“百度被黑”事件分析與對策研究報告

“百度被黑”事件分析與對策研究報告

一、事件概述：2010年1月12日上午6點左右起，全球最大中文搜索引擎百度突然出現(xiàn)大規(guī)模無法訪問，主要表現(xiàn)為跳轉(zhuǎn)到一雅虎出錯頁面、伊朗網(wǎng)軍圖片，出現(xiàn)“天外符號”等，范圍涉及四川、福建、江蘇、吉林、浙江、北京、廣東等國內(nèi)絕大部分省市。這次百度大面積故障長達(dá)5個小時，也是百度2006年9月來最大一次嚴(yán)重斷網(wǎng)事故，在國內(nèi)外互聯(lián)網(wǎng)界造成了重大影響，后百度公告稱域名在美注冊商處遭非法篡改，正在處理。二、事件過程：1、2010年1月12日上午約6點起，百度域名DNS服務(wù)器被劫持更換，同時主域名已經(jīng)被解析到一個荷蘭的IP；2、域名被更換后，訪問百度時頁面自動跳轉(zhuǎn)到一租用雅虎服務(wù)器的空間；該IP的網(wǎng)站實際使用英文yahoo下的租用空間，因此訪問百度旗下網(wǎng)站時，會出現(xiàn)英文yahoo的出錯信息頁面；3、由于頁面請求數(shù)量過于龐大導(dǎo)致雅虎服務(wù)器癱瘓或者流量超限，服務(wù)器癱瘓；4、服務(wù)器癱瘓后，訪問百度的網(wǎng)民頁面自動跳轉(zhuǎn)到雅虎的提示頁面；5、在超限之前，部分網(wǎng)民伊朗網(wǎng)軍的黑客頁面，攻擊者在百度首頁自稱是“IranianCyberArmy”的組織承認(rèn)篡改了百度主頁，并留下阿拉伯文字；7、2010年1月12日上午近10點，百度相關(guān)人士出面表示，故障“還在查，目前原因不知”，此前均表示不知情或拒接電話；8、2010年1月12日上午約11點起，部分地區(qū)陸續(xù)恢復(fù)正常訪問；9、下午起，百度正在陸續(xù)恢復(fù)域名解析，所以也出現(xiàn)了各地逐漸恢復(fù)訪問的情況；10、根據(jù)解析速度，如不出意外，全世界將在48小時內(nèi)全部恢復(fù)訪問。二、劫持過程：域名劫持只能在特定的網(wǎng)絡(luò)范圍內(nèi)進(jìn)行，所以范圍外的域名服務(wù)器(DNS)能還回正常IP地址。其一般步驟如下：1、獲取劫持域名注冊信息：首先攻擊者會訪問域名查詢站點，通過MAKECHANGES功能，輸入要查詢的域名以取得該域名注冊信息。2、控制該域名的E-MAIL帳號：此時攻擊者會利用社會工程學(xué)或暴力破解學(xué)進(jìn)行該E-MAIL密碼破解，有能力的攻擊者將直接對該E-MAIL進(jìn)行入侵行為，以獲取所需信息。3、修改注冊信息：當(dāng)攻擊者破獲了E-MAIL后，會利用相關(guān)的MAKECHANGES功能修改該域名的注冊信息，包括擁有者信息、DNS服務(wù)器信息等。4、使用E-MAIL收發(fā)確認(rèn)函：此時的攻擊者會在信件帳號的真正擁有者之前，截獲網(wǎng)絡(luò)公司回潰的網(wǎng)絡(luò)確認(rèn)注冊信息更改件，并進(jìn)行回件確認(rèn)，隨后網(wǎng)絡(luò)公司將再次回潰成功修改信件，此時攻擊者成功劫持域名。三、影響分析：(一)對百度自身影響分析“全球最大中文搜索網(wǎng)站”技術(shù)形象有損，該事件或?qū)⒁l(fā)進(jìn)一步的攻擊。百度作為中國代表性的互聯(lián)網(wǎng)企業(yè)，卻遭受多次被黑事件，且這次故障恢復(fù)時間長達(dá)5小時，折射出百度對安全技術(shù)投入和應(yīng)急準(zhǔn)備明顯不足。