目录导语... 1 第一章数据泄漏已成全民公害且防不胜防... 3 一信息密码保密数据是数据泄漏重灾区... 3 ( 一 ) 超过半数网民通讯信息泄漏... 3 ( 二 ) 1.35 亿企业邮箱有泄漏风险... 4 ( 三 ) 中国是黑客组织攻击的首要目标... 5 二数据泄漏引发诈

Size: px

Start display at page:

Download "目录导语... 1 第一章数据泄漏已成全民公害且防不胜防... 3 一信息密码保密数据是数据泄漏重灾区... 3 ( 一 ) 超过半数网民通讯信息泄漏... 3 ( 二 ) 1.35 亿企业邮箱有泄漏风险... 4 ( 三 ) 中国是黑客组织攻击的首要目标... 5 二数据泄漏引发诈"

樽昏桂
5 years ago
Views:

1 关键企业保障网络安全的形势与挑战新华经参研究院 360 互联网安全中心

2 目录导语... 1 第一章数据泄漏已成全民公害且防不胜防... 3 一信息密码保密数据是数据泄漏重灾区... 3 ( 一 ) 超过半数网民通讯信息泄漏... 3 ( 二 ) 1.35 亿企业邮箱有泄漏风险... 4 ( 三 ) 中国是黑客组织攻击的首要目标... 5 二数据泄漏引发诈骗窃密侵财犯罪和政治动荡... 6 ( 一 ) 个人信息泄漏导致的电信网络诈骗每年损失 915 亿... 6 ( 二 ) 国内单个攻击组织窃取多家金融机构商业机密... 7 ( 三 ) 数据泄漏导致的年人均经济损失超过 300 美金... 9 ( 四 ) 敏感信息泄漏严重影响国家政治经济发展... 9 第二章远控攻击引发民生灾难和社会动荡一大型关键企业已成黑客主要攻击目标二关键设备系统被远程控制造成重大灾难 ( 一 ) 乌克兰电站遭受攻击致大面积电力中断 ( 二 ) 多国大型银行遭受攻击损失超 1 亿美金 ( 三 ) 德国核电站燃料装卸系统遭到网络攻击三物联网设备被远程控制导致美国大面积断网四智能汽车被远程控制危及普通人生命安全第三章避免网络灾难需要打好三大保卫战一关键信息基础设施的保卫战 ( 一 ) 关键信息基础设施保护已成法律义务 ( 二 ) 国内关键信息基础设施防护存四大不足二威胁态势感知能力的保卫战 ( 一 ) 威胁态势感知是网络安全的基础 ( 二 ) 基于多维大数据的威胁态势感知预测和响应三关键技术自主创新的保卫战第四章尽快建立现代企业网络安全防护体系一树立正确的现代企业网络安全观二建立数据驱动的协同联动防御体系三建立有效的网络安全应急响应体系四安全服务是企业安全制胜之本... 29

3 导语近年来, 随着人类社会的进步和信息技术的发展, 人类在能源环境交通居住安全等领域都面临着严峻的挑战, 迫使人们不得不利用大数据物联网等互联网技术实现更加高效智能的资源利用和调配模式在大数据成为国家战略的今天, 企业的组织生产和经营活动都以数据为基础开展和优化, 不仅是信息类产品和服务, 在交通能源电力市政管理金融环境保护教育医疗安防反恐等领域, 对互联网的依赖也越来越强随之而来的数据被泄漏篡改, 网络攻击等问题也越来越严重 2016 年以来, 针对能源金融核电站等领域的网络攻击时有发生, 保密信息商业机密等数据的泄漏也呈现高发趋势以美国为代表的西方国家非常重视信息安全, 投入巨资扶持产业发展, 建立爱因斯坦计划等国家级防护系统, 却依然难以避免各种安全事件的发生 Facebook Yahoo Apple 等互联网公司不断发生非法入侵事件, 数以亿计的公民数据泄漏, 造成广泛的社会影响 ; 银行系统被犯罪分子渗透导致近亿美元的损失, 造成重大的经济影响 ; 希拉里邮件门事件甚至干扰了美国大选, 造成巨大的政治影响不仅如此, 网络中的入侵甚至开始影响物理世界, 伊朗核工业系统遭入侵和乌克兰电网攻击事件表明, 关键信息基础设施面临的安全形势已经极为严峻网络安全问题, 关乎百姓生活与社会稳定从大处看, 会影响能源交通等基础设施的正常运行, 影响金融教育医疗等各行业的秩序, 甚至影响地缘政治的稳定 ; 往小处看, 每个人的隐私企业的商业机密泄漏都会带来各种各样的社会问题 2016 年 4 月 19 日, 习近平总书记主持召开全国网信工作座 1

4 谈会, 要求加快构建关键信息基础设施安全保障体系习总书记指出, 金融能源电力通信交通等领域的关键信息基础设施是经济社会运行的神经中枢, 是网络安全的重中之重, 也是可能遭到重点攻击的目标如果没有做好防范措施, 就有可能遭到入侵, 谁进来了不知道是敌是友不知道干了什么不知道所以需要建立全天候全方位感知网络安全态势的能力, 实现聪者听于无声, 明者见于未形 360 互联网安全中心统计数据显示, 按照机构内设备感染专用木马的数量统计, 企业是第一大疑似黑客攻击目标, 占比为 35.2%; 其次是大学, 占比 30.3%; 政府及事业单位占比 22.2%, 科研机构占比 7.7%; 其他机构或个人占比 4.6% 在针对企业的攻击中, 攻击者重点关注的领域依次是 : 通信网络电子电器海洋与港口能源化工交通运输航空航天和网络安全, 疑似攻击目标的企业以网络运维工程建设和制造业企业居多网络黑客组织的活动愈发猖獗, 开始从经济领域向政治领域发展, 组织性和技术手段也愈发先进我国关键信息基础设施面临的安全形势已经非常严峻 2016 年 11 月 7 日, 全国人大常委会通过的中华人民共和国网络安全法 ( 以下简称安全法 ), 明确规定对支撑国有企业核心业务的信息网络系统为关键信息基础设施, 要实行重点保护安全法中重点对网络信息安全网络运行安全和监测预警与应急处置界定了归属和责任关系与之相对应的威胁影响是数据泄漏远程控制和重大网络安全事件本报告以下部分将围绕这几个方面介绍其危害和案例 2

