邬贺铨@@: 在@@发展中提升网络安全@@@@水平@@

 

 

　　随着信息技术的发展@@，网络安全@@@@的内涵@@、形式和重点都在@@演变@@。互联网出现的早期@@，网络安全@@@@主要是@@保证电脑的物理安全@@以及通过密码解决通信安全@@问题@@。在@@Web时代@@，互联网商用带来的利益驱使@@，滋生了以制造木马为职业的黑客@@，网络安全@@@@的关注重点从物理网络转到@@所承载的信息@@。进入@@21世纪@@，各行各业对互联网的依赖越来越强@@。网络安全@@@@的保护范围从物理层@@、信息内容层扩展到@@控制决策层@@，时间上从被动的事后审计提前到@@事中防护和主动的事前监控@@，措施上从技术防护到@@管理保障@@，对网络安全@@@@的认识开始上升到@@纵深防御体系@@。2013年@@6月@@“棱镜门@@”事件曝光@@，联系到@@此前美国发布国家赛博空间@@安全@@战略@@，可见网络安全@@@@已上升到@@国家战略高度@@。

 

　　网络安全@@@@小到@@个人电脑入侵@@，大到@@企业生产系统瘫痪@@、城乡基础设施故障@@、国家重要信息系统破坏和国防系统漏洞@@，影响无所不在@@@@。传统的网络安全@@@@问题包括劫持域名@@、篡改网页@@、钓鱼网站@@、盗窃账号@@、数据泄露等@@。随着应用技术向移动互联网@@、物联网@@、产业互联网@@、云计算和大数据的发展@@，网络安全@@@@问题也呈现出一@@些新趋势@@。

 

　　新兴智能设备成为漏洞威胁的频发地@@。移动互联网与物联网@@相结合@@，催生出智能手环@@、智能手表@@、智能家电和智能汽车等@@。这些功能越来越复杂的智能硬件@@，具有永远在@@线@@、配置固定和系统升级慢等特点@@，因此承受的安全@@威胁在@@不断增大@@。2014年@@，国内已发现一@@些家庭网关@@、机顶盒和网络摄像头等被黑客控制的事件@@。

 

　　互联网金融成为网络攻击@@的新靶场@@。2014年@@，针对第三方支付和网银等金融机构的网页仿冒事件@@，占到@@境内网站被仿冒页面@@数的@@80%。这些网站诱骗用户提供银行卡号@@、密码和身份证号码等信息@@，诈取钱财@@。针对我国境内的钓鱼网站@@近@@90%位于境外@@，而且近年@@来@@钓鱼站点有入驻云服务平台@@的趋势@@，这就难以基于@@IP地址来追踪处置@@。

 

　　移动互联网成为网络攻击@@的重灾区@@。近年@@来@@，移动互联网恶意程序剧增@@。国家计算机网络应急技术处理协调中心监测发现@@，2014年@@移动互联网恶意程序数量近@@10万个@@，是@@2011年@@的@@152倍@@。恶意扣费@@、资费消耗和信息窃取位列移动恶意程序的前三类@@，具有拦截和伪造短信验证码功能的恶意程序也大幅增长@@。对移动恶意程序的安全@@检测将因程序制造者利用代码加密@@、加壳等@@“加固@@”手段而越发困难@@。

 

　　云服务成为网络攻击@@的新高地@@。现在@@大量金融@@、游戏@@、电子商务@@、电子政务等业务迁移至云平台@@@@。2014年@@12月@@20日@@至@@21日@@，部署在@@阿里云上的一@@家知名游戏@@公司@@@@，被受木马控制的海量主机访问@@，遭遇了全球最大的一@@次@@分布式拒绝服务@@（DDoS）攻击@@，攻击@@时间长达@@14个小时@@，攻击@@峰值流量达每秒@@453Gb。按照@@Akamai公司@@2015年@@第@@2季度的全球网络安全@@@@报告@@，游戏@@占@@DDoS攻击@@次@@数之首@@，比重达@@35%，其次@@为软件与技术@@、互联网与电信@@、金融服务等@@。

 

　　企业工控系统成为网络攻击@@的新战场@@。产业互联网@@的提出加快了信息化与工业化的融合@@，越来越多的工业控制系统开始联入企业的内网@@。这为黑客入侵企业工控系统提供了可能@@。2010年@@，一@@种名为@@“震网@@”的蠕虫病毒侵入西门子为伊朗核电站设计的工业控制软件@@，导致@@20%的离心机报废@@。2014年@@9月@@，一@@种远程木马@@“Havex”入侵全球能源行业的数千个工控系统@@，我国境内也有部分@@IP地址感染了该恶意程序并受到@@境外控制@@。近年@@来@@，针对产业互联网@@基础设施的网络攻击@@行为逐年@@增多@@，并具有长期潜伏@@、自我学习挖掘漏洞的能力@@。

 

 

　　网络发展与网络安全@@@@相生相伴@@，二@@者既矛盾@@，又统一@@@@。我们既不能目光短浅@@，盲目追求信息流量和用户量的扩张@@，忽视新技术新业态带来的安全@@隐患@@，以网络安全@@@@失控为代价换取一@@时的发展@@；也不能因噎废食@@，为了谋求安全@@而放弃发展@@，失去因与威胁对抗而自我壮大的机会@@。

 

　　安全@@问题是@@发展中出现的@@，只有靠自主创新推动发展才能解决@@。威胁与安全@@总是@@魔高一@@尺@@，道高一@@丈@@。以安全@@软件为例@@，从早期以对付软盘病毒为主的查特征码杀毒@@，到@@针对邮件和网页嵌入病毒的启发式杀毒@@，再到@@木马流行时期发展起@@来的云安全@@@@。当然@@，世界上不存在@@绝对安全@@的系统@@。虽然我们现在@@借助云端的安全@@软件和工程师经验可以大大提升查杀率@@，但是@@想要从源头上解决电脑的安全@@问题@@，还要从完善操作系统@@做起@@@@。我国在@@引入互联网的同时@@，几乎全盘接受来自国外的@@CPU、操作系统@@、路由器和服务器等产品@@。因为无法掌握其中的技术和源程序@@，也就难以发现内含的漏洞@@。大数据是@@企业和国家的战略资源@@。它既是@@网络安全@@@@保护的重要对象@@，也是@@支撑网络安全@@@@的新手段@@。通过收集网络攻击@@的大数据@@，我们可以发现网络攻击@@的异常行为和规律@@，有效识别攻击@@源和网络的风险点@@，阻止黑客入侵@@，使网络攻击@@行为无所遁形@@。

 

　　需要指出的是@@@@，技术只是@@手段@@，依法治网管网才是@@根本之策和长远之计@@。互联网作为一@@种信息传播工具@@，是@@一@@把双刃剑@@，既是@@传播主流意识形态的有效渠道@@，也可能被不法分子或居心叵测的人当作散布谣言@@、挑起@@事端的手段@@。因而依法严厉打击网络犯罪@@，加强内容管理@@，净化网络空间@@@@，就显得十分必要@@。我们只有从战略高度重视网络安全@@@@@@，从核心技术与产业发展@@、相关法律的完善等全方位提升防御能力@@，网络安全@@@@才能真正实现@@。我们应始终牢记习近平总书记的话@@，“做好网络安全@@@@和信息化工作@@，要处理好安全@@和发展的关系@@，做到@@协调一@@致@@、齐头并进@@，以安全@@保发展@@、以发展促安全@@@@，努力建久安之势@@、成长治之业@@”。

 

　　作者@@：中国信息化百人会顾问@@、中国工程院院士@@、中国互联网协会理事长@@ 邬贺铨@@