在線(xiàn)交易系統安全成為黑客攻擊“重災區”�！督�(jīng)濟參考報》記者日前從2014中國計算機網(wǎng)絡(luò )安全年會(huì )上獲悉，2013年銀行、證券等行業(yè)聯(lián)網(wǎng)信息系統的安全漏洞、網(wǎng)站后門(mén)、網(wǎng)頁(yè)篡改等各類(lèi)安全事件超過(guò)500起，存在交易信息被篡改、投資信息被泄露等諸多高危風(fēng)險。
與此同時(shí)，地方政府網(wǎng)站也正面臨安全考驗。據國家互聯(lián)網(wǎng)應急中心監測發(fā)現，2013年，我國境內被篡改網(wǎng)站數量為24034個(gè)，其中政府網(wǎng)站被篡改數量為2430個(gè)；我國境內被植入后門(mén)的網(wǎng)站數量為76160個(gè)，其中政府網(wǎng)站2425個(gè)。
記者了解到，當前我國網(wǎng)絡(luò )空間安全不容樂(lè )觀(guān)，面臨大量來(lái)自境外地址的網(wǎng)站后門(mén)、網(wǎng)絡(luò )釣魚(yú)、木馬和僵尸網(wǎng)絡(luò )等攻擊。特別是國家級有組織網(wǎng)絡(luò )攻擊行為顯著(zhù)增多，給國家關(guān)鍵基礎設施和重要信息系統帶來(lái)嚴重威脅和挑戰。
在線(xiàn)交易系統面臨考驗
隨著(zhù)互聯(lián)網(wǎng)和金融行業(yè)的深度融合，以余額寶、現金寶、理財通等為代表的互聯(lián)網(wǎng)金融產(chǎn)品市場(chǎng)持續升溫。這在給人們生活帶來(lái)便利的同時(shí)也引入新的安全風(fēng)險。
國家互聯(lián)網(wǎng)應急中心監測發(fā)現，2013年銀行、證券等行業(yè)聯(lián)網(wǎng)信息系統的安全漏洞、網(wǎng)站后門(mén)、網(wǎng)頁(yè)篡改等各類(lèi)安全事件超過(guò)500起，存在交易信息被篡改、投資信息被泄露等諸多高危風(fēng)險。
2013年12月，支付寶錢(qián)包客戶(hù)端IOS版被披露存在手勢密碼漏洞，連續輸錯5次手勢密碼后可導致密碼失效，使得攻擊者可以隨意進(jìn)入手機支付寶賬戶(hù)，免密碼進(jìn)行小額支付。此外，淘寶網(wǎng)也被披露存在認證漏洞，可登錄任意淘寶賬戶(hù)，給用戶(hù)資金安全造成威脅。
“此類(lèi)互聯(lián)網(wǎng)公司通過(guò)所運營(yíng)的在線(xiàn)交易信息系統，掌握大量用戶(hù)資金、真實(shí)身份、經(jīng)濟狀況、消費習慣等信息，系統一旦出現安全漏洞，風(fēng)險會(huì )隨之傳導到關(guān)聯(lián)銀行、證券、電商等其他行業(yè)，產(chǎn)生連鎖反應�！眹一ヂ�(lián)網(wǎng)應急中心副主任云曉春說(shuō)。
與此同時(shí)，跨平臺釣魚(yú)攻擊也呈增長(cháng)趨勢。據悉，2013年，黑客利用安卓系統的“簽名驗證繞過(guò)”高危漏洞，制作散播大量仿冒國內主流銀行等金融機構的移動(dòng)應用，誘導用戶(hù)安裝，盜取用戶(hù)銀行賬戶(hù)信息。
“他們在盜取銀行賬號和密碼后，在通過(guò)仿冒的相應手機銀行安全插件的惡意程序，截取用戶(hù)收到的短信驗證碼，使黑客進(jìn)一步完成網(wǎng)銀支付、轉賬等交易操作，從而牟利�！眹一ヂ�(lián)網(wǎng)應急中心何能強博士說(shuō)。
數據顯示，去年釣魚(yú)網(wǎng)站數量繼續迅速增長(cháng)，我國境內網(wǎng)站的釣魚(yú)頁(yè)面30199個(gè)，涉及IP地址4240個(gè)，分別較2012年增長(cháng)35.4%和64.6%。