5 第一章数据泄漏已成全民公害且防不胜防在大数据成为国家战略的今天, 企业的组织生产和经营活动都以数据为基础开展和优化, 随之而来的是对这些数据的窃取行为越来越频繁, 手段越来越复杂一旦发生数据泄漏, 从大处看, 会影响能源交通等基础设施的正常运行, 影响社会秩序和金融教育医疗等各行业的稳定, 往小处看, 个人隐私企业商业机密的泄漏都会带来各种各样的社会问题一信息密码保密数据是数据泄漏重灾区 ( 一 ) 超过半数网民通讯信息泄漏数据泄漏的受害者首先是普通个人我国有 7.31 亿网民, 大部分都在遭受各类不良信息和不良行为的骚扰和侵害根据中国互联网协会发布的 2015 中国网民权益保护调查报告,78.2% 的网民个人身份信息被泄漏,49.9% 的通讯信息被泄漏来源 : 2015 中国网民权益保护调查报告 3

6 ( 二 )1.35 亿企业邮箱有泄漏风险除了个人信息, 邮箱网银等电子账户的密码泄漏也是重灾区在企业中, 邮箱密码的泄漏及被利用进行其他恶意攻击欺诈的现象尤其严重由于某些网络服务, 如游戏支付 icloud 等, 会与电子邮箱进行绑定, 很多犯罪分子在盗取了被绑定的邮箱后, 就会利用相关网络服务提供的基于邮箱的密码找回密码重置等功能盗取其他网络服务的帐号和密码, 进而盗取用户的游戏装备, 网银资产网上资料 ( 如照片, 视频等 ) 这种攻击在个人邮箱领域经常发生, 如果企业用户使用公司邮箱注册了这些第三方服务, 也会面临相同的攻击据统计, 到 2016 年底, 中国企业邮箱用户规模可达 1.12 亿, 并且仍将持续高速增长, 至 2017 年底, 将有望达到 1.35 亿国内企业邮箱用户平均每天遭遇疑似盗号攻击事件约 1.0 万件, 全年预计总量约为 365 万件企业用户邮箱账户密码被盗后, 通常被用于发送垃圾邮件, 或向企业内部发送欺诈邮件, 以盗取更多的邮箱账户, 或被用于更加高级的商业欺诈, 如诱骗财务人员汇款, 给合作伙伴或客户发送虚假信息等更恶劣的是被用于企业内网攻击, 黑客利用被盗邮箱所持有的企业内网访问权限, 对企业内网实施攻击 2016 年,360 企业安全集团追日团队应某大型企业的协查要求, 对其邮箱系统的异常情况进行调查, 结果发现攻击者至少先后盗取和控制了 29 家企业的数千个企业邮箱被这个攻击者控制的企业邮箱, 有 9 家属于制造业企业,7 家属于互联网公司, 另有通信企业 3 家, 事业单位和金融证券类企业各 2 家 4

( 三 ) 中国是黑客组织攻击的首要目标 2016 年, 一个自称是 theshadowbrokers ( 影子经纪人 ) 的黑客组织宣称获得了 Equation Group( 方程式组织 ) 的网络武器, 并公开在网上进行拍卖方程式组织是由卡巴斯基实验室首先披露的网络攻击幕后组织根据影子经纪人公开的文件分析, 该组织很可能与美国国安局 NSA(National Security

7 ( 三 ) 中国是黑客组织攻击的首要目标 2016 年, 一个自称是 theshadowbrokers ( 影子经纪人 ) 的黑客组织宣称获得了 Equation Group( 方程式组织 ) 的网络武器, 并公开在网上进行拍卖方程式组织是由卡巴斯基实验室首先披露的网络攻击幕后组织根据影子经纪人公开的文件分析, 该组织很可能与美国国安局 NSA(National Security Agency) 的间谍活动有关 8 月 19 日, 前 NSA 员工爱德华斯诺登公开了六份 NSA 文档, 证明了影子经纪人公开的文件与 NSA 的关系影子经纪人泄漏 NSA 网络武器事件发生后,FBI 逮捕了一名美国政府承包商哈罗德托马斯马丁三世 (Harold Thomas Martin III) 此人在被逮捕时, 被发现其存储了约 50TB 的机密文件而另有知情人士向路透社表示, 当局认为可能是该公司的某位操作员不小心将代码留在了远程电脑上, 因此才会被俄罗斯黑客发现该组织掌握大量 0day 漏洞, 是一个十分先进而隐秘的计算机间谍活动团体该团体的恶意软件至少已感染 42 个国家的 500 台电脑, 受害者涉及各国政府军工能源以及重要基础设施建 5

8 设领域等根据影子经纪人泄漏的相关信息分析, 中国很有可能是方程式组织的首要攻击目标即 : 从被攻击的服务器域名后缀统计来看,.cn 出现的次数最多, 这表明中国可能是方程式组织攻击的首要目标影子经纪人泄漏方程式组织工具事件再次引发了人们对网络空间战争深刻影响全球地缘政治的担忧类似于方程式组织这样的, 有强大国家支持背景的, 网络空间战争的顶级参与者, 已经使全球各国政府科研军事和商业机构面临巨大的威胁而中国则很可能是众多网络空间战争顶级参与者的主要攻击目标二数据泄漏引发诈骗窃密侵财犯罪和政治动荡 ( 一 ) 个人信息泄漏导致的电信网络诈骗每年损失 915 亿大量的实际案例和研究表明, 个人信息泄漏已成为电信及网络诈骗的助推器 2016 年, 电信网络诈骗成为高发犯罪类型, 特别是山东徐玉玉事件清华教授被骗 1700 万事件案件发生后, 成为社会舆论关注的焦点 6

