張鵬攝
我國(guó)網(wǎng)絡(luò)安全形勢(shì)嚴(yán)峻。國(guó)家互聯(lián)網(wǎng)應(yīng)急中心報(bào)告顯示，針對(duì)我國(guó)互聯(lián)網(wǎng)站的篡改、后門(mén)攻擊事件數(shù)量呈現(xiàn)逐年上升的趨勢(shì);最近一次對(duì)國(guó)內(nèi)近10家主流手機(jī)廠(chǎng)商的全部手機(jī)型號(hào)的測(cè)試表明，這些手機(jī)100%存在安全漏洞;再加上缺乏自主可控、安全可信的互聯(lián)網(wǎng)核心技術(shù)，我國(guó)網(wǎng)絡(luò)安全形勢(shì)雪上加霜。網(wǎng)絡(luò)安全成為監(jiān)管部門(mén)和互聯(lián)網(wǎng)廠(chǎng)商最關(guān)心的話(huà)題。
安全工作不進(jìn)則退，重發(fā)展輕安全的思想亟須轉(zhuǎn)變。在8月27日舉行的“2014中國(guó)網(wǎng)絡(luò)安全論壇”上,專(zhuān)家學(xué)者和業(yè)界精英齊聚一堂，就如何增強(qiáng)網(wǎng)絡(luò)信息安全保障能力，如何推動(dòng)完善網(wǎng)絡(luò)與信息安全的法律法規(guī)、技術(shù)標(biāo)準(zhǔn)，如何加強(qiáng)基礎(chǔ)設(shè)施和技術(shù)手段體系化建設(shè)等話(huà)題，大家分享觀(guān)點(diǎn)，分析形勢(shì)，展望未來(lái)。本報(bào)記者會(huì)海拈花，擷取精華與讀者分享。
工信部通信保障局網(wǎng)絡(luò)安全處副處長(zhǎng)付景廣
網(wǎng)絡(luò)安全工作需從5方面推進(jìn)
•加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施和互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)安全防護(hù)，提升重大突發(fā)網(wǎng)絡(luò)安全事件應(yīng)急處理能力。
•維護(hù)公共互聯(lián)網(wǎng)網(wǎng)絡(luò)安全環(huán)境，加強(qiáng)新技術(shù)新業(yè)務(wù)網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)安全技術(shù)能力建設(shè)。
在互聯(lián)網(wǎng)高速發(fā)展的同時(shí)，安全始終是人們無(wú)法回避的一個(gè)重大課題。面對(duì)新形勢(shì)、新要求，網(wǎng)絡(luò)安全工作不進(jìn)則退，重發(fā)展輕安全的思想還普遍存在。前不久，工信部研究起草了關(guān)于加強(qiáng)電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)安全工作的指導(dǎo)意見(jiàn)，這個(gè)意見(jiàn)將于近日指導(dǎo)印發(fā)。
一是大力加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施和互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)安全防護(hù)。寬帶網(wǎng)絡(luò)域名系統(tǒng)已經(jīng)成為支撐我國(guó)經(jīng)濟(jì)社會(huì)發(fā)展的戰(zhàn)略性關(guān)鍵基礎(chǔ)設(shè)施，承載著各個(gè)行業(yè)關(guān)系國(guó)計(jì)民生的信息系統(tǒng)。基礎(chǔ)設(shè)施安全是網(wǎng)絡(luò)安全的根本，同時(shí)商業(yè)網(wǎng)站、互聯(lián)網(wǎng)企業(yè)等所擁有的業(yè)務(wù)系統(tǒng)存儲(chǔ)了大量的用戶(hù)信息和數(shù)據(jù)，其數(shù)據(jù)安全、隱私保護(hù)的重要性日益凸顯。基礎(chǔ)電信企業(yè)、域名服務(wù)機(jī)構(gòu)、互聯(lián)網(wǎng)企業(yè)等，要切實(shí)履行網(wǎng)絡(luò)安全的主體責(zé)任，確保保障網(wǎng)絡(luò)安全的各項(xiàng)制度措施落實(shí)到位。
