《侏羅紀公園》教會了我們什麼 Application Security生命總會找到出路（攻擊者也會）。

“你們的科學家們只顧著考慮能不能做到，卻沒停下來思考應不應該做。”

伊恩·馬爾科姆博士對約翰·哈蒙德的警告不僅僅是關於克隆恐龍。它關乎每位首席資訊安全長都希望其組織理解的基本安全原則：

能建造出什麼東西，不代表它就安全可靠。

侏羅紀公園應有盡有：尖端科技、巨額投資、專家團隊，以及億萬富翁企業家的遠見卓識。園區配備了電網圍欄、運動感測器、自動化系統和完善的安全規程。

它的災難性故障率也達到了100%。

首批遊客參觀結束後幾個小時，園區的保全系統就徹底崩潰了。有人喪生，恐龍逃脫。整個事件成了警示世人：如果把創新置於安全之上，在門禁控制上偷工減料，低估威脅的適應能力，會發生什麼事？

《侏羅紀公園》是應用安全失敗的完美案例。

讓我們來探討努布拉島究竟出了什麼問題，以及每個組織可以從哈蒙德公司造成的 80 萬美元災難中學到什麼，包括如何建立安全系統、管理內部威脅，以及為什麼「生命總會找到出路」是迄今為止最可怕的安全原則。

根本缺陷：以功能為導向，而非以安全性為導向。

約翰·哈蒙德的願景很清晰：創造一個生物保護區，讓人們能夠在自然棲息地觀賞已滅絕的動物。這具有革命性意義，有利可圖，令人無法抗拒。

但請注意哈蒙德優化的目標是什麼：

• 遊客體驗（“我們不惜一切代價！”）
• 科學成就（克隆恐龍）
• 自動化效率（最少的人力投入）
• 降低成本（初始投資後）

哈蒙德沒有優化的是：安全性。

公園的安保措施完全是事後才考慮的。只有幾道電圍欄把動物圈在各自的圍欄裡，一些運動感測器，一個控制室。僅此而已。

这 Application Security 平行

這就是所有快速發展、勇於創新的新創公司。

產品優先，安全其次：

• “我們先快速上線，等有了用戶之後再添加安全功能。”
• “我們需要搶在競爭對手之前進入市場，我們將在 2.0 版本中加強系統安全。”
• “安全固然重要，但不能比這個最後期限更重要。”
• “我們不能因為安全審查而放慢開發速度。”

結果在意料之中：

• 不安全的身份驗證（「我們稍後會添加多因素身份驗證」）
• 授權不足（「目前每個人都有管理員權限」）
• 暫不加密（「我們將在下一個迭代周期中實現」）。
• 最少日誌記錄（“一旦規模擴大，我們將添加監控”）
• 未經測試的災難復原（「我們最終會進行災難復原演練」）

哈蒙德的公園在幾個小時內就崩潰了。沒有遵循安全優先原則建立的應用程式通常也會以同樣慘烈的方式失敗——只不過它們是在攻擊者入侵時崩潰，而不是在恐龍逃脫時崩潰。

安全教訓一：安全不能事後補救。如果先考慮功能後再考慮安全，那就已經失敗了。

丹尼斯內德里：終極內部威脅

讓我們來談談公園的災難性失敗點：丹尼斯·內德里。

內德里是：

• 擔任園區整個安防與自動化系統的首席程式設計師
• 薪水低且心懷不滿
• 陷入財務困境
• 唯一完全了解關鍵系統的人
• 在監管不足的情況下，權限被過度授予

這簡直是一場遲早會發生的安全噩夢。而它真的發生了。內德里被競爭對手收買，去偷竊恐龍胚胎。為了達到目的，他：

1. 已停用的安全系統 關閉了圍籬、監控設備和警報系統
2. 掩蓋了他的行踪 – 創建了一個後門來隱藏他的活動
3. 肆無忌憚地進行著 ——沒有人能夠推翻他的改動，因為其他人都不了解這套系統。
4. 沒有監測 直到為時已晚，才有人發現他的惡意行為。
5. 造成了單點故障 他去世後，沒有人能夠恢復這些系統。

这 Application Security 平行

Nedry 代表了所有內部威脅場景。

心懷不滿的管理員：

• 擁有生產系統的 root 權限
• 他對基礎設施的了解比任何人都更透徹。
• 覺得自己不被重視或不公平對待
• 存在個人財務問題
• 如果受到唆使，可能會造成巨大破壞。

