杜跃进:“棱镜”凸显中国信息安全能力亟待增强

原创
安全
杜跃进认为,“棱镜”事件被爆出,暴露出中国信息安全产业存在的诸多问题,在实现信息安全自主可控之前的过渡期,短期内可通过产品互相制约来缓解可能出现的安全问题。长期看来,中国信息产业亟需增强自主可控性,从整体上全面增强信息安全能力。

斯诺登爆出的“棱镜”事件在中国信息安全界引起不小震动,“棱镜”折射出中国信息安全产业存在哪些问题?“棱镜”事件被爆,对中国信息安全产业走向会带来怎样的影响?近日,国家网络信息安全技术研究所所长、中国国家互联网应急中心(CNCERT/CC)副总工程师杜跃进就相关话题接受了51CTO记者的采访。

[[76343]]  

杜跃进认为,“棱镜”事件被爆出,暴露出中国信息安全能力存在的诸多问题,从让我们痛定思痛、加快产业发展的角度来讲是好事。目前,中国信息安全在漏洞处理、应急响应到攻防研究等各个方面都存在能力不足的情况。在实现信息安全自主可控之前的过渡期,短期内可通过加强外围技术保障以及产品互相制约来降低安全风险。长期看来,中国信息产业亟需增强自主可控性,从整体上全面增强信息安全能力。

“棱镜”折射出中国信息安全能力严重不足

51CTO:“棱镜”事件被爆出对中国信息及安全产业会带来什么影响?

杜跃进:中国的信息安全能力存在的问题,通过这样一种特殊的方式被暴露出来,从我们痛定思痛,加快产业发展的角度来讲,是个好消息。斯诺登爆出棱镜门事件对信息安全产业有较大震动,至于这件事对产业的具体影响,目前还没有特别精确的答案,我的直观感觉是:大型核心网络设备、大型系统国产化需求会更迫切,此事对纯粹的信息安全领域国产化也会有所促进。斯诺登爆出棱镜门后,我们会更加清醒,我们在信息安全领域确实存在很大的问题。过去,我们的防御主要针对计算机破坏分子、纯粹的黑客,但现在看来,用原有信息安全技术、产品和服务理念显然很难挡住国家层面的攻击,需要创新性的工作。

51CTO:“棱镜”事件折射出我国信息安全产业存在哪些问题?

杜跃进:棱镜事件表明,我们近几年研究提出的对我国安全能力的反思、重构等,大方向是正确的。棱镜门事件爆出后,我们更应该反思自己在网络安全能力上的全面不足,包括:漏洞研究与漏洞处理、事件发现与早期预警、事件处置与应急响应、应急预案与应急演练、安全测试与渗透测试、软件安全与安全编程、攻防研究与演练验证,都存在能力缺陷。

漏洞处理方面,系统化漏洞处理过程应该包括:漏洞挖掘、漏洞信息收集、漏洞验证、漏洞威胁评估、漏洞信息分发、补丁研制、补丁验证、补丁分发、漏洞利用行为监测、工具研制和分发。但由于成本和技术等原因,有些环节并没有全面落实,比如重点行业的漏洞信息详细验证等;漏洞威胁评估做得不到位,我们现在评估漏洞是与应用系统相脱离的,评估时可能只是说这是一个高危漏洞,但还没有到这些漏洞具体给哪些行业哪个系统带来哪些风险等方面。面对国家间的攻击,原有的漏洞发现与共享机制出现了重大问题。过去,安全防守方发现漏洞的渠道跟攻方基本一样(各种漏洞共享圈甚至地下经济链),但攻方如果是国家的话,一些漏洞会被当作战略资源储备,防守方无法再通过原来的渠道获得这些漏洞信息。

风险评估方面,风险评估让整体安全水平提升了,但在保护重点目标方面还不够。一方面,我们的风险评估中使用的已知漏洞,但是重点目标可能受到来自敌对国家的攻击,使用我们不知道的漏洞;另一方面,今天的网络环境下,网络中不同的应用、系统、设备等的相互关联关系异常复杂,但我们的风险评估还只是单点的,很难看出复杂网络的整体风险。

安全测评方面,国内对于设备、软件、大型系统的安全性测试能力还比较弱。针对功能和性能的测试性比较多,但对安全性的测试不充分。另外,我们多数测试设备都依赖进口,如果是国家间攻击行为,你从攻方国家购买的测试设备和规则支持,怎么可能发现该国产品的问题呢?我们在安全测试所需要的方法研究、经验和数据积累、专用设备与平台等方面都还十分欠缺。

攻防技术方面,缺乏系统化,分析能力不足。像Flame、Stuxnet这样的高级恶意软件都是体系化团队合作的结果。如果我们在攻防技术上自己没有做过相关尝试,我们也就不知道别人有什么样的能力。对国家间的对抗来说,攻防技术的研究和意义跟过去也不同了。

