我國網絡安全“裸奔”狀況亟需改變
發布時間：2018-02-07“當前，我國的網絡安全仍然存在較大隱患。一方面，基于合規性要求和已知安全風險防護的基礎安全防護體系建設取得了良好成效，基本形成了針對商業級安全風險的應對能力；但與此同時，由于存在體系的缺失，安全問題仍會頻繁發生。從國家對抗的風險來看，目前我國的網絡安全在這個場景下無異于‘裸奔’。”近日，中電長城網際系統應用有限公司總經理賀衛東在接受記者采訪時如此表示。
賀衛東說，無論是央企還是其他安全企業，針對所面臨的商業級和國家級威脅風險的新變化，迫切需要打造支撐國家安全的自主可控IT產品系統和全新動態安全體系，實現本質安全（國產化替代）和過程安全（產業鏈安全）的深度融合。
一面是“保護得好”一面是還在“裸奔”
近年來，我國網絡安全工作以落實等級保護要求為目標，扎實做好各項工作，組織體系、管理體系、技術體系和建設與運維體系都基本完善，基于合規性要求和已知安全風險防護的基礎安全防護體系建設取得良好成效（“保護得好”），基本形成了針對商業級安全風險的應對能力。
但在取得成績的同時，也要看到，從動態攻防對抗的視角來看，當前還存在著大量未知或已知的“后門”和“漏洞”風險。而這些風險背后體現的實質是，由于對抗能力不可能馬上轉化成為防護產品，并部署形成防護能力，處置這些風險就必須依靠實時或快速響應。由此可見，安全對抗能力快速運用需要構建對抗服務體系來應對，即用高能力的安全服務去彌補。因為存在體系的缺失，安全問題就會頻繁發生。所以從國家對抗的風險來看，目前我國的網絡安全在這個場景下，無異于“裸奔”。
據賀衛東介紹，“保護得好”和“裸奔”的根本原因在于新形勢下面對的威脅發生了重大變化。當前，我國面臨的網絡安全威脅可以分為商業級威脅和國家級威脅。國家網絡安全面臨的核心威脅是國家級網絡威脅，即國家間的網絡攻擊和威懾?！袄忡R門”、伊朗核電站等一系列事件表明目前的國家網絡空間安全就是國家級網絡安全能力的體系化對抗。
通過分析國外網絡安全的發展趨勢，我們發現，發達國家已經處于智能迭代為特點的智能防御3.0時代，發展中國家部分進入安全可控為特點的主動防御2.0時代，欠發達國家處于合規保障為特點的被動防御1.0時代。而我國現在就處于合規保障被動防御1.0時代，防護級別僅屬于商業級安全范疇。與發達國家的現階段情況相比，我國防護能力與國家級對抗的要求差距明顯，且集中體現在發展階段差異、技術代差、能力代差和投入有限四個方面。
國家網絡安全與商業網絡安全存在差異
賀衛東介紹，在風險來源、攻擊目的、攻擊手段、投入方式和防護模式上，國家網絡安全與商業網絡安全存在顯著的差異。
國家網絡安全的風險來源于國家網絡戰部隊及國家能力；對方攻擊目的為控制或破壞國家關鍵基礎設施；采用的攻擊手段為軟硬件后門，網絡戰武器，國家級安全能力；投入方式以國家投入，實現對抗威懾為目標；技術上，采取自主可控、基于威脅的主動防御模式。而商業網絡安全的風險來源為黑客團隊；攻擊目的為獲取商業利益；采用的攻擊手段為尋找漏洞，層層滲透；投入方式追求合規性和性價比，企業自主投入；采用合規性防御模式；防護能力是產業單一廠商的安全能力。
國家網絡安全面對的是國家級對抗的威脅，是國家之間頂級智慧的較量。應該采取的是國家網絡安全策略，以能力威懾為基礎，對標對抗先進國家的攻防能力，采用國家級安全經濟投入，建設全產業技術支撐體系，健全法律威懾為輔，研究突破核心技術打造公共性產品，建設基于國家技術鑒別能力的技術信任體系，支撐關鍵信息基礎設施保護。需要專項投入，有序推進。
商業網絡安全面臨極端個人、黑客團體和經濟犯罪的威脅，應采用商業網絡安全策略，以法律威懾為核心，突出技術追溯與執法能力，滿足商業網絡安全目標；基于投資能力建設單一廠家或部分廠家有限對抗能力的技術支撐體系，健全攻防能力，采購部署大規模可復制的非公共性產品和服務，其技術能力是基于商業信任和市場競爭形成的。
三大策略解決國家網絡安全問題
賀衛東表示，我們國家非常重視網絡安全，成立了中央網信辦，制定并頒布了國家網絡安全法，網絡安全與信息化已經上升為國家戰略。
解決國家網絡安全問題，首先要遵循網絡安全的經濟規律。面對“攻擊的成本越來越低，防御的成本越來越高”的客觀現實，花多少錢，怎樣花錢來保障安全，一直是這些年安全界所關心的重要問題。網絡安全覆蓋從終端到網絡，從應用到系統，從軟件到硬件，從管理到法律，范圍之廣、門類之多容易造成網絡安全防不勝防。那么，究竟需要在安全上投入多少錢？這個問題似乎沒有一個絕對的答案。安全是動態的，從技術的視角來看，任何信息化系統都是存在缺陷的。網絡安全產品本身就是對現有技術的固化（產品化），所以當它面市時，它的技術就已過時。所以安全應該是相對的，絕對的安全恐怕只在理論上存在。在實際中，需要進行安全與成本的平衡，即用“最小”的成本來達到“最佳”的效果，這也導致新的信息安全理論轉向了“基于攻擊環境下的主動防御”模式，主要技術特點體現為自主可控、可信計算和動態監控。而在商業模式上則體現為平臺與服務廠商聚合化。