而包括國外網(wǎng)絡(luò)軍隊在內(nèi)的各種黑客看到百度是如此的脆弱，可能會發(fā)起對國內(nèi)網(wǎng)絡(luò)更大規(guī)模的攻擊。(二)對其他搜索引擎影響分析百度無法訪問后，谷歌、愛問、有道、搜搜、中國雅虎等其他搜索引擎訪問量都出現(xiàn)激增情況，而且“百度”成谷歌今日上升最快關(guān)鍵詞。“此消彼長”，這也從另一面說明搜索市場整體競爭劇烈。另據(jù)權(quán)威“搜索榜”()數(shù)據(jù)監(jiān)測顯示，2010年1月11日各主流搜索引擎份額分別為，百度占55.65%，谷歌占17.93%，搜狗、搜搜、微軟bing和有道分別占7.72%，7.61%、7%和4.08%。對此，我們預(yù)計1月12日“搜索榜”份額甚至排名將出現(xiàn)重大變化，谷歌等其他搜索引擎的訪問量與份額比例有望明顯上升。(三)對門戶網(wǎng)站影響分析調(diào)查顯示：目前搜索引擎給門戶網(wǎng)站帶來的流量占到20%左右，部分甚至占到40%，而其中百度帶來的流量要占70%，google大于20%。百度無法訪問后，四大門戶、各大行業(yè)網(wǎng)站等均遭受不同程度的損失，流量受到一定影響，由于百度訪問障礙時間較長，從明天的alexa排名來看，國內(nèi)門戶網(wǎng)站將普遍會略有所下降。在此次百度被黑事件里，四大門戶中流量較大的騰訊、新浪受到影響較少，預(yù)計流量將下降大約在5%左右，而搜狐和網(wǎng)易受到的影響可能會稍大些，預(yù)計流量將會下降10%左右。(四)中小網(wǎng)站影響分析中小網(wǎng)站由于搜索引擎依賴度較高，遭受的直接影響最大，如音樂類搜索方面，主要集中于百度(百度MP3)、搜狗、中搜等多家綜合搜索引擎帶來的下載量，而百度就占到80%左右。此外，這次百度被黑事件將明顯對數(shù)百萬中小網(wǎng)站造成心理上的負(fù)面影響。(五)對網(wǎng)民影響分析百度等知名互聯(lián)網(wǎng)企業(yè)遭受域名劫持，使得普通用戶上網(wǎng)安全更難保障，黑客極容易將木馬等惡意程序植入。但同時，該事件對網(wǎng)民上網(wǎng)安意識與防范意識起到了警示作用。(六)對客戶影響分析百度盡管用“鳳巢”替代競價排名，但其商業(yè)模式還是點擊產(chǎn)生付費，在這次長達(dá)5小時的被黑事件中，將會對數(shù)十萬的百度企業(yè)客戶造成心理上的負(fù)面影響，若在線模式被黑客入侵，將會遭受慘重的損失，甚至在被黑客連續(xù)的攻擊下無法持續(xù)經(jīng)營，破產(chǎn)關(guān)門。(七)對互聯(lián)網(wǎng)業(yè)界影響分析(1)DNS根服務(wù)器設(shè)置：因為DNS服務(wù)是互聯(lián)網(wǎng)的基礎(chǔ)服務(wù)，不是個人或者小公司負(fù)責(zé)的業(yè)務(wù)，所以DNS被劫持再次說明國內(nèi)的基礎(chǔ)服務(wù)安全防范意識不高。除了日常做好服務(wù)器基礎(chǔ)安全漏洞的跟進(jìn)和修復(fù)外，更需提高互聯(lián)網(wǎng)安全意識。(2)網(wǎng)絡(luò)安全警鐘：從現(xiàn)象上看，這次百度被黑這個域名在根域解析上被黑客控制(這個域名是美國管理的)，不只是國內(nèi)的互聯(lián)網(wǎng)廠商需要增強(qiáng)防范意識，而是整個國際互聯(lián)網(wǎng)社會同樣面臨著網(wǎng)絡(luò)安全威脅。(3)域名爭論：百度域名遭篡改本質(zhì)原因在于域名注冊商系統(tǒng)存在漏洞，域名注冊商是美國的REGISTER.COM。