二是著力提升重大突發(fā)網(wǎng)絡(luò)安全事件應(yīng)急處理能力。網(wǎng)絡(luò)安全具有高度的攻防對(duì)抗特點(diǎn)，難免道高一尺魔高一丈，我們要樹(shù)立底限思維，做好最壞情況的應(yīng)急處理。全行業(yè)要認(rèn)真落實(shí)工信部公共互聯(lián)網(wǎng)網(wǎng)絡(luò)安全應(yīng)急預(yù)案，制定和完善本單位網(wǎng)絡(luò)安全應(yīng)急預(yù)案，健全大規(guī)模拒絕服務(wù)攻擊、重要域名系統(tǒng)故障、大規(guī)模用戶(hù)信息泄露和重大網(wǎng)絡(luò)安全事件的應(yīng)急協(xié)同機(jī)制，加強(qiáng)應(yīng)急預(yù)案演練，確保應(yīng)急預(yù)案的科學(xué)性、實(shí)用性、可操作性。
三是積極維護(hù)公共互聯(lián)網(wǎng)網(wǎng)絡(luò)安全環(huán)境。針對(duì)黑客地下產(chǎn)業(yè)鏈、移動(dòng)惡意程序等危害公共安全和用戶(hù)利益的問(wèn)題，一方面企業(yè)、用戶(hù)要加強(qiáng)自身的安全防范，另一方面要加強(qiáng)綜合治理，遏制攻擊威脅源頭，建立移動(dòng)互聯(lián)網(wǎng)惡意程序監(jiān)測(cè)程序處置機(jī)制，健全釣魚(yú)網(wǎng)站的監(jiān)測(cè)與懲治機(jī)制。此外還要加強(qiáng)犯罪線(xiàn)索的分析挖掘，積極配合公安機(jī)關(guān)打擊網(wǎng)絡(luò)違法犯罪，建立健全跨部門(mén)、跨行業(yè)的聯(lián)動(dòng)機(jī)制，凈化互聯(lián)網(wǎng)環(huán)境，保護(hù)用戶(hù)合法環(huán)境。
四是加強(qiáng)新技術(shù)、新業(yè)務(wù)網(wǎng)絡(luò)安全管理。要加強(qiáng)對(duì)云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)以及下一代互聯(lián)網(wǎng)新技術(shù)、新業(yè)務(wù)網(wǎng)絡(luò)安全的跟蹤研究，加快推進(jìn)相關(guān)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)研制。涉及提供公共電信和互聯(lián)網(wǎng)服務(wù)的基礎(chǔ)設(shè)施和業(yè)務(wù)系統(tǒng)，都將納入工信部網(wǎng)絡(luò)安全防護(hù)管理體系進(jìn)行監(jiān)管。
五是強(qiáng)化網(wǎng)絡(luò)安全技術(shù)能力和手段建設(shè)。網(wǎng)絡(luò)安全工作技術(shù)性很強(qiáng)，離不開(kāi)強(qiáng)有力的技術(shù)和手段支持。