脆弱的安全防線

1994年4月20日，當(dāng)中國通過“NCFC工程”接入因特網(wǎng)64K國際專線，正式連接國際互聯(lián)網(wǎng)時(shí)，很少有人能想像到，網(wǎng)絡(luò)在今天會(huì)給中國帶來如此巨變。

20年過去，當(dāng)人們津津樂道于中國網(wǎng)絡(luò)規(guī)模之巨時(shí)，決策層亦提出了建設(shè)網(wǎng)絡(luò)強(qiáng)國的戰(zhàn)略目標(biāo)。

這與全球的網(wǎng)絡(luò)空間新形勢(shì)有莫大關(guān)聯(lián)。隨著網(wǎng)絡(luò)和信息化技術(shù)對(duì)現(xiàn)實(shí)社會(huì)、經(jīng)濟(jì)和政治的滲透和重構(gòu)日益加深，網(wǎng)絡(luò)空間已然成為大國博弈的新場(chǎng)地。

一些西方國家利用手中的網(wǎng)絡(luò)主導(dǎo)權(quán)，正在采取各種手段，從他國網(wǎng)絡(luò)獲取情報(bào)信息或硬性摧毀，以實(shí)現(xiàn)其國家戰(zhàn)略目標(biāo)。

在此背景下，中國建設(shè)網(wǎng)絡(luò)強(qiáng)國的根基之一——網(wǎng)絡(luò)安全，卻嚴(yán)重滯后于網(wǎng)絡(luò)技術(shù)和信息產(chǎn)業(yè)的發(fā)展。

中國網(wǎng)絡(luò)信息核心技術(shù)和關(guān)鍵設(shè)備嚴(yán)重依賴他國；國家從部門到行業(yè)到個(gè)人的整體安全意識(shí)薄弱；網(wǎng)絡(luò)新技術(shù)和應(yīng)用模式在國內(nèi)大規(guī)模普及，大量數(shù)據(jù)和信息單方面流向美國等西方發(fā)達(dá)國家，信息失衡問題日趨嚴(yán)重……

這些“致命傷”，使得中國的網(wǎng)絡(luò)安全防線既透明，又脆弱。

一流網(wǎng)絡(luò)規(guī)模，四流防御能力

中國已成為名符其實(shí)的網(wǎng)絡(luò)大國。數(shù)據(jù)顯示，截至2013年底，中國網(wǎng)民規(guī)模突破6億人，手機(jī)用戶超過12億，擁有400萬家網(wǎng)站，電子商務(wù)市場(chǎng)交易規(guī)模達(dá)10萬億元。

“這就是當(dāng)前的趨勢(shì)，網(wǎng)絡(luò)安全進(jìn)入國與國對(duì)抗博弈的‘大玩家’時(shí)代?！敝袊こ淘涸菏磕吖饽险f，當(dāng)前全球網(wǎng)絡(luò)威脅的主體，已由娛樂性黑客轉(zhuǎn)變?yōu)榫哂袊冶尘暗膱F(tuán)體性黑客，這些攻擊者組織更強(qiáng)大，計(jì)劃更充分，破壞力更強(qiáng)。

在此背景下，全球已有50多個(gè)國家出臺(tái)網(wǎng)絡(luò)安全或信息安全戰(zhàn)略和政策。

以美國為例，作為全球網(wǎng)絡(luò)主導(dǎo)者，早就制定了完善的網(wǎng)絡(luò)空間安全國家戰(zhàn)略，并奉行“以攻為主、先發(fā)制人”的網(wǎng)絡(luò)威懾戰(zhàn)略，將網(wǎng)絡(luò)情報(bào)搜集、防御性網(wǎng)絡(luò)行動(dòng)和進(jìn)攻性網(wǎng)絡(luò)行動(dòng)確立為國家行動(dòng)。

同時(shí)，這種國家級(jí)、有組織的網(wǎng)絡(luò)攻擊日趨復(fù)雜，呈現(xiàn)由“軟攻擊”向“硬摧毀”轉(zhuǎn)變的趨勢(shì)，網(wǎng)絡(luò)空間對(duì)抗日趨激烈。

倪光南指出，被披露由美國主導(dǎo)的2011年網(wǎng)絡(luò)攻擊伊朗核設(shè)施的“震網(wǎng)”事件表明，美國已經(jīng)具備了入侵他國重要信息系統(tǒng)、對(duì)他國實(shí)施網(wǎng)絡(luò)攻擊的能力。

中國同樣不乏被攻擊的案例。除了2013年曝光的“棱鏡門”，2014年3月，“棱鏡門”曝料人斯諾登再次透露，美國國家安全局自2007年開始，就入侵了中國通信設(shè)備企業(yè)華為的主服務(wù)器；2014年5月19日，美國司法部更是以所謂的“網(wǎng)絡(luò)竊密”為由，起訴5名中國軍人。

面對(duì)他國咄咄逼人態(tài)勢(shì)，南京瀚海源信息科技公司董事長方興指出，中國一流的網(wǎng)絡(luò)規(guī)模卻只有四流網(wǎng)絡(luò)安全防御能力。2012年1月，美國“安全與國防議程”智囊團(tuán)發(fā)布報(bào)告，將全球23個(gè)國家的信息安全防御能力分為6個(gè)梯隊(duì)，中國處于中下等的第4梯隊(duì)，網(wǎng)絡(luò)與信息系統(tǒng)安全防護(hù)水平很低。

其中一個(gè)重要原因，是中國重要信息系統(tǒng)、關(guān)鍵基礎(chǔ)設(shè)施中使用的核心信息技術(shù)產(chǎn)品和關(guān)鍵服務(wù)依賴國外。

相關(guān)數(shù)據(jù)顯示，全球網(wǎng)絡(luò)根域名服務(wù)器為美國掌控；中國90%以上的高端芯片依賴美國幾家企業(yè)提供；智能操作系統(tǒng)的90%以上由美國企業(yè)提供。中國政府、金融、能源、電信、交通等領(lǐng)域的信息化系統(tǒng)主機(jī)裝備中近一半采用外國產(chǎn)品?；A(chǔ)網(wǎng)絡(luò)中七成以上的設(shè)備來自美國思科公司，幾乎所有的超級(jí)核心節(jié)點(diǎn)、國際交換節(jié)點(diǎn)、國際匯聚節(jié)點(diǎn)和互聯(lián)互通節(jié)點(diǎn)都由思科公司掌握。

中國工程院院士沈昌祥認(rèn)為，目前中國對(duì)國外產(chǎn)品的安全隱患和風(fēng)險(xiǎn)尚不清楚。而出口中國的關(guān)鍵設(shè)備都被美國備案，美國掌握著中國重要信息系統(tǒng)使用產(chǎn)品和設(shè)備的清單，對(duì)產(chǎn)品和設(shè)備的漏洞、后門等十分清楚。

“掩耳盜鈴”的內(nèi)網(wǎng)安全

除了關(guān)鍵基礎(chǔ)設(shè)施核心技術(shù)缺失，在受訪專家看來，中國網(wǎng)絡(luò)安全更容易被忽視的隱患，來自被過度信賴的內(nèi)部網(wǎng)絡(luò)物理隔離系統(tǒng)。這個(gè)隱患，在軍隊(duì)、黨政機(jī)關(guān)、關(guān)鍵領(lǐng)域重點(diǎn)企業(yè)等領(lǐng)域更為嚴(yán)重。

內(nèi)部網(wǎng)絡(luò)系統(tǒng)的物理隔離一直被認(rèn)為是保障網(wǎng)絡(luò)和信息安全的重要手段，也是網(wǎng)絡(luò)系統(tǒng)最底層的保障措施。在傳統(tǒng)觀念中，只要不和外界網(wǎng)絡(luò)發(fā)生接觸，內(nèi)網(wǎng)隔離就能從根本上杜絕網(wǎng)絡(luò)威脅。

但《財(cái)經(jīng)國家周刊》記者發(fā)現(xiàn)，事實(shí)并非如此，中國不少重點(diǎn)行業(yè)和黨政部門的網(wǎng)絡(luò)信息安全防御被所謂的內(nèi)網(wǎng)隔離扎成了虛假安全的“竹籬笆”。

奇虎360公司曾對(duì)中國教育系統(tǒng)、航空公司、司法機(jī)構(gòu)等100多家重點(diǎn)行業(yè)關(guān)鍵企業(yè)和機(jī)關(guān)部門的內(nèi)部網(wǎng)絡(luò)進(jìn)行測(cè)試，結(jié)果網(wǎng)絡(luò)全被攻破，最長的耗時(shí)三天，最短的30分鐘。

沈昌祥牽頭進(jìn)行一項(xiàng)課題研究發(fā)現(xiàn)，中國半數(shù)以上重要信息系統(tǒng)難以抵御一般性網(wǎng)絡(luò)攻擊，利用一般性攻擊工具即可獲取大多數(shù)中央部委門戶網(wǎng)站控制權(quán)。

造成這種問題的首要原因是網(wǎng)絡(luò)安全意識(shí)淡薄。知名網(wǎng)絡(luò)安全專家杜躍進(jìn)介紹，中國重點(diǎn)企業(yè)及政府部門中，不少單位的機(jī)房管理員就是本單位的網(wǎng)絡(luò)安全負(fù)責(zé)人。

在安全意識(shí)淡薄之下，黨政部門和重點(diǎn)行業(yè)的網(wǎng)絡(luò)信息安全過度依賴物理隔離手段。啟明星辰首席戰(zhàn)略官潘柱廷指出，由于隔離網(wǎng)系統(tǒng)升級(jí)不及時(shí)，整體保護(hù)意識(shí)低，致使內(nèi)部網(wǎng)絡(luò)物理隔離事實(shí)上漏洞百出，一些單位隔離的內(nèi)部網(wǎng)絡(luò)木馬病毒橫行。

奇虎360公司的另一項(xiàng)檢測(cè)發(fā)現(xiàn)，中國100多萬個(gè)網(wǎng)站中，65%左右有漏洞，近30%是高危漏洞，“基本上你只要下功夫，這個(gè)站就能被拿下”。

根據(jù)斯諾登公布的材料，美國掌握了100多種方法可攻破物理隔離的內(nèi)部網(wǎng)絡(luò)系統(tǒng)。

如在“震網(wǎng)”事件中，伊朗的核設(shè)施雖然進(jìn)行了物理隔離，但美國仍利用高級(jí)漏洞，通過U盤擺渡等手段，入侵了內(nèi)網(wǎng)，最終破壞了鈾濃縮機(jī)。

除了網(wǎng)絡(luò)安全意識(shí)淡薄，一些地方網(wǎng)絡(luò)安全防護(hù)重設(shè)備購置、輕后期服務(wù)的做法，也加劇了中國網(wǎng)絡(luò)安全體系的脆弱性。

奇虎360公司首席技術(shù)官譚曉生介紹說，在網(wǎng)絡(luò)安全防護(hù)方面，國家雖然推行了安全等級(jí)和分級(jí)保護(hù)的眾多規(guī)定，但部門和重點(diǎn)企業(yè)單位更多用設(shè)備購置來滿足安全分級(jí)要求，安全后期服務(wù)沒有常態(tài)化。這導(dǎo)致安全防御設(shè)備使用成效低下，無法及時(shí)監(jiān)測(cè)內(nèi)部安全態(tài)勢(shì)，完成系統(tǒng)升級(jí)等服務(wù)。

網(wǎng)絡(luò)數(shù)據(jù)“大出血”