過度配置的帳戶：

• 權限過多的服務帳戶
• 從未被審​​核的管理員帳戶
• 具有廣泛存取權限的 API 金鑰
• 授予超出必要權限的雲端 IAM 角色

未被記錄的系統：

• 關鍵程式碼只有一個人能看懂
• 遺留系統，原開發者早已離去
• 部落知識從未被記錄下來
• 專業技能方面不存在冗餘。

現實世界中的內德里場景

案例一：離職員工

員工被解僱。離職前，他們：

• 刪除關鍵資料庫
• 在代碼中插入後門
• 竊取智慧財產權
• 停用備份系統
• 更改存取憑證

案例二：受賄的管理人

外部機構提供資金用於：

• 客戶資料
• 源代碼
• 證書
• 系統訪問
• 競爭情報

案例三：疏忽經營者

合法僱員：

• 不小心在公共倉庫中暴露了憑證
• 雲端儲存配置錯誤（將 S3 儲存桶設為公開）
• 落入網路釣魚攻擊
• 使用弱密碼
• 不遵守安全程序

如何預防書呆子問題

• 最小特權原則 任何人都不應該擁有超出其必要範圍的權限。即使是內德里也不應該能夠停用所有安全系統。
• 職責分離 關鍵操作應該需要多人參與。癱瘓整個園區的安保系統不應該由一個人完成。
• 監控和警報 內德里的行為本應立即觸發警報。關閉圍欄、攝影機和運動感應器應該會驚醒某些人。
• 變更管理 重大系統變更應經過批准和審核。 Nedry 未經監督，無法在現場巡迴期間停用安全系統。
• 知識傳播 ——任何人都不應該成為唯一的故障點。多個人都應該了解關鍵系統。
• 背景調查和財務監控 內德里的財務困境本應引起警惕。高風險頭寸需要持續評估。
• 活動記錄 所有特權操作都應該永久記錄。你需要記錄誰在何時做了什麼，以及為什麼這樣做。

安全教訓之二：內部威脅真實存在且危害巨大。務必實施最小權限原則、職責分離、全面監控，並確保沒有任何人能夠憑藉一己之力攻破整個系統。

「生命總會找到出路」：應對威脅的適應能力

伊恩·馬爾科姆關於混沌理論的警告是整部電影中最重要的安全洞見：

“生命總會找到出路。”

哈蒙德以為他能掌控局面。他培育了全雌性恐龍來阻止它們繁殖。

問題解決了，對吧？

錯了。恐龍找到了方法。它們利用青蛙的DNA進行克隆，從而實現了性別轉換。恐龍繁衍了後代。 「不可能」變成了必然。

這就是威脅演變的體現。

这 Application Security 平行

攻擊者總是能適應變化。他們：

• 舊漏洞修復後，發現新的漏洞。
• 當防禦能力提高時，開發新技術
• 當顯而易見的路徑被阻斷時，就利用意想不到的路徑。
• 將多個小漏洞合併成重大漏洞
• 以惡意方式利用合法功能

安全領域中「生命自有出路」的例子

1. 身份驗證的演變

• 簡單密碼 → 字典攻擊
• 增加複雜度要求 → 憑證填充
• 增加多重因素身份驗證 (MFA) → SIM 卡交換、社會工程攻擊
• 新增生物辨識技術 → 深度偽造、被盜生物辨識數據
• 新增行為分析 → 攻擊者模仿正常行為

2. 網路安全演進

• 邊界安全 → 用於遠端存取的 VPN
• 分段網路 → 初始突破後的橫向移動
• Deploy 防火牆 → 應用層攻擊
• 實施入侵偵測/防禦系統 (IDS/IPS) → 加密流量可隱藏攻擊
• 零信任架構 → 供應鏈攻擊

3. 程式碼安全演進

• 尋找 SQL 注入 → 使用參數化查詢
• 攻擊者發現 NoSQL 注入漏洞 → 對 NoSQL 輸入進行清理
• 攻擊者發現 XML 注入 → 驗證 XML
• 攻擊者發現反序列化漏洞 → 攻擊者利用物件注入漏洞
• 修復特定漏洞 → 攻擊者發現新的變種

4. 迅猛龍問題

《侏羅紀公園》中最令人毛骨悚然的威脅適應性表現是迅猛龍學會開門。

遊戲管理員穆爾頓知道：“他們記得。”