要大力開(kāi)展網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警、漏洞挖掘、代碼分析、檢測(cè)評(píng)估和溯源取證技術(shù)研究，指導(dǎo)督促企業(yè)建立和完善自身網(wǎng)絡(luò)安全分戶(hù)技術(shù)手段，健全基于木馬病毒、移動(dòng)惡意程序等的監(jiān)測(cè)、分析與處置手段，積極研究利用云計(jì)算、大數(shù)據(jù)等新技術(shù)提高網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警能力，促進(jìn)企業(yè)技術(shù)手段與行業(yè)主管部門(mén)技術(shù)手段對(duì)接，制定接口標(biāo)準(zhǔn)規(guī)范，實(shí)現(xiàn)監(jiān)測(cè)數(shù)據(jù)共享。
復(fù)旦大學(xué)國(guó)際關(guān)系與公共事務(wù)學(xué)院副教授沈逸
主動(dòng)樹(shù)立有形邊界會(huì)在戰(zhàn)略上被動(dòng)
•防御分為兩種：消極防御和積極防御。積極防御取決于能力，而互聯(lián)網(wǎng)的邊界就是能力邊界。
•主動(dòng)樹(shù)立有形邊界，就會(huì)在戰(zhàn)略上處于被動(dòng)地位，外部的敵人可以在邊界點(diǎn)上，隨時(shí)發(fā)起攻擊。
美國(guó)政府很少講安全，有兩個(gè)原因：第一，對(duì)于美國(guó)來(lái)說(shuō)國(guó)家安全是很特殊的詞，在美國(guó)貼上國(guó)家安全的事情不受法律約束。當(dāng)一件事情被認(rèn)為跟國(guó)家安全相關(guān)，那么這件事情跟法律是沒(méi)有關(guān)系的，所以美國(guó)非常謹(jǐn)慎使用這個(gè)詞。
第二，發(fā)展是美國(guó)實(shí)現(xiàn)安全的手段。美國(guó)確保其他國(guó)家使用美國(guó)的技術(shù)，幫助其他國(guó)家發(fā)展自己的技術(shù)，在這種發(fā)展的過(guò)程中美國(guó)獲得最大的安全。我個(gè)人認(rèn)為防御分為兩種，一種是消極防御，一種是積極防御，這取決于能力。我們中國(guó)可能還不具備這種動(dòng)態(tài)的積極防御的能力，但是我們長(zhǎng)遠(yuǎn)發(fā)展的愿景是什么還是可以討論的。
邊界有兩種邊界，第一種是有形的物理邊界，第二種是能力邊界。在互聯(lián)網(wǎng)環(huán)境當(dāng)中我認(rèn)為只有能力邊界，在網(wǎng)絡(luò)空間里表現(xiàn)出來(lái)就是你的能力有多強(qiáng)，你的邊界就可以伸到哪里去。當(dāng)你自己主動(dòng)給自己樹(shù)立有形邊界，你在戰(zhàn)略上先天就處于一個(gè)被動(dòng)的態(tài)勢(shì)，這意味著外部的敵人可以在你邊界點(diǎn)上，選擇任何時(shí)間發(fā)起攻擊。
360公司首席隱私官、首席技術(shù)官、副總裁譚曉生
用混合云實(shí)現(xiàn)云+端+邊界的立體防御
•在未來(lái)兩三年，漏洞依然是互聯(lián)網(wǎng)最主要的威脅，傳統(tǒng)的安全防御思想在今天遇到了挑戰(zhàn)。
•邊界防御效果大打折扣，需要云+端+邊界立體防御：建立私有云，強(qiáng)化終端和網(wǎng)絡(luò)的安全。
未來(lái)的兩三年，漏洞是主要的威脅，依然會(huì)呈大規(guī)模爆發(fā)的趨勢(shì)。針對(duì)漏洞，不管是惡意程序還是遠(yuǎn)程網(wǎng)絡(luò)層面的攻擊，都會(huì)成為系統(tǒng)主要的威脅。
