEO的邮件，邮件中提及需要公司内部员工的详细信息，该员工未鉴别真伪便将内部员工的详细信息发送给这位CEO，可这个CEO却是网络犯罪分子，该员工也成了网络钓鱼攻击的受害者，造成了公司机密信息的泄露，也许后续犯罪分子还会有更加疯狂的渗透与攻击行为。

类似于此的网络钓鱼攻击也出现在2015年的乌克兰停电事件中，黑客通过网络钓鱼邮件释放BlackEnergy 3恶意软件并在后续攻击行为中成功取得电力公司工控网络的登入权限，登入SCADA系统后，一个接一个的启动断路器截断电力，同时启用KillDisk恶意软件删除重要日志文件与主引导记录，让电厂员工无法快速恢复电力并进行后期的分析。同时黑客还进行了电话网络的DDoS攻击，让客户及其电厂员工之间难以沟通，因而不易了解状况，找出对策重启电力。钓鱼邮件如下：
 

以制造业为核心的实体经济才是保持国家竞争力和经济健康发展的基础，也正是由于世界各国对于这一理念的普遍认可，才有了德国的工业4.0战略、美国的先进制造业国家战略、印度的国家制造业政策等国家层面的战略规划，我国也提出了中国制造2025计划，并将“以推动信息化和工业化深度融合为主线，大力发展智能制造，构建信息化条件下的产业生态体系和新型制造模式”作为战略任务，来推进工业2.0、工业3.0和工业4.0并行发展。

在以上背景下，全球制造企业面临的网络风险也越来越大。昔日的“孤岛运行”已不复存在，IT和OT边界已经消失，新技术的应用逐步将网络的边界变得模糊。大量工业物联网设备的部署，在增加系统功能、提高生产效率的同时，也带来了诸多漏洞，致使暴露的攻击面逐步扩大。同时伴随着勒索软件的肆虐，各大制造厂商也遭受了不同程度的损失，就在2020年6月本田遭到Snake勒索软件攻击，被迫关停了在美国和土耳其的汽车工厂以及在印度和南美洲的摩托车生产工厂。

本文立足制造业，梳理总结针对制造业的常见攻击类型，最终给出防护的建议。
 

$hash是攻击者自己的fork提交的散列值。

结果假冒者得以代替Friedman使用了一个URL在GitHub上提交了自己的机密代码。

值得一提的是，除了代码安全性的担忧之外，这件事也再度引起了开发者们对GitHub开源态度的关注。长久以来，GitHub 一直因为未公开源代码而饱受诟病，而恰好前几日，GitHub再度因封杀视频神器YouTube-dl而陷入舆论风波。

据了解，此次泄露事件的发生，很可能是这位不知名开发者对封杀YouTube-dl一事的报复。

或许与下架YouTube-dl有关

上个月，在美国唱片业协会(RIAA)的要求下，GitHub 封禁了7.5万Star的热门开源项目 YouTube-dl。
 

上述不明人士顺利提交成功，显然是Friedman没为相关字段建立GPG(General Planning Group)密钥。

那么，在绕过这层限制后，不明人士又是如何提交至存储库，同时又不损害实际存在账户的?据了解，将提交内容上传到Git存储库会得到一个散列，可用于查找树。GitHub是Web应用程序的一部分，提供了对浏览器中底层Git结构的访问权限，因此，它可以将Git存储库的所有分支存储在一个单独的底层存储库中，尽管通常不会在URL结构中显示这种方式。

为了假冒别人的账户，不明人士首先需要克隆一个DMCA储存库。在扩展到存储库之后，再提交泄漏源代码，并伪造成Friedman的姓名和电子邮件地址。这个过程Fork存储库可能会出现错误，换句话说，URL可能依然指向假冒者真正的用户名和账户。

但在底层Git上，父级和Fork都是同一个存储库的一部分，这将允许假冒者创建一个URL，该URL可以在主存储库中提交，而不是在Fork中

（编辑：长春站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!