9 360 互联网安全中心统计数据显示, 有半数以上的诈骗案件与个人信息泄漏有关, 如机票退改签购物退款冒充公检法冒充熟人银行卡盗刷等电信网络诈骗都是最典型的利用泄漏的信息来行骗, 使得受害者防不胜防中国互联网协会发布的中国网民权益保护调查报告 2016 同样可以看到, 网民在网购过程中, 遭遇个人信息泄漏的占 51%,84% 因信息泄漏受到骚扰金钱损失等不良影响, 一年因个人信息泄漏等遭受的经济损失高达 915 亿元如山东徐玉玉案中, 犯罪分子在窃取其报考院校助学金申请等信息后, 伪装成教育局工作人员发放助学金进行诈骗, 经过警方调查, 该信息是由黑客利用安全漏洞侵入了山东省 2016 高考网上报名信息系统网站获取的, 且共窃取下载了 60 多万信息在现今的网络黑产中, 交易个人信息成为了整个产业链中重要的一环今年 12 月南方都市报报道, 仅需花费 700 元即可买到 11 项个人隐私信息, 涉及个人航班记录存款记录开房记录手机实时定位信息手机通话记录等多项信息另据 360 补天平台的统计数据显示, 仅在该平台 2015 年收录的漏洞中, 就有 1400 余个漏洞可造成个人信息泄漏, 可泄漏信息规模达 55.3 亿条 ( 二 ) 国内单个攻击组织窃取多家金融机构商业机密 2015 年 12 月,360 安全服务团队基于日常的应急响应记录结合云端大数据, 发现一系列针对金融机构的定向攻击事件,360 安全服务团队联合 360 追日团队对此事件展开了深入调查调查结果显示, 攻击者是一个以合法软件开发企业为伪装的, 以不当盈利为目的的, 长期从事敏感金融交易信息窃取活动的境 7

10 内 APT 组织其攻击水平和反侦察能力均达到了国家级水平, 甚至超出了很多境外的 APT 组织该组织的活动时间至少长达 12 年以上, 遭到该组织长期攻击的金融机构涉及多家鉴于该组织是一个专门针对金融系统发动攻击的 APT 组织, 我们将该组织及其发动的攻击行动命名为黄金眼, 组织及行动编号 APT-C-19 调查显示, 黄金眼行动最早可以追溯到 2004 年, 相关攻击活动分别在 2012 年和 2014 年呈现两次高峰, 且 2014 年的攻击强度远远超过 2012 年其主要攻击对象为 : 基金证券保险理财和资产管理等多种类型的境内金融机构, 还包括一部分的个人股民黄金眼行动使用了一整套恶意代码对目标系统实施入侵和控制, 并可跨越所有 Windows 平台发动攻击特别的, 该组织的相关攻击工具经过了长期不断的版本升级和功能演化我们甚至发现在某些特定时期, 攻击者会不分昼夜地对工具进行开发改进此外, 黄金眼行动还具有极强的反侦察能力, 相关攻击代码在被释放出来之前也做了必要的清理, 基本不包含任何可能泄露作者或攻击者所处环境的信息黄金眼行动的恶意代码, 其架构之复杂, 功能之完善, 反侦察能力之强大, 以及持续改进的繁多版本, 显示出该组织开发运维的高度专业性此外, 我们也发现, 即便仅仅从对金融业务的熟悉程度来看, 黄金眼行动也具有高度的专业性我们有理由认为, 该 APT 组织实际上是由一群计算机专家和熟悉金融业务的人员共同组成从攻击目的来看, 黄金眼行动主要是通过恶意程序窃取其他 8

金融机构的敏感交易信息, 进而将这些交易信息作为投资情报, 用于不当的投资活动并赚取非法超额利润 ( 三 ) 数据泄漏导致的年人均经济损失超过 300 美金数据泄漏对企业造成的损失更为严重, 根据 IBM 公司和波耐蒙研究所联合做出的研究报告数据泄漏代价的研究 :2015 显示, 健康行业由于数据泄漏导致的年人均经济损失最大, 高达 363 美元, 其次是教育医药金融通讯等行业

11 金融机构的敏感交易信息, 进而将这些交易信息作为投资情报, 用于不当的投资活动并赚取非法超额利润 ( 三 ) 数据泄漏导致的年人均经济损失超过 300 美金数据泄漏对企业造成的损失更为严重, 根据 IBM 公司和波耐蒙研究所联合做出的研究报告数据泄漏代价的研究 :2015 显示, 健康行业由于数据泄漏导致的年人均经济损失最大, 高达 363 美元, 其次是教育医药金融通讯等行业数据泄漏导致的年人均损失数据泄漏代价的研究 :2015 ( 四 ) 敏感信息泄漏严重影响国家政治经济发展美国总统大选期间爆发的希拉里邮件门事件让所有人都大开眼界, 很多人都相信, 希拉里被泄漏的大量机密邮件, 对美国大选的竞选结果起了决定性作用, 帮助特朗普最终战胜希拉里, 成功当选美国总统, 也可能因此改变了整个人类的历史发展进程根据美国 FBI 的调查显示, 希拉里担任美国国务卿的时间里, 使用私人电子邮箱和位于家中的私人服务器收发公务邮件, 其中 9

