聲明：本文來自于微信公眾號 InfoQ(ID：infoqchina)，作者：褚杏娟，授權(quán)轉(zhuǎn)載發(fā)布。
一位前思科員工于本周三在圣何塞聯(lián)邦法院認(rèn)罪，稱其曾非法訪問思科公司的 Amazon Web Services 基礎(chǔ)設(shè)施，并對其云計(jì)算資源施以破壞。
事件回顧
Sudhish Kasaba Ramesh 于 2016 年 7 月入職思科，2018 年 4 月離職。Ramesh 在與檢察官議定的認(rèn)罪書中坦言，離職之后，“他曾使用個(gè)人 Google Cloud Project 賬戶部署代碼，刪除掉了 456 臺虛擬機(jī)。這部分虛擬機(jī)主要用于交付視頻會議、視頻消息收發(fā)、文件共享以及其他協(xié)作工具服務(wù)。”
Ramesh 承認(rèn)自己“魯莽地”部署了惡意代碼，而且“明確意識到自己的行為可能給思科業(yè)務(wù)帶來巨大風(fēng)險(xiǎn)。”
根據(jù)檢察官的說明，Ramesh 的行為導(dǎo)致超過 16000 個(gè) WebEx Teams 賬戶被異常關(guān)閉，持續(xù)時(shí)間達(dá)兩個(gè)星期。為此，思科方面共計(jì)損失 240 萬美元(約合 1650 萬人民幣)，其中包括對問題進(jìn)行修復(fù)所支付的約 140 萬美元人力成本和超過 100 萬美元的客戶退款損失。
對此，思科方面表示，值得慶幸的是此次事件并未導(dǎo)致客戶信息丟失或泄露。
思科公司發(fā)言人在一份郵件聲明中表示，“思科已經(jīng)于 2018 年 9 月快速解決了此次問題，保證不存在任何客戶信息丟失或泄露的狀況，并及時(shí)引入了其他保護(hù)措施。”同時(shí)，思科表示：“我們將這個(gè)問題提交給了執(zhí)法部門，并在能力配合之下成功將其繩之以法。我們相信整改之后的機(jī)制足以防止此類事件的再次發(fā)生。”
由于認(rèn)罪協(xié)議的更多細(xì)節(jié)尚未公開，Ramesh 此舉的動機(jī)還不明確。但更令人意外的是，Ramesh 的現(xiàn)任雇主、個(gè)性化時(shí)裝公司 Stitch Fix 似乎一副無所謂的態(tài)度，甚至希望他能繼續(xù)正常上班。
根據(jù)法院文件，Ramesh 在美國持有 H-1B 簽證，而且正在申請綠卡。法院文件提到，“盡管他和他的雇主了解目前的認(rèn)罪結(jié)果有可能影響其正常移民，甚至導(dǎo)致其被驅(qū)逐出境，但雇主方……仍然愿意為他保留工作崗位，考慮其繼續(xù)留在美國并為公司效力的可能性。”
據(jù)悉，30 歲的 Ramesh 或?qū)⒚媾R五年有期徒刑與 25 萬美元的罰款。目前，Ramesh 已被保釋，保釋金為 5 萬美元，其宣判會將于 2020 年 12 月 9 日舉行。
法院文件說明
員工“報(bào)復(fù)”事件頻發(fā)
思科遭員工“刪虛擬機(jī)跑路”并不新鮮，此前微盟遭員工“刪庫跑路”事件更是轟動一時(shí)。
今年 2 月，微盟研發(fā)中心核心運(yùn)維人員賀某通過個(gè)人 VPN 登入公司內(nèi)網(wǎng)跳板機(jī)對微盟線上生產(chǎn)環(huán)境及數(shù)據(jù)進(jìn)行了嚴(yán)重的惡意破壞，導(dǎo)致微盟的 SaaS 業(yè)務(wù)服務(wù)突然宕機(jī)，商家后臺的所有數(shù)據(jù)被清零。
該事件發(fā)生后，微盟股價(jià)大跌，累計(jì)市值一度蒸發(fā)超 30 億港元。300 萬左右商家的數(shù)據(jù)在騰訊云協(xié)助下，經(jīng)過七天七夜的努力才被全面找回。3 月初，微盟表示將拿出 1.5 億元進(jìn)行損失賠付，其中公司承擔(dān) 1 億元，管理層承擔(dān) 5000 萬元。