互聯(lián)網(wǎng)的本質(zhì)是讓信息的流動(dòng)變得更加方便，在這樣四通八達(dá)的地方，犯罪分子進(jìn)來(lái)和出去就會(huì)比較容易。于是，傳統(tǒng)的企業(yè)安全防御思想在今天遇到了挑戰(zhàn)，邊界的防御效果已經(jīng)大打折扣。在這種情況下，需要云+端+邊界的立體防御。我們會(huì)強(qiáng)化私有云，在一個(gè)企業(yè)內(nèi)部建私有云，應(yīng)用私有云和公有云的架構(gòu)。安全即邊界，要建立新的安全體系。對(duì)于企業(yè)來(lái)說(shuō)，首先要解決的是終端的安全，其次是無(wú)線(xiàn)網(wǎng)絡(luò)的安全。防御要基于大數(shù)據(jù)，通過(guò)大數(shù)據(jù)才能知道歷史上發(fā)生的數(shù)據(jù)，什么是正常的，什么是異常的。
在過(guò)去一年我們做了嘗試，試圖把網(wǎng)站的漏洞挖掘出來(lái)，告訴網(wǎng)站的制作程序，讓他們?nèi)ジ倪M(jìn)。但是其實(shí)還有另外一種方法，就是云的方法，即把網(wǎng)站外面攔一層，把攻擊擋住，對(duì)漏洞做檢測(cè)，幫網(wǎng)站做防護(hù)。
國(guó)家互聯(lián)網(wǎng)應(yīng)急中心工程師何能強(qiáng)
0.3%應(yīng)用商店決定網(wǎng)絡(luò)環(huán)境好壞
•應(yīng)用程序的分布呈二八定律模式，絕大多數(shù)的App存在于少數(shù)的大型及巨型應(yīng)用商店里。
•對(duì)主管部門(mén)來(lái)講，治理好占總數(shù)0.3%的50家大型熱門(mén)應(yīng)用商店，就是治理好80%的應(yīng)用。
移動(dòng)互聯(lián)網(wǎng)的虛擬環(huán)境與自然環(huán)境是一樣的，它有一個(gè)生存法則，有一個(gè)地上世界和地下世界。在地上世界，有一些大家所熟知的App，它帶動(dòng)了互聯(lián)網(wǎng)經(jīng)濟(jì)的發(fā)展。在地下世界，有很多惡意程序來(lái)竊取用戶(hù)的手機(jī)信息，竊取用戶(hù)的賬戶(hù)信息，達(dá)到不正當(dāng)?shù)慕?jīng)濟(jì)目的，損害了網(wǎng)民的切身利益。
目前移動(dòng)互聯(lián)網(wǎng)應(yīng)用商店的發(fā)展有一個(gè)不平衡的現(xiàn)象。國(guó)內(nèi)超大型的應(yīng)用商店有兩家，大型應(yīng)用商店有14家，中型42家，84.39%的移動(dòng)應(yīng)用程序存在于大型和超大型的應(yīng)用商店里面。這里存在一個(gè)明顯的定律，就是二八定律，84%的移動(dòng)應(yīng)用程序存在于0.3%的應(yīng)用商店里面。對(duì)于主管部門(mén)來(lái)講，治理好占總數(shù)0.3%的50家大型熱門(mén)應(yīng)用商店，就是治理好80%的應(yīng)用。
今年工信部開(kāi)展了第三方身份認(rèn)證的試點(diǎn)工作，目標(biāo)就是加強(qiáng)對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序開(kāi)發(fā)源頭的管理，實(shí)現(xiàn)應(yīng)用程序的防篡改，保護(hù)用戶(hù)和原始開(kāi)發(fā)商的合法權(quán)益。同時(shí)對(duì)應(yīng)用商店、手機(jī)安全軟件和手機(jī)終端進(jìn)行驗(yàn)證和標(biāo)識(shí)，提出統(tǒng)一的規(guī)范。目前這項(xiàng)工作正在如火如荼地開(kāi)展中，有一些應(yīng)用商店已經(jīng)能夠支持開(kāi)發(fā)商的標(biāo)識(shí)。
移動(dòng)互聯(lián)網(wǎng)黑名單的保護(hù)方式出現(xiàn)了明顯的局限性，白名單需求日益增加。因此我們發(fā)起了互聯(lián)網(wǎng)應(yīng)用白名單的工作，倡導(dǎo)開(kāi)發(fā)商提交白應(yīng)用，并引導(dǎo)用戶(hù)下載，建立良性的生態(tài)環(huán)境。