12 包括一些涉及国家机密的绝密邮件这批邮件一共约 6 万封此事于 2015 年 3 月被曝出 2015 年 7 月, 美国联邦调查局 FBI 启动了对此事调查程序但是, 在 FBI 的调查工作开启之前, 即将被调查的 6 万封邮件中, 就有 3 万多封已经被希拉里团队以涉及私人生活为由删除了, 只剩下另外约 3 万封邮件可供调查此事被媒体披露后, 引发了公众对希拉里更多的质疑当时还远未到美国大选的关键时刻, 此事件对希拉里即将参加的美国总统大选的影响甚微然而, 事态在 2016 年 7 月, 也就是美国总统大选最为热闹最为激烈的关键时刻, 却发生了急剧的变化自 2016 年 7 月 23 日起, 维基解密逐步公开了与 DNC( 民主党全国委员会, Democratic National Committee) 有关的封电子邮件及 8034 份邮件附件, 这些邮件主要是 2015 年 1 月至 2016 年 5 月间,DNC 高级职员间往来的电子邮件, 涉及的账户主要包括民主党的一些高层官员, 如通信主管国家财务主管财务负责人数据与战略行动部的财务主管等事件发酵后, 有多名希拉里团队的高级官员引咎辞职 2016 年 8 月 12 日, 此前声称对 DNC 遭黑客攻击事件负责的黑客组织 Guccifer 2.0 也再次放出大量机密文件, 涉及美国民主党国会竞选委员会 (DCCC) 的大量数据, 并声称自己放出这些资料是因为公众有权力知道竞选过程中被主流媒体政治家们隐藏的事实真相实际上, 这些 DNC 泄漏出来的邮件主要揭示了这样一个问题 : 早在 2016 年 2 月民主党内初选开始前,DNC 就已经开始暗中支持希拉里争夺党内提名, 同时排挤希拉里在党内的最大竞争对手伯尼桑德斯此外, 邮件内容还显示了希拉里竞选团队操纵媒 10

13 体, 涉嫌洗钱, 有意抹黑特朗普等党内丑闻, 此事引起美国政坛的巨大震动, 也进一步引发了公众对于那被删除的 3 万封邮件内容的负面猜测 DNC 邮件泄漏事件把希拉里邮件门推向了高潮事件持续发酵并对美国社会和大选舆情产生了微妙的影响, 最终使本来民调一直相对领先的希拉里在最后关头败下阵来特朗普成功当选美国总统 11

第二章远控攻击引发民生灾难和社会动荡近年来, 随着人类社会的进步和信息技术的发展, 人类在能源环境交通居住安全等领域都面临着严峻的挑战, 迫使我们不得不利用大数据物联网等互联网技术实现更加高效智能的资源利用和调配模式目前, 除了信息类产品和服务, 在交通能源电力市政管理金融环境保护安防反恐等领域, 对互联网的依赖也越来越强因此, 一旦网络被远程控制,

14 第二章远控攻击引发民生灾难和社会动荡近年来, 随着人类社会的进步和信息技术的发展, 人类在能源环境交通居住安全等领域都面临着严峻的挑战, 迫使我们不得不利用大数据物联网等互联网技术实现更加高效智能的资源利用和调配模式目前, 除了信息类产品和服务, 在交通能源电力市政管理金融环境保护安防反恐等领域, 对互联网的依赖也越来越强因此, 一旦网络被远程控制, 造成的灾难堪比战争一大型关键企业已成黑客主要攻击目标下图是 2016 年, 疑似遭到高级攻击组织威胁的境内组织机构占比情况及被攻击领域的图谱分析按照机构内设备感染专用木马的数量统计, 企业是第一大疑似攻击目标, 占比为 35.2%; 其次是大学, 占比 30.3%; 政府及事业单位占比 22.2%, 科研机构占比 7.7%; 其他机构或个人占比 4.6% 在针对企业的攻击中, 攻击者重点关注的领域依次是 : 通信 12

15 网络电子电器海洋与港口能源化工交通运输航空航天和网络安全, 疑似攻击目标的企业以网络运维工程建设和制造业企业居多在针对政府机构和事业单位的攻击中, 攻击者重点关注的领域依次是 : 涉外机构海洋教育国土与地质农业水利和通信网络二关键设备系统被远程控制造成重大灾难 ( 一 ) 乌克兰电站遭受攻击致大面积电力中断 2015 年末至 2016 年以来, 在世界范围内先后发生了数起引起全球关注的, 具有显著破坏性的, 针对工业系统的破坏性攻击事件针对工业能源等关键基础设施行业的攻击, 其目的除了窃取敏感数据信息以外, 以直接破坏工业设备系统, 导致目标系统瘫痪日常作业流程无法正常运转为目的的攻击在逐渐增多发动这些攻击的组织背后, 往往是由一个国家支持 2015 年 12 月 23 日, 也就是在圣诞节的前夕, 乌克兰遭遇了大规模停电事件, 乌克兰一家电力公司的办公电脑和 SCADA 系统 (Supervisory Control And Data Acquisition 系统, 即数据采集与监视控制系统, 一般用来代指工业控制系统 ) 遭受到第三方非法入侵事故导致伊万诺弗兰科夫斯克地区将近一半的家庭经历了数小时的电力中断起初, 电力公司估计约 8 万名左右的用户受灾, 后发现共有三种不同配电站的能源公司遭受攻击, 造成各领域约 22.5 万名用户的电力中断攻击事件发生后不久, 乌克兰政府官员声称电力中断是由网络攻击引起的, 并指责俄罗斯国家安全部门应为此事负责 2016 年 1 月 3 日, 安全公司 ESET 最早披露了本次事件中的 13

16 相关恶意代码, 并发表文章称 : 乌克兰电力部门感染的恶意代码为 BlackEnergy 事实上, 恶意程序 BlackEnergy 对乌克兰以及电力控制系统的攻击并不是第一次了自 2007 年被首次披露以来, BlackEnergy 已经对乌克兰电力系统进行多轮次的狂轰滥炸 2016 年,BlackEnergy 还在继续对乌克兰境内的多个工业系统发动攻击, 在 12 月又再次造成了乌克兰某电力企业的一次小规模停电事故乌克兰电力系统遭到的持续攻击, 引起了世界各国的高度重视值得注意的是, 全球几乎所有的电力公司所使用的工业控制系统都十分类似, 操作系统也都以 Windows 居多, 底层的硬件更是垄断在为数不多的几个大公司手中, 因此, 我们预期类似的攻击很有可能会在其他国家和地区重现 ( 二 ) 多国大型银行遭受攻击损失超 1 亿美金去年可以称得上是一个全球银行机构的网络灾害年 2016 年可以称得上是一个全球银行机构的网络灾害年先是上半年接连发生了以孟加拉国央行为代表的一系列发展中国家的央行或大型国有银行被盗事件, 受害者损失高达数千万美元随后, 下半年又接连发生了以台湾第一银行 ATM 吐钞事件为代表的一系列 ATM 机攻击事件 2016 年 2 月 5 日, 孟加拉国央行被黑客攻击导致 8100 万美元被窃取攻击者通过网络攻击或者其他方式获得了孟加拉国央行 SWIFT 系统操作权限, 随后, 攻击者向纽约联邦储备银行 (Federal Reserve Bank of New York) 发送虚假的 SWIFT 转账指令, 而孟加拉国央行在纽约联邦储备银行上设有代理帐户纽约联邦储备银行总共收到 35 笔, 总价值 9.51 亿美元的转账要求, 14

