看現(xiàn)狀 互聯(lián)網(wǎng)業(yè)務(wù)頻現(xiàn)安全問(wèn)題
2013年，我國(guó)基礎(chǔ)網(wǎng)絡(luò)安全防護(hù)水平有較大提升。這份報(bào)告顯示，基礎(chǔ)網(wǎng)絡(luò)安全防護(hù)水平和防范意識(shí)進(jìn)一步提高，三大電信運(yùn)營(yíng)商符合性評(píng)測(cè)達(dá)標(biāo)率均在97%以上，并側(cè)重加大對(duì)用戶(hù)個(gè)人信息保護(hù)工作的檢查力度，通過(guò)對(duì)安全隱患的測(cè)試和修復(fù)，有效降低了通信網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。
然而，由于互聯(lián)網(wǎng)與社會(huì)經(jīng)濟(jì)的融合度加深，經(jīng)濟(jì)信息尤其是信息消費(fèi)領(lǐng)域面臨更多的安全風(fēng)險(xiǎn)。去年，互聯(lián)網(wǎng)與金融行業(yè)深度融合，以余額寶、現(xiàn)金寶、理財(cái)通等為代表的互聯(lián)網(wǎng)金融產(chǎn)品市場(chǎng)火爆，在線(xiàn)經(jīng)濟(jì)活動(dòng)日趨活躍。但與此同時(shí)，釣魚(yú)攻擊呈現(xiàn)跨平臺(tái)發(fā)展趨勢(shì)，在線(xiàn)交易系統(tǒng)防護(hù)稍有不慎即可能引發(fā)連鎖效應(yīng)，影響金融安全和信息消費(fèi)?；ヂ?lián)網(wǎng)公司通過(guò)所運(yùn)營(yíng)的在線(xiàn)交易信息系統(tǒng)，掌握大量用戶(hù)資金、真實(shí)身份、經(jīng)濟(jì)狀況、消費(fèi)習(xí)慣等信息，系統(tǒng)出現(xiàn)安全問(wèn)題后，風(fēng)險(xiǎn)也隨之傳導(dǎo)至關(guān)聯(lián)的銀行、證券、電商等其他行業(yè)，產(chǎn)生連鎖反應(yīng)。
基礎(chǔ)信息網(wǎng)絡(luò)承載的互聯(lián)網(wǎng)業(yè)務(wù)頻現(xiàn)安全問(wèn)題。2013年，某OTT業(yè)務(wù)出現(xiàn)故障，全國(guó)多地有6000多萬(wàn)用戶(hù)無(wú)法正常使用，用戶(hù)感知強(qiáng)烈。部分互聯(lián)網(wǎng)公司的網(wǎng)站域名在某些地區(qū)被劫持，甚至被強(qiáng)行插入廣告窗口，某些寬帶接入商在小區(qū)路由器上對(duì)部分網(wǎng)站進(jìn)行劫持跳轉(zhuǎn)等事件，嚴(yán)重影響用戶(hù)體驗(yàn)，損害互聯(lián)網(wǎng)企業(yè)和網(wǎng)民利益?？梢?jiàn)，互聯(lián)網(wǎng)業(yè)務(wù)的不斷創(chuàng)新導(dǎo)致安全問(wèn)題不斷演化，如何及時(shí)、有效應(yīng)對(duì)，需要互聯(lián)網(wǎng)服務(wù)商和基礎(chǔ)電信企業(yè)共同努力。
移動(dòng)互聯(lián)網(wǎng)惡意程序數(shù)量繼續(xù)大幅增長(zhǎng)，惡意程序的制作、發(fā)布、預(yù)裝、傳播等初步形成一條完整的利益鏈條，移動(dòng)互聯(lián)網(wǎng)生態(tài)系統(tǒng)環(huán)境呈惡化趨勢(shì)。
這份報(bào)告顯示，2013年CNCERT監(jiān)測(cè)發(fā)現(xiàn)移動(dòng)互聯(lián)網(wǎng)惡意程序傳播次數(shù)達(dá)到1296萬(wàn)余次，移動(dòng)互聯(lián)網(wǎng)惡意程序下載鏈接1207萬(wàn)個(gè)，用于傳播移動(dòng)互聯(lián)網(wǎng)惡意程序的域名15247個(gè)、IP地址60976個(gè)。CNCERT認(rèn)為，移動(dòng)應(yīng)用商店的審核機(jī)制不完善、安全檢測(cè)能力差等問(wèn)題，使得惡意程序得以發(fā)布和擴(kuò)散。2013年發(fā)現(xiàn)某電商出售的行貨手機(jī)，被第三方預(yù)置隱私竊取類(lèi)手機(jī)病毒，能靜默上傳手機(jī)號(hào)、IMEI號(hào)、聯(lián)網(wǎng)IP地址、位置信息、程序列表等，累計(jì)感染的手機(jī)數(shù)量超過(guò)200萬(wàn)。移動(dòng)應(yīng)用商店、手機(jī)經(jīng)銷(xiāo)商等移動(dòng)互聯(lián)網(wǎng)生態(tài)系統(tǒng)的上游環(huán)節(jié)被污染，導(dǎo)致下游用戶(hù)感染惡意程序的速度加劇。