雖然輿論已經(jīng)平息，但后續(xù)賠償事宜還在進(jìn)行中。由于賠償金額等問題，微盟遭到了大量商家的集體投訴，這些投訴已被立案審理。據(jù)微盟集團(tuán)發(fā)布的 2020 年上半年財(cái)報(bào)顯示，由該賠付計(jì)劃帶來的預(yù)計(jì)賠付支出對微盟帶來的損益影響達(dá) 0.87 億元。
根據(jù)微盟發(fā)布的通告，賀某是由于個(gè)人精神、生活等原因發(fā)起了破壞行為。隨后，微盟創(chuàng)始人孫濤勇在接受媒體采訪時(shí)解釋到，該員工一直深陷網(wǎng)絡(luò)貸，還曾有過輕生的舉動。春節(jié)期間一個(gè)人在房間獨(dú)處 30 多天，再加上本身經(jīng)濟(jì)上的困擾，最終做出了這樣的舉動，事后他也表示跟公司無任何仇恨。
很多程序員表示：“刪庫跑路就是說說而已，跑得了和尚跑不了廟。”但為什么還是有人甘愿冒著坐牢的風(fēng)險(xiǎn)破壞公司系統(tǒng)，是每個(gè)管理人員應(yīng)該深思的事情。
當(dāng)然，除了少數(shù)的有意為之，還有很多“刪庫”其實(shí)是程序員的無心之失。
據(jù)媒體公開報(bào)道，在 2018 年，順豐一位工程師在升級系統(tǒng)數(shù)據(jù)庫的時(shí)候，不慎將 RUSS 數(shù)據(jù)庫刪除，導(dǎo)致很長一段時(shí)間順豐線上發(fā)車功能無法使用，帶來了嚴(yán)重的負(fù)面影響。最后該員工被辭退。
還有位自稱阿里員工的知乎網(wǎng)友表示，自己剛?cè)肼毜臅r(shí)候，數(shù)據(jù)庫可以直接用 bash 執(zhí)行后臺增刪改操作，各種監(jiān)管和操作日志機(jī)制都不是很完善。有一天，在使用存儲過程進(jìn)行 update 極度重要的表的時(shí)候，忘了加 where 條件，就直接敲了回車執(zhí)行，所以和刪庫也差不了多少。
當(dāng)時(shí)出現(xiàn)失誤的第一反應(yīng)是嚇傻了，不敢告訴主管。“知道沒有備份的消息后，我是想跑路來著的...”該網(wǎng)友表示，后來才意識到 update 是一個(gè)事務(wù)，中途 Kill 掉進(jìn)程，就不可能出現(xiàn)一半更新一半不更新的情況。年少無知，白白挨了一通批評。
如何預(yù)防
“rm -fr /*，執(zhí)行了這個(gè)命令就是走上人生巔峰了。”這也不過是一句玩笑話而已。對于程序員個(gè)體來說，一般情況下沒人會故意搞破壞，而為避免無心之失，平時(shí)只能處處小心。
但前有微盟后有思科，大企業(yè)不斷遭遇“刪庫”事故，側(cè)面也說明了企業(yè)在數(shù)據(jù)安全管理上存在一些問題。對此，有專家從事前預(yù)防、事中發(fā)現(xiàn)和事后容災(zāi)三方面給出了相關(guān)建議。
首先，事前預(yù)防很重要。企業(yè)需要統(tǒng)一運(yùn)維入口，實(shí)現(xiàn)賬號和權(quán)限的分配和管理，并且要每人獨(dú)立賬號和權(quán)限，細(xì)化至每個(gè)人能做什么不能做什么。不要為了圖省事共用一個(gè)權(quán)限，而且要定期梳理和回收。也要對員工進(jìn)行典型誤操作和惡意操作案例的宣傳，讓他們知道后果，形成敬畏之心，同時(shí)在統(tǒng)一運(yùn)維平臺上把已知的高危操作都攔截掉，譬如 rm –fr 等。
其次，企業(yè)可以通過配置審計(jì)規(guī)則，對一些會變更系統(tǒng)的操作進(jìn)行告警，同時(shí)要對系統(tǒng)進(jìn)行完整性等健康監(jiān)控。
最后，最重要的就是備份。數(shù)據(jù)是核心，有數(shù)據(jù)才能在災(zāi)難后恢復(fù)系統(tǒng)。備份一定要全量備份、增量備份、異地備份等，最好多個(gè)機(jī)房備份。
當(dāng)然，數(shù)據(jù)管理只是一部分，真正“刪庫跑路”的發(fā)生歸根到底是公司和員工之間矛盾不可調(diào)和的爆發(fā)，結(jié)局往往是兩敗俱傷。
參考閱讀：
https：//www.zhihu.com/question/375447541
