事件回顧
Sudhish Kasaba Ramesh于2016年7月入職思科，2018年4月離職。Ramesh在與檢察官議定的認(rèn)罪書(shū)中坦言，離職之后，“他曾使用個(gè)人Google Cloud Project賬戶部署代碼，刪除掉了456臺(tái)虛擬機(jī)。這部分虛擬機(jī)主要用于交付視頻會(huì)議、視頻消息收發(fā)、文件共享以及其他協(xié)作工具服務(wù)。”
Ramesh承認(rèn)自己“魯莽地”部署了惡意代碼，而且“明確意識(shí)到自己的行為可能給思科業(yè)務(wù)帶來(lái)巨大風(fēng)險(xiǎn)。”
根據(jù)檢察官的說(shuō)明，Ramesh的行為導(dǎo)致超過(guò)16000個(gè)WebEx Teams賬戶被異常關(guān)閉，持續(xù)時(shí)間達(dá)兩個(gè)星期。為此，思科方面共計(jì)損失240萬(wàn)美元（約合1650萬(wàn)人民幣），其中包括對(duì)問(wèn)題進(jìn)行修復(fù)所支付的約140萬(wàn)美元人力成本和超過(guò)100萬(wàn)美元的客戶退款損失。
對(duì)此，思科方面表示，值得慶幸的是此次事件并未導(dǎo)致客戶信息丟失或泄露。
思科公司發(fā)言人在一份郵件聲明中表示，“思科已經(jīng)于2018年9月快速解決了此次問(wèn)題，保證不存在任何客戶信息丟失或泄露的狀況，并及時(shí)引入了其他保護(hù)措施。”同時(shí)，思科表示：“我們將這個(gè)問(wèn)題提交給了執(zhí)法部門(mén)，并在能力配合之下成功將其繩之以法。我們相信整改之后的機(jī)制足以防止此類(lèi)事件的再次發(fā)生。”
由于認(rèn)罪協(xié)議的更多細(xì)節(jié)尚未公開(kāi)，Ramesh此舉的動(dòng)機(jī)還不明確。但更令人意外的是，Ramesh的現(xiàn)任雇主、個(gè)性化時(shí)裝公司Stitch Fix似乎一副無(wú)所謂的態(tài)度，甚至希望他能繼續(xù)正常上班。
根據(jù)法院文件，Ramesh在美國(guó)持有H-1B簽證，而且正在申請(qǐng)綠卡。法院文件提到，“盡管他和他的雇主了解目前的認(rèn)罪結(jié)果有可能影響其正常移民，甚至導(dǎo)致其被驅(qū)逐出境，但雇主方……仍然愿意為他保留工作崗位，考慮其繼續(xù)留在美國(guó)并為公司效力的可能性。”
據(jù)悉，30歲的Ramesh或?qū)⒚媾R五年有期徒刑與25萬(wàn)美元的罰款。目前，Ramesh已被保釋?zhuān)ａ尳馂?萬(wàn)美元，其宣判會(huì)將于2020年12月9日舉行。
[法院文件](https://www.courtlistener.com/recap/gov.uscourts.cand.362365/gov.uscourts.cand.362365.9.0.pdf)說(shuō)明
員工“報(bào)復(fù)”事件頻發(fā)
思科遭員工“刪虛擬機(jī)跑路”并不新鮮，此前微盟遭員工“刪庫(kù)跑路”事件更是轟動(dòng)一時(shí)。
今年2月，微盟研發(fā)中心核心運(yùn)維人員賀某通過(guò)個(gè)人VPN登入公司內(nèi)網(wǎng)跳板機(jī)對(duì)微盟線上生產(chǎn)環(huán)境及數(shù)據(jù)進(jìn)行了嚴(yán)重的惡意破壞，導(dǎo)致微盟的SaaS業(yè)務(wù)服務(wù)突然宕機(jī)，商家后臺(tái)的所有數(shù)據(jù)被清零。
該事件發(fā)生后，微盟股價(jià)大跌，累計(jì)市值一度蒸發(fā)超30億港元。300萬(wàn)左右商家的數(shù)據(jù)在騰訊云協(xié)助下，經(jīng)過(guò)七天七夜的努力才被全面找回。3月初，微盟表示將拿出1.5億元進(jìn)行損失賠付，其中公司承擔(dān)1億元，管理層承擔(dān)5000萬(wàn)元。
雖然輿論已經(jīng)平息，但后續(xù)賠償事宜還在進(jìn)行中。由于賠償金額等問(wèn)題，微盟遭到了大量商家的集體投訴，這些投訴已被立案審理。據(jù)微盟集團(tuán)發(fā)布的2020年上半年財(cái)報(bào)顯示，由該賠付計(jì)劃帶來(lái)的預(yù)計(jì)賠付支出對(duì)微盟帶來(lái)的損益影響達(dá)0.87億元。
