趙先生是長(cháng)三角地區一家小有名氣的工程公司的經(jīng)理，9月23日他來(lái)到北京，不是為了任何工程的競標，而是參加中國互聯(lián)網(wǎng)安全大會(huì )。他告訴《經(jīng)濟參考報》記者，作為一個(gè)“搞工程”的，他參加此次大會(huì )的目的只有一個(gè)——“為了不讓公司再中‘黑槍’”。
趙先生說(shuō)，自己的公司工程質(zhì)量?jì)?yōu)秀，而且價(jià)格合理，在長(cháng)三角建筑圈內已經(jīng)打出了一片天地，每年大大小小的工程競標總能有所斬獲。但在過(guò)去半年內，公司連續三次競標都輸給了區域內的同一家競爭對手。讓人奇怪的是，每次競爭對手，總能以略微低于自己公司的報價(jià)中標�！熬秃孟裰牢覀兊牡准氁粯印�，趙先生這樣說(shuō)。
今年7月，趙先生的公司搬遷，在重組公司IT系統，進(jìn)行例行安全維護時(shí)，維護人員發(fā)現，早在一年前公司的IT系統就被黑客滲透，包括之前三次競標標書(shū)在內的大量公司信息被竊取�！半m然不能證明是競爭對手所為，但這卻為我們拉響了‘紅色警報’”，趙先生這樣說(shuō)。
在此次中國互聯(lián)網(wǎng)安全大會(huì )上，像趙先生這樣前來(lái)為公司的信息安全尋醫問(wèn)藥的企業(yè)主不在少數。而在此次大會(huì )上，企業(yè)級信息安全也成為了眾多企業(yè)主、安全專(zhuān)家熱議的話(huà)題，眾多參會(huì )者，特別是曾遭遇“黑槍”的企業(yè)更是坦言，面對層出不窮的網(wǎng)絡(luò )攻擊，企業(yè)信息安全正在全面拉響紅色警報。
大型企業(yè)紛紛中招
據第三方調查機構Gartner最新網(wǎng)絡(luò )安全報告顯示，目前在中國工商總局注冊的企業(yè)超過(guò)1100萬(wàn)家，隨著(zhù)社會(huì )信息化進(jìn)程的加速，信息化技術(shù)在這些企業(yè)運營(yíng)過(guò)程中的作用越來(lái)越重要，而企業(yè)信息化過(guò)程中所暴露的安全問(wèn)題也越來(lái)越受到關(guān)注。敏感信息泄露、重要數據被破壞、業(yè)務(wù)系統被非法控制、商業(yè)信譽(yù)遭到惡意言論攻擊等行為，已經(jīng)成為企業(yè)正常經(jīng)營(yíng)中存在的重大安全隱患。特別是利用互聯(lián)網(wǎng)進(jìn)行的網(wǎng)絡(luò )攻擊，輕則損害企業(yè)的經(jīng)濟利益，重則造成重大的社會(huì )影響，甚至危及國家安全。
值得注意的是，不僅僅是趙先生這樣的中小企業(yè)面臨著(zhù)巨大的信息安全風(fēng)險，越來(lái)越多的大型企業(yè)也成了各類(lèi)網(wǎng)絡(luò )攻擊的靶子，并且紛紛中招。
2012年6月，黑客組織Swagger Security發(fā)動(dòng)攻擊，隨后宣布成功入侵了華納兄弟和中國電信的網(wǎng)絡(luò )，并將兩家公司的相關(guān)文件和安全證書(shū)公之于眾。對此，Swagger Security還調侃道：“對于他們來(lái)說(shuō)，幸運的是我們并沒(méi)有摧毀他們的基礎設施而讓千百萬(wàn)用戶(hù)無(wú)法使用通訊服務(wù)”。
盡管Swagger Security和相關(guān)方并沒(méi)有公布此次網(wǎng)絡(luò )攻擊造成的損失，但部分安全專(zhuān)家認為，從Swagger Security的表態(tài)看，他們似乎具有讓華納兄弟和中國電信的網(wǎng)絡(luò )徹底癱瘓的能力，不管事實(shí)是否如此，對于這兩家公司而言，重建一個(gè)安全可靠的網(wǎng)絡(luò )都將花費天文數字，如果網(wǎng)絡(luò )癱瘓其后果令人不寒而栗。
美國媒體報道，2012年10月，匯豐銀行在全球多個(gè)地區的網(wǎng)站遭到黑客攻擊。其中，香港匯豐銀行網(wǎng)站上的個(gè)人理財客戶(hù)一度無(wú)法登錄。匯豐銀行在倫敦的總部隨后公告稱(chēng)，旗下全球服務(wù)于香港時(shí)間2012年10月19日商務(wù)11時(shí)恢復，客戶(hù)的個(gè)人數據并沒(méi)有造成影響。同期，美國銀行、富國銀行等多家美國銀行相繼遭受到類(lèi)似的黑客攻擊，網(wǎng)上理財服務(wù)均無(wú)法正常登錄。隨后，一個(gè)黑客組織宣布對攻擊事件負責。
對于上述攻擊行為，有互聯(lián)網(wǎng)安全專(zhuān)家告訴《經(jīng)濟參考報》記者，看似黑客沒(méi)有對這些銀行造成實(shí)質(zhì)性的損害，但可以想象的是，如果黑客的攻擊不僅針對這些銀行的理財服務(wù)，而是針對更多的普通用戶(hù)，一定會(huì )引起巨大的恐慌。
Gartner報告還指出，近年來(lái)披露出的針對大型企業(yè)的網(wǎng)絡(luò )攻擊案例顯示，一些企業(yè)開(kāi)始越來(lái)越多地使用不法網(wǎng)絡(luò )攻擊來(lái)打擊自己的競爭對手，或者直接竊取對手的商業(yè)機密，以保持自身的競爭優(yōu)勢。
2012年2月Swagger Security宣布對蘋(píng)果的供應商富士康進(jìn)行了網(wǎng)絡(luò )攻擊，隨后公布了大量富士康高層和富士康客戶(hù)的信息和密碼，其中包括富士康CEO郭臺銘的電子郵件和密碼。
Swagger Security宣稱(chēng)，有了這些信息和密碼，就可以假冒微軟、蘋(píng)果、IBM、英特爾、戴爾等富士康的客戶(hù)名義向富士康下假訂單。多數安全專(zhuān)家認為，一旦這些信息被別有用心的人所利用，將可能擾亂富士康的正常生產(chǎn)，并有可能迫使其客戶(hù)以“安全”為由，選擇其他的代工廠(chǎng)商。
在互聯(lián)網(wǎng)安全大會(huì )上，更有安全專(zhuān)家假設，如果有人掌握了郭臺銘的電子郵箱，就可以很輕松地了解富士康的生產(chǎn)細節和財務(wù)狀況，能夠在市場(chǎng)上精準地對富士康的股票進(jìn)行買(mǎi)空賣(mài)空；或者通過(guò)了解蘋(píng)果、微軟等公司的產(chǎn)量，來(lái)進(jìn)行股票買(mǎi)賣(mài)進(jìn)而獲利。
新型攻擊防不勝防
讓多數企業(yè)頭疼的是，新型網(wǎng)絡(luò )攻擊不斷出現，企業(yè)更加防不勝防。此次會(huì )上，多位參會(huì )專(zhuān)家向《經(jīng)濟參考報》記者介紹，近年來(lái)出現的新型網(wǎng)絡(luò )攻擊APT(高級持續威脅，Advanced Persistent Threat)對大型企業(yè)，特別是銀行等金融機構的針對性正在日益加強，對其造成的威脅也越來(lái)越大。
參會(huì )的金融界人士指出，和西方國家相比，我國銀行等金融機構所采用的IT系統安全防護相對薄弱，但卻儲存有大量具有價(jià)值的金融信息，因此很有可能在未來(lái)成為APT集中攻擊的對象。
參加本次大會(huì )的360副總裁譚曉生向《經(jīng)濟參考報》記者介紹，所謂“APT”，是近年來(lái)興起的一種新型網(wǎng)絡(luò )攻擊方式，根據目前全球范圍內披露的APT攻擊案例，銀行等金融機構已經(jīng)成為其最主要的攻擊目標，被攻擊案例次數僅次于各國政府部門(mén)被攻擊的次數。目前，包括韓國、瑞士等國的金融機構均報告遭受APT攻擊，出現不同程度的金融信息泄露。
譚曉生介紹，APT一般會(huì )以惡意郵件、木馬等傳統網(wǎng)絡(luò )攻擊形式發(fā)起攻擊，一旦攻破金融機構工作人員的電腦，將一步步滲透進(jìn)金融機構IT系統的核心，竊取金融機構最具價(jià)值的金融信息，甚至對其IT系統進(jìn)行控制。這一過(guò)程一般較為緩慢，可以持續3到5年，因此發(fā)現和預防都十分困難，對金融機構造成的損失也難以估量。
2013年3月20日，韓國爆發(fā)大規模APT攻擊，此前潛伏在多家韓國金融機構中的病毒突然爆發(fā)，致使多家銀行的內網(wǎng)電腦黑屏、網(wǎng)絡(luò )凍結，信息系統幾乎癱瘓，等到業(yè)務(wù)完全恢復，已經(jīng)是四五天之后。事后，有網(wǎng)絡(luò )安全人士在調查后發(fā)現，多種跡象表明此次發(fā)起APT攻擊的病毒，至少在半年前就已通過(guò)各種渠道，潛伏在被攻擊的銀行中，這說(shuō)明攻擊者早就瞄準了攻擊對象，并策劃了周密的攻擊計劃。
盡管韓國媒體稱(chēng)，這次大規模攻擊并沒(méi)有給韓國銀行造成太大損失，但據參會(huì )的互聯(lián)網(wǎng)安全領(lǐng)域專(zhuān)家介紹，“至少遭到攻擊的韓國銀行的IT系統已不再安全，為了確保金融信息安全，需要更新所有系統，包括基層員工的電腦，甚至手機。每一家銀行付出的花費將是10億美元級別。而在更新系統期間，銀行儲戶(hù)的錢(qián)還有被‘偷’的危險”。
趨勢科技(中國區)網(wǎng)絡(luò )安全監測實(shí)驗室報告顯示，2013年已偵測到針對國內金融機構的APT攻擊，并發(fā)現了被命名為“證券幽靈”的惡意病毒。該威脅極具“智能”，針對金融行業(yè)IT管理人員和網(wǎng)絡(luò )服務(wù)節點(diǎn)服務(wù)器進(jìn)行攻擊，并尋找金融機構的系統漏洞進(jìn)行全網(wǎng)控制。一旦將金融機構的內部網(wǎng)絡(luò )控制，病毒的非法行為將被視為正常通信和授權操作，其后續可能造成的金融信息泄露危害不可估量。一旦全面觸發(fā)，金融用戶(hù)將面臨歷史上從未遭遇過(guò)的沉重打擊。
中字頭銀行參會(huì )人士告訴《經(jīng)濟參考報》記者，目前國內銀行IT系統的安全性不容樂(lè )觀(guān)，盡管目前尚未出現被攻擊的案例，但由于儲存有大量金融信息，在未來(lái)很有可能遭受大量APT攻擊。特別是今年已經(jīng)檢測到針對金融機構的APT攻擊案例，這意味著(zhù)包括銀行在內的國內金融機構，正在進(jìn)入被攻擊的高危階段。
企業(yè)急建“防火墻”
面對巨大的信息安全風(fēng)險，多數企業(yè)已經(jīng)意識到了其可能帶來(lái)的巨大損失，正在開(kāi)始積極建立各自的網(wǎng)絡(luò )安全“防火墻”。
太平洋保險集團(以下簡(jiǎn)稱(chēng)“太�！�)首席信息安全管理專(zhuān)家張軍介紹，從2012年統計報告來(lái)看，造成安全事件的應用漏洞占了總體漏洞的88.7%，全球平均下150天以上受漏洞影響企業(yè)占55%，其中教育、通訊、金融和保險等行業(yè)影響較大。這些數據已經(jīng)給國內企業(yè)拉響了企業(yè)信息安全的紅色警報。包括太平洋保險在內的很多大型企業(yè)，對企業(yè)信息安全越來(lái)越重視，并做出了實(shí)質(zhì)性的安全防護。
張軍介紹，太平洋保險很早就制訂了應用安全方面的標準和規范，并開(kāi)始實(shí)施系統上線(xiàn)的黑客的掃描，同時(shí)部署了主動(dòng)防護系統。在運維階段，太保對電商的應用進(jìn)行定期檢查，發(fā)現問(wèn)題立刻納入了公司漏洞管理和缺陷管理進(jìn)行分析和跟蹤；在治理方面，太保形成了較為完善的IT治理架構，2012年成立了集團IT中心下設五個(gè)功能領(lǐng)域來(lái)防范各類(lèi)信息安全問(wèn)題；在安全驗證方面，主要由安全部和測試部共同實(shí)施，采用自動(dòng)和人工兩種方法進(jìn)行安全驗證，一是對漏洞進(jìn)行掃描，及時(shí)發(fā)現漏洞和跨站等問(wèn)題。二是利用手工驗證方式進(jìn)行功能驗證，發(fā)現一些異常處理權限控制、文件管理和匯報管理等，與一些不符合設計要求的地方。并對漏洞進(jìn)行及時(shí)封堵。
事實(shí)上，像太保這樣具有自建企業(yè)信息安全防護體系的企業(yè)并不多，多數企業(yè)仍需要網(wǎng)絡(luò )安全公司提供相應的服務(wù)。而目前隨著(zhù)企業(yè)對信息安全需求的日益加大，國內主流安全廠(chǎng)商正在積極開(kāi)發(fā)新一代的企業(yè)級信息安全“防火墻”。
360CEO周鴻祎介紹，目前360已經(jīng)完成了對國內多家有實(shí)力的中小互聯(lián)網(wǎng)安全廠(chǎng)商的收購，并針對企業(yè)需要推出了多款企業(yè)級安全產(chǎn)品和服務(wù)。未來(lái)360還將聯(lián)合其他業(yè)內企業(yè)，共同為國內企業(yè)提供可靠的安全服務(wù)。在本次大會(huì )上，360公布了正在研發(fā)的企業(yè)級安全服務(wù)“天眼”，可以把企業(yè)的各類(lèi)流量關(guān)進(jìn)“沙箱”中運行，層層分析后再將安全流量導出，防止未知程序對企業(yè)IT系統進(jìn)行破壞。目前，類(lèi)似的產(chǎn)品已在美國等國家被大量使用，而360的“天眼”已經(jīng)通過(guò)國家權威部門(mén)的測試，將很快服務(wù)于企業(yè)級用戶(hù)。
網(wǎng)康CEO袁沈鋼和綠盟科技副總裁吳云坤則在大會(huì )上透露，網(wǎng)康和綠盟科技已經(jīng)研發(fā)出新一代防火墻產(chǎn)品。新一代防火墻不但能夠幫助企業(yè)預防傳統網(wǎng)絡(luò )攻擊，還能有效地預防新型網(wǎng)絡(luò )攻擊對企業(yè)IT系統造成侵害。更重要的是，下一代防火墻產(chǎn)品可以根據用戶(hù)的特定需要進(jìn)行定制，將極大地增強用戶(hù)的網(wǎng)絡(luò )和信息安全。
多位參會(huì )專(zhuān)家表示，隨著(zhù)APT等新型網(wǎng)絡(luò )攻擊的出現，企業(yè)對自身信息安全的需求會(huì )越來(lái)越大。Gartner報告顯示，我國企業(yè)級安全需求巨大，在國家工商總局注冊的超過(guò)1100萬(wàn)家企業(yè)中，絕大多數企業(yè)已接入互聯(lián)網(wǎng)，但卻缺少安全可靠的IT系統。會(huì )上，有互聯(lián)網(wǎng)安全廠(chǎng)商負責人表示，根據歐等國家的經(jīng)驗，在未來(lái)兩三年內，國內企業(yè)的信息安全意識將快速覺(jué)醒，多數大中型企業(yè)會(huì )開(kāi)始建立專(zhuān)門(mén)的信息安全體系，以及與之配套的防護措施。