其次，要洞察網絡產業的演變方向。目前網絡安全技術已走向實時監測及風險預防控制，網絡安全業態也從原先的“產品業態”走向了“服務業態”。網絡安全的提供將由專業的網絡安全服務商來完成，而非某些特定產品廠商。
最后，把握網絡安全技術演進路線。針對面臨的商業級和國家級威脅風險，為實現國家安全的目標，迫切需要打造支撐國家安全的安全服務體系，打造國之重器：發現之眼——練就風險和威脅預警監測的火眼金睛；防護之穹——構建國家關鍵信息基礎設施防護的金剛罩；追蹤之劍——鍛造一招制敵、有效威懾的殺手锏；應急之隊——形成響應迅速、指揮有序、保障有力的快反之師；重建之能——提升網絡空間基礎設施重構的恢復之力；長久之才——筑建網絡空間攻防人才隊伍培養的新高地。
“漏洞”與“后門”的應對之道
賀衛東建議，以平臺共享經濟模式，有效聚合服務能力，以結果付費解決動態安全的“漏洞”問題和國家能力傳導互動問題。
聚合模式就是充分發揮共享經濟、平臺經濟、智慧經濟的優越性，通過平臺積聚各類資源，有效實現能力與需求的協同。這就好比，醫院看病的“專家會診”模式。網絡安全與看病類似，滿足客戶需求的方式已由“單個醫生問診”轉向“專家會診”，促成產業鏈由單一的供應鏈向復合供應體系轉型升級，以軍民融合的方式解決國家安全和商業安全不同安全服務能力的要求。通過構筑基于建立國家、產品供應商、安全服務商、用戶“四位一體”的網絡安全保障平臺，將多維度的安全監測、監管與商業服務體系融合作為國家網絡安全體系的重要組成部分。推動動態能力轉換，以結果論英雄，解決濫竽充數、劣幣驅逐良幣的問題。因此，平臺化是安全服務產業規模化、集約化、聚合化的產業升級和科學發展的必由之路。
與此同時，以安全服務產業鏈的全過程安全的深度融合，建立基于攻擊語境下的主動防護體系，推動IT產品自帶免疫能力，成為安全的IT產品，解決“后門問題”。
從全球網絡安全產業格局的發展可以發現，網絡安全產品的發展趨勢逐步開始轉向“安全的IT產品”。網絡安全產品走向專業化，橫向并購明顯，小型網絡安全產品開發商不斷被大型IT廠商合并以完善自身產品，使得新的IT產品不僅有業務處理能力也有安全免疫的能力。
當前我們的自主可信的產業生態體系有序推進。已經形成基本完整的產業鏈。具備包括CPU（中央處理器）、DDR4（第四代內存）、網絡芯片、網絡設備、災備、基礎軟件、應用系統開發平臺在內的關鍵核心技術。以可信技術為紐帶，本質安全和過程安全深度融合的全新動態安全體系，基本實現自主可控安全的IT產品系統與應用。
中國電子超前布局形成多重經驗
據賀衛東介紹，基于國家安全需求這個最終目標，中國電子打造網絡安全的保護體系，即本質安全（國產化替代）和過程安全（產業鏈安全）。
中國電子結合下屬企業情況，明確長城網際為“過程安全”的牽頭企業，面向成都、中山等地方政府和能源廣電等重要行業信息系統的安全需求，采用聚合、共享、共建、共御策略，按照“可發現、可防護、可控制、可替代、有能力”目標框架，創造性、定制化地開展信息安全服務，基本建立了本質安全、過程安全和可信技術體系產業鏈。
一是平臺建設形成體系格局。搭建了“1個安全數據分析中心、5個區域節點、2個直轄市、9個地區子節點”的網絡化產業服務體系格局。在線安全服務模式、行業定制化服務模式、安全的IT資源服務外包模式均在多地得到應用。
二是核心技術攻關取得實質性突破。長城網際所屬企業可信華泰圍繞可信計算打造本質安全，建立起主動防御免疫體系和計算體系合一的雙體系系統，在計算和可信雙結構構建等方面具有重大創新，總體達到國際先進水平，可信主動動態度量控制等技術達到國際領先水平。
三是生態圈建設成效顯著。構建產業生態圈和用戶生態圈，形成安全服務生態鏈。加強與公安、安全、工信、保密等部門的密切合作，建立了由80多家合作伙伴組成的生態圈，提高了國際對抗的產業能力，形成了“國進民升”的產業格局。
四是構建新的網信產業體系。本質安全方面具備包括CPU（中央處理器）、DDR4（第四代內存）、網絡芯片等關鍵核心技術；過程安全方面實現了從防護、發現、控制、處置、能力建設到生態圈的信息安全高端服務業的產業鏈打造；構建新的安全體系方面，形成以可信技術為紐帶，將本質安全和過程安全深度融合的全新動態安全體系。
五是探索形成新的商業模式。探索實踐了“IOS”服務模式、聚合服務模式，平臺在項目上得到了實踐，充分表明眾測眾分、線下線上相結合、按分析結果付費的聚合服務模式能夠有效提升安全服務能力。通過“國進民升”，建立了安全大數據開放性分析平臺，推出了可信計算雙創社區，以行業化聯合推動“雙創”，建設了國企進入、帶動民企的共贏產業環境。（來源：鋰電網）
下一篇：加強網絡安全，歐洲在行動
