大數據安全：“互聯網+” 的核心挑戰

文|本刊記者　姜紅德

?

大數據安全：“互聯網+” 的核心挑戰

在大數據安全挑戰面前，需要通過大數據技術來保障安全，做好新的安全支撐，也要通過相關制度來形成新的安全防護體系，防止網絡犯罪分子的攻擊和破壞。

文|本刊記者姜紅德

北京市朝陽區法院曾經審理過一起借助“靜默插件”盜取手機、計算機系統中的數據、非法控制計算機系統的案件。在這起案例中，引起重視的并不是插件破壞了用戶的手機信息系統或者非法盜取用戶的線上財富，而是在用戶沒有察覺的情況下將手機用戶位置、存儲卡信息、收發短信和通信錄等關鍵信息上傳到服務器或者網絡空間，從而達到偷取、篡改用戶數據的目的。據警方數據顯示，該“靜默插件”已經獲取了超過了2000萬條手機通信錄，造成了真正的數據安全威脅與挑戰。

DT時代的二元挑戰

阿里巴巴董事局主席馬云曾提出，互聯網正處于從IT向DT（數據技術）全面轉型的時代。作為國內最大的電子商務集團，阿里巴巴其實某種意義上是一家數據公司，是將信息流、物流和資金流整合為三駕馬車的數據創新型公司。

2015年是中國大數據發展高峰期，這一年我國政府部門頒布了大數據開放行動的戰略。2015年底，《中共中央關于制定國民經濟和社會發展第十三個五年規劃的建議》通過并提出了發展“互聯網+”、分享經濟和大數據等創新戰略，更是將大數據開放、開發提到了國家戰略高度。

可以預見，跨越2016年～2020年的“十三五”期間，以大數據、云計算為特征的網絡信息經濟將成為中國ICT行業發展方向。2015年熱門的互聯網+關鍵詞更是集中智能化、融合與連接，不僅設備與設備相連，人與設備，人與人也會相連，萬物互聯（IOE）成為重要趨勢。

在大數據獲得開放的同時，也帶來了對數據安全的隱憂。“數據安全是‘互聯網+’時代的核心挑戰，安全問題的特征是線上和線下融合在一起的，“互聯網+”時代產生的數據在存儲、使用上和傳統的方式有很大的區別，應急相應的黃金時間越來越短，信息位置越來越重要，要充分建立技術、人才和產業優勢來獲得我國在信息安全領域的優勢性地位。”阿里巴巴集團安全部技術副總裁，原國家互聯網應急中心副總工程師杜躍進博士說。

“從個人隱私安全層面看，大數據將網絡大眾帶入到開放透明的裸奔時代，數據安全若保護不利，將引發民情抱怨不滿”。中國信息安全測評中心研究員磨惟偉表示，針對大數據時代的沖擊，美英法日等主要國家已紛紛制定出相關戰略，例如制定數據開放行動計劃，加快數據立法安全保障體系建立。我國應該更加注重頂層設計發展與安全的雙向并行，責任與擔當雙重并重，進而實現大數據發展運籌帷幄。

如何看待開放與安全這樣一個二元化的挑戰，中科院大學管理學院教授呂本富表示，“大數據的開放與安全問題目前還缺乏具體的界限，到底應該開放什么數據，哪些大數據需要政府來監管，目前還沒有明確界定和區分”。不過，他堅持在跨國流動的大數據以及個人隱私相關的數據方面，政府應采取分層的方法進行監管，不可像防火墻一樣全都封閉起來。

連接下的隱患

在人人互聯，萬物互聯的時代，數據安全到底會給用戶或者企業帶來哪些隱患？

還是以“靜默插件”為例來說明，安裝了“靜默插件”的手機會和服務器自動連接，在用戶不知情的情況下，自動安裝和下載某些軟件和廣告信息，經過升級，插件還能向服務器上傳手機用戶通信錄、位置信息等。有了這些信息，第三方公司就能跟蹤分析用戶的數據和信息，包括郵件等隱私信息。

在網絡上我們經常會看到Cookie這個名詞，很多人不知道它的作用是什么。一些網絡黑客通過掌握Cookie了解用戶的上網習慣、包括瀏覽記錄、IP地址、網卡號、用戶名、密碼等信息。一位企業負責人曾公開表示，“就像一個蜘蛛網一樣，不管你出現在什么地方，我都可以抓到你。我們目前能捕捉到互聯網上5.7億的Cookie。”

經常有很多用戶想把自己的驚喜分享給群體或者朋友，家人，但是這樣的共享做法也會經常受到攻擊。卡巴斯基的調查研究表明，多數社交媒體用戶缺乏安全意識，使得用戶的數據信息很容易被獲取，一些網絡犯罪分子通過用戶的身份數據來進行金融詐騙和犯罪。特別是在社交媒體的簡介中，包含大量用戶個人信息，從生日到家庭住址再到假期計劃等。網絡罪犯根本無需深入發掘，就能夠找到可以利用的有價值信息，或者竊取身份數據信息牟利。

互聯網+時代，任何和業務相關的網絡資源、存儲資源和計算資源，也都不再限于獨立的物理設備，IT基礎架構由靜態轉為動態，傳統意義上的安全界限已經模糊。與此同時，信息安全的危險正在進一步升級，在APT、DDos、異常風險、網絡漏洞等網絡威脅下，傳統防御型、檢測型的安全防護措施已經力不從心，也無法適應新形勢下的要求。

2015年發生了多起基于互聯網+的網絡安全事件，也給2016年的網絡數據安全敲響了警鐘。如Uber公司5萬名司機的個人信息被不知名的第三方人士獲取，包括司機照片、社保資料和汽車等級號等信息。另外一個造成巨大影響的事件是國內社保數據信息泄密，數據多達5000萬條，影響范圍包括全國30多個省市。再有就是江蘇公安機構采用的海康威視視屏監控設備，被境外機構控制，形成的網絡威脅也非常大。

類似的數據安全事件會逐漸增多，黑客通過分析、篡改這些數據，會進一步造成更大的危害，這些在一些國家的工業生產、國家安全領域已經有了先例。如果不能采取有效的措施加以制止，那么后果是非常嚴重的。

建立可靠的大數據安全防護體系

“國之交在于民相親，民之親在于心相通、”，韓非子曾用這句話來形容國與民之間的緊密聯系。今天的互聯網時代同樣如此，也是網絡帶來了大數據，網絡相連同樣帶來了數據相連，大數據和互聯網之間的關系就像國與民之間的關系一樣密不可分。

在大數據安全挑戰面前，需要通過大數據技術來保障安全，做好新的安全支撐，也要通過相關制度來形成新的安全防護體系，防止網絡犯罪分子的攻擊和破壞。在已經公布的大數據開放行動計劃之中，數據開放已經是大勢所趨，數據共享是下一步政府信息化和企業信息化的重要目標。大數據的應用會越來越多，而大數據的安全也需要得到根本性保障。

“目前國內的大數據技術和應用還存在很多問題，導致了一些安全隱患還不能完全杜絕”，磨惟偉近日表示。他說，這些問題覆蓋了大數據觀念陳舊、應用落地難、核心技術不能自主可控、大數據處理方式不足和管控、管理滯后等領域，從而導致了我國在大數據安全方面目前存在更多的挑戰。

磨惟偉表示，要從根本上保障大數據信息安全，需要在制度、技術等6方面進行規劃和創新：強化數據主權捍衛保障，求同存異，向世界發出中國聲音，形成中國的網絡盟友，加強網絡空間的開放與合作；多管齊下，實施數據管理，加強頂層設計，做到職能優化，分工協作，提升大數據感知、防護、應急處置能力；打造數據開放試點，形成聯動效應；實現數據共享優勢格局，形成依法共享、整合共享、安全共享、人人共享；推動大數據成果應用轉化，實現數字中國的建設目標；加強數據安全隱私的防護，從制度、技術等多方面全面形成數據防護安全體系，進而實現數據時代公民隱私的安全構建。

時不我待，無論是在大數據技術還是制度方面，我們都需要做好準備隨時迎接挑戰。

產學研結合助力高鐵信息技術發展

2016年1月18日，北京交通大學主持召開了高鐵信息技術學術研討會，暨“高鐵信息技術工程實驗室”成立儀式。在科技部及鐵總公司相關領導的指導和支持下，由北京交通大學、中國科學院院計算技術研究所、中科曙光公司三方簽署了合作儀式，成立了高鐵信息技術工程實驗室。此次合作以高鐵信息技術需求為導向，以高鐵運維安全保障技術自主創新為動力，以相關技術產業化為目標。三方將以高鐵信息技術為合作契機，組成科研工程體，共同致力于包括車載計算機、鐵路高性能計算、大數據與云計算、軟件可靠性、傳感器、PHM理論及模型等，以及低功耗、輕量級、可移動大數據中心等基礎研究領域；包括動車組健康監測、高鐵運維支撐、危險品運輸安全監測、鐵路防災預警等技術重點應用領域；在高鐵信息技術相關標準方面開展研究合作；并在高鐵安全保障技術、軟件評測等方面形成標志性科研成果，爭取“十三五”國家項目方面取得實質性進展，為產業化奠定基礎。

2016甲骨文瞄準持續創新

盤點2015年甲骨文中國的表現，是付出與收獲的一年，通過一系列對本地市場的投入與相應舉措，正在穩健的朝向云計算首選公司目標前進，助力中國云計算產業發展。接近年底的時候，甲骨文宣布與騰訊云合作，聯合為中國客戶提供甲骨文企業級云計算服務，合作范圍全面覆蓋SaaS、PaaS和IaaS三層云服務，將使不同規模的中國企業能夠更好的借助云計算的優勢和敏捷性，實現業務轉型，打造核心競爭優勢。2016年，甲骨文將持續創新，為用戶提供業界最廣泛、最深入、最豐富的云產品和服務。計劃將SaaS市場做到第一；而在PaaS市場保持領先之后還能定義整個市場。對于其他領域也將持續保持深化與創新優化。

寄云科技發布SaaS服務平臺和PaaS平臺

1月15日，寄云科技發布了SaaS服務平臺和PaaS平臺，旨在幫助ISV 和SaaS廠商“飛越”客戶消費鴻溝。會上，寄云科技還攜手HP、管家+、通達和IBOS等發出成立SaaS聯盟的倡議，希望能聯合各環節的資源共建SaaS行業健康生態鏈，推動企業服務的快速發展和普及。

寄云SaaS服務平臺采用模塊化設計、拖拽式操作，并預置先進的響應式、自適應頁面模板，具有可視化編輯器以及多種SaaS屬性區塊，支持視頻、圖片、動畫和文字等多媒體產品展示，提供專業多軸定價、全面的訂閱管理以及靈活的結算方式。SaaS供應商無須開發和維護，注冊即可0成本擁有專業的SaaS運營門戶。除了提供專業的SaaS運營門戶功能，寄云SaaS服務平臺還打通了神州數碼、惠普等多家大型渠道經銷商應用商店通道，支持SaaS供應商自助快速構建線上渠道銷售體系，通過線上受理渠道申請、渠道審核、渠道訂單和應用管理、渠道運營統計等功能，快速將SaaS應用發布到多家渠道經銷商應用商店，直達數百萬級企業用戶桌面，解決SaaS供應商的銷售難題。寄云PaaS平臺提供應用級混合云管理和自動化運維等服務，解決企業跨平臺云管理的問題，從企業應用和云基礎設施兩個維度，為企業用戶提供云資源和企業應用的配置、監控、自動化運維和管理服務，讓企業能夠輕松部署和管理跨公有云、私有云的重要商業應用和開源應用，降低企業云落地的門檻。

第二屆中國企業互聯網大會暨2016用友伙伴大會在京召開

以“融合·生態·共享”為主題的第二屆中國企業互聯網大會在北京舉辦，2016用友伙伴大會亦同步召開。用友網絡董事長兼CEO王文京表示要“緊緊圍繞以客戶為中心，升級與伙伴的合作模式，構建全新生態圈，融合創新產品與服務，持續不斷為用戶創造價值，服務企業互聯網化，是抓住當前機遇，實現彎道超車的關鍵”。

在本次大會上，用友網絡全面展示了“軟件+”、“企業互聯網服務”與“互聯網金融”三大板塊業務及融合創新的產品與服務；發布了涵蓋機械、建材、石化、電子等12個行業30000多家企業的調研報告-中國首個《企業互聯網化指數》白皮書；推出了針對大型企業互聯網化解決方案NC6.5、成長型企業互聯網應用平臺U8+V12.5、小微企業互聯網管理軟件T+V12.1；宣布了由用友網絡、阿里巴巴、華為與騰訊等參與的“企業云生態”推進計劃。同時，用友網絡與華為簽署戰略合作協議，共同推進針對大型企業的私有云解決方案與服務。用友網絡的軟件+業務板塊除了發布的三大產品外，還展出了企業互聯網開放平臺iUAP、數字營銷、共享服務、智能制造等產品與服務。

XCTF 國際聯賽鄭州站暨賽客杯ZCTF 線上賽完美收官

XCTF聯賽鄭州站暨賽客杯ZCTF線上初賽日前完美收官。本站比賽共吸引了1493個團隊共4500多人共同參與。歷時36個小時后，最終多高校聯合的Nu1L戰隊以出色的表現獲得第一名，FlappyPig戰隊則以微弱差距獲得第二名，第三名被浙大AAA戰隊獲得（最終結果將在主辦方審核完成后正式公布）。本次ZCTF“賽客”杯網絡安全對抗賽是由河南省工業和信息化委員會等機構主辦，河南賽客信息技術有限公司承辦。本次XCTF聯賽鄭州站比賽(ZCTF)線上賽的成功舉辦，為河南地區線下賽及未來網絡安全技術對抗比賽的舉辦奠定了良好的基礎。同時ZCTF線上賽吸引了各大高校學生、網絡安全從業者以及網絡安全技術愛好者的參與。本次比賽的舉辦得到了河南省內教育界各方力量的重視，為河南高校網絡空間安全人才的培養提供了強大的推動力

山石網科S系列IPS新品構建綜合防御體系

1月28日，山石網科發布S系列入侵防御系統產品（IPS），產品包含6款型號，覆蓋從1G到10G不同等級的流量環境。

山石網科的S系列產品以多重威脅檢測和防御能力，支持底層的ARP攻擊、網絡層DoS/DDoS攻擊以及多種常見協議的異常、數百萬種病毒、海量的惡意URL和輕量級Web攻擊等一系列已知、未知威脅的檢測及防御；還可針對0Day漏洞自定義攻擊防御機制，最大化滿足用戶的防護需求同時減少人力的投入。

擁有過硬的入侵檢測率是優秀的IPS產品所必備的條件，山石網科S系列產品的入侵檢測率在全球知名測試機構NSS Labs的測試中高達到99.6%。為了更有力的防御不斷變異升級的威脅攻擊，山石網科鋪設了廣泛的威脅情報合作體系，既與微軟、CVE等權威機構實時共享漏洞庫，也同安天實驗室、亞信安全等業界知名安全廠商建立了多方位合作。

此外，山石網科S系列產品擁有多視角、豐富易用的報表功能，從CIO角 度出發的整體風險概覽，到業務系統管理員所關注的各業務系統存在的漏洞、遭受的攻擊，再到安全管理員需要掌握的威脅分布、描述、攻擊源，為方便客戶單位不 同職責的管理員從不同視角進行管理。具備全面的威脅環境感知能力也是山石網科S系列產品的突出特點，涵蓋了應用感知、用戶感知、內容感知等各個維度的感知能力，可視化程度的提升必然會帶來更精確的防御。

信息化研究