騰訊高級(jí)副總裁丁珂
大數(shù)據(jù)已成黑客攻擊主要目標(biāo)
•在大數(shù)據(jù)時(shí)代，并非所有的企業(yè)都能像三大運(yùn)營(yíng)商一樣自己建立數(shù)據(jù)中心，來(lái)存放大數(shù)據(jù)。
•數(shù)據(jù)的爆炸式發(fā)展，迫使中小型企業(yè)將數(shù)據(jù)放到云側(cè)，云端的海量數(shù)據(jù)需要專(zhuān)業(yè)的安全維護(hù)。
互聯(lián)網(wǎng)的數(shù)據(jù)每年增長(zhǎng)50%，而且90%的數(shù)據(jù)是最近一兩年產(chǎn)生的。這個(gè)數(shù)據(jù)的產(chǎn)生，把大家的服務(wù)模式全壓到了云側(cè)，因?yàn)椴豢赡芩械钠髽I(yè)都能像三大運(yùn)營(yíng)商那樣有實(shí)力買(mǎi)地、買(mǎi)服務(wù)器、建數(shù)據(jù)中心，來(lái)存放大數(shù)據(jù)。趨勢(shì)就是中小企業(yè)將數(shù)據(jù)全放到云側(cè)，形成了云托管商。這么多的數(shù)據(jù)需要有專(zhuān)業(yè)人士來(lái)維護(hù)，需要有專(zhuān)業(yè)的地方去存放。但是因?yàn)檎趯?duì)行業(yè)管理的過(guò)程中，對(duì)于類(lèi)似從業(yè)資質(zhì)的問(wèn)題有特殊的規(guī)定，這對(duì)能做云托管、能做云計(jì)算的企業(yè)來(lái)說(shuō)就有了門(mén)檻。
對(duì)于如何發(fā)展安全產(chǎn)業(yè)，如何維護(hù)網(wǎng)絡(luò)安全，整個(gè)學(xué)術(shù)界形成兩派。一派說(shuō)要像美國(guó)一樣，政府對(duì)安全不要投入太多。這無(wú)非需要做到三點(diǎn)：第一是合規(guī)，做事透明;第二是有商業(yè)空間，商業(yè)扶持有可持續(xù)性;第三是有重點(diǎn)方向，哪里有能力，哪個(gè)能力更強(qiáng)，機(jī)制就往哪個(gè)方向設(shè)立。另一派觀(guān)點(diǎn)是加強(qiáng)管控，讓國(guó)有資本購(gòu)買(mǎi)有能力的中小企業(yè)。其實(shí)未來(lái)的發(fā)展，必然有一種更組合的方式來(lái)完成。
大數(shù)據(jù)已經(jīng)成為黑客攻擊的主要目標(biāo)。現(xiàn)在的安全技術(shù)在大數(shù)據(jù)時(shí)代分為三大核心部分，第一個(gè)核心技術(shù)是尋找和補(bǔ)漏洞，這在以前也存在;第二個(gè)核心技術(shù)是大數(shù)據(jù)環(huán)境下的攻擊與防御，黑客界為了訓(xùn)練黑客的這種攻防技術(shù)，已經(jīng)做出了一套完整的像培養(yǎng)軍人一樣的機(jī)制，中國(guó)軍方也在用這種方法做同樣的事情;第三個(gè)核心技術(shù)是主動(dòng)掃描，如果手里有漏洞，就去掃所有的網(wǎng)站，看哪個(gè)網(wǎng)站存在這些漏洞，通過(guò)掃描可以快速比對(duì)和獲取互聯(lián)網(wǎng)用戶(hù)的個(gè)人信息和行為信息，例如住過(guò)的酒店、QQ號(hào)、微信號(hào)等。而前不久美國(guó)指控中國(guó)軍方5名軍人竊取美方機(jī)密數(shù)據(jù)，就是運(yùn)用了大數(shù)據(jù)技術(shù)鎖定了他們，我們輸在了數(shù)據(jù)太散、數(shù)據(jù)引導(dǎo)不夠規(guī)范等方面。
互聯(lián)網(wǎng)實(shí)驗(yàn)室、博客中國(guó)、全球網(wǎng)創(chuàng)始人董事長(zhǎng)方興東
