Black Hat USA 2000 - Proactive Defense Against Malicious Code

網路安全困局與行動代碼的隱形威脅

演講人以航空安全為喻開場：美國國防部曾指出，若維持 1937 年的航空安全水準但增至 1999 年的航班量，每天會有兩架 747 從天空墜落。這個比喻道出網際網路安全防護必須不斷演進的急迫性。在當今網路環境中，幾乎每個網站都使用某種形式的行動代碼，包括 JavaScript、VB 指令碼、Java 小程式、ActiveX 控制項，甚至 Excel 電子表格。問題在於這些代碼多數自動執行，使用者甚至不知道正在執行什麼。企業透過電子郵件、賀卡、遊戲等方式大量傳播這類代碼，而使用者通常毫不質疑地開啟它們。演講人強調，虛擬知識份子曾表示要「將西方社會癱瘓」，但真正令人擔憂的是那些悄悄進行相同活動卻不透露意圖的人。

傳統反應式防護的根本瓶頸

傳統反病毒軟體依賴模式比對和特徵庫，這套方法存在致命漏洞。業界分析指出，反應式檢測不夠靈活，即使最快的反應也往往為時已晚，允許滲透與破壞已經發生。Trend Micro、McAfee、Symantec 等領先廠商都坦承無法檢測所有變種，問題根本上在於大多數恶意代碼在到達終端前從未被安全軟體廠商發現過。演講人展示了一個實際演示：一個看似無害的「轉輪」遊戲實際上在後台搜索文件、打開麥克風進行錄音、甚至可以安裝遠端控制軟體 Back Orifice。使用者看著轉輪旋轉以為沒事，卻不知道已被完全入侵。這證明傳統特徵比對完全無法應對行為異常的代碼。

Gatekeeper：行為監控的新防線

面對脈絡特定的攻擊（特別是利用 COM 物件的 Love Letter 和 Melissa 病毒），演講人提出 Gatekeeper 防護架構。核心思想是在指令碼引擎與作業系統間建立守衛，監控每一個系統層級呼叫。當郵件客戶端接收到指令碼時，Gatekeeper 在執行前進行攔截，檢查是否持有有效簽章或密鑰，然後檢查指令碼是否試圖呼叫已知危險服務（如 Shell.Execute 用於建立行程）。簽章有效且請求授權則執行，否則攔截。這套方法的優勢在於，即使是全新的未知惡意指令碼，只要企圖調用危險系統物件就會被阻止，而不需要等待特徵庫更新。

代碼簽章與政策分配的深層困境

理論上，要求所有代碼須數位簽章，只執行可信來源的代碼，應可大幅提升安全。Java 2 曾提出精細化的函式層級簽章機制。然而實踐中，開發者極少在函式層級實施簽章，通常採用「全要或全否」模式，導致簽章密鑰一旦洩露功虧一簣。更大的挑戰在於企業環境中的政策部署：不同部門需要不同權限級別，終端使用者難以理解複雜規則，且新增例外非常困難。演講人舉例，即使企業明確禁止打開附件且有終止政策，透過冒充主管發送郵件仍能欺騙大多數員工執行代碼。他強調，即連康奈爾大學、劍橋大學等學術機構至今未能完全解決政策管理的分散式部署問題，說明這是系統性難題，技術方案難以單獨解決。