政府網(wǎng)站面臨威脅依然嚴(yán)重，地方政府網(wǎng)站成為“重災(zāi)區(qū)”。據(jù)CNCERT監(jiān)測(cè)，2013年，我國(guó)境內(nèi)被篡改網(wǎng)站數(shù)量為24034個(gè)，較2012年增長(zhǎng)46.7%，其中政府網(wǎng)站被篡改數(shù)量為2430個(gè)，較2012年增長(zhǎng)34.9%；我國(guó)境內(nèi)被植入后門(mén)的政府網(wǎng)站數(shù)量為2425個(gè)，較2012年下降19.6%。在被篡改和植入后門(mén)的政府網(wǎng)站中，超過(guò)90%是省市級(jí)以下的地方政府網(wǎng)站，超過(guò)75%的篡改方式是在網(wǎng)站首頁(yè)植入廣告鏈接。[page]
敲警鐘 “掃一掃”背后藏風(fēng)險(xiǎn)
今年我國(guó)互聯(lián)網(wǎng)面臨的安全形勢(shì)將更為復(fù)雜， 這份報(bào)告從應(yīng)用層面上提出了以下值得關(guān)注的問(wèn)題。
設(shè)備智能化促使網(wǎng)絡(luò)安全威脅向物聯(lián)網(wǎng)延伸。2013年，美國(guó)“黑帽子”大會(huì)展示10多項(xiàng)針對(duì)電網(wǎng)、智能家居、汽車(chē)等控制系統(tǒng)智能設(shè)備的攻擊或監(jiān)控技術(shù)，同時(shí)出現(xiàn)大規(guī)模“冰箱僵尸網(wǎng)絡(luò)”等針對(duì)智能家電的惡意攻擊事件，表明針對(duì)物聯(lián)網(wǎng)中智能設(shè)備的攻擊技術(shù)已取得突破。此外，由于安卓系統(tǒng)已成為智能設(shè)備的主流平臺(tái)，針對(duì)安卓系統(tǒng)的攻擊威脅也會(huì)迅速?gòu)囊苿?dòng)互聯(lián)網(wǎng)輻射至物聯(lián)網(wǎng)。
社交網(wǎng)絡(luò)成為黑客攻擊和網(wǎng)絡(luò)犯罪的新途徑。2014年基于社交網(wǎng)絡(luò)的惡意程序攻擊將增多，甚至可能出現(xiàn)利用社交網(wǎng)絡(luò)發(fā)布命令、實(shí)施控制的新型僵尸網(wǎng)絡(luò)，社交網(wǎng)絡(luò)免費(fèi)開(kāi)放的第三方應(yīng)用接口將成為黑客進(jìn)行違法犯罪活動(dòng)的突破口。
云平臺(tái)的應(yīng)用普及加大信息泄露風(fēng)險(xiǎn)和事件處置難度。隨著云平臺(tái)的應(yīng)用普及和大數(shù)據(jù)技術(shù)的發(fā)展，一方面，集成大量同類(lèi)數(shù)據(jù)的云端如同“地下寶藏”，其一旦發(fā)生信息泄露，將對(duì)整個(gè)行業(yè)造成影響。另一方面，由于云平臺(tái)使用方便、成本低廉，黑客將大量利用云平臺(tái)進(jìn)行釣魚(yú)網(wǎng)站部署、惡意程序傳播控制和網(wǎng)絡(luò)攻擊跳板，而云平臺(tái)的使用給傳統(tǒng)基于IP地址的追蹤溯源帶來(lái)困難，事件處置難度進(jìn)而增大。
移動(dòng)支付安全和移動(dòng)終端漏洞成為移動(dòng)互聯(lián)網(wǎng)發(fā)展的新挑戰(zhàn)。2014年，4G網(wǎng)絡(luò)的大面積商用將進(jìn)一步推動(dòng)各類(lèi)金融、證券、電商等移動(dòng)應(yīng)用的普及，這也將導(dǎo)致針對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用的仿冒App和惡意插件增多。此外，針對(duì)智能終端設(shè)備硬件、操作系統(tǒng)、應(yīng)用程序等的安全漏洞挖掘?qū)⒃龆?，這將導(dǎo)致針對(duì)移動(dòng)互聯(lián)網(wǎng)和智能終端的攻擊增多。大量智能終端設(shè)備通過(guò)家用無(wú)線(xiàn)路由器、公用WiFi等接入互聯(lián)網(wǎng)，通過(guò)這些設(shè)備進(jìn)行網(wǎng)絡(luò)劫持和網(wǎng)絡(luò)釣魚(yú)等事件的曝光，暴露出諸多安全隱患。