律師于國富認(rèn)為，百度應(yīng)該起訴位于美國的國際域名管理機(jī)構(gòu)。此前，另一家互聯(lián)網(wǎng)巨頭QQ已經(jīng)將域名從國外轉(zhuǎn)移到國內(nèi)。這次被攻擊事故發(fā)生后，百度方面是否會立即采取轉(zhuǎn)移行動也成為了業(yè)界關(guān)注的焦點。四、相關(guān)案例：(一)2000年8月31日新浪網(wǎng)曾“被黑”；(二)2006年9月12日，百度遭黑客攻擊，導(dǎo)致百度搜索服務(wù)在全國各地出現(xiàn)了近30分鐘的故障，在對百度服務(wù)器執(zhí)行“Ping”命令時發(fā)現(xiàn)域名丟包率達(dá)到100%；(三)2008年12月2日，中國中央電視臺的官方網(wǎng)站CCTV的音樂頻道被一名自稱“小波”的黑客侵入并修改了頁面，并留下挑釁的字語。(四)2009年8月，Twitter和社交網(wǎng)站Facebook分別遭遇黑客攻擊，致使Twitter服務(wù)癱瘓，而Facebook也嚴(yán)重受創(chuàng)，服務(wù)速度大為減慢；(五)2009年5月，美國網(wǎng)絡(luò)搜索引擎巨頭Google遭遇黑客攻擊，其阿爾及利亞、波多黎各和摩洛哥、烏干達(dá)等地的域名主頁均發(fā)生過被黑客劫持的情況；五、分析師十大觀點：(1)暴露了國內(nèi)互聯(lián)網(wǎng)企業(yè)安全隱患?！鞍俣缺缓凇笔录旧肀┞读宋覈ヂ?lián)網(wǎng)企業(yè)諸多問題，不僅是事先安全防范意識和監(jiān)控措施，還有在出現(xiàn)突發(fā)性故障后的應(yīng)急反應(yīng)機(jī)制方面，所以互聯(lián)網(wǎng)企業(yè)需自身提高技術(shù)創(chuàng)新與突破，掌握核心技術(shù)；提高技術(shù)監(jiān)管與防范，設(shè)置預(yù)警方案，比如技術(shù)處理方案、設(shè)置備用域名、公關(guān)關(guān)系處理方案等；(2)互聯(lián)網(wǎng)域名服務(wù)器安全性未受到應(yīng)有重視。此次攻擊黑客利用了DNS記錄篡改的方式。根本原因在于目前互聯(lián)網(wǎng)域名的DNS管理服務(wù)器安全性未受到應(yīng)有的重視。并提醒稱，目前絕大多數(shù)域名都存在類似安全風(fēng)險，使得DNS存在很多安全隱患。(3)搜索引擎市場競爭機(jī)制有待進(jìn)一步完善。搜索引擎是互聯(lián)網(wǎng)的一個核心節(jié)點，是網(wǎng)民上網(wǎng)不可缺少的工具。在短時間內(nèi)，而百度作為中國搜索引擎的“旗艦”，被破壞后的替代品竟是谷歌，國內(nèi)其他搜索引擎有道等沒有扮演谷歌的角色。(4)互聯(lián)網(wǎng)產(chǎn)業(yè)網(wǎng)絡(luò)安全亟待進(jìn)一步加強(qiáng)。互聯(lián)網(wǎng)戰(zhàn)場是未來各國必爭之地，未來的“網(wǎng)絡(luò)戰(zhàn)爭”也很有可能打響?；ヂ?lián)網(wǎng)產(chǎn)業(yè)直接影響該國的社會和經(jīng)濟(jì)等諸多領(lǐng)域，甚至造成大面積的行業(yè)癱瘓，這影響不亞于國家基礎(chǔ)產(chǎn)業(yè)和戰(zhàn)略產(chǎn)業(yè)被人牽制、乃至控制。(5)即使企業(yè)網(wǎng)站安全級別很高，技術(shù)精良，但仍存在薄弱環(huán)節(jié)，需進(jìn)一步調(diào)整、鞏固和加強(qiáng)互聯(lián)網(wǎng)結(jié)構(gòu)。(6)從該事件引發(fā)的種種“連鎖反應(yīng)”，也從側(cè)面反映了搜索引擎作為用戶使用全球互聯(lián)網(wǎng)的一“節(jié)點”的重要地位。而百度，無疑已深入中國網(wǎng)民的生活，與網(wǎng)友的生活密不可分。換句話說，互聯(lián)網(wǎng)已經(jīng)深入到每個人的工作、學(xué)習(xí)、商務(wù)、休閑的每一個環(huán)節(jié)。(7)因為百度龐大的用戶群體、市場占有率等因素以及媒體關(guān)注度，使他具有很高的媒體關(guān)注度，若加之百度運作合理，百度極有可能成為“2010十大網(wǎng)絡(luò)事件”，若百度運作得到，力挽狂瀾，還有可能成為網(wǎng)絡(luò)營銷的經(jīng)典案例。(8)面對當(dāng)前國際政治經(jīng)濟(jì)局勢的錯綜復(fù)雜，部分極端分子通過攻擊一些具有全球影響力的大網(wǎng)站的手段來彰顯自己的影響力、開展政治宣傳、甚至向異己示威并進(jìn)行要挾，其影響力效果，甚至可能不亞于制造一個類似911的事件。(9)由于目前我國沒有DNS根服務(wù)器(全世界13臺DNS根服務(wù)器均設(shè)在美國)，我國的DNS請求實際上由一臺臺鏡像服務(wù)器負(fù)責(zé)處理，鏡像服務(wù)器分布于世界各地，由國家專屬機(jī)構(gòu)負(fù)責(zé)維護(hù)。(10)眾所周知，國際互聯(lián)網(wǎng)技術(shù)和游戲規(guī)則都是美國人制定和把控的，我們沒有核心技術(shù)。與2009年5月30日轟動一時的“微軟封殺五國MSN服務(wù)事件”(事件詳情：/zt/msn/)道理如出一轍，這次“百度事件”再次提醒并鞭策我們：落后與被動只能處處挨打，中國的互聯(lián)網(wǎng)企業(yè)不僅需要不斷提高技術(shù)創(chuàng)新與監(jiān)管力度，還是牢牢把握互聯(lián)網(wǎng)話語權(quán)和規(guī)則制定權(quán)，爭取自主知識產(chǎn)權(quán)，才能加強(qiáng)信息安全，也才能使得我們的互聯(lián)網(wǎng)產(chǎn)業(yè)是真正自主可控，也才能長期穩(wěn)定、持續(xù)與健康發(fā)展的。六、名詞解釋：1、域名劫持：是在劫持的網(wǎng)絡(luò)范圍內(nèi)攔截域名解析的請求，分析請求的域名，把審查范圍以外的請求放行，否則直接返回假的IP地址或者什么也不做使得請求失去響應(yīng)，其效果就是對特定的網(wǎng)址不能訪問或訪問的是假網(wǎng)址。2、DNS：是“域名系統(tǒng)”(DomainNameSystem)的縮寫，該系統(tǒng)用于命名組織到域?qū)哟谓Y(jié)構(gòu)中的計算機(jī)和網(wǎng)絡(luò)服務(wù)。在Internet上域名與IP地址之間是一對一(或者多對一)的，域名雖然便于人們記憶，但機(jī)器之間只能互相認(rèn)識IP地址，它們之間的轉(zhuǎn)換工作稱為域名解析，域名解析需要由專門的域名解析服務(wù)器來完成，DNS就是進(jìn)行域名解析的服務(wù)器。3、根服務(wù)器：要用來管理互聯(lián)網(wǎng)的主目錄，全世界只有13臺。1個為主根服務(wù)器，放置在美國。其余12個均為輔根服務(wù)器，其中9個放置在美國，歐洲2個，位于英國和瑞典，亞洲1個，位于日本。所有根服務(wù)器均由美國政府授權(quán)的互聯(lián)網(wǎng)域名與號碼分配機(jī)構(gòu)ICANN統(tǒng)一管理，負(fù)責(zé)全球互聯(lián)網(wǎng)域名根服