周鴻祎：用戶需要“泛安全”

今年3月，在微軟的一份報告里，中國惡意軟件的感染率從重災區降到世界最低水平。安全軟件的免費大潮在這過程中當然功不可沒。而360作為這一大潮的助推者之一，也成功由“屌絲”逆襲成“高富帥”。

9月23日，由中國互聯網協會、中國信息安全測評中心、國家計算機網絡應急技術處理協調中心（CNCERT/CC）指導，360公司主辦的2013中國互聯網安全大會（ISC）在北京國家會議中心舉行。中國工程院院士鄔賀銓、美國智庫戰略與國際研究中心（CSIS ）高級研究員詹姆斯·劉易斯、AV-Test反病毒測試公司CEO安德烈亞斯·馬克思、Gartner研究副總裁彼得·福斯特布魯克、360公司董事長兼CEO周鴻祎、360公司總裁齊向東悉數到場，討論如何以創新方式應對網絡安全、最新的國際安全形勢，以及反病毒技術趨勢。

新時代的安全變革

安全有很多流派，運營商希望在骨干網上通過流量做安全，而提供路由器、防火墻的公司就在企業邊界地方部署安全。經過幾十年的發展，服務端的傳統防火墻和路由器在安全方面已經相當成熟。“這就使得大量的攻擊入侵不再發生在網絡底層，而是更多地發生在應用層。換句話說，在網絡邊界處已經很難或者比較困難能去判斷一個訪問是不是威脅、攻擊，因為很多攻擊和威脅只有在用戶的終端電腦上運行起來才會真正地發揮作用。”周鴻祎說。”在這種情況下，網絡邊界的概念已經變得非常含混。”

雖然很多做防數據泄露的公司可以對付得了U盤泄密，但是，今天更多的公司員工都有自己的云盤，用網絡存儲相冊、文檔；所有的手機都具備Wi-Fi、3G上網能力，一個個手機相當于在原來嚴密保護的企業邊界上打開了無數的缺口。現在的情況是，如果有好事者，私自弄一個免費熱點，一旦有員工擅自連接到手機上，攻擊者就很容易繞過企業的邊防進入內部。“今天的網絡攻擊，實際都是通過在終端處對某些關鍵性的個人進行攻破和滲透。”

“在下一代互聯網時代，虛擬化、物聯網、無線互聯網、大數據、云應用、BYOD及可穿戴智能設備的廣泛應用背景下，手機都未必是互聯網的攻擊中心，未來各種各樣的智能設備、可穿戴設備、智能硬件，包括家電、汽車、單位里的工業控制設備都可能成為攻擊者的目標。”中國互聯網協會理事長、中國工程院院士鄔賀銓說。

在另一方面，文檔也不再安全。2000?2002年，幾乎沒有操作系統漏洞現象，但在2007年?2011年，這個感染數量卻在不斷增加。AV-Test公司反病毒測試CEO安德烈亞斯·馬克思認為，隨著時間推移，越來越多的文件被感染，每年都會發現更多的新漏洞。“去年我們看到1萬個新的漏洞。PDF、Java、Adobe flash是最常見的麻煩制造者。”

泛安全到來

在企業安全防護上，結合360網站漏洞掃描系統的統計和第三方數據，企業網站中70%存在各種各樣的漏洞，60%的網站被黑客和其他的方式所控制。

“在企業內部網絡上，應該說他們部署的安全產品也不是完全合格，我們走訪過很多企業，他們解決網絡安全問題只是為了免責。所以系統能不能管用，能管到什么程度，連技術部門都不知道。企業是否被黑客攻擊，是否被偷走了東西他們也不知道，有些企業里面的東西基本是擺設。”齊向東說。當下新興的安全威脅基本上已經突破了企業原本在互聯網上部署的邊界安全或終端安全的體系。

為了應對這一問題，現在很多網絡安全廠商在邊界上部署流量偵聽，同時通過虛擬密罐的方式發現樣本，攔截攻擊。“我們有個360天眼，美國有個火眼，這些產品都是針對現在比較流行APT攻擊。天眼可以實時偵測到攻擊，而且能夠準備地知道攻擊是針對哪一臺終端，并查出來自外部的IP地址。”齊向東說。即便如此，傳統的邊界安全技術方案還應該同時部署和實施。