根據(jù)微盟發(fā)布的通告，賀某是由于個(gè)人精神、生活等原因發(fā)起了破壞行為。隨后，微盟創(chuàng)始人孫濤勇在接受媒體采訪時(shí)解釋到，該員工一直深陷網(wǎng)絡(luò)貸，還曾有過(guò)輕生的舉動(dòng)。春節(jié)期間一個(gè)人在房間獨(dú)處30多天，再加上本身經(jīng)濟(jì)上的困擾，最終做出了這樣的舉動(dòng)，事后他也表示跟公司無(wú)任何仇恨。
很多程序員表示：“刪庫(kù)跑路就是說(shuō)說(shuō)而已，跑得了和尚跑不了廟。”但為什么還是有人甘愿冒著坐牢的風(fēng)險(xiǎn)破壞公司系統(tǒng)，是每個(gè)管理人員應(yīng)該深思的事情。
當(dāng)然，除了少數(shù)的有意為之，還有很多“刪庫(kù)”其實(shí)是程序員的無(wú)心之失。
據(jù)媒體公開(kāi)報(bào)道，在2018年，順豐一位工程師在升級(jí)系統(tǒng)數(shù)據(jù)庫(kù)的時(shí)候，不慎將RUSS數(shù)據(jù)庫(kù)刪除，導(dǎo)致很長(zhǎng)一段時(shí)間順豐線上發(fā)車(chē)功能無(wú)法使用，帶來(lái)了嚴(yán)重的負(fù)面影響。最后該員工被辭退。
還有位自稱(chēng)阿里員工的知乎網(wǎng)友表示，自己剛?cè)肼毜臅r(shí)候，數(shù)據(jù)庫(kù)可以直接用bash執(zhí)行后臺(tái)增刪改操作，各種監(jiān)管和操作日志機(jī)制都不是很完善。有一天，在使用存儲(chǔ)過(guò)程進(jìn)行update極度重要的表的時(shí)候，忘了加where條件，就直接敲了回車(chē)執(zhí)行，所以和刪庫(kù)也差不了多少。
當(dāng)時(shí)出現(xiàn)失誤的第一反應(yīng)是嚇傻了，不敢告訴主管。“知道沒(méi)有備份的消息后，我是想跑路來(lái)著的...”該網(wǎng)友表示，后來(lái)才意識(shí)到update是一個(gè)事務(wù)，中途Kill掉進(jìn)程，就不可能出現(xiàn)一半更新一半不更新的情況。年少無(wú)知，白白挨了一通批評(píng)。
如何預(yù)防
“rm-rf/*，執(zhí)行了這個(gè)命令就是走上人生巔峰了。”這也不過(guò)是一句玩笑話而已。對(duì)于程序員個(gè)體來(lái)說(shuō)，一般情況下沒(méi)人會(huì)故意搞破壞，而為避免無(wú)心之失，平時(shí)只能處處小心。
但前有微盟后有思科，大企業(yè)不斷遭遇“刪庫(kù)”事故，側(cè)面也說(shuō)明了企業(yè)在數(shù)據(jù)安全管理上存在一些問(wèn)題。對(duì)此，有專(zhuān)家從事前預(yù)防、事中發(fā)現(xiàn)和事后容災(zāi)三方面給出了相關(guān)建議。
首先，事前預(yù)防很重要。企業(yè)需要統(tǒng)一運(yùn)維入口，實(shí)現(xiàn)賬號(hào)和權(quán)限的分配和管理，并且要每人獨(dú)立賬號(hào)和權(quán)限，細(xì)化至每個(gè)人能做什么不能做什么。不要為了圖省事共用一個(gè)權(quán)限，而且要定期梳理和回收。也要對(duì)員工進(jìn)行典型誤操作和惡意操作案例的宣傳，讓他們知道后果，形成敬畏之心，同時(shí)在統(tǒng)一運(yùn)維平臺(tái)上把已知的高危操作都攔截掉，譬如rm–fr等。
其次，企業(yè)可以通過(guò)配置審計(jì)規(guī)則，對(duì)一些會(huì)變更系統(tǒng)的操作進(jìn)行告警，同時(shí)要對(duì)系統(tǒng)進(jìn)行完整性等健康監(jiān)控。
最后，最重要的就是備份。數(shù)據(jù)是核心，有數(shù)據(jù)才能在災(zāi)難后恢復(fù)系統(tǒng)。備份一定要全量備份、增量備份、異地備份等，最好多個(gè)機(jī)房備份。
當(dāng)然，數(shù)據(jù)管理只是一部分，真正“刪庫(kù)跑路”的發(fā)生歸根到底是公司和員工之間矛盾不可調(diào)和的爆發(fā)，結(jié)局往往是兩敗俱傷。