17 其中 30 笔被拒绝, 另外 5 笔总价值 1.01 亿美元的交易被通过而这其中又有 2000 万美元因为拼写错误被中间行发觉而被找回, 而另外 8100 万美元则被成功转走盗取 2016 年 7 月 12 日, 台湾第一银行发布公告称部分分行 ATM 提款机遭异常盗领, 经清算核实, 全台共有 41 台 ATM 机遭到盗领, 被盗金额 8327 余万新台币随后, 又接连发生了一系列 ATM 机攻击事件此类攻击中, 攻击者通过攻击补丁更新服务器, 向 ATM 机下发恶意程序, 这些恶意程序会开启 ATM 远程控制服务 (Telnet Service), 使藏身在海外的幕后操控者可以操控 ATM 机吐钞在上述网络攻击事件中, 我们一方面可以看到跨国交易结算机制可能存在的安全漏洞, 同时也可以看到, 攻击者无需物理接触 ATM 机, 就能实现 ATM 机自动吐钞目的必须清醒地意识到, 即便是在理论上隔离的防护级别极高的银行网络系统中, 网络攻击依然可以无孔不入, 而且危害巨大 ( 三 ) 德国核电站燃料装卸系统遭到网络攻击 2016 年 4 月, 据外媒报道, 德国核电站负责燃料装卸系统遭到攻击, 德国 Gundremmingen 核电站的计算机系统, 在常规安全检测中发现了恶意程序核电站的操作员 RWE 为防不测, 关闭了发电厂 Gundremmingen 核电站官方发布的新闻稿称, 此恶意程序是在核电站负责燃料装卸系统的 Block B IT 网络中发现的这家核电站是德国最老的核电站之一, 预计 2021 年全面关闭事件发生后, 已经有 750 人联合在周末的时候抗议表示希望说服当局能够在其寿终正寝之前就关闭剩余的两个反应堆三物联网设备被远程控制导致美国大面积断网 15

18 2016 年 10 月 21 日, 美国遭遇史上最严重分布式拒绝服务 (DDoS) 攻击, 美国东海岸出现了大面积断网事件, 黑客用所控制的全球数十万智能硬件组成的僵尸网络, 对美国域名解析服务商 DYN 进行了 DDoS 攻击, 致使美国主要公共服务社交平台民众网络服务瘫痪, 媒体称之为网络 911 这次堪称网络 911 的攻击事件, 是由 2016 年最为臭名昭著的僵尸网络 mirai 发动的在该事件中,Twitter 亚马逊华尔街日报等数百个重要网站无法访问, 美国主要公共服务社交平台民众网络服务瘫痪此次事件的原因是攻击者对美国互联网域名解析服务商 DYN 进行了 DDoS 攻击, 峰值流量达到日常互联网流量的 20 倍而在这次 DDoS 攻击的流量构成中,mirai 僵尸网络当时已经操控的全球约 89 万台智能设备 ( 其中还包括中国境内超过 9 万台正在使用的智能设备 ) 所发动的攻击, 就是最重要的组成部分之一在这次灾难中, 仅 DYN 一家公司的直接损失就超过了 1.1 亿美元美国断网事件给我们提出了一个重要的启示 : 物联网设备的安全性问题, 不仅仅是会引发个人信息泄漏或设备运行故障等局部风险, 同时也有可能被用于对关键信息基础设施进行重大破坏四智能汽车被远程控制危及普通人生命安全据美国媒体 2016 年 8 月 3 日报道, 曾成功入侵控制 2014 款 Jeep 自由光并导致菲亚特克莱斯勒召回 140 万辆车的两名黑客 Charlie Miller 和 Chris Valasek, 发明了新的方法来侵入车辆系统这次实验的对象还是 2014 款 Jeep 自由光, 这次的入侵可以在不干扰多媒体单元的情况下悄无声息地侵入汽车系统通过 CAN 总线向其发送大量不同指令和信号, 车载电脑的安全阀就会 16

19 过载, 入侵者就可以完全控制转向刹车和节气阀系统两位专家甚至在测试和展示时让车辆发生了碰撞, 视频中显示手握方向盘的驾驶者并没有能控制转向系统, 车辆被入侵者操控进行了大幅度的突然转向, 最终驶进了水沟里 17

20 第三章避免网络灾难需要打好三大保卫战一关键信息基础设施的保卫战近年来, 关键信息基础设施已经成为网络攻击的一个重要目标, 甚至成为大国博弈地区战争的工具这些由国家支持的网络攻击往往会导致网络中断和系统的瘫痪, 带来经济损失和生产业务的中断, 不仅影响人民的生活, 企业的正常运行, 严重的甚至会影响到国家的政治活动因此, 对关键信息基础设施防护的认识需要提升到全新的高度 ( 一 ) 关键信息基础设施保护已成法律义务习近平总书记在 2016 年的 4.19 讲话中强调, 金融能源电力通信交通等领域的关键信息基础设施是经济社会运行的神经中枢, 是网络安全的重中之重必须深入研究, 采取有效措施, 切实做好国家关键信息基础设施安全防护在 2016 年 11 月, 第十二届全国人民代表大会常务委员会第二十四次会议通过了中华人民共和国网络安全法 ( 以下简称安全法 ) 随后, 经中央网络安全和信息化领导小组批准, 国家互联网信息办公室发布国家网络空间安全战略 ( 以下简称战略 ) 无论是安全法还是战略都是国家层面对各类网络攻击的战略指导, 而其中都大幅笔墨的描述了关键信息基础设施的保障要求, 可见其重要程度之高其中, 战略从国家层面为关键信息基础设施下了定义关键信息基础设施是指关系国家安全国计民生, 一旦数据泄漏遭到破坏或者丧失功能可能严重危害国家安全公共利益的信息设施战略指出关键信息基础设施保护是政府企业和全社会的共同责任, 并详细的提出了关键信息基础设施保障的要务, 包括采取一切必要措施保护关键信息基础设施及其重要数据 18