微軟停止對(duì)Windows XP系統(tǒng)的服務(wù)支持可能導(dǎo)致零日漏洞攻擊增多。2014年4月8日，微軟將正式停止對(duì)Windows XP系統(tǒng)的技術(shù)支持與更新。由于Windows XP系統(tǒng)市場(chǎng)占有份額高，據(jù)統(tǒng)計(jì)在我國(guó)安裝和使用該系統(tǒng)的計(jì)算機(jī)將近2億臺(tái)，一旦系統(tǒng)支持與更新停止，這些計(jì)算機(jī)將面臨嚴(yán)重安全風(fēng)險(xiǎn)，黑客可能會(huì)加強(qiáng)對(duì)該系統(tǒng)的零日漏洞挖掘，用于對(duì)高價(jià)值目標(biāo)計(jì)算機(jī)攻擊或控制，造成信息泄露、系統(tǒng)癱瘓、經(jīng)濟(jì)損失等嚴(yán)重后果。
傳統(tǒng)短信驗(yàn)證和新興二維碼掃描方式背后均面臨安全風(fēng)險(xiǎn)。2014年通過(guò)手機(jī)木馬劫持支付驗(yàn)證碼短信，竊取用戶(hù)賬戶(hù)信息的活動(dòng)將呈高發(fā)態(tài)勢(shì)。黑客利用手機(jī)木馬攔截驗(yàn)證碼短信，并進(jìn)一步套取用戶(hù)網(wǎng)絡(luò)支付賬號(hào)和密碼。此外，二維碼隱蔽性高，制作成本低，其背后未經(jīng)安全認(rèn)證的網(wǎng)站鏈接和應(yīng)用程序逐步成為黑客的青睞對(duì)象。
開(kāi)藥方 制定國(guó)家級(jí)網(wǎng)絡(luò)信息安全戰(zhàn)略
沒(méi)有網(wǎng)絡(luò)安全，就沒(méi)有國(guó)家安全。以互聯(lián)網(wǎng)為核心的網(wǎng)絡(luò)空間已成為第五大戰(zhàn)略空間，各國(guó)均高度重視網(wǎng)絡(luò)空間的安全問(wèn)題。2013年，斯諾登披露的“棱鏡門(mén)”事件如同重磅炸彈，更是引發(fā)了國(guó)際社會(huì)和公眾對(duì)網(wǎng)絡(luò)安全的空前關(guān)注。
在我國(guó)，隨著“寬帶中國(guó)”戰(zhàn)略推進(jìn)實(shí)施，互聯(lián)網(wǎng)升級(jí)全面提速，用戶(hù)規(guī)?？焖僭鲩L(zhǎng)，移動(dòng)互聯(lián)網(wǎng)新型應(yīng)用層出不窮，4G網(wǎng)絡(luò)正式啟動(dòng)商用，虛擬運(yùn)營(yíng)商牌照陸續(xù)發(fā)放，網(wǎng)絡(luò)化和信息化水平顯著提高，極大促進(jìn)傳統(tǒng)產(chǎn)業(yè)轉(zhuǎn)型升級(jí)，帶動(dòng)信息消費(fèi)穩(wěn)步增長(zhǎng)。
維護(hù)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全，是保障各領(lǐng)域信息化工作持續(xù)穩(wěn)定發(fā)展的先決條件。我國(guó)政府相關(guān)部門(mén)、互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)、網(wǎng)絡(luò)安全企業(yè)和廣大網(wǎng)民對(duì)網(wǎng)絡(luò)安全的重視程度日益提高，不斷加強(qiáng)自身防護(hù)水平，加大網(wǎng)絡(luò)安全威脅治理力度，積極參與網(wǎng)絡(luò)安全國(guó)際合作，以期建立安全可信的網(wǎng)絡(luò)環(huán)境，確?；A(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全運(yùn)行，促進(jìn)產(chǎn)業(yè)經(jīng)濟(jì)穩(wěn)定發(fā)展。對(duì)此，這份報(bào)告對(duì)我國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全提出了下述建議。