猛禽：

• 測試了電網的弱點
• 相互溝通協調的攻擊
• 從失敗的嘗試中學習
• 他們調整了策略
• 解決了他們以前從未遇到過的問題（打開了機會之門）

這就是老練的攻擊者慣用的伎倆。

進階持續性威脅 (APT)：

• 系統性地探測防禦
• 從失敗的嘗試中學習
• 協調應對多種攻擊途徑
• 適應防禦措施
• 解決新型安全挑戰

現代勒索軟體組織：

• 研究目標環境
• 首先確定需要停用的備份系統。
• 學習網路拓撲
• 適應現有的安全工具。
• 針對特定目標開發客製化漏洞利用程序

迅猛龍開門 = 攻擊者繞過你的控制

你實施安全控制措施，以為你 safe然後攻擊者：

• 查找零日漏洞
• 多個小問題串聯起來
• 利用社會工程學繞過技術控制
• 創造性地利用合法功能
• 開發新的攻擊技術

安全教訓之三：威脅會不斷適應和演變。您的安全措施也必須如此。靜態防禦終將突破。要假設攻擊者總是能找到突破口，並建立能夠適應變化的彈性系統。

電網圍籬問題：單點故障

公園的主要安全措施是高壓電網，環繞著每個圈舍，有效地將恐龍圈養起來。

直到他們不再是了。

當內德里破壞圍欄後，所有圈舍都同時變得岌岌可危。霸王龍圍場、迅猛龍圈舍、雙脊龍棲息地，全部都同時遭到破壞。

這是一個災難性的單點故障。

这 Application Security 平行

組織機構會不斷製造單點故障。

單一認證系統：

• 所有服務均使用同一個 OAuth 供應商
• 如果系統遭到入侵，所有內容都將暴露無遺。
• 如果系統崩潰，所有東西都無法存取。

單鑰匙管理系統：

• 所有加密金鑰都集中在一個地方
• 攻破系統，解密所有內容
• 丟失它，將失去對所有加密資料的存取權限

單一資料庫：

• 所有資料都儲存在一個龐大的資料庫中。
• SQL注入揭露了一切
• 勒索軟體會一次加密所有資料。

單一雲端提供者：

• 所有基礎設施都在一個雲端
• 供應商故障導致所有設備癱瘓。
• 供應商違規行為危及所有系統

單一管理員帳戶：

• 一個「上帝模式」帳號
• 妥協，掌控一切
• 職責不分離

侏羅紀公園本該如何建造

縱深防禦：

• 電圍欄（主要屏障）
• 次要物理屏障（牆、護城河）
• 巡邏路線和人員監控
• 獨立作用的鎮靜系統
• 冗餘控制系統
• 拆除圍欄需要多人參與

如何建置您的安全系統

多層：

• 網路安全（防火牆、網路分段）
• 應用程式安全（輸入驗證、身份驗證）
• 資料安全（加密、存取控制）
• 監控與偵測（SIEM、IDS）
• 回應能力（事件回應、備份）

無單點故障：

• 多種身份驗證選項
• 冗餘金鑰管理
• 資料庫複製和分段
• 多雲或混合雲策略
• 多個管理員，具有不同的存取權限

斷路器：

• 故障的系統 safe當受到損害時
• 自動隔離受損元件
• 限速以防止級聯故障
• 優雅降級而非徹底失敗

安全教訓之四：消除單點故障。建構縱深防禦。確保攻破一個系統不會危及整個系統。

「啊啊啊！你沒說出咒語」：存取控制故障

影片中最令人難忘的場景之一展示了內德里的門禁系統：

「啊啊啊！你還沒說出咒語呢！」

這段劇情以搞笑的方式呈現——系統嘲諷地拒絕遊客進入，而公園卻搖搖欲墜。但這同時也揭示了一個更深層的安全問題：內德里建造了一套只有他自己才能繞過的安全系統。

這是門禁控制設計中一個災難性的錯誤：

內德里系統的問題

• 授權人員無權緊急幹預
• 如果主管理員不可用，則沒有冗餘備份。
• 其他人無法使用的晦澀介面
• 沒有關於如何恢復正常運作的文檔
• 設計目的在於不透明而非安全。

这 Application Security 平行

糟糕的門禁設計

晦澀即安全：

• 難以理解的複雜系統
• 未記錄的身份驗證機制
• 無法審查的專有安全措施
• “透過混亂實現安全”

單一用戶相依性：

• 只有一個人知道如何存取關鍵系統
• 沒有打破玻璃的緊急程序
• 安保崗位沒有繼任計劃
• 隨著人員更迭而消失的部落知識

無緊急通道：

• 緊急情況下，授權人員沒有辦法凌駕於法律之上。
• 沒有升級程式
• 沒有「緊急情況下打破玻璃」的程序
• 僵化的體系無法應付危機狀況

良好的門禁設計

清晰且有據可查：

• 已充分理解的身份驗證機制
• 已記錄的緊急程序
• 透明且可審查的安全措施
• 多名人員接受過關鍵系統培訓

基於角色的存取：

• 不同的人擁有不同的存取權限
• 清晰的升級路徑
• 基於時間的臨時通道高度
• 職責分離

緊急控制：

• 安全且易於操作的緊急程序
• 多名授權人員均可啟動
• 已進行大量日誌記錄和稽核。
• 定期在演習中進行測試

抵禦人員流失的能力：

• 沒有人是不可取代的。
• 知識轉移是一個持續的過程。
• 文件已維護
• 交叉訓練是標準做法。

真實世界的例子

良好的緊急通道

生產資料庫故障。最了解狀況的資料庫管理員聯絡不上。透過適當的措施
存取控制：

• 事件指揮官可以啟動緊急程序
• 二級資料庫管理員可以使用緊急存取程序進行存取。
• 所有操作都會自動記錄。
• 存取權限有時限，且必須有正當理由。
• 事件解決後才會進行審查。

糟糕的緊急通道（內德里問題）

• 只有一個人知道密碼
• 他們聯絡不上（或已經死了，就像內德里一樣）。
• 任何人均無法存取關鍵系統
• 整個操作失敗

安全教訓五：設計既安全又易用的門禁系統，配備清晰的緊急程序，避免單點故障，並能應付人員流失。切勿建置只能由一人操作的系統。

「我們不惜一切代價」：安保的虛假經濟

約翰·哈蒙德在整部電影中的口頭禪是“我們不惜一切代價！”

然而……他確實這麼做了。而且不只一次。

哈蒙德把錢花在哪裡了：

• 複製恐龍（尖端科學）
• 令人印象深刻的遊客中心（美觀）
• 自動駕駛旅遊車輛（遊客體驗）
• 豪華設施（舒適）

哈蒙德在哪些方面偷工減料了：

• 人員配備充足（測試期間僅安排了少量人員）
• 安保人員（人手不足）
• 系統冗餘（單一人員了解關鍵系統）
• 測試和驗證（準備好前開啟）
• 適當的資訊科技安全措施（Nedry 薪水過低）

哈蒙德在這場盛事上花了數百萬美元，卻在安保方面偷工減料。結果可想而知。

这 Application Security 平行

這種情況在每個組織中都會發生：

資金充足：

• 面向使用者的功能
• 營銷活動
• 銷售團隊擴充
• 辦公室設施
• 高管薪酬

資金不足：

• 安保團隊人數
• 安全工具和軟體
• 安全培訓
• 滲透測試
• 事件響應準備

虛假經濟

企業認為他們透過以下方式節省了資金：

• 跳過安全審查（“我們沒時間”）
• 使用免費/便宜的安全工具（「目前夠用」）
• 保安團隊人手不足（「下一輪招募後我們會增聘人手」）
• 延後安全改進（「我們稍後會解決技術債問題」）
• 逃避合規（「我們會在需要的時候遵守規定」）

以下是資料外洩事件發生後的實際代價：

• 直接成本：事件回應、取證、補救、法律費用
• 監理罰款：違反 GDPR、HIPAA、PCI-DSS 法規
• 業務中斷：停機、收入損失、營運影響
• 聲譽損害：顧客信任度、品牌價值、市場地位
• 長期成本：保險費、擔保債務、競爭劣勢

《侏羅紀公園》的真實成本：

• 多人死亡
• 設施完全損毀
• 徹底的商業失敗
• 法律責任
• 聲望受損

這一切都是因為哈蒙德在恐龍身上“不惜一切代價”，卻在安保方面偷工減料。

如何避免哈蒙德問題

1. 將證券視為投資，而非支出

• 計算違規成本與預防成本。
• 正確衡量安全投資報酬率
• 從專案初期就將安保措施納入預算。

2. 合理的資源分配

• 安全團隊規模應隨組織規模而變化。
• 安全工具預算應與威脅情勢相符。
• 培訓預算應確保勝任能力。

3. 技術債管理

• 安全技術債是真正的債務
• 制定並資助債務削減計劃
• 不要推遲關鍵的安全改進

4. 測試和驗證

• 不要為了趕工期而忽略安全測試。
• 投資於適當的品質保證和安全審查
• 測試災難復原和事件回應

安全教訓之六：不能在安全方面吝惜投入，還指望系統安全無虞。安全必須得到充足的資金支持，否則最終的安全漏洞造成的損失將遠遠超過預防措施的成本。

「它們成群結隊地移動」：級聯失效問題

當圍欄倒塌時，恐龍們不會一個接一個地逃跑，而是成群結隊地逃跑。

這些系統並非單獨失效，而是系統性地失效。

這是級聯故障。

一旦一個環節出了問題（內德里破壞了柵欄），其他所有環節都會崩潰：

• 圍欄倒塌 → 恐龍逃脫
• 恐龍逃脫 → 人類面臨風險
• 處於危險中的人群 → 恐慌與混亂
• 混亂 → 更多系統失效
• 系統故障 → 更多逃逸
• 每一次失敗都會使恢復更加困難。