21 不受攻击破坏这是对关键信息基础设施重要性关键性的根本共识网络安全法在第三章第二节中规定了关键信息基础设施的运行安全, 强调在网络安全等级保护制度的基础上, 对关键信息基础设施实行重点保护, 明确关键信息基础设施的运营者负有更多的安全保护义务, 并配以国家安全审查重要数据强制本地存储等法律措施, 确保关键信息基础设施的运行安全图 : 网络安全法针对关键信息基础设施的运行安全提出 9 条规定 19

22 ( 二 ) 国内关键信息基础设施防护存四大不足经过多年的信息安全发展, 国内关键信息基础设施的国家部门企事业单位, 其安全技术支撑比其他组织相对完备技术能力的配备比较全面, 已具备了较高的综合安全实力但我们由于一些新型安全挑战, 目前存在四大不足 1) 我国成 APT 攻击重灾区但防护能力不足根据 360 威胁情报中心的数据, 我国是 APT 攻击的主要受害国, 仅在年,360 天眼实验室的追日团队就发现了多达 36 个针对我国的网络攻击组织这些针对我国政府部门重要企事业和科研机构的攻击, 已经造成了大量数据泄漏这说明, 我国在防范 APT 攻击方面仍存在防护能力不足的问题 2) 关键网站漏洞修复率不足半数, 且修复周期过长根据 360 互联网安全中心发布的数据, 根据对 2016 年补天平台的备案网站漏洞的抽样调查, 平均漏洞修复率仅为 42.9%; 即便是在能够修复漏洞的网站中, 仍有近 2/3 的网站, 漏洞修复周期过长, 修复很不及时 ( 大于 7 天 ) 3) 传统安全防护手段落后, 彼此之间脱节没有联动传统的安全产品以配置安全策略规则碰撞防护的思路为主, 由于安全产品类型厂商和型号策略众多, 在遭受威胁和攻击时, 相互之间的识别防护检测预警响应和处置的协调能力较差, 不能形成完整的安全闭环体系 4) 全天候全方位感知安全态势, 完善信息共享机制关键基础设施企业要实现习进平总书记 4.19 讲话中提到的, 感知网络安全态势是最基本最基础的工作, 建立统一高效的网络安全风险报告机制情报共享机制, 当前仍需要持续建设和 20

23 完善二威胁态势感知能力的保卫战习近平总书记在 2016 年 419 网络安全和信息化工作座谈会上提出 : 全天候全方位感知网络安全态势知己知彼, 才能百战不殆没有意识到风险是最大的风险网络安全具有很强的隐蔽性, 一个技术漏洞安全风险可能隐藏几年都发现不了, 结果是谁进来了不知道是敌是友不知道干了什么不知道, 长期潜伏在里面, 一旦有事就发作了维护网络安全, 首先要知道风险在哪里, 是什么样的风险, 什么时候发生风险总书记将网络安全态势感知定位成网络安全最基本最基础的工作 ( 一 ) 威胁态势感知是网络安全的基础网络安全法第五章将监测预警与应急处置工作制度化法制化, 明确国家建立网络安全监测预警和信息通报制度, 建立网络安全风险评估和应急工作机制, 制定网络安全事件应急预案并定期演练这为建立统一高效的网络安全风险报告机制情报共享机制研判处置机制提供了法律依据, 为深化网络安全防护体系, 实现全天候全方位感知网络安全态势提供了法律保障 2016 年 12 月 27 日, 国务院全文刊发了十三五国家信息化规划, 再次强调了态势感知的重要性十大任务中的最后一项, 健全网络安全保障体系, 提出全天候全方位感知网络安全态势从习总书记 419 讲话, 到网络安全法出台, 再到十三五国家信息化规划, 都将强调了态势感知的重要性 ( 二 ) 基于多维大数据的威胁态势感知预测和响应建立网络安全态势感知体系的目标是全面提升识别理解 21

24 处理威胁及各类异常的能力通过建立态势感知体系, 可以提供网络安全持续监控能力以及时发现各种攻击威胁 ; 建立威胁可视化及分析能力对威胁相关的影响范围攻击路径目的手段进行快速判别以支撑有效的安全决策和响应 ; 建立安全预警机制来完善风险控制应急响应和整体安全防护的水平作为态势感知领域的先行者,360 天眼实验室认为态势感知体现的是看见和预测安全威胁的能力, 需要基于多维度大数据和多维度大数据挖掘处理能力, 同时协同安全人员和安全专家的安全能力经验和智慧, 实现对安全威胁的感知分析和预测, 然后做出响应决策具体实现中, 一个完整的态势感知体系必须具备以下能力 : 1) 多维态势基础数据收集存储和处理能力数据是态势感知的基础, 所以建立态势感知体系首先要基于态势获取理解呈现和预测的具体目的, 分析确定所需要采集的数据, 并采取相应方法完成多元数据的汇聚存储和管理基于安全态势感知的特定需求, 使用的大数据平台应以海量数据存储索引查询统计为特点的系统, 保障千亿级日志量的存储, 数据的快速查询和统计态势数据的收集与存储具备开放性, 以为后续更多的应用, 如业务安全留有接口 2) 态势元素获取与持续安全监测能力态势感知体系要提供较完善的持续安全监控能力对于各类安全告警及内控异常通过统计建模威胁情报事件关联分析机器学习等方式进行二次分析, 获取真实的攻击事件信息通过威胁情报对日志信息进行分析, 及时发现内部已经被攻击者 / 攻击组织控制的主机与服务器通过多层次异常分析, 提 22