在事件处置方面,我们不仅是在一些核心软硬件产品方面依赖国外,在一些重要系统的运行上也依赖国外,而且在宏观数据方面也处于与战略被动地位,这会导致在事件处置(包括打击犯罪)时很被动,尤其是国家间网络对抗气氛越来越浓的时候。

在应急响应方面,面对新的威胁我们可以说是完败。应急最关键的是时间,需要在足够短的时间内发现问题和解决问题,可是我们发现Flame的时候,它都传播好几年了,发现之后也分析不了,更谈不上应急。我们过去的应急能力可以适应过去那种大规模或者大范围攻击,可是国家间的攻击是高有目标的高威胁攻击,不一定是大规模或者大范围的攻击,这导致我们原来的能力在威胁发现方面严重不足。而对于国家间的网络攻击,如果我们前期什么都不知道,想应对最后的致命攻击是完全不可能的。

应急演练方面,我们有多几百万份应急预案,也有很多演练,演练过后预案很少有调整的。我们是在演而不是在练,其实我们需要通过演练发现问题,再据此调整预案。演练方面,除了规则的演练,还要有单项技能演练、综合情况下攻击的防范和演练,以及真实环境下的实际演练。但是我们现在还没有这样系统化的演练,配套的演练手段和环境支持也十分缺乏。#p#

中国信息安全综合能力亟待增强

51CTO:目前,我们在信息和安全方面对国外依赖程度如何?在短期内无法完全实现自主可控的情况下,我们目前能做什么?

杜跃进:目前,我们在三个大的领域对国外有依赖,不能实现自主可控:一是技术产品;二是运行层面(除了互联网之外,我们还有很多大型系统无法自主,要靠国外运维);三是数据层面,一些国家依靠全球化的互联网企业实际上掌握着全世界的数据,比其他国家自己还了解他们。

自主可控是个长期目标,需要有一个比较长的过程。在实现自主可控之前,我们也不能坐以待毙。短期内可以考虑的思路是:通过第三方安全测试和安全产品互相制约来缓解可能出现的问题。比如,如果你的大型服务器只能用A国的产品,那与此相连的其他环节就尽量不用B国的产品,如审计监测系统。此外,需要加强自身的第三方安全测试、安全监测、协议和数据分析等方面的研究和能力建设。

51CTO:您如何看待中国的网络空间战略?

杜跃进:在顶层战略规划方面,中国确实需要改进。美国2011年推出《网络空间国际战略》后,我国很多人开始研究类似战略,但这种仓促的研究难以达到美国的水平,而且研究的多,出台的少。另外,网络空间战略里,除了政策、技术、产业发展,还应该包括清晰的系统的网络空间安全外交战略。这些年来,在维护国际网络空间安全方面,中国其实做了很多有意义的和创新性的事情,但似乎咱们自己没重视,对外更是没有宣传,所做的事情也似乎没有持续推进。

51CTO:面对像“棱镜”这样的监控行动,我们今后如何去应对?

杜跃进:严格说,“棱镜”事件凸显出我们对国家级攻击的应对能力不足。未来要努力改进的不只是某个点上的技术措施,而是综合安全能力的提升。例如,目前我们总体上还是基于特征来发现安全事件,但对于未知漏洞和攻击程序,基于特征的事件发现模式完全不行。所以,在未来安全能力建设中不能仅仅使用基于特征的模式。新的模式需要能发现异常,这就需要确定很多的正常指标,就好像是将人体的健康指标描述清晰后,才有参照值,才能知道身体哪里不对劲了。这个正常指标的研究是很基础的工作,难度比较大,但却非常重要。

对于重要的事情要进行深度分析,要从中浪里淘沙,从众多事情找出异常。斯诺登爆出的“棱镜”事件之前不可能没任何迹象,但过去人们可能只把它当成普通的事件,为什么?就是因为缺乏深度分析。未来,我们需要加强深度分析,并且在漏洞的主动性研究上要加强,把它当作国家战略来做。

责任编辑:吴玮 来源: 51CTO.com
相关推荐

2021-07-13 11:26:16

信创安全

2013-07-04 20:02:01

2013-07-24 11:59:30

网络·安全技术周刊

2020-10-21 13:43:18

安全大脑

2022-11-10 17:57:34

2012-12-04 18:18:09

2011-08-26 13:23:25

2011-06-08 10:20:01

2011-06-02 17:08:22

2009-11-11 12:49:41

2011-04-22 10:33:25

2011-05-13 09:10:45

2009-10-19 14:23:33

安全木马漏洞

2021-07-29 19:10:27

ISC/数据安全

2009-11-17 10:49:43

证券业信息安全保障能力

2010-05-12 15:18:31

信息安全云安全熊猫安全

2012-09-04 20:39:10

2014-06-17 09:31:34

2022-05-20 12:13:35

企业安全网络攻击网络安全

2020-04-20 16:33:10

网络安全数据安全大数据
点赞
收藏

51CTO技术栈公众号