加快推動(dòng)制定網(wǎng)絡(luò)安全戰(zhàn)略和相關(guān)政策，統(tǒng)籌規(guī)劃網(wǎng)絡(luò)安全保障能力。報(bào)告建議，盡快制定我國(guó)國(guó)家級(jí)網(wǎng)絡(luò)信息安全戰(zhàn)略，同時(shí)制定相關(guān)的配套法規(guī)政策，明確相關(guān)主體工作內(nèi)容和責(zé)任義務(wù)。此外，建議加強(qiáng)網(wǎng)絡(luò)安全保障工作的頂層設(shè)計(jì)，繼續(xù)健全跨部門(mén)、跨行業(yè)、跨地域的網(wǎng)絡(luò)安全保障協(xié)作機(jī)制，實(shí)現(xiàn)國(guó)家全局網(wǎng)絡(luò)安全能力的協(xié)同聯(lián)動(dòng)和專(zhuān)業(yè)支撐。
加大網(wǎng)絡(luò)安全工作投入，提高網(wǎng)絡(luò)安全防護(hù)意識(shí)。報(bào)告建議相關(guān)行業(yè)、企業(yè)和政府部門(mén)，加大在網(wǎng)絡(luò)設(shè)備和技術(shù)研發(fā)方面的投入，強(qiáng)化安全防護(hù)和管理，提高自身應(yīng)對(duì)網(wǎng)絡(luò)安全新風(fēng)險(xiǎn)的能力，以減少技術(shù)不斷發(fā)展引起的網(wǎng)絡(luò)安全隱患。同時(shí)，進(jìn)一步加強(qiáng)對(duì)網(wǎng)絡(luò)安全的重視程度和安全意識(shí)。
加強(qiáng)網(wǎng)絡(luò)安全技術(shù)手段建設(shè)，提高對(duì)網(wǎng)絡(luò)攻擊主體的追溯能力。建議加強(qiáng)實(shí)現(xiàn)網(wǎng)絡(luò)安全技術(shù)手段的研究和建設(shè)，提高對(duì)網(wǎng)絡(luò)攻擊的威脅監(jiān)測(cè)、全局感知、預(yù)警防護(hù)、應(yīng)急處置、協(xié)同聯(lián)動(dòng)等能力，并進(jìn)一步提高對(duì)網(wǎng)絡(luò)攻擊的追蹤溯源能力。
提高核心設(shè)備國(guó)產(chǎn)化水平，加快完善信息安全審查制度。建議加強(qiáng)網(wǎng)絡(luò)關(guān)鍵設(shè)備和核心技術(shù)的研發(fā)與推廣，提高重點(diǎn)行業(yè)和重要信息系統(tǒng)中聯(lián)網(wǎng)設(shè)備軟硬件的國(guó)產(chǎn)化水平，提升軟硬件產(chǎn)品和服務(wù)的自主可控能力。這份報(bào)告也認(rèn)為，在較長(zhǎng)一段時(shí)間內(nèi)，我國(guó)各部門(mén)仍然不可避免地要使用國(guó)外主流網(wǎng)絡(luò)設(shè)備和互聯(lián)網(wǎng)服務(wù)，建議加強(qiáng)對(duì)聯(lián)網(wǎng)系統(tǒng)的安全防護(hù)檢查和動(dòng)態(tài)監(jiān)測(cè)能力，提高對(duì)系統(tǒng)漏洞的發(fā)現(xiàn)能力，并盡快完善信息安全審查制度框架。
加強(qiáng)移動(dòng)互聯(lián)網(wǎng)惡意程序治理，維護(hù)良性的移動(dòng)生態(tài)環(huán)境。這份報(bào)告建議政府主管部門(mén)加大移動(dòng)互聯(lián)網(wǎng)監(jiān)管力度，從制作、發(fā)布、傳播環(huán)節(jié)加大對(duì)惡意程序的打擊力度，在源頭上遏制移動(dòng)互聯(lián)網(wǎng)地下黑色產(chǎn)業(yè)鏈的蔓延。同時(shí)，建議通信行業(yè)、互聯(lián)網(wǎng)行業(yè)、軟硬件廠(chǎng)商等充分發(fā)揮優(yōu)勢(shì)，加強(qiáng)行業(yè)聯(lián)動(dòng)和信息技術(shù)共享，提升對(duì)移動(dòng)互聯(lián)網(wǎng)惡意程序的監(jiān)測(cè)能力，提高處置效率。