25 供未知网络攻击发现能力通过行为分析, 发现各类内控异常行为通过大数据分析及人机交互过程, 增强安全捕猎能力 3) 态势元素理解智能分析和可视化能力针对报警事件, 采用多种方式进行理解分析, 然后研判呈现必要信息来支撑决策和具体的安全响应活动利用云威胁情报系统, 对告警进行自动分析处理, 获取安全威胁和攻击相关信息对于无法自动获取相应信息的报警, 通过大数据可视化关联分析和人机交互方式进行调查分析, 协助安全运维分析人员尽可能的还原攻击链条利用数据可视化, 对不同安全场景进行态势展示, 用以判断热点重点或趋势, 以辅助安全决策 4) 对态势预警与响应能力通过自身安全事件分析外部情报共享等方式, 获得威胁相关的战略战术情报, 用以评估自身防护体系的完备性, 同时指导安全防护体系建设及风险控制应急预案的完善对于内部重要安全事件, 通过回溯分析等方式, 还原攻击者的技战术手法, 掌握攻击者渗透时利用的内部脆弱点 ; 通过情报关联分析, 了解类似攻击团伙的技战术手法 ; 通过情报共享或者商业情报方式, 订阅和行业相关的攻击团伙的技战术手法和攻击目的等情报三关键技术自主创新的保卫战斯诺登事件揭露出, 微软苹果赛门铁克思科等均是 NSA 的重要监控合作伙伴, 他们在相关设备和软件内置后门以实现监控目的如果政府和企业的机密数据战略资源商业敏感数据等信息, 被这些存在后门的国外设备和软件一览无 23

26 余, 那么会给国家和企业带来严重的后果, 因此信息技术领域, 尤其是网络安全领域的关键技术自主创新将是实现网络安全的重要保证习近平总书记在 2016 年 419 讲话中指出, 核心技术是国之重器, 最关键最核心的技术要立足自主创新自立自强国家网络空间安全战略在夯实网络安全基础一章中也明确提出 : 坚持创新驱动发展, 积极创造有利于技术创新的政策环境, 统筹资源和力量, 以企业为主体, 产学研用相结合, 协同攻关以点带面整体推进, 尽快在核心技术上取得突破优化市场环境, 鼓励网络安全企业做大做强, 为保障国家网络安全夯实产业基础而十三五国家信息化规划中明确要通过实施国家网络空间安全重大科技项目, 全面提升网络信息技术能力, 构建国家网络空间安全技术体系加快推进安全可靠信息技术产品创新研发应用和推广, 形成信息技术产品自主发展的生态链, 推进党政机关电子公文系统安全可靠应用建立有利于网络安全产业良性发展的市场环境, 加快培育我国网络安全龙头企业加强对新技术新应用新业务的网络安全保障和前瞻布局作为全球最大的互联网安全企业之一, 也是国内最大的网络安全企业,360 经过十多年的积累和发展, 自主研发和积累的安全能力和技术在网络攻防威胁识别防护响应威胁情报态势感知大数据云安全和大数据安全等多个都处于全球领先水平, 公司将通过原力计划, 与国内的政府主管科研院校安全行业协同合作, 建立网络安全技术自主发展生态圈, 加速国内关键技术自主创新, 从而提升我国的网络安全整体水平 24

27 第四章尽快建立现代企业网络安全防护体系传统的企业安全防御体系的特点是 : 单点防御, 各自为战企业往往是分别从不同的厂商哪里采购了各种各样的安全产品或服务, 尽管表面上看起来设施齐全, 但实际上不同的安全产品之间却是在各自为政, 独立运行的, 从而使企业总是无法全面的把控自身网络安全问题, 对于自身安全状况也处于一种完全不自知的状态同时, 传统的企业安全防御体系还普遍存在重防御, 轻应急的问题, 一旦发生安全事件, 企业往往无所适从, 从而产生了很多不必要的损失, 或者是使损失不必要扩大而在互联网 + 时代, 要解决前文所述的企业面临的各类安全问题, 就需要在企业中建立一套全新的, 适应各类安全威胁的, 甚至是未知威胁的现代企业安全防护体系, 其核心思想是 : 建立数据驱动的, 协同联动的, 云 + 端 + 边界的立体纵深防御体系, 同时还要建立迅捷有效的网络安全应急响应体系, 以应对各种突发的网络安全事件一树立正确的现代企业网络安全观十分有趣的是, 阻碍企业建立现代网络安全防御体系的首要障碍, 即不是成本问题, 也不是技术问题, 而是观念问题, 是很多企业的网络运营与管理者所抱有的错误的过时的网络安全观这些错误的过时的安全观主要表现在以下几个方面 : 1) 安全管理以免责为目标以等保标准的实践为例 : 很多企业管理者认为, 只要达到了国家制定的信息安全等级保护制度要求的标准, 企业就已经实现了安全达标, 如果再发生安全事件, 不论事件造成多么大的损失, 企业自身都没有任何责任了 ; 这种免责观念导致很多企业只是为了达到等保要求而被动的采购标准指定网络安全设备或系统, 不 25

28 仅对新兴安全技术与方法不闻不问, 同时也不能正确有效的使用已经采购的网络安全设备或系统 ; 这也就使得很多企业采购的安全产品最终几乎都变成了无用的摆设这种情况实际上也违背了等保标准设计的初衷 2) 害怕暴露问题, 存在侥幸心理很多企业害怕安全人员对其网络系统进行的安全检测, 更害怕第三方报告其网络系统存在的安全漏洞, 他们似乎认为, 被报告有问题, 就说明自己的工作没做好这就好像一个人害怕体检一样, 但不体检不等于身体就没有生病这种错误的观念使得很多企业错过了最佳的诊疗时机, 使大量安全隐患长期存在, 最后变成要么不出事, 要么出大事 3) 关心自身损失, 忽略社会责任根据补天平台的统计, 在已经被通告其系统存在安全漏洞的情况下, 中国网站的平均漏洞修复率也仅为 42.9% 半数以上的企业对自己的漏洞不闻不问造成这种情况的一个重要原因就是 : 这些漏洞可能不会给网站自身带来直接的经济损失比如, 网站上的用户信息泄漏, 用户可能因此面临网络诈骗等各种高危风险, 但网站自身却可能没有任何直接经济损失, 因此也就对报告的漏洞睁一只眼闭一只眼但是, 新出台的网络安全法, 给这种错误的观念敲响了警钟根据草案的第六十条 : 对其产品服务存在的安全缺陷漏洞等风险未立即采取补救措施, 或者未按照规定及时告知用户并向有关主管部门报告的, 企业将有可能面临五万元以上五十万元以下罚款, 直接负责的主管人员将可能面临一万元以上十万元以下罚款 4) 缺乏动态防御与应急响应意识 26

29 时至今日, 仍然有相当多的企业管理者认为 : 所谓企业安全, 就是给企业的每台电脑装上杀毒软件, 给企业网络边界安装一套防火墙这些管理者完全没有运营监控, 动态防御的意识但实际上, 现代网络安全实践已经证明, 任何静态部署的防御系统都不太可能非常有效的防御现代网络攻击此外, 传统安全观主要立足于防护, 主要的努力方向是尽可能的避免安全事件的发生, 而不太重视应急响应机制的建设而新型的安全观则认为, 防不住是一定的, 应当立足于一定防不住的假设来设计自己的防御和监控系统综上, 现代大中型企业, 在网络安全管理方面需要树立的正确的安全观至少包括 : 注重实际效果, 主动查找问题, 坚持动态监控, 做好数据运维, 完善应急响应, 兼顾社会责任二建立数据驱动的协同联动防御体系传统安全防御体系强调的是利用攻防对抗技术在攻击的某个片段发现攻击行为新型防御技术则以数据为核心, 相当于将整个攻击过程都录制下来, 而后对攻击的全过程进行回溯分析, 不但能够了解到攻击的全貌, 而且有可能在攻击全过程的任意一个环节片段对攻击进行发现此外, 一旦发现安全事件, 新型防御体系可以同时调动网络系统中的各类安全产品及资源进行协同防御, 从而实现对各类网络威胁, 特别是未知威胁的快速发现, 快速响应与快速处置数据驱动的协同联动防御体系主要有以下几个特点 : 1) 运维数据全量记录对各类安全产品及网络流量的运维数据进行全量记录, 用以进行态势感知异常发现以及攻击事件还原等安全分析 27

30 2) 多维数据关联分析对不同来源, 不同维度的本地安全大数据, 如终端杀毒防火墙服务器流量设备资产等数据进行快速汇集深度关联, 以及自动化的高级智能分析 3) 威胁情报辅助分析将本地安全大数据与云端威胁情报中心推送的专属威胁情报相结合, 实现对未知威胁与高级攻击的快速发现, 精准定位和攻击溯源 4) 协同联动快速响应根据大数据分析系统的分析结果, 对企业内网系统实现持续的安全监测快速响应事件调查及安全态势感知, 并能够联动 NDR,EDR, 进行快速协同响应处置三建立有效的网络安全应急响应体系网络安全应急响应体系建设的不足, 是现代企业网络安全建设的主要缺欠之一这主要是源于人们对防不住是一定的这一客观事实的认识不足企业的网络安全应急响应体系建设是一个系统工程下图给出了这一系统的主要组成部分和相互关系从图中可以看出, 在网络安全应急响应体系中, 最核心的部分是网络安全应急响应小组, 这一小组是应急响应处置的核心协调机构, 其上还设有应急响应领导小组 28

31 机构 / 企业网络安全应急响应领导小组 ( 决策中心 ) 技术专家组顾问组公共舆论 / 市场公关组内部协调相关业务线或受影响的业务业务线 1 业务线 2 技术指导策略指导应急响应办公室 / 小组 ( 协调中心 ) 新闻发布 IT 技术支撑通信设施保障组数据灾备保障组基础设施保障组网络保障组外部协调政府机构业务关联方供应商专业安全服务供应商应急响应小组在处置网络安全应急事件过程中, 需要进行大量的内外协调工作其中, 内部协调需要分别调动指挥与事件相关的业务线人员以及专门负责技术维护的 IT 技术支持人员 ; 而外部协调的对象则主要包括政府机构, 业务关联方相关供应商及专业安全服务商等对于一个互联网 + 时代的现代企业, 是否能够建立一套技能专业反应迅速领导有力的网络安全应急响应体系, 是其网络安全综合管理水平的重要体现四安全服务是企业安全制胜之本需要特别指出的是, 即便企业采购了世界上最先进的全套网络安全服务产品, 并且建立了完善的网络安全应急响应体系, 也未必能胜任企业的网络安全日常运维与管理工作, 因为这些企业在采购安全产品时, 很可能忽略了一项最具商业价值的内容安全服务 29

32 在国内企业的安全采购过程中, 企业往往能够接受为软硬件安全产品买单, 但却普遍不愿意为产品附带的安全服务买单甚至很多企业认为, 安全服务本应该就是安全产品的售后服务, 应该是无偿的或免费的但实际上, 无论是从运营成本还是从商业价值来看, 安全服务都要比安全产品高得多这就好比是再豪华的汽车, 如果没有司机来开的话, 也不过是废铁一堆而由于安全人才全球性的极度短缺, 在网络安全领域, 好的司机要比好的汽车难找得多, 这也就使得安全服务的成本事实上要远大于安全产品的研发而对于企业安全服务商来说, 安全服务的质量和水平才是服务商实力差距和价值高低的根本体现所以, 企业在选择安全服务商时, 不应该只看中其产品的功能和报价, 而更应该把关注的焦点放在服务商专家队伍技能水平和服务水平上选择一支优秀的安全服务队伍, 才是保障企业网络安全的关键反之, 如果企业在安全采购过程中, 过分轻视安全服务, 则必然导致安全服务质量的大幅下降, 同时也使企业采购的各类安全产品的使用价值大打折扣 30

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON