2013年6月，一位名為愛(ài)德華?斯諾登的前美國(guó)中央情報(bào)局（CIA）雇員在香港露面，并向媒體披露了一些機(jī)密文件，致使包括“棱鏡”項(xiàng)目在內(nèi)的美國(guó)政府多個(gè)秘密情報(bào)監(jiān)視項(xiàng)目遭到披露。據(jù)了解，“棱鏡”項(xiàng)目涉及美國(guó)情報(bào)機(jī)構(gòu)在互聯(lián)網(wǎng)上對(duì)包括中國(guó)在內(nèi)的多個(gè)國(guó)家10類(lèi)主要信息進(jìn)行監(jiān)聽(tīng)，其包括電郵信息、即時(shí)消息、視頻、照片、存儲(chǔ)數(shù)據(jù)、語(yǔ)音聊天、文件傳輸、視頻會(huì)議、登錄時(shí)間、社交網(wǎng)絡(luò)資料等細(xì)節(jié)。“棱鏡”項(xiàng)目的曝光，無(wú)異于投入水中的一顆重磅炸彈，立刻激起全球范圍內(nèi)的強(qiáng)烈反對(duì)，同時(shí)也讓日趨激烈的現(xiàn)代化信息戰(zhàn)爭(zhēng)全面爆發(fā)。

瑞星安全專(zhuān)家表示，各國(guó)的信息戰(zhàn)其實(shí)早有端倪。2010年瑞星“云安全”系統(tǒng)首先監(jiān)測(cè)到的“超級(jí)工廠”病毒和2012年的“超級(jí)火焰”病毒風(fēng)暴一樣席卷了全球。這兩款病毒都擁有極為復(fù)雜的結(jié)構(gòu)，專(zhuān)門(mén)針對(duì)網(wǎng)絡(luò)環(huán)境復(fù)雜的大型局域網(wǎng)進(jìn)行攻擊。只要帶毒USB存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)，病毒將瞬間擴(kuò)散至整個(gè)網(wǎng)絡(luò)，并能在神不知鬼不覺(jué)的情況下奪取網(wǎng)絡(luò)中部分設(shè)備的控制權(quán)。有報(bào)道稱(chēng)，該類(lèi)超級(jí)病毒“不可能是黑客所為，而是受?chē)?guó)家資助的高級(jí)團(tuán)隊(duì)研發(fā)的結(jié)晶”，另一些報(bào)道也顯示，該類(lèi)病毒中一大部分被用于攻擊伊朗的核設(shè)施。

瑞星安全專(zhuān)家指出，“棱鏡門(mén)”事件揭露了美國(guó)政府長(zhǎng)期以來(lái)對(duì)我國(guó)及他國(guó)從事網(wǎng)絡(luò)系統(tǒng)監(jiān)聽(tīng)、滲透，然而這很可能是美國(guó)對(duì)全球信息控制的冰山一角。為了不再成為高科技信息戰(zhàn)中的犧牲品，大至國(guó)家，小至個(gè)人，都應(yīng)全面提高信息安全意識(shí)，尤其是政府部門(mén)和企業(yè)，應(yīng)盡快建立健全信息安全防護(hù)體系，以便在日益激烈的信息戰(zhàn)爭(zhēng)中獲取優(yōu)勢(shì)。

（二）、企業(yè)網(wǎng)絡(luò)漏洞多、隱患大

1. 重體驗(yàn)輕安全 互聯(lián)網(wǎng)平臺(tái)成信息泄露重災(zāi)區(qū)

今年5月份，國(guó)內(nèi)知名的漏洞提交平臺(tái)烏云報(bào)告了一個(gè)搜狗輸入法的漏洞，該漏洞導(dǎo)致Google及Bing能夠抓取到用戶(hù)存儲(chǔ)于搜狗服務(wù)器上的隱私信息，使得大量用戶(hù)隱私外泄，從而給用戶(hù)帶來(lái)嚴(yán)重的困擾。據(jù)統(tǒng)計(jì)，今年上半年，僅烏云上提交的漏洞就達(dá)3,560余個(gè)，其中不乏新浪、搜狐、騰訊等大型網(wǎng)絡(luò)平臺(tái)。除此之外，一些聯(lián)通的地方分站，也相繼被曝出存在泄露用戶(hù)信息（包括座機(jī)號(hào)碼及ADSL賬號(hào)等）的漏洞。

與此同時(shí)，今年上半年，全球排名分別為第一和第三的兩款網(wǎng)站服務(wù)器Apache及Nginx也相繼被曝存在重大漏洞。瑞星互聯(lián)網(wǎng)攻防實(shí)驗(yàn)室出具的報(bào)告顯示，這兩個(gè)漏洞均可能導(dǎo)致大量網(wǎng)站遭到惡意攻擊，并且泄露大量的用戶(hù)賬號(hào)信息。

瑞星安全專(zhuān)家指出，國(guó)內(nèi)互聯(lián)網(wǎng)行業(yè)競(jìng)爭(zhēng)日趨激烈，各大網(wǎng)絡(luò)平臺(tái)在博弈的過(guò)程中，往往更加重視用戶(hù)體驗(yàn)，而忽視信息安全。因?yàn)橥ǔＧ闆r下，完善信息安全，就要以降低用戶(hù)體驗(yàn)作為代價(jià)。例如在一個(gè)簡(jiǎn)單的登錄流程中，多一個(gè)驗(yàn)證步驟，就能提高一分安全保證，但是不可避免的就會(huì)讓用戶(hù)感到操作上的不適，這種不適很有可能流失一部分用戶(hù)，這并不是企業(yè)希望看到的結(jié)果。所以，重體驗(yàn)輕安全，就成為了各大互聯(lián)網(wǎng)平臺(tái)的通病。

2. 盲目選擇外國(guó)品牌的電子類(lèi)產(chǎn)品

目前，國(guó)內(nèi)企事業(yè)機(jī)關(guān)單位對(duì)外國(guó)品牌的電子產(chǎn)品、信息技術(shù)產(chǎn)品過(guò)分依賴(lài)。據(jù)媒體報(bào)道，涉及“棱鏡門(mén)”的思科產(chǎn)品，在國(guó)內(nèi)163、169兩大主干通訊網(wǎng)絡(luò)中占據(jù)了70%以上份額，把持了所有超級(jí)核心節(jié)點(diǎn)，這無(wú)異于在國(guó)內(nèi)的主要通訊網(wǎng)絡(luò)中埋下了高危的定時(shí)炸彈，各類(lèi)敏感信息隨時(shí)都面臨被第三方監(jiān)聽(tīng)、備份的風(fēng)險(xiǎn)。

很多政企選擇外國(guó)產(chǎn)品都是出于高性能的考量，然而這些外國(guó)廠商卻成為企業(yè)信息安全的重大隱患。“無(wú)論是電子設(shè)備廠商還是信息技術(shù)廠商，都是有國(guó)籍的，但是互聯(lián)網(wǎng)和電子信息產(chǎn)品卻沒(méi)有國(guó)界”，瑞星安全專(zhuān)家表示，“從技術(shù)角度來(lái)講，任何電子信息類(lèi)產(chǎn)品都有被植入后門(mén)、竊取用戶(hù)情報(bào)的可能。廠商一旦受到來(lái)自國(guó)家或競(jìng)爭(zhēng)對(duì)手的壓力，就會(huì)鋌而走險(xiǎn)。”

（三）、企業(yè)信息安全體系建設(shè)基本為零

1. 信息安全認(rèn)知差、意識(shí)薄弱

當(dāng)前國(guó)內(nèi)很多企業(yè)對(duì)信息安全問(wèn)題的認(rèn)知，仍舊處于空白狀態(tài)。除了少數(shù)大型互聯(lián)網(wǎng)企業(yè)，大部分企事業(yè)機(jī)關(guān)單位都習(xí)慣把信息安全問(wèn)題等同于“電腦中毒”、“網(wǎng)絡(luò)擁堵”這類(lèi)在辦公網(wǎng)絡(luò)中常見(jiàn)的現(xiàn)象，通常都簡(jiǎn)單采用安裝殺毒軟件的方法解決。“信息安全帶來(lái)的問(wèn)題遠(yuǎn)不止如此，”瑞星安全專(zhuān)家指出，“中病毒、網(wǎng)速慢都只是表象，殺毒軟件只能解決病毒相關(guān)問(wèn)題，無(wú)法在最開(kāi)始就將病毒拒之門(mén)外，更無(wú)法解決由系統(tǒng)管理不嚴(yán)、員工操作不當(dāng)和黑客入侵引發(fā)的機(jī)密信息外泄、單位賬戶(hù)被竊等問(wèn)題。”

瑞星安全專(zhuān)家介紹，目前多數(shù)企事業(yè)機(jī)關(guān)單位的內(nèi)網(wǎng)沒(méi)有經(jīng)過(guò)嚴(yán)格過(guò)濾，外界互聯(lián)網(wǎng)的病毒可以隨意下載至本地電腦。雖然少部分保密級(jí)別高的單位采取了內(nèi)外網(wǎng)物理隔離的辦法，但是仍無(wú)法阻止病毒由USB存儲(chǔ)設(shè)備（如U盤(pán)、移動(dòng)硬盤(pán)等）入侵網(wǎng)絡(luò)。前面提到過(guò)的“超級(jí)工廠”和“超級(jí)火焰”病毒就是典型案例，這兩種病毒主要依靠USB存儲(chǔ)設(shè)備傳播。病毒一旦進(jìn)入單位內(nèi)網(wǎng)，就可以悄無(wú)聲息地獲得許多重要電子設(shè)備的控制權(quán)限，同時(shí)電腦并不會(huì)表現(xiàn)出明顯的中毒癥狀。因此，普及信息安全知識(shí)，提高安全意識(shí)，規(guī)范電腦操作是現(xiàn)下的當(dāng)務(wù)之急。

2. 信息安全問(wèn)題事前無(wú)防備 事后彌補(bǔ)不及

目前，大部分政企單位都存在對(duì)信息安全事件缺乏防范的問(wèn)題。多數(shù)單位都在問(wèn)題爆發(fā)后才開(kāi)始想辦法補(bǔ)救，然而這個(gè)時(shí)候，已經(jīng)不能阻止遭到泄露的機(jī)密文件繼續(xù)被“有心人士”傳播，而被洗劫的錢(qián)財(cái)也無(wú)法追回。

今年上半年，一封E-Mail在微博上瘋傳，該郵件是由鳳凰網(wǎng)內(nèi)部流出的，郵件內(nèi)曝光了鳳凰網(wǎng)一高管的性丑聞，一時(shí)間成為網(wǎng)民爭(zhēng)相關(guān)注的焦點(diǎn)。瑞星安全專(zhuān)家指出，這類(lèi)事件其實(shí)就是典型的信息安全事件，如果鳳凰網(wǎng)對(duì)電子郵件的管理足夠嚴(yán)格，這類(lèi)事件不應(yīng)流傳到外部互聯(lián)網(wǎng)。而無(wú)論其后鳳凰網(wǎng)做何種彌補(bǔ)，該事件所造成的不良影響也已經(jīng)無(wú)法消除。

6月，迅雷公司也發(fā)生一起因系統(tǒng)漏洞造成的安全事件，該漏洞導(dǎo)致用戶(hù)可以?xún)H花費(fèi)1分錢(qián)，就獲得原本價(jià)值180元的迅雷白金年卡。在迅雷公司發(fā)現(xiàn)之前，已經(jīng)有5000多張年卡被一搶而光，迅雷公司因此不得不為這個(gè)漏洞買(mǎi)單，直接損失達(dá)百萬(wàn)元。

3. 信息安全體系建設(shè)尚未開(kāi)始

前面提到，現(xiàn)今國(guó)內(nèi)大部分企業(yè)對(duì)信息安全問(wèn)題的解決辦法仍停留在安裝殺毒軟件上，這也意味著，大多數(shù)企業(yè)的信息安全體系建設(shè)尚未真正開(kāi)始。

瑞星安全專(zhuān)家表示，信息安全體系建設(shè)，應(yīng)包括兩個(gè)部分：首先是信息安全系統(tǒng)建設(shè)，這是指在政企單位的內(nèi)網(wǎng)中，針對(duì)網(wǎng)關(guān)、服務(wù)器、電腦終端、監(jiān)控設(shè)備、企業(yè)生產(chǎn)設(shè)備等所有電子設(shè)備安裝相應(yīng)的安全產(chǎn)品，并組成統(tǒng)一的、可管控的安全系統(tǒng)。其次，是建立完善的信息安全制度，嚴(yán)格規(guī)范員工的操作，并對(duì)各類(lèi)電子設(shè)備、各級(jí)員工進(jìn)行權(quán)限設(shè)置，以便最大程度保障單位內(nèi)部信息無(wú)法外泄。

“信息安全體系建設(shè)，不僅是用信息安全產(chǎn)品搭建一個(gè)堡壘，更重要的是企業(yè)自身建立一套完善的信息安全制度”，瑞星安全專(zhuān)家指出，“只有有形的產(chǎn)品和無(wú)形的制度相互配合，才能根除信息安全事故為企業(yè)帶來(lái)的重大隱患。”

不僅如此，針對(duì)政府、軍隊(duì)、金融、能源和電信等核心政企，建立完整的企業(yè)信息安全體系不是“一次性工程”，企業(yè)應(yīng)不斷學(xué)習(xí)了解最新的網(wǎng)絡(luò)安全技術(shù)，并組織專(zhuān)業(yè)安全人員定期進(jìn)行模擬攻防演習(xí)，通過(guò)不斷的發(fā)現(xiàn)問(wèn)題、解決問(wèn)題，逐步提升網(wǎng)絡(luò)安全水平，做到“知己知彼”。

（四）、新技術(shù)帶來(lái)新風(fēng)險(xiǎn)

1. 虛擬化、云應(yīng)用日趨成熟 安全風(fēng)險(xiǎn)漸露端倪

云技術(shù)自問(wèn)世以來(lái)，一直以節(jié)省本地資源、運(yùn)行速度高等特點(diǎn)，受到整個(gè)互聯(lián)網(wǎng)行業(yè)的追捧。隨著云計(jì)算的進(jìn)一步發(fā)展，虛擬化、云技術(shù)等應(yīng)用在今年終于由“過(guò)熱”進(jìn)入理性發(fā)展階段，人們?cè)谠u(píng)估云計(jì)算時(shí)越來(lái)越注重安全問(wèn)題。

圖16：虛擬化、云應(yīng)用安全風(fēng)險(xiǎn)漸露端倪

a. 云服務(wù)持續(xù)性成為安全隱患

由于云技術(shù)帶來(lái)的巨大便利，許多企業(yè)選擇將相應(yīng)的系統(tǒng)交給云服務(wù)供應(yīng)商托管，然而這些供應(yīng)商卻受資金、社會(huì)環(huán)境、當(dāng)?shù)胤傻纫蛩刂萍s，不可避免的發(fā)生服務(wù)中斷事故。據(jù)報(bào)道，今年3月，網(wǎng)站安全云服務(wù)提供商CloudFlare因?yàn)槠溥吘壜酚善靼l(fā)生故障，導(dǎo)致使用CloudFlare的CDN和安全服務(wù)的785,000多個(gè)網(wǎng)站受到影響，整個(gè)事故持續(xù)影響了一個(gè)多小時(shí)，給企業(yè)和用戶(hù)造成巨大的損失。

b. 虛擬化和云服務(wù)嚴(yán)重威脅數(shù)據(jù)安全

在斯諾登披露的“棱鏡”項(xiàng)目中，美國(guó)有九家互聯(lián)網(wǎng)巨頭向政府情報(bào)機(jī)構(gòu)開(kāi)放了服務(wù)器，以便監(jiān)視個(gè)人、企業(yè)及他國(guó)的互聯(lián)網(wǎng)行為。“這里就涉及到虛擬化及云技術(shù)應(yīng)用帶來(lái)的巨大安全風(fēng)險(xiǎn)”，瑞星安全專(zhuān)家表示，選擇虛擬化和云服務(wù)，企業(yè)就需要將用戶(hù)信息、辦公系統(tǒng)、乃至商業(yè)機(jī)密上傳到云端數(shù)據(jù)庫(kù)，以便在需要時(shí)隨時(shí)隨地調(diào)用。然而一旦云端服務(wù)器遭到黑客入侵，或服務(wù)器供應(yīng)商、云端系統(tǒng)供應(yīng)商在系統(tǒng)中留有后門(mén)，企業(yè)信息安全將成為一紙空談。瑞星安全專(zhuān)家指出，“數(shù)據(jù)安全是云應(yīng)用解決的重要問(wèn)題之一，要么不出問(wèn)題，要出就出大問(wèn)題。”

為保障云計(jì)算環(huán)境中的數(shù)據(jù)安全，企業(yè)用戶(hù)在決定選擇服務(wù)時(shí)應(yīng)當(dāng)評(píng)估以下問(wèn)題：

-是否針對(duì)虛擬化和云應(yīng)用架構(gòu)有完善的安全防護(hù)體系；

-是否有相應(yīng)的措施來(lái)保證數(shù)據(jù)生命周期的安全與可控；

-關(guān)鍵數(shù)據(jù)是否進(jìn)行了加密與完整性檢查；

-如何授權(quán)對(duì)數(shù)據(jù)的訪(fǎng)問(wèn)，如何防止云計(jì)算提供商訪(fǎng)問(wèn)或者濫用數(shù)據(jù)；

-如何備份和恢復(fù)數(shù)據(jù)。

2. BYOD安全管理嚴(yán)重缺失 盲目應(yīng)用導(dǎo)致企業(yè)“零隱私”

BYOD是指企業(yè)允許員工將自有的個(gè)人電腦、手機(jī)、平板等終端設(shè)備接入企業(yè)內(nèi)網(wǎng)。在國(guó)內(nèi)很多企業(yè)鼓勵(lì)這種行為，多數(shù)是出于方便辦公、節(jié)約辦公成本的目的，然而這樣做，卻使得辦公數(shù)據(jù)與私人設(shè)備的物理邊界消失，尤其是無(wú)線(xiàn)Wi-Fi的應(yīng)用，擴(kuò)大了網(wǎng)絡(luò)接入的范圍，使接入位置不再固定于某個(gè)物理網(wǎng)絡(luò)端口，外來(lái)人員可能通過(guò)破解無(wú)線(xiàn)信號(hào)潛入企事業(yè)單位的內(nèi)網(wǎng)之中。在這種情況下，無(wú)論是單位內(nèi)部員工，還是外來(lái)人員都可以隨意接入企業(yè)網(wǎng)絡(luò)、拷貝機(jī)密文件。

圖17：BYOD安全管理嚴(yán)重缺失

BYOD在企業(yè)辦公領(lǐng)域具有“Anytime、Anywhere、Anything”的優(yōu)勢(shì)特性，在國(guó)內(nèi)很多政府、金融、醫(yī)療、電信和教育等領(lǐng)域已大范圍普及。瑞星安全專(zhuān)家介紹，目前，國(guó)內(nèi)政企只在應(yīng)用層實(shí)現(xiàn)部分BYOD，但在安全層面卻完全忽視。BYOD不僅要考慮應(yīng)用性和易用性，還應(yīng)從信息安全角度出發(fā)，針對(duì)人員、設(shè)備、網(wǎng)絡(luò)、應(yīng)用和數(shù)據(jù)這五個(gè)維度進(jìn)行全方位安全建設(shè)。

3. 智能手機(jī)及可穿戴設(shè)備將使信息諜戰(zhàn)變?yōu)楝F(xiàn)實(shí)

近年來(lái)，新科技、新應(yīng)用發(fā)展迅速，這也為企業(yè)信息安全帶來(lái)很多未知的風(fēng)險(xiǎn)。瑞星安全專(zhuān)家解釋?zhuān)芭e個(gè)最貼近生活的例子就是智能手機(jī)，黑客或企業(yè)內(nèi)鬼可利用智能手機(jī)的攝像頭和麥克，全程監(jiān)聽(tīng)企業(yè)內(nèi)部的信息。同時(shí)作為移動(dòng)終端設(shè)備，手機(jī)又能使用自己的網(wǎng)絡(luò)，隨時(shí)將監(jiān)聽(tīng)到的信息上傳至互聯(lián)網(wǎng)。所以，即使不接入企業(yè)內(nèi)網(wǎng)，黑客、企業(yè)內(nèi)鬼及競(jìng)爭(zhēng)對(duì)手（或國(guó)家）的情報(bào)部門(mén)，都可能利用新型智能終端設(shè)備來(lái)獲取企業(yè)機(jī)密情報(bào)。”

圖18：智能手機(jī)及可穿戴設(shè)備為企業(yè)信息安全帶來(lái)巨大風(fēng)險(xiǎn)

除此之外，一些類(lèi)似Google Glass、智能手表、智能腕帶等可穿戴電子設(shè)備也已逐漸走入人們的視野，并且預(yù)期在短時(shí)間內(nèi)將進(jìn)入人們生活。這類(lèi)設(shè)備將比智能手機(jī)更加隱蔽，同時(shí)，像攝像頭、麥克、GPS和獨(dú)立網(wǎng)絡(luò)已成為標(biāo)配，這就使該類(lèi)設(shè)備可輕易突破企業(yè)現(xiàn)有安全體系，能夠做到隨時(shí)隨地傳送信息。因此，毫不夸張的講，類(lèi)似電影《007》、《碟中諜》的竊密橋段已經(jīng)成為現(xiàn)實(shí)。

 5/6   首頁(yè) 上一頁(yè) 3 4 5 6 下一頁(yè) 尾頁(yè)