这 Application Security 平行

安全系統中的級聯故障表現如下：

初步妥協：

• 網路釣魚攻擊成功 → 憑證被盜

橫向移動：

• 使用的憑證 → 存取的內部系統
• 內部存取 → 更多憑證被盜
• 更多憑證 → 更多系統遭到入侵

權限提升：

• 普通使用者帳號 → 管理員權限
• 管理員權限 → 網域管理員
• 網域管理員 → 完全網路控制

資料外洩：

• 網路控制 → 資料庫訪問
• 資料庫存取 → 資料下載
• 資料下載 → 業務影響

勒索 Deploy精神：

• 完全存取權限 → 部署勒索軟體
• 勒索軟體 → 備份已加密
• 備份已加密 → 無法恢復
• 資料恢復失敗 → 支付贖金或遺失數據

每一步都讓下一步更容易。每一次失敗都會加劇問題。

如何防止級聯故障

1. 網路分段

• 不要讓攻擊者在系統間自由移動。
• 按功能、風險和信任度進行細分
• 盡可能實施微分割

2. 爆炸半徑限制

• 設計系統時要確保一次故障不會引發連鎖反應。
• 實施斷路器
• 使用故障隔離技術

3.最小特權原則

• 攻破一個帳戶不應該導致所有帳戶都被攻破。
• 限制任何單一妥協造成的損害
• 實施即時訪問

4. 縱深防禦

• 多層安全
• 每層獨立於其他層。
• 單層失效並不會影響所有層。

5. 監控與偵測

• 及早發現異常行為
• 警惕異常訪問模式
• 在級聯反應完成之前停止它

安全教訓之七：系統設計應能遏止故障並防止連鎖反應。一次安全漏洞不應導致整個系統崩潰。

「鏡中物體比看起來更近」：風險評估問題

在《侏羅紀公園》系列電影中，角色總是低估風險：

• 哈蒙德：「公園完全 safe！“
• 詹納羅：“我們可以隨意定價！”
• 科學家：“我們已經考慮到了所有情況！”

他們並非惡意，而是樂觀主義者。他們相信自己所做的評估，認為這些評估能夠最大程度地降低風險並最大程度地提高收益。

後視鏡裡的霸王龍總是比你想像的更近。

这 Application Security 平行

樂觀風險評估：

• “實際上，這種漏洞無法被利用。”
• “沒有人會盯上我們這樣的小公司。”
• “我們的數據對攻擊者來說沒有價值”
• “我們會趕在別人發現之前把它修好。”
• “可能性很低，所以我們願意承擔風險。”

現實檢查：

• 漏洞被利用
• 小公司經常遭受網路攻擊。
• 所有數據對某些人來說都有價值。
• 攻擊者首先會發現漏洞。
• 「可能性低」並不意味著可能性為零。

哈蒙德風險評估失敗

被低估的威脅：

• 恐龍的智性（尤其是迅猛龍）
• 內部威脅潛力（Nedry）
• 系統複雜度（自動化程度過高）
• 墨菲定律（凡事皆有可能出錯）

高估的控制：

• 電圍欄的可靠性
• 自動化彈性
• 員工能力
• 復原能力

被忽視的警訊：

• 馬爾科姆的擔憂被駁回了
• 穆爾頓的猛禽警告被忽視了
• Safety事件被淡化
• 系統故障被忽略

如何正確進行風險評估

假設違反：

• 制定妥協方案，而不僅僅是預防方案。
• 問“如果失敗了會發生什麼？”，而不是問“這會失敗嗎？”
• 提前做好恢復計劃

紅隊思維：

• 像攻擊者一樣思考
• 找出自身的弱點
• 檢驗你自己的假設
• 質疑樂觀的評估

持續重新評估：

• 風險格局不斷變化
• 昨天的評估可能已經過時了。
• 新威脅層出不窮
• 重大變化後重新評估

多元化的觀點：

• 不要讓樂觀主義者主導評估。
• 包括那些對安全持悲觀態度的人（如馬爾科姆和穆爾頓）。
• 聽取那些了解威脅的人的意見
• 平衡創新與安全

盡可能量化：

• 利用數據支持評估
• 實際計算潛在影響
• 誠實地衡量可能性
• 不要讓一廂情願的想法左右決策。

安全教訓之八：威脅總是比看起來更近。進行切合實際的風險評估，假設系統已被入侵，像攻擊者一樣思考，不要讓樂觀情緒凌駕於安全判斷之上。

混沌理論 Application Security

伊恩‧馬爾科姆的混沌理論是《侏羅紀公園》的哲學核心：

「我來告訴你你現在運用科學力量的問題所在。你獲取這些知識的過程中缺乏任何自律。你只是閱讀別人的研究成果，然後照搬照抄。這些知識並非你親身獲得的，因此你也不承擔任何責任。”