來自互聯網應急中心的運營管理部處長王明華則認為，“只有終端安全還遠遠不夠。沒有邊界防御是不行的，但只有邊界防御也是不夠的。從國家層面來看，要做“云-管-端”結合的方案。”王明華表示，在軟件與終端的安全方面，國內廠商做得都不錯，但在企業層、云端的安全方面還有很大差距。

“宏觀來講，木馬病毒帶來的攻擊確實越來越多，但對某一個個體微觀來說不可能天天遇到安全問題，他遇到的很多是泛安全的問題。”周鴻袆認為，在中國泛安全的問題往往比安全的問題更重要。

一些公司做的APP為了提供服務，不經過用戶許可，可以讀取用戶的短信、通訊錄、定位信息，雖然沒有給用戶的財產、應用帶來損失，但卻侵犯了用戶的隱私，屬于泛安全問題。還有很多軟件安裝完成后，不經過同意就設置開機自動啟動，如果有20個軟件開機時啟動，可以想像用戶的上網體驗會有多差。

“我們研究技術是為了給用戶創造價值，這樣就要重新定義安全，只要給用戶帶來騷擾、不安和困擾的問題，安全公司就應該保護，有責任提醒用戶。”周鴻祎說。很多人覺得周鴻祎管閑事管得太多，不務正業，但這也許就是網絡安全的密鑰——一切以用戶體驗、利益出發。

“現在Gartner做的事情和奇虎非常相似，之前安全廠商查殺都是用黑名單來查殺，現在很多安全廠商都開始用白名單去查殺了，有些不太安全的未知應用用白名單對比之后就直接攔截掉。”彼得·福斯特布魯克說。

鏈接

新一代“駭客”來了，你躲得了嗎？

美國SANS學院互聯網風暴中心主管馬克·薩切斯（Marc Sachs）很早就說過：“現在惡意軟件的作者試圖竊取用戶的身份及信用卡數據，他們利用技術進行違法犯罪活動，發不義之財。他們不再選用通常的、更多可歸類為惡作劇式的攻擊手法，而是實施有組織的破壞性計劃。他們不是想在互聯網上制造混亂，而是想利用互聯網謀取不義之財。”

過去，蠕蟲傳播往往是面向隨機IP或隨機賬戶，而有社交網絡之后，犯罪分子們可以更精確地鎖定目標。在我們發布個人狀態和新聞消息時，犯罪分子可能正在微博、人人網、微信、淘寶、京東上面確認著你的行蹤。更讓人無法忍受的，是那些昧著良心把你的注冊信息賣給第三方的服務商——你馬上就會成為垃圾短信、垃圾郵件的受害者。

技術實力雄厚的攻擊者可以通過竊取用戶云端服務商的數據庫來獲得用戶的個人信息和密碼，普通的攻擊者則更多地使用釣魚的方式來引誘用戶去點擊他們精心構筑的鏈接……然后，他們可以冒充用戶來對不知情的用戶好友進行詐騙。比如在QQ上說我這幾天手頭緊，能否給我的賬號打幾百塊錢；或者直接登錄用戶的游戲賬號、網店賬戶，將里面的虛擬貨幣和貨款提走。甚至借用你的賬號來做跳板，去攻擊另外的人。一個真實案例的是，某人接到好友發來的微博私信，說是讓她幫忙買幾張游戲點卡。同事看到消息后猶豫了一下，便給那個好友打了個電話，不料好友電話關機。于是同事就給對方買下了點卡。兩個小時后，該好友重新上線，發現自己的微博已被人盜用。在這起攻擊事件中，犯罪分子是在確認了該微博用戶電話關機的狀態下，才向受害者實施詐騙的。

而面對各種安全威脅，單純地給系統打補丁、安裝殺毒軟件已經遠遠不夠。網友可以考慮采取有“網購先賠”等安全保障的服務，如360的服務就會為產品漏報給用戶造成的損失買單。

同時，用戶也需要提高自己的安全意識：網購不貪圖小便宜，不要用手機進入機密或機要的網絡，不要登錄和使用陌生的無線網絡，在使用社交網絡、即時通信、電商服務的時候要注意保護個人隱私……的確沒有絕對的安全，但我們可以做到更好的保護。（文/王博）