诚然，数据泄露可能造成更高的损失（至少目前如此），也必然会让安全失误公之于众（因为必须发出通知），但安全不能只关注数据暴露。
如今，似乎只有在涉及数据泄露时，安全事件才会引起关注。从一些人的言论（和文章）来看，安全事件似乎只有在涉及数据泄露时才值得重视。事实上，Netwrix最近发布的一份安全与IT风险报告指出：“由于组织无法预见所有可能的威胁，因此计划将投资重点放在保护敏感数据上。”（2017年IT风险报告）
鉴于数据泄露的平均成本已超过300万美元（依据Ponemon开展、IBM赞助的研究），这无疑是一项合理的策略：保护数据。毕竟，数据泄露不仅会造成经济损失，还会损害企业品牌和声誉，并且往往会导致相关人员失业。
这种目光短浅的安全策略存在一个问题：它完全忽视了其他类型的入侵同样会造成高昂损失。因为攻击者一旦突破防线，绝不会就此罢手。他们入侵网络或系统，并不是为了获得自我满足。黑客群体早已不再处于将“篡改网站作为入门仪式”的简单阶段。如今，攻击者往往是为了牟利。
我们知道，凭据和个人数据在暗网上价值不菲，但如今，数据并非唯一的牟利手段。近期利润丰厚的加密货币挖矿市场便证明了这一点。Talos发布的一篇内容非常详尽、篇幅较长（但值得花时间阅读）的博客文章估算，单次加密劫持活动每年可能产生182,500美元至高达1亿美元的收益：
“为了更直观地说明经济收益，一台普通系统每天可能产生价值约0.25美元的门罗币。这意味着，攻击者只要控制2,000名受害者（这并不难做到），每天就能获得500美元，即每年182,500美元。Talos曾观察到由数百万个受感染系统组成的僵尸网络。按照上述逻辑，理论上可利用这些系统每年获得超过1亿美元的收益。”
当然，这只是理论上的推算。
这些数字令人震惊，但今天这篇文章要讨论的重点并不一定是挖矿程序为攻击者带来的利润。这些利润只是攻击背后的驱动力。毕竟，数十万美元的收益足以促使攻击者寻找免费资源。正因为利润如此可观，您更应关注安全漏洞造成的成本，因为此类漏洞会让挖矿程序及其受控程序潜伏在基础设施中。
非法占用资源的成本
数据泄露的成本已有充分记录，包括清理成本、通知费用和赔偿支出。其他入侵事件的成本虽没有如此详尽的记录，却同样存在，具体表现为不必要的运营支出和机会成本损失。无论是挖矿程序还是僵尸程序，是传统的Linux进程还是容器化代码，实际情况都是：这些外来且有害的机器人程序一旦植入，就会非法消耗资源，并在月底产生实际费用（如果按季度支付云服务账单，则会在季度末产生费用）。
有些人可能认为，这些机器人消耗的资源本来就是要付费的。这样想似乎也有道理：实例或服务器的平均使用率只有20%，但无论如何都要支付100%的费用。那么，这些机器人真的会造成实际的收入损失吗？
没错，它们确实会造成实际收入损失。
不妨先回顾一下自动扩缩容的基本原理，这也是许多组织采用公有云的原因之一。当负载或性能指标超过阈值时，系统会启动新实例以满足需求。假设某个实例仅使用20%的资源为合法客户端提供服务，而某个机器人突然占用了其余80%的资源，那么我们将不得不为第2个实例付费，随后是第3个、第4个，最终甚至是第5个。若资源未被非法占用，原本只需一个实例即可满足这些需求。
这就会产生额外成本。
对于关注环境的人来说，用电量增加还会导致碳排放上升。有趣的是，计算资源空闲时的功耗低于满负荷运行时，尤其是在执行高度复杂的加密计算时。因此，如果挖矿程序或受控程序持续运行，就会产生额外成本：在本地部署环境中按千瓦时计，在公有云中则按实例小时计。这些都会增加碳足迹。
耗电量越大，产生的热量就越多，因此需要增加冷却能力来抵消这些热量。这会进一步增加用电量。此外，监测和报告温度的系统也需要用电……相信您已经明白了。无论是在云端还是本地，数据中心的运行都需要大量辅助计算能力。非法占用资源会导致运营成本不断增加。
正如前文提到的Talos博客所述，其中一些加密货币挖矿脚本相当狡猾。它们善于规避检测，还能阻止机器进入待机状态、重启、注销或执行任何可能中断其运行的其他操作。它们让机器全天候运行，竭尽所能榨取每一分计算资源，直到您请来“除虫专家”将其清除。
这些就是有形成本，您可以从不断攀升的水电费和云服务账单中直观看到。那么，无形成本呢？例如，性能不佳可能导致客户（或潜在客户）流失。
请记住运维公理#2：负载越高，性能越低。
如果挖矿程序或恶意程序正在消耗资源，就会增加服务器的整体负载，进而降低应用性能。这就像重力一样，是一条定律。性能不佳造成的影响已有充分记录。例如，AppDynamics的研究表明，10名用户中有8名曾删除某个应用，原因是该应用性能不佳。此外，Amazon、Google和Walmart均记录了即使只有几微秒的差异也会产生的影响，包括对收入、转化率和购买量的影响。具体损失因行业而异，但失去用户或性能轻微下降都可能很快转化为可衡量的损失。
即使不想实际计算（我当然也不想），基本结论也不言自明：挖矿程序和僵尸程序会以多种方式给组织造成实际经济损失。诚然，数据泄露是一项严重的安全和业务风险，必须加以防范，但也不要忽视，任何安全事件都可能造成严重后果。
据RedLock 2018年5月云安全趋势报告显示，令人震惊的是，目前有25%的组织在其环境中遭受加密货币劫持活动。Tripwire同样指出，一次门罗币挖矿活动就影响了1,500万人。eWeek报道了一家公用事业公司，其计算资源正被非法加密货币挖矿活动大量消耗。
此类报道日益增多，可能是为了让人们认识到这些活动的严重性。需要特别注意的是，无论是挖矿程序，还是充当僵尸网络大军中傀儡的受控设备，都表明防御体系已遭突破，而这些入侵未必与敏感数据有关。
如果只狭隘地关注数据保护，企业很可能会成为又一家为加密劫持的高额收益买单的公司。无法确定攻击者接下来会利用什么，并不意味着我们就应偏离全面的安全策略，把所有精力都投入数据保护。我们应保护整个业务，其中也包括可能侵蚀企业利润的各项运营成本。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。