HEIST 是风险还是威胁？

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

安全专业人员需要理解风险与威胁之间的区别，并据此采取行动。对非专业人士（也就是我们大多数人）而言，两者似乎并无差别。毕竟，它们在语义上不是相同的吗？我们不是经常混用这两个词来描述漏洞、DDoS攻击和最新的零日漏洞利用吗？

我们或许会混用这些术语，但安全专业人员通常会区分得更加准确。主要原因是，如果不加区分，他们就得与越来越多用于突破防御的工具、手段和技术展开数字对抗，所需预算甚至会超过整个IT部门。毕竟，并非所有威胁带来的风险都相同。

风险是综合多项因素计算得出的衡量结果，包括事件发生的可能性，以及漏洞一旦被利用所造成的影响。我们都知道，今天过马路时可能会被公交车撞到并造成严重后果，但这种情况发生的可能性极低，因此大多数人认为风险很低（甚至可能低到无法计入风险评估）。相反，在威斯康星州的隆冬时节穿着鞋底没有防滑纹的3英寸高跟鞋，很可能会摔倒并造成不良后果，因此我个人认为，这在冬季属于相当高的风险。

这就是风险。

威胁则不同。它们是我们无法控制的因素，例如天气、公交线路，或攻击者决定今天对我们的网站发起容量型攻击。

安全专业人员及其组织的目标之一，是通过缓解威胁并降低漏洞被利用的可能性，尽量降低风险。如果气温低至零下20度，车道又结了冰，我会穿上平底、防滑纹路清晰的靴子。这样可以缓解威胁（但无法消除威胁），从而降低风险。如果突然发现一个新漏洞，我就必须判断这一新威胁会给我的组织带来多大风险。

事实上，这种风险评估方法已得到业界广泛认可，并可用数学公式表示：

A（资产）+ V（漏洞）+ T（威胁）= R（风险）

这样，各组织不仅可以根据自身业务需求和风险承受能力确定各项因素的权重，还能采取一致的行动。这有助于避免在新漏洞公布时因恐慌而仓促应对，尤其是在评估结果显示风险低于组织的容忍阈值时。

那么，HEIST呢？

这就引出了HEIST，即“可通过TCP窗口窃取HTTP加密信息”。HEIST显然更容易念，而且听起来颇有《碟中谍》的感觉，不是吗？这一漏洞曾在BlackHat上公布，如今仍在互联网上广泛传播，Ars Technica和Engadget等媒体均有相关报道。到目前为止，尚未发现有人在真实环境中利用该漏洞。利用这一漏洞并不容易，包括F5研究人员在内的研究人员都指出，利用HEIST绝非易事。这是一种复杂的侧信道攻击，结合了浏览器API行为（通过可测量响应时间的浏览器API观察TCP的正常工作方式）、Web应用行为、内容压缩、TCP和密码学。

如果需要完成多次请求，这种攻击可能会占用大量网络资源，但更适合归入“动静较大”的类别。这两种特征对不想引起注意的恶意行为者都缺乏吸引力。然而，如果成功利用此漏洞，攻击者可能会将其与BREACH或CRIME结合使用，以解密有效载荷并获得所谓的数字大奖，导致敏感（甚至可能至关重要）的个人和企业数据泄露。在这种情况下，如果能成功获取个人身份信息（PII）这一数字大奖，他们可能根本不会在意动静有多大。

这是一种威胁，可能被用于窃取数据。这称为数据泄露，是一件非常糟糕的事™。问题是，这种威胁何时会转化为实际风险？

不过，截至今天（准确地说，是我写下这段话时），这一威胁尚未实际出现。也就是说，尚未发现它在真实环境中出现。但这并不意味着它不存在于真实环境中，只是尚未被发现而已。至少目前如此。就在今天。就在此刻。

已经头晕了吗？现在您知道为什么安全专业人员看起来总是一脸茫然了，因为他们必须时刻应对这样的思考和决策过程。

那么，问题就变成了：如果这一威胁可能危及生存，风险究竟有多大？要回答这个问题，需要确定漏洞一旦被利用会造成什么影响。如果有人成功从您的应用或网站中窃取数据，会产生什么影响？需要付出多大代价？别忘了将品牌影响纳入考量，这也是这个日益复杂的风险评估过程的一部分。缓解成本同样如此。缓解成本高昂时，与采用影响相对较小的解决方案相比，风险评估结果也会有所不同。如果仅仅为了调整一项设置来缓解威胁，就必须逐一处理数据中心（以及云端）的每台Web服务器，那么应对一个可能危及生存的威胁将耗费大量时间，进而产生高昂成本。如果风险较低，采取可以理解的“观望”态度，通常比因为反复出现的“狼来了”警报而仓促行动更为合理。

如果缓解措施的实施成本相对较低，例如使用一个简单脚本，通过改变返回数据的大小来迷惑攻击者，从而增加实施HEIST攻击的难度，那么可以考虑部署该措施。毕竟，进一步降低风险的成本很低，而且几乎肯定远低于未来一旦发生此类HEIST攻击所造成的损失。

持续（再）平衡

现实情况是，安全工作是一场持久战：既要通过缓解威胁来尽可能降低风险，又要应对大多数IT组织内部错综复杂的利益关系。由于IT职能彼此割裂，面对风险发生概率不断变化的威胁，安全专业人员往往认为不值得投入精力，甚至连简单的缓解措施也不愿实施。

他们往往等到风险上升、不得不采取应对措施时才行动，而不是主动缓解威胁。例如，过去两年备受关注的许多漏洞利用都以应用为目标。要缓解这些威胁，需要在应用上游的数据路径中部署解决方案，因为应用最终汇聚以实现规模化和交付的位置，仍是部署此类解决方案效率和效果较高的位置。但这一战略控制点由应用交付团队而非安全团队管理。在威胁出现初期，缓解威胁所需的投入超过了当时的风险。由于这两个团队始终难以协调配合，组织往往无法在应用层主动降低风险并缓解威胁。

目前，大多数组织可能认为HEIST的风险较低。但请务必注意，它确实是一种威胁。既然我们已提前获知其存在，就应在其被实际利用之前立即予以考虑。为此，需要跨团队协作，以便在威胁危及组织生存、利用风险迫使各方仓促开展代价高昂的应对工作和部署之前，部署此类用于缓解HEIST的“无服务器”安全解决方案。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章