把“科學實力”換成“技術能力”，你就得到了現代科技產業。

混沌理論在安全領域的應用

微小的改變，巨大的影響：

• 一個配置錯誤的 S3 儲存桶會洩漏數百萬筆記錄。
• 一個弱密碼就可能導致徹底的入侵。
• 一個存在漏洞的依賴項會導致整個應用程式崩潰。
• 一次社會工程攻擊的成功引發了連鎖反應，最終導致全面入侵。

複雜系統是不可預測的：

• 組件之間的互動會造成意想不到的漏洞
• 未預先設計或預料到的湧現行為。
• 單獨來看不錯的安全特性，組合起來就會失效。
• 測試並不能涵蓋所有實際情況

控制只是一種錯覺：

• 你無法阻止所有攻擊。
• 你不可能修補所有漏洞
• 你不可能預料到所有威脅來源。
• 你只能增強韌性並降低可能性。

系統會找到自己的發展道路：

• 攻擊者會找到你意想不到的方法。
• 漏洞會在意想不到的地方出現。
• 使用者會以非預期的方式使用系統。
• “生命總會找到出路”

如何在混亂系統中建置安全

1. 擁抱不確定性

• 你無法預測所有攻擊。
• 你無法阻止所有違規行為。
• 接受這一點並據此進行建設。

2. 增強韌性

• 能夠優雅降級的系統
• 壓力下的恢復能力
• 冗餘和故障轉移
• 隔離和控制

3. 持續適應

• 持續監控
• 從事故中吸取教訓
• 進化防禦
• 領先威脅（或至少保持同步）

4. 假設失敗

• 其中一個部件會受到影響。
• 建置系統時要考慮到單一故障不會引發連鎖反應。
• 將恢復功能設計到系統中
• 定期測試失敗場景

5. 尊重複雜性

• 複雜系統具有湧現特性
• 功能越多，攻擊面越大
• 簡潔是安全特性
• 減少不必要的複雜性

安全教訓之九：安全存在於一個混沌系統中，微小的變化會產生巨大的影響，控製手段有限，威脅也會以不可預測的方式演變。建構的是韌性，而不僅僅是預防。

撤離：我們能從生存中學到什麼

在《侏羅紀公園》的結尾，倖存者們成功逃脫。他們吸取了慘痛的教訓：

什麼有效：

• 壓力下的團隊合作
• 適應不斷變化的環境
• 即使遭遇慘重失敗也不放棄
• 從即時錯誤中學習

失敗之處：

• 對科技的過度自信
• 安全措施不足
• 缺乏冗餘
• 低估威脅

这 Application Security 平行

當你的“公園”失敗時（它最終會以某種方式失敗）：

專注於生存：

• 控制損失
• 保護關鍵資產
• 讓人們 safety（保護客戶資料）
• 邊回答邊學習

別讓情況變得更糟：

• 不要為了掩蓋真相而銷毀證據。
• 在了解情況之前，不要輕易溝通。
• 不要想當然地認為你立刻就了解了全部情況。
• 需要大家齊心協力的時候，不要怪罪別人。

撤離計劃：

• 準備好事件回應程序
• 提前練習，以備不時之需
• 懂得如何失敗 safely
• 確保恢復能力已測試完畢並準備就緒

實際應用：建立你的安全體係以在恐龍時代生存下來

侏羅紀公園安全審計清單：

訪問控制：

✅ 任何個人都無法停用所有安全功能。
✅ 已實施職責分離
✅ 最小特權原則得到執行
✅定期進行訪問權限審查
✅ 已記錄並測試緊急控製程序

內部威脅：

✅ 對特權職位進行背景調查
✅ 高風險職位的財務壓力監測
✅ 活動日誌記錄與監控
✅ 無單一知識盲點
✅ 退出程序會立即撤銷所有存取權限

縱深防禦：

✅ 多層安全控制
✅ 無單點故障
✅ 已實施網路分段
✅ 設計中考慮了級聯故障預防。
✅ 所有系統的爆炸半徑限制

威脅適應：

✅ 假設攻擊者會適應並持續演變
✅持續監控新的威脅模式
✅ 定期進行安全評估和滲透測試
✅ 根據威脅情報更新安全控制措施
✅ 事件回應計畫已考慮新型攻擊

風險管理：

✅ 已進行切實可行的威脅評估
✅ 考慮悲觀情景
✅ 樂觀情緒不能忽視安全隱患
✅ 認真對待警訊
✅ 定期重新評估風險情勢

資源分配：

✅ 安保資金充足
✅ 安全團隊規模與組織規模相符
✅ 工具與訓練預算充足
✅ 積極管理安全技術債務
✅ 測試和驗證工作並未因截止日期而中斷

事件響應：

✅ 投資者關係計畫已記錄並測試完畢
✅ 恢復程序已驗證
✅ 備份系統定期測試
✅溝通計畫已準備就緒
✅ 已建立事後檢討流程

最後一課：尊重你正在創造的一切。

約翰·哈蒙德的根本缺陷不在於他克隆了恐龍，而是他不尊重自己創造的生物。

他把恐龍視為景點，而非頂級掠食者；他把系統視為服務工具，而非潛在故障點；他把安全視為一項簡單的勾選，而非持續的實踐。

我們都能想到一些不尊重他人的組織：

• 他們所建構的系統的力量
• 他們所掌握數據的價值
• 他們面臨的威脅的複雜性
• 它們所創造的環境的複雜性
• 他們對使用者和客戶負有責任

在應用安全性方面，尊重意味著：

謙遜

• 你會犯錯。
• 攻擊者聰明且動機強烈。
• 你的系統比你想像的更脆弱。
• 你不可能什麼都知道。

警覺

• 持續監控
• 持續改進
• 定期評估
• 永遠不要想當然 safe

尊重他人

• 致您的用戶
• 致貴組織
• 對更廣泛的生態系統
• 從失敗中學習並分享知識

投資

• 時間、金錢與對安全的重視
• 充足的人員配置和工具
• 持續的培訓和發展
• 技術債削減

建造能與恐龍抗衡的建築安全系統： Digital.ai 途徑

哈蒙德公園的失敗在於安保措施是事後匆忙加裝的。電網圍籬一個人就能輕易關閉。沒有縱深防禦，沒有自適應防護，一旦威脅逃脫，就無法控制。

你的申請不必重蹈哈蒙德的覆轍。

當威脅像迅猛龍學會開門一樣不斷適應，當像 Nedry 這樣的內部威脅可以癱瘓整個系統，當單點故障引發災難性漏洞時——你需​​要的是在應用程式最深層構建的安全保障，而不僅僅是包裹在應用程式表面的安全保障。

Digital.ai“ Application Security 平台 闡述了《侏羅紀公園》的核心教訓：

二元加固：打造無法開門的猛禽

迅猛龍學會開門是因為門是為人類設計的，而不是為了抵禦智慧威脅。你的應用程式二進位檔案也是如此——如果它們沒有針對逆向工程和篡改進行加固，攻擊者就會學會「打開大門」。

Digital.ai二元加固 提供多層保護：

代碼混淆 ——讓你的應用程式邏輯對試圖進行逆向工程的攻擊者來說難以理解。就像讓猛禽看不到門把手一樣——它們無法操縱它們無法理解的東西。

防篡改檢測 ——偵測攻擊者何時試圖修改您的應用程式。當攻擊者測試電網時，您需要立即知道並自動回應。

ASLR、堆疊金絲雀和控制流完整性 在二進位檔案中建構多層防禦機制，這樣即使攻破一層也不會導致所有層都被攻破。這是哈蒙德從未實現的縱深防禦策略。

RASP（運行時應用程式自我保護） 您的應用程式在運行過程中會主動進行自我防禦，即時偵測並阻止攻擊。這與被動的電網防禦截然不同，它能夠根據威脅行為做出反應，實現自適應的智慧防禦。

白盒密碼學：在 Nedry 攻擊時保護胚胎

內德里偷走恐龍胚胎是因為儲存方式不安全——只是一個沒有任何真正防護措施的簡易罐子。用現代術語來說，儲存在記憶體或設定檔中的加密金鑰，一旦內部人員或攻擊者獲得存取權限，同樣容易受到攻擊。

Digital.ai白盒密碼學 解決了「內德里問題」：

受保護的加密金鑰 即使在完全被攻破的環境中，您的金鑰仍然安全。即使攻擊者完全存取了您應用程式的記憶體（就像 Nedry 完全訪問了公園一樣），他們也無法提取實際的加密金鑰。

無密鑰儲存漏洞 密鑰永遠不會以可提取的形式存在。與哈蒙德的胚胎儲存不同，這裡沒有什麼可以被竊取的——加密操作是自動完成的。
無需露出鑰匙本身。

內部威脅緩解 即使是擁有管理員權限的惡意內部人員也無法破解您的加密。這直接解決了內德里場景的問題——一個人不應該能夠竊取所有資料。

防禦記憶體轉儲和調試 攻擊者試圖透過記憶體分析或調試工具提取密鑰，但都以失敗告終。 「胚胎罐」是空的，因為密鑰根本不在那裡可供竊取。

即時監控與自適應回應：比威脅更快學習

哈蒙德公園的致命缺陷在於其被動的安保措施——電圍欄要么有效要么無效，缺乏智慧回應機制。一旦圍籬失效，公園便無法進行自適應防禦，也就無法即時應對威脅。

迅猛龍學會了學習和適應。你的安保措施也必須如此——而且速度要快。

Digital.ai即時保護與情報 規定：

運行時威脅偵測 ——在攻擊發生時就辨識出來，而不是幾個小時或幾天之後。當猛禽試探圍欄時，您能立即知曉，並在全面攻擊之前做出反應。

行為分析 – 了解應用程式的正常行為並偵測異常情況。就像穆爾頓意識到猛禽是在「測試圍欄的弱點」一樣——你需要在實際攻擊發生之前進行威脅偵察。

自動回應能力 無需人工幹預即可自動攔截攻擊。 《太空堡壘卡拉狄加》中33分鐘的反應時間？現在只需幾秒甚至幾毫秒即可完成。

持續適應 ——您的防禦系統會根據觀察到的威脅不斷演進。與哈蒙德的靜電圍欄不同，您的安全系統會從攻擊嘗試中學習，並據此加強防禦。

攻擊情報源 – 了解整個應用程式組合中不斷湧現的威脅模式。當攻擊者學會新技術（就像猛禽學會開門一樣）時，您的防禦措施也會隨之調整以應對。

從《侏羅紀公園》的失敗案例到應用程式安全：

哈蒙德的失誤 → Digital.ai的解決方案：

• 事後考慮安全性 → 將安全性嵌入應用程式二進位檔案中
• 單點故障（Nedry）→ 分散式安全，不存在單一的易受攻擊點
• 被動防禦（電網）→ 主動式、自適應運轉保護
• 可提取密鑰（胚胎）→ 使用不可提取密鑰的白盒加密
• 延遲偵測 → 即時威脅偵測與回應
• 靜態安全 → 持續調整防禦措施
• 輕鬆逆向工程 → 全面的二進位加固

一體化防衛：各層協同運作

就像侏羅紀公園需要多層安全防護（不只是電網圍欄）一樣，現代應用也需要整合式保護：

建構時：

• 早期識別出的安全編碼實踐
• 已掃描依賴項是否存在漏洞
• 開發過程中融入了安全要求

在二進制級別：

• 程式碼混淆使逆向工程的難度呈指數級增長。
• 防篡改保護措施可偵測修改企圖
• 控制流程完整性可防止被利用

運行時：

• RASP 在執行過程中偵測並阻止攻擊。
• 行為分析可識別異常活動
• 自動回應可立即遏制威脅。

對於加密操作：

• 白盒加密技術可在惡劣環境下保護金鑰。
• 確保密鑰操作安全，避免密鑰洩露
• 即使系統完全被攻破，保護機制依然有效。

持續智能：

• 已識別的應用組合中的威脅模式
• 防禦措施會適應不斷湧現的攻擊技術
• 安全態勢會根據實際威脅不斷改進。

尊重你所創造的一切

哈蒙德並不尊重他所創造之物的力量。他建造的是景點，而不是頂級掠食者。他設定的是勾選框，而不是安全措施。

Digital.ai 幫助您尊重您的申請，具體方式如下：

• 將安全性融入基礎建設 從一開始就進行二元加固
• 保護最重要的東西 無法被竊取的加密金鑰
• 適應威脅s – 即時檢測和回應
• 學習與發展 – 基於攻擊情報的持續改進
• 提供縱深防禦 多個協同工作的層

因為在應用安全領域，就像在基因工程領域一樣：你建構的不是簡單的東西，而是強大、複雜且如果安全措施不到位就可能造成危險的東西。

恐龍適應了環境，攻擊者也適應了環境，你的安全措施必須更快適應。

結論：生命（和攻擊者）總是會找到出路

《侏羅紀公園》失敗的原因在於，哈蒙德建造了一個令人印象深刻但並不安全的東西，它注重功能而非安全性。 safety，並在混亂不可避免的情況下接管了控制權。

現代應用程式失敗的原因也相同。

但與哈蒙德不同的是，你可以從他人的失敗中學習。

你知道：

• 內部威脅是真實存在的（Nedry）
• 威脅會適應和進化（迅猛龍會學習）
• 單點故障會造成災難性後果（例如電網圍欄）
• 安全不能是事後考慮的（應該先考慮功能再考慮安全性）。
• 樂觀主義害死人（低估風險）
• 複雜性導致脆弱性（混沌理論）
• 控制是有限的（生命總會找到出路）

你的申請不必變成侏儸紀公園。

從一開始就將安全性納入考量。消除單點故障。重視內部威脅。制定應對威脅的計畫。進行切合實際的風險評估。為安全投入充足的資金。設計時要注重韌性，而非僅是預防。

生命總會找到出路。攻擊者也會找到出路。你的安全措施需要找到更好的方法——趕在他們之前。

「抓緊你們的屁股。」——雷‧阿諾德

堅守你的安全原則。你會需要它們的。