游戏安全资讯精选 2017年 第6期 网络安全上榜五大稀缺职业
发布时间：2017-09-05 16:37
摘要： Akamai报告称游戏是流量型攻击的主要受害者，英国二手游戏经销商CeX漏洞遭利用，MongoDB等数据服务被劫持勒索风险预警，网络安全上榜五大稀缺职业
【每周行业DDoS攻击态势】
【游戏安全动态】
Akamai发布2017年Q2互联网安全态势报告，游戏是流量型攻击的主要受害者。点击查看原文
点评：其中比较有趣的发现是：在Q2的 4051次DDoS攻击中，99%是流量型攻击Q2，DDoS 攻击数目增加了约 28% ，打破了前三个季度，DDoS 攻击数量连续下降的趋势；流量型攻击中，来自埃及的源IP占源IP总数的32%；流量型攻击中，游戏类客户是主要的受害者，占比81%。阿里云日前发布的2017年上半年游戏行业DDoS态势报告中，也曾强调游戏行业，尤其是棋牌行业是流量攻击的重灾区。
Google下架300款被利用于发起WireX攻击的App，并对安卓移动设备使用“Play Protect”认证标示，挽回失去的用户信任。点击查看原文
概要：上周我们提到，由多家安全公司组成的一个安全研究小组发现，目前网络上广泛传播着一个新的僵尸网络 WireX，被杀毒工具检测识别为“Android Clicker”，主要包括运行从谷歌商店下载的数百个恶意软件的Android设备，而这些恶意软件被设计用来进行大规模应用层DDoS攻击。
最近，谷歌将大约300余款应用从Google Play Store清除出去，理由是这些应用被Android用户下载安装后，可能秘密挟持Android设备并引发DDoS攻击。
点评：WireX僵尸网络攻击是自Mirai之后，业界联合发现的又一次较大规模的DDoS攻击。它是利用被感染Android App发起的，集中表现在HTTP Flood攻击，攻击中使用的真实IP数量峰值接近14万。最近，Google Play相关的安全事件颇多，及时下架问题App，同时强推“Play Protect”设备认证机制，是挽回用户信任损失的正确举措，游戏公司也可借鉴此举，以用户看得见的方式去强调自身的安全性。多厂商的联合、信息共享、快速响应分析，也在本次事件应急中发挥了重要的作用。
【相关安全事件】
英国二手游戏经销商CeX漏洞遭利用，泄露2000万用户数据。点击查看原文
概要：英国二手游戏经销商CeX的安全漏洞遭到利用，导致200万注册网站客户的个人数据泄露，包括全名，地址，电子邮件地址和电话号码，还可能包括加密数据：用户信用卡信息和财务数据等。CeX发表声明，向客户保证，他们正在“非常认真”地处理和调查事件，会采取一些措施来防止数据泄露再次发生，但没有给出具体的下一步结论。
点评：在数据泄露已经造成之后，业务损失的严重程度取决于公司止损的效率，和事后的补救措施。数据泄露无论对用户还是公司利益本身，无疑都造成了巨大的影响。在日常安全运维中，有几点借鉴：首先，在业务发展的过程中，必要的安全投入对业务是一种促进作用；从技术上谈，企业可以从建立安全强化机制、必要的周期性安全检查、完善的安全应急响应机制，并按照PDCA的方式运行，构建牢固的安全能防御能力，以提高业务的安全性。
MongoDB等数据服务被劫持勒索风险预警。点击查看原文
概要：根据阿里云威胁情报系统监测的内容，2017年9月2日，国外安全研究人员发现多个黑客组织劫持勒索全球范围内数万台MongoDB服务器数据，存在高安全风险。本次劫持勒索事件的影响范围包括用户自建的Mysql、Redis、MongoDB、ElasticSearch、Hadoop、CouchDB等数据相关服务。注：阿里云RDS服务不受此影响。
点评：安全建议（1）尽快使用云服务器(ECS)快照功能或人工方式备份数据，数据备份建议使用本地和异地多重备份方式;（2）配置安全组策略禁止Mysql、Redis、MongoDB、ElasticSearch、Hadoop、CouchDB等服务端口的外部请求，或限制访问源IP（3）可以通过查看态势感知“弱点漏洞”或安骑士“基线检查"结果,人工验证并修复漏洞;（4）您还可以参考阿里云官方提供的详细安全加固手册进行人工修复。
【云上视角】
Payscale发布2017年5大稀缺职业，网络安全上榜。点击查看原文
概要：随着互联网发展和IT技术的普及，网络和IT已经日渐深入到日常生活和工作当中，社会信息化和信息网络化，突破了应用信息在时间和空间上的障碍，使信息的价值不断提高。但是与此同时，网页篡改、计算机病毒、系统非法入侵、数据泄密、网站欺骗、服务瘫痪、漏洞非法利用等信息安全事件时有发生，因此，网络安全工程师也成为各行各业都不可或缺的重要人才。
点评：外媒在一篇新闻曾提到，欧美许多大型企业因安全人才缺口巨大，开始从退伍军人群体中雇佣安全工程师。在中国，专业安全人才的缺乏更严重，尤其中小型企业，常常见到的现象是“一个人的安全部”，或者由运维人员兼任安全工作，这也是为何企业的整体安全分难以拉高的原因。
与第三方安全服务机构合作，或以云上部署业务的方式减少安全和运维成本，是常见的人才缺口补救措施。作为专业安全厂商或云服务提供商，其在安全专业人员招聘和培训上的资源投入，多于大多数企业。尤其云服务提供商从一开始的架构设计就要考虑安全稳定，这是整个云服务运转的基础。