地方政府網(wǎng)站頻遭攻擊
在被篡改和植入后門(mén)的政府網(wǎng)站中，九成以上是省市級以下的地方政府網(wǎng)站。其中一些部門(mén)面對預警通報只進(jìn)行了簡(jiǎn)單處理，還有一些部門(mén)甚至置之不理。
據國家互聯(lián)網(wǎng)應急中心監測，2013年，我國境內被篡改網(wǎng)站數量為24034個(gè)，較2012年增長(cháng)46.7%，其中政府網(wǎng)站被篡改數量為2430個(gè)，較2012年增長(cháng)34.9%；我國境內被植入后門(mén)的網(wǎng)站數量為76160個(gè)，較2012年增長(cháng)45.6%，其中政府網(wǎng)站2425個(gè)。
“被篡改和植入后門(mén)的政府網(wǎng)站中，超過(guò)90%是省市級以下的地方政府網(wǎng)站，超過(guò)75%的篡改方式是網(wǎng)站首頁(yè)植入廣告黑鏈�！眹一ヂ�(lián)網(wǎng)應急中心研發(fā)部負責人嚴寒冰對《經(jīng)濟參考報》記者說(shuō)，由于地方政府存在技術(shù)和管理水平有限，網(wǎng)絡(luò )安全防護能力薄弱，人員和資金投入不足等問(wèn)題，其網(wǎng)站服務(wù)器成為黑客控制的資源節點(diǎn)。
“去年，我們通報了1600起涉及政府部門(mén)的網(wǎng)站漏洞，一些部門(mén)收到預警通報后卻置之不理，導致安全威脅長(cháng)期存在�！眹篮f(shuō)，另一些部門(mén)則只針對安全事件進(jìn)行簡(jiǎn)單清除，未對網(wǎng)站進(jìn)行詳細檢測和加固處理，結果導致反復多次遭受攻擊。
盡管?chē)鴦?wù)院部委門(mén)戶(hù)網(wǎng)站安全狀況良好，不過(guò)部分子站和業(yè)務(wù)系統仍然存在較多安全漏洞和風(fēng)險點(diǎn)，可能成為黑客進(jìn)一步實(shí)施攻擊的跳板。
據了解，境外黑客組織攻擊我國政府網(wǎng)站日趨頻繁。2013年，境外“匿名者”、“阿爾及利亞黑客”等多個(gè)黑客組織先后篡改我國187個(gè)政府網(wǎng)站。
2013年12月19日下午，央行宣布不認可比特幣，要求國內第三方支付機構停止為比特幣交易平臺提供充值和支付服務(wù)后，央行官方網(wǎng)站和新浪官方微博遭到黑客攻擊，出現間歇性訪(fǎng)問(wèn)困難和大量異常評論。
國家級有組織網(wǎng)絡(luò )攻擊增多
數據顯示，我國面臨大量來(lái)自境外地址的網(wǎng)站后門(mén)、網(wǎng)絡(luò )釣魚(yú)、木馬和僵尸網(wǎng)絡(luò )等攻擊。特別是國家級有組織網(wǎng)絡(luò )攻擊行為顯著(zhù)增多，給國家關(guān)鍵基礎設施和重要信息系統帶來(lái)嚴重威脅和挑戰。
2013年6月以來(lái)，斯諾登曝光“棱鏡計劃“等多項美國國家安全局網(wǎng)絡(luò )監控項目，披露美國情報機構對多個(gè)國家和民眾長(cháng)期實(shí)施監聽(tīng)和網(wǎng)絡(luò )滲透攻擊。根據曝光信息，美國分別通過(guò)互聯(lián)網(wǎng)、通信網(wǎng)、企業(yè)服務(wù)器等多種渠道以及采用網(wǎng)絡(luò )入侵手段，實(shí)施信息監聽(tīng)和收集，監控對象包括多國政要、外交系統、媒體網(wǎng)絡(luò )、大型企業(yè)網(wǎng)絡(luò )和國際組織等。我國屬于其重點(diǎn)監聽(tīng)和攻擊目標。