與基礎(chǔ)設(shè)施和內(nèi)網(wǎng)系統(tǒng)的技術(shù)防線漏洞相比，網(wǎng)絡(luò)數(shù)據(jù)和信息流失帶來的安全問題則更加隱蔽。

隨著云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、大數(shù)據(jù)、智能化等網(wǎng)絡(luò)信息化新興應(yīng)用持續(xù)拓展，未來中國網(wǎng)絡(luò)安全威脅將持續(xù)擴(kuò)大。這使得中國大量數(shù)據(jù)和信息單方面流向西方發(fā)達(dá)國家的問題更加嚴(yán)重，信息失衡將成為未來更為主要的安全威脅。

網(wǎng)絡(luò)信息安全企業(yè)安天實(shí)驗(yàn)室首席技術(shù)官肖新光認(rèn)為，微軟的操作系統(tǒng)、英特爾的芯片、思科的交換路由產(chǎn)品等為代表的美國IT產(chǎn)品基本統(tǒng)領(lǐng)了前二十年全球信息化進(jìn)程。

未來20年，加上谷歌、蘋果、Facebook、推特等其他美國科技企業(yè)所提供的先進(jìn)、方便的互聯(lián)網(wǎng)服務(wù)，全球網(wǎng)絡(luò)信息都向美國單方向聚合，形成了巨大的信息鏈流失風(fēng)險(xiǎn)。

以第三方信息安全服務(wù)的數(shù)據(jù)信息容災(zāi)備份領(lǐng)域?yàn)槔?，美國正在這個(gè)領(lǐng)域形成壟斷。

國家安全戰(zhàn)略研究中心信息技術(shù)與安全研究所副所長王標(biāo)說，賽門鐵克、IBM、惠普等美國企業(yè)壟斷了全球的75%的市場(chǎng)份額，也占據(jù)了中國政府80%的容災(zāi)備份市場(chǎng)份額，中國大量政府部門的網(wǎng)絡(luò)信息數(shù)據(jù)由此渠道單向流入美國。

與此同時(shí)，隨著智能手機(jī)、平板電腦的快速普及，移動(dòng)互聯(lián)網(wǎng)安全形勢(shì)不容樂觀，帶來的數(shù)據(jù)信息泄露更為突出。

肖新光說，谷歌的安卓智能手機(jī)移動(dòng)操作系統(tǒng)占中國智能手機(jī)用戶比例的60%以上。復(fù)旦大學(xué)的一份調(diào)查顯示，安卓系統(tǒng)300多款應(yīng)用軟件中，58%存在泄漏用戶隱私行為，其中25%的程序還將泄漏的信息進(jìn)行加密，使得確認(rèn)其內(nèi)容和傳送目的地非常困難。而移動(dòng)互聯(lián)網(wǎng)絡(luò)開放式接入帶來的信息泄漏威脅更為直接和廣泛。

中國大量信息數(shù)據(jù)單向流向美國，帶來的直接后果就是讓美國獲得運(yùn)用大數(shù)據(jù)分析中國政治、經(jīng)濟(jì)、社會(huì)的最新動(dòng)態(tài)和趨勢(shì)的能力。

潘柱廷說，通俗點(diǎn)描述，就是美國人比中國人還了解中國人在干什么。利用強(qiáng)悍的大數(shù)據(jù)分析，美國甚至可以比中國政府更清楚更早地知道，某地或某個(gè)中國群體在做什么、未來的想法是什么，等等。

網(wǎng)絡(luò)安全專家、Ucloud公司董事長季昕華認(rèn)為，這種信息失衡后的大數(shù)據(jù)大規(guī)模挖掘和分析結(jié)果，具有戰(zhàn)略級(jí)的政治、軍事、商業(yè)、社會(huì)信息情報(bào)價(jià)值，“在未來的網(wǎng)絡(luò)安全攻防對(duì)抗中，信息失衡將比技術(shù)失衡更可怕。”