中國(guó)最大的挑戰(zhàn)來(lái)自互聯(lián)網(wǎng)治理
•隨著中國(guó)互聯(lián)網(wǎng)行業(yè)的飛速發(fā)展，國(guó)際互聯(lián)網(wǎng)必然會(huì)從以美國(guó)為中心轉(zhuǎn)到以中國(guó)為中心。
•未來(lái)中國(guó)互聯(lián)網(wǎng)業(yè)在多方面均會(huì)有比較大的突破，但對(duì)網(wǎng)絡(luò)空間的治理能力方面仍面臨挑戰(zhàn)。
在20年前，美國(guó)網(wǎng)民占全球網(wǎng)民總數(shù)的2/3，而現(xiàn)在卻不到10%。10年以后，美國(guó)網(wǎng)民的占比大概會(huì)不到5%，而中國(guó)網(wǎng)民占全球網(wǎng)民總數(shù)的比重會(huì)超過(guò)20%。互聯(lián)網(wǎng)必然會(huì)從以美國(guó)為中心轉(zhuǎn)變?yōu)橐灾袊?guó)為中心。中國(guó)互聯(lián)網(wǎng)需要全球化，中國(guó)互聯(lián)網(wǎng)公司一定要開(kāi)始布局全球化。中國(guó)的互聯(lián)網(wǎng)公司應(yīng)該有一個(gè)更大的胸懷，學(xué)會(huì)低調(diào)、謙讓和推讓。中國(guó)應(yīng)該把1/3的市場(chǎng)讓給美國(guó)和歐洲的互聯(lián)網(wǎng)公司，這樣才能順利進(jìn)入到人家的市場(chǎng)里。
過(guò)去的互聯(lián)網(wǎng)是美國(guó)在主導(dǎo)全球發(fā)展，30億網(wǎng)民主要來(lái)自于發(fā)達(dá)國(guó)家;下一個(gè)30億網(wǎng)民將主要來(lái)自于發(fā)展中國(guó)家，網(wǎng)民基本上是低收入、低教育水平、居住在五六線(xiàn)城市和農(nóng)村地區(qū)的人群。在這個(gè)過(guò)程中，天平自然會(huì)向中國(guó)傾斜。要想了解下一個(gè)10年的發(fā)展就一定要到農(nóng)村去。
目前中國(guó)互聯(lián)網(wǎng)產(chǎn)業(yè)競(jìng)爭(zhēng)力在下一個(gè)10年是非常樂(lè)觀(guān)的，我們最大的短板芯片和操作系統(tǒng)，在未來(lái)3~5年一定會(huì)有比較大的突破。網(wǎng)絡(luò)空間的威懾能力、攻防能力，隨著產(chǎn)業(yè)發(fā)展和人才隊(duì)伍的壯大，也會(huì)大幅提升。可能最大的挑戰(zhàn)來(lái)自對(duì)整個(gè)網(wǎng)絡(luò)空間的治理能力。中國(guó)應(yīng)該把問(wèn)題研究透，接受全球互聯(lián)網(wǎng)治理的概念，但是要抵制美國(guó)以退為進(jìn)的治理概念。中國(guó)應(yīng)該全力幫助聯(lián)合國(guó)拿回互聯(lián)網(wǎng)治理權(quán)，中國(guó)自己的訴求應(yīng)該淡化。我們要學(xué)習(xí)美國(guó)政府，要在互聯(lián)網(wǎng)治理里面看不到政府的手。
在網(wǎng)絡(luò)強(qiáng)國(guó)的下一個(gè)10年里，我們第一階段是補(bǔ)課，第二階段是建立防御，第三階段就是進(jìn)入體系防御，能夠跟美國(guó)博弈。在這個(gè)過(guò)程中我們最大的挑戰(zhàn)就是中國(guó)互聯(lián)網(wǎng)的治理能力，包括國(guó)內(nèi)互聯(lián)網(wǎng)的治理，以及參與全球互聯(lián)網(wǎng)的治理。我們要有全球的視野，以美國(guó)作為參照系，下一個(gè)10年里唯一防范的就是自己不要犯戰(zhàn)略性錯(cuò)誤。