去年以來(lái)，越來(lái)越多的有組織高級持續性威脅(APT)攻擊事件浮出水面，APT成為國家間網(wǎng)絡(luò )對抗的新型武器。以去年美韓軍事演習為例，其間韓國多家廣播電視臺和銀行等金融機構遭受歷史上最大規模的惡意代碼攻擊，導致系統癱瘓，引發(fā)韓國社會(huì )一度混亂。
“獲知信息后，我們第一時(shí)間與韓國計算機應急相應組織聯(lián)系，并協(xié)助調查，及時(shí)消除攻擊來(lái)自中國的誤會(huì )�！焙文軓娬f(shuō)。
實(shí)際上，我國同樣面臨嚴重的APT攻擊威脅，一些國家利用信息化技術(shù)優(yōu)勢，大力推動(dòng)研發(fā)計算機病毒武器，破解互聯(lián)網(wǎng)加密算法，或直接在標準算法中放置后門(mén)，持續對我國實(shí)施APT攻擊。我國政府機構、基礎電信企業(yè)、科研院所、大型商業(yè)機構的網(wǎng)絡(luò )信息系統遭受攻擊和滲透入侵。據統計，2013年我國境內有1.5萬(wàn)臺主機被APT木馬控制。
我國還面臨大量來(lái)自境外地址的攻擊威脅。無(wú)論是在網(wǎng)絡(luò )釣魚(yú)攻擊、植入后門(mén)，還是木馬僵尸網(wǎng)絡(luò )，美國均處于首位。數據顯示，美國通過(guò)6215臺主機植入后門(mén)對我國15349個(gè)網(wǎng)站實(shí)施遠程控制；通過(guò)2043臺主機承載我國12573個(gè)釣魚(yú)頁(yè)面；通過(guò)8807個(gè)木馬或僵死服務(wù)器控制了我國境內448.5萬(wàn)余臺主機，由2012年的17.6%增長(cháng)至30.2%。
相關(guān)專(zhuān)家表示，網(wǎng)絡(luò )入侵已經(jīng)從最開(kāi)始的黑客之間的“互相問(wèn)候”，演變?yōu)閲c國之間的攻防戰爭，進(jìn)入了“大玩家”時(shí)代。
| |
三記重拳開(kāi)啟中國網(wǎng)絡(luò )安全元年 |
|
記者 彭勇 周強/廣州報道 |
近年來(lái)，國際上屢次發(fā)生的網(wǎng)絡(luò )安全漏洞導致重大安全事件為我國敲響警鐘，隨著(zhù)我國網(wǎng)民數量躍居世界第一位，網(wǎng)絡(luò )安全對于國家安全的重要意義早已不亞于糧食安全和國防安全。
針對網(wǎng)絡(luò )和信息安全形勢不容樂(lè )觀(guān)的現狀，我國已從完善頂層設計、加強安全審查、加大網(wǎng)絡(luò )基礎設施建設力度等方面提升網(wǎng)絡(luò )與信息安全保障水平。外界普遍認為，2014年是中國網(wǎng)絡(luò )安全元年，這一年中國動(dòng)作頻頻，效果明顯。
網(wǎng)絡(luò )信息安全小組架構頂層設計
2014年2月27日，中央網(wǎng)絡(luò )安全和信息化領(lǐng)導小組宣告成立。習近平擔任組長(cháng)，在中央網(wǎng)信領(lǐng)導小組第一次會(huì )議上，習近平提出“沒(méi)有網(wǎng)絡(luò )安全就沒(méi)有國家安全”，這標志著(zhù)網(wǎng)絡(luò )安全上升至國家戰略高度。
我國網(wǎng)絡(luò )管理體制由于歷史原因，造成“九龍治水”的管理格局。面對互聯(lián)網(wǎng)技術(shù)和應用飛速發(fā)展，現行管理體制存在明顯弊端，多頭管理、職能交叉、權責不一、效率不高。同時(shí)，隨著(zhù)互聯(lián)網(wǎng)媒體屬性越來(lái)越強，網(wǎng)上媒體管理和產(chǎn)業(yè)管理遠遠跟不上形勢發(fā)展變化。
放眼世界，各國都在大力加強網(wǎng)絡(luò )安全建設和頂層設計。據了解，截至目前，已有40多個(gè)國家頒布了網(wǎng)絡(luò )空間國家安全戰略，僅美國就頒布了40多份與網(wǎng)絡(luò )安全有關(guān)的文件。美國還在白宮設立“網(wǎng)絡(luò )辦公室”，并任命首席網(wǎng)絡(luò )官，直接對總統負責。2014年2月，總統奧巴馬又宣布啟動(dòng)美國《網(wǎng)絡(luò )安全框架》。德國總理默克爾2月19日與法國總統奧朗德探討建立歐洲獨立互聯(lián)網(wǎng)，擬從戰略層面繞開(kāi)美國以強化數據安全。歐盟三大領(lǐng)導機構明確，計劃在2014年底通過(guò)歐洲數據保護改革方案。作為中國亞洲鄰國，日本和印度也一直在積極行動(dòng)。日本2013年6月出臺《網(wǎng)絡(luò )安全戰略》，明確提出“網(wǎng)絡(luò )安全立國”。印度2013年5月出臺《國家網(wǎng)絡(luò )安全策略》，目標是“安全可信的計算機環(huán)境”。因此，接軌國際，建設堅固可靠的國家網(wǎng)絡(luò )安全體系，是中國必須作出的戰略選擇。
“由此可見(jiàn)，伴隨著(zhù)中央網(wǎng)絡(luò )安全與信息化領(lǐng)導小組的成立，我國的網(wǎng)絡(luò )安全與信息化管理體制機制正在發(fā)生深刻的變化，以往存在的一些明顯弊端有可能被克服�！敝袊姓w制改革研究會(huì )副會(huì )長(cháng)汪玉凱表示，在這個(gè)新框架內，不僅預示我國新的信息化戰略和網(wǎng)絡(luò )強國戰略會(huì )被提上重要議事日程，而且也預示中國在打一場(chǎng)信息技術(shù)和網(wǎng)絡(luò )技術(shù)的翻身仗方面，也將迎來(lái)新的突破。
“WIN8禁令”讓國產(chǎn)操作系統迎春天
政府采購計劃對WIN8說(shuō)“不”的消息引發(fā)社會(huì )關(guān)注，業(yè)內普遍認為，此舉主要出于安全考慮，凸顯政府對信息安全的高度重視。
中國工程院院士倪光南表示，WIN8操作系統采用了對于他國不安全的技術(shù)構架——它集成了殺毒軟件，可以經(jīng)常掃描用戶(hù)的電腦，采用該系統的電腦面臨著(zhù)被監控的風(fēng)險，進(jìn)一步加劇了我國網(wǎng)絡(luò )安全不可控而導致的風(fēng)險。
如此擔憂(yōu)并非空穴來(lái)風(fēng)。4月8日，微軟宣布停止對Windows XP系統的服務(wù)支持。這意味著(zhù)XP系統將迎來(lái)“裸奔”的尷尬境地，隨著(zhù)漏洞問(wèn)題凸顯，我國XP用戶(hù)將遭遇黑客頻繁攻擊。
多名網(wǎng)絡(luò )安全業(yè)內人士表示，美國眾多科技公司曾與美國政府合作，幫助美國國家安全局獲得他國互聯(lián)網(wǎng)上的加密文件數據，這讓多國政府更加認識到國家網(wǎng)絡(luò )信息安全的嚴重性和緊迫性。
事實(shí)上，早在上世紀末，我國就已開(kāi)始了基于Linux核心的國產(chǎn)操作系統研發(fā)，經(jīng)過(guò)十多年的發(fā)展，其易用性和安全性獲得了明顯改善。中科紅旗開(kāi)發(fā)的紅旗Linux在多個(gè)重要部門(mén)使用，而Ubuntu麒麟則在企業(yè)頗受認可。
安全專(zhuān)家、安天實(shí)驗室首席架構師肖新光認為，政府拒絕采購WIN8，對國產(chǎn)操作系統來(lái)說(shuō)無(wú)疑是一聲春雷。不少網(wǎng)民表示，國產(chǎn)操作系統一旦構建起一個(gè)成熟的應用生態(tài)圈，取代“洋”系統指日可待。
武漢深之度科技有限公司總經(jīng)理劉文歡表示，要形成生態(tài)圈的突破點(diǎn)在于實(shí)際使用占有率超過(guò)3%，一旦過(guò)線(xiàn)，市場(chǎng)這只無(wú)形的手就能指揮起各家廠(chǎng)商共建生態(tài)系統。因而，初期確實(shí)需要借政府“有形之手”獲得時(shí)間和空間�！�
網(wǎng)絡(luò )安全審查倒逼企業(yè)加大安全投入
5月22日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布消息稱(chēng)，為維護國家網(wǎng)絡(luò )安全、保障中國用戶(hù)合法利益，我國即將推出網(wǎng)絡(luò )安全審查制度。該制度規定，關(guān)系國家安全和公共利益的重要技術(shù)產(chǎn)品和服務(wù)，應通過(guò)網(wǎng)絡(luò )安全審查。
作為提供產(chǎn)品和服務(wù)的主體，我國互聯(lián)網(wǎng)企業(yè)近期頻發(fā)大規模信息泄露事故。5月14日，國內手機廠(chǎng)商小米發(fā)生用戶(hù)信息泄露事故，其中涉及800萬(wàn)用戶(hù)的短信、通訊錄、精確位置等私密信息；今年3月，攜程網(wǎng)大量用戶(hù)信用卡賬號、姓名、身份證號等敏感信息泄露；2013年10月，多家酒店的開(kāi)房信息因系統漏洞發(fā)生泄露，2000萬(wàn)條開(kāi)房信息在網(wǎng)上“裸奔”。
隨著(zhù)云計算、大數據技術(shù)的廣泛應用，企業(yè)保存的用戶(hù)數據量越來(lái)越大，大規模數據泄露的風(fēng)險也越來(lái)越大，大規模信息泄露事故高發(fā)期已經(jīng)到來(lái)。
“與現實(shí)不相稱(chēng)的是，國內互聯(lián)網(wǎng)企業(yè)普遍片面追求發(fā)展速度，不愿加大安全投入，在黑客面前不堪一擊，與安全審查要求存在較大差距�！鄙虾３炚鹪朴嬎憧萍加邢薰綜EO王琦認為，網(wǎng)絡(luò )安全審查制度將倒逼企業(yè)加大安全投入。
實(shí)際上，根據2012年發(fā)布的《“十二五”國家政務(wù)信息化工程建設規劃》，“基本建成國家網(wǎng)絡(luò )與信息安全基礎設施，網(wǎng)絡(luò )與信息安全保障作用明顯增強”被列入“十二五”期末達成的時(shí)間表。由此可見(jiàn)，建立切實(shí)可行的網(wǎng)絡(luò )安全審查制度勢在必行。
專(zhuān)家表示，網(wǎng)絡(luò )安全審查制度直接針對的對象就是肩負筑起網(wǎng)絡(luò )安全框架的網(wǎng)絡(luò )信息安全基礎設施建設，此次明確推進(jìn)網(wǎng)絡(luò )安全審查制度瞄準產(chǎn)品和服務(wù)，就是原本網(wǎng)絡(luò )審查更重內容審查而輕視基礎設施安全審查的終結，取而代之的，則是針對網(wǎng)絡(luò )信息基礎設施以及產(chǎn)品內容和服務(wù)的全方位審查。
北京天融信科技股份有限公司總裁于海波表示：“包括網(wǎng)絡(luò )信息安全基礎設施在內的硬件建設作為觸及國家網(wǎng)絡(luò )安全的最主要戰地，在其地位不斷得以強化的同時(shí)，建立切實(shí)可行的網(wǎng)絡(luò )安全審查制度，從管理手段上強化并確保制度不打折扣地予以貫徹執行同樣十分重要�！�
