廈門市物業管理信息系統的威脅模型分析與安全解決方案的設計與實施(二)

大部分病毒攻擊已經被編寫者確定，只是機械性的執行,但入侵則是人為攻擊策略靈活多變。現在的黑客已經從業余發展到越來越專業化。動機已發生本質的變化，早期黑客僅為炫耀一下自己高超的技術或發泄一下情緒而已，現在的黑客憑借技術大發不義之財。網絡產業逐步走向規范化，相應的立法也日趨完善。但黑客還是廣泛存在的。一般來講，只要不給黑客創造成熟條件，一般的入侵或攻擊是難以實現的。

E、復合性威脅

復合性威脅并非出現在規范的廣義里的，但現實應用中，任何威脅都以復合形式出現。試想，一次完美的入侵，并非一個單一的條件就可發生的，需要其他條件的配合。因此，多數的威脅屬于復合性威脅。 

（二）物業管理信息系統內部網絡威脅

對物業管理信息系統內部網絡常見的威脅主要是以下幾點：

1、建立內部攻擊模型的方式

網絡信息系統的內部攻擊是其使用者或設計者進行的，這與來自外部的攻擊有很大的差異，單純從技術的角度去認識，并不能全面反映內部攻擊的真相而必須以人為中心開展研究。因此，研究內部攻擊的方式是圍繞網絡信息系統中人的因素，建立了構成內部攻擊的必要因素的圖示模型和反映這些因素的作用方式的內部攻擊的綜合圖示模型，從安全鏈中經常處于最薄弱的環節的人的方面考查網絡信息系統的安全。

2、構成內部攻擊的必要因素模型

A、內部攻擊的相關概念的定義

內部人員：任何執行未授權行為的授權用戶。

內部攻擊：授權用戶執行未授權行為導致計算機資源失去控制。

B、哪些人可能成為內部攻擊者

在一個組織（單位等）內每天與計算機關聯的員工有很多，但是只有其中的一部分信息技術工作人員將成為內部攻擊者的最大嫌疑，這類工作人員設計、維護或管理重要的信息系統，對系統的工作原理和脆弱之處非常了解，他們熟悉組織結構，也知道系統是如何針對其行為進行調查的，并擁有對系統進行嚴重的攻擊所需要的必要的技巧和機會。典型的代表是網絡系統管理員，系統編程人員及技術支持人員，此外，還有另一些 人如臨時雇員、合作伙伴、顧問、前雇員等，他們出于個人的特 殊的目的如報復、經濟目的、機構變更甚至是吸引公眾注意等，也可能進行內部攻擊。

C、內部人員進行內部攻擊的原因

大量的案例分析和調查研究表明導致內部人員進行內部攻擊的原因來自于員工的個人因素和組織的管理缺陷兩方面。

C1、個人因素

信息系統的使用者是人，其功能只是人們意志的體現。因此，研究人的本性是研究信息系統的內部攻擊的關鍵，并且這些本性決定了內部攻擊的動機。社會心理學領域研究了人類群體之間和個體之間的交互作用，這些研究表明任何一個處于合適位置并具有很高技能的人均能被某種特定的方式影響其行為，而這種特定的方式可以來自情感方面、道德方面、心理方面或者性格方面等。在總結了多數有代表性的內部攻擊的特點后可以歸納出導致內部攻擊的七方面的個人因素同時也體現了環境因素：

（1）內向的性格。具有內向的性格的計算機技術人員總是沉迷于由概念和觀點組成的“自我”世界而不是由形形色色的人構成的外部世界。他們喜歡獨立，對外部刺激反應很大。于是，在性格開朗的員工身上十分明顯的員工不滿情緒的信號在性格孤僻者身上將不容易觀察到。事實上，這些不滿情緒只會在網絡上顯現，那就是性格內向者對管理制度的挑戰—網絡攻擊。

（2）生活挫折給個人留下的心理創傷。那些曾經歷過與家 庭、同事或合作者發生過劇烈爭執、婚姻破裂等挫折或者是自幼成長在缺乏關愛的環境中的員工具有容易發怒的傾向，尤其對領導充滿敵意并時常與同事孤立。這些性格特點使他們在工作中容易產生疏遠感、不滿感和失落感，于是，當工作中的問題發生時，他們將不太情愿信任并與上司協作解決，相反他們選 擇的是利用內部攻擊進行打擊報復。

（3）對計算機的迷戀。隨著計算機在世界范圍內的普及，一部分員工對計算機具有上癮般的依戀并表現出對因特網上的在線經歷同樣的癡迷。這些人甚至承認互聯網將取代直接的人際交往，他們最大的興趣是瀏覽網絡并攻破各種安全代碼。可以想見由于長時間在組織內工作，他們很容易將挑戰和擊潰組織內的信息系統的安全措施作為尋求刺激的方式。

（4）道德觀念的淡薄。網絡化的潮流使人們逐漸習慣于從網絡上尋找并共享各種資源的工作、生活方式，而這種潮流在一定程度上造成了網絡邊界的模糊和道德界限的淡薄，一些網絡使用者形成了窺探甚至于剽竊別人的文件不會造成任何真正破壞的觀點，相應地將侵犯和盜竊隱私權的行為也合理化。具有這樣的松散的道德觀念的員工很可能利用工作之便越權 使用未授權的資源。

（5）對組織的忠誠程度的降低。員工對某個組織的忠誠正越來越受到他們在該領域頻繁地更換崗位的挑戰。促使更換崗位的原因可能來自兩方面，一方面，計算機技術人員更愿意選擇與支付他們更多報酬的雇主合作；另一方面，有些從業者則看重計算機技術本身，他們對以原代碼形式存在的智力資源的“所有權”的模糊也導致雇主和計算機專業人員間更多的矛盾。這種矛盾的激化必將導致忠誠度的降低，那么當員工決定脫離 某組織時很容易進行內部攻擊。

（6）日益膨脹的所謂“權力感”。“權力感”與自我陶醉結合在一起，特指那種認為自己很特殊并具有自以為是的天賦和才干，而這些特殊性并不被其他人認可。于是，當某些員工群體具有這種懷才不遇的感覺并與早已存在的對上司的不滿結合在一起時，很容易使他們產生一種曾經受到不公正待遇的想法，那么他們進行內部攻擊以報復是理所當然的。

（7）同情心的缺乏。進行過內部攻擊的員工從沒顧及過他們的行為對國家、企業造成的危害，也從未想象過受到傷害的人的感受。這種同情心的缺乏也許與他們的家庭教育和成長環境有關，但它與自我迷戀和反社會的個性是相一致的。

C2、管理缺陷

總體上講，關于網絡信息系統的內部攻擊，有三個最普遍的管理缺陷是值得注意的：

(1)管理層總是難以理解處于存在內部攻擊風險的員工的心理狀況和性格特征；

（2）缺乏清晰的、標準化的條例來管理那些能夠造成復雜的誤操作后果的對組織內的信息系統的使用；

（3）不能有效懲罰違反紀律的員工。

D、內部攻擊的必要因素的模型描述

通常情況下，部分或者所有這些個人心理因素、環境因素 以及管理缺陷的單獨存在并不一定造成內部攻擊，更一般的情形是所有這些因素動態相互作用導致本來就具有心理障礙的員工最終對信息系統的入侵攻擊行為發生。盡管促成內部攻擊的因素十分復雜，但根據以上的分析可以概括出一個構成內部 攻擊的必要因素的模型。