淺析軍工企業網絡安全工作的風險與對策

◎北京航天情報與信息研究所 辜璐 王耀 張巖 王雪麗

一、概述

習近平總書記指出：“沒有網絡安全就沒有國家安全，就沒有經濟社會穩定運行，廣大人民群眾利益也難以得到保障”。隨著信息技術向生產、生活、政治、國防、社會經濟等領域的快速滲透，網絡安全已成為事關國家長治久安和社會經濟發展的重大戰略問題，進入大安全時代。近年來，全球范圍網絡攻擊事件的頻度和強度呈現持續上升勢頭，網絡戰成為軍事斗爭的新形態，各國圍繞網絡戰紛紛展開激烈較量和爭奪。2010年，“震網（Stuxnet）”病毒感染了伊朗核設施在內的全球四萬五千多個網絡系統，病毒作為網絡武器所帶來的強大破壞性震驚了世界；2015年，黑客將可遠程訪問的BlackEnergy惡意軟件植入烏克蘭電力系統，系統故障造成西部地區大規模停電；2019年，defcon安全大會上白帽黑客成功攻破美國現役主力戰斗機F15的飛行數據采集系統，發現系統存在多個嚴重漏洞。依據我國國家互聯網應急中心發布的網絡安全態勢報告,2019年某黑客組織對我國政府網站發起了千余次DDos攻擊, 針對我國黨政機關、關鍵信息基礎設施發動攻擊的組織性、目的性更加明顯，并逐漸由黨政機關、科研院所向各重要行業領域滲透。未來，隨著物聯網、人工智能、大數據等新一代信息技術不斷發展，網絡攻擊將加速向物理空間滲透與融合，網絡空間安全形勢將更加復雜而嚴峻。

隨著軍工企業多年來持續推進信息化建設，數字化應用已經滲透到系統設計、研發、試驗、生產、維修等武器裝備制造的各個環節，積累形成了大量科研生產數據與信息。2020年全球新冠疫情爆發，加速了各行各業的數字化轉型進程，“上云用數賦智”成為推動企業創新發展的新動能。在當前全球網絡安全威脅和風險日益突出的背景下，如何提升軍工企業網絡安全防護能力筑牢網絡安全防護屏障，實現“網絡安全”和“信息化”兩翼齊飛、雙輪驅動的發展戰略，是新時期賦予軍工企業的要求和使命。

二、軍工企業網絡安全工作面臨的風險分析

近年來，軍工企業網絡安全重視程度逐步提升，網絡數據安全防護能力顯著增強。然而在當前網絡空間安全態勢下，軍工企業面臨著攻擊性更強、破壞性更大的網絡威脅風險，對其具備的網絡防范能力提出更高的要求。當前，針對軍工企業的網絡攻擊主要特點有：（1）受到經濟和政治因素的影響，攻擊者逐漸形成具有一定實力的規模組織，并擁有先進的技術手段；（2）軍工企業內部數據網絡與外部網絡采用物理隔離模式，使得一些通用技術攻擊手段難以滲透，網絡攻擊行為開始呈現人體工學化、周邊化、物聯網特征化等多樣化特點；（3）鑒于針對物理隔離的內網攻擊難度大，外部網絡攻擊的重點開始轉向軍工企業的互聯網應用和APP系統，對獲取的片段信息進行綜合研判加以分析利用。在當前網絡安全形勢下，軍工企業網絡安全工作面臨的主要風險以下幾個方面。

（一）人員風險

人是網絡安全工作的主體，也是網絡安全威脅的主要來源。近年來，由于內部人員的惡意或疏忽導致網絡安全事件不斷發生。例如，2017年某企業技術工程師在為廣西移動進行擴容割接時，不小心將HSS設備里的用戶數據進行了格式化刪除，導致丟失近80萬用戶數據；2020年，中國最大的微信公眾智能服務平臺微盟，其核心運維人員對線上生產環境進行了惡意刪除，造成其市值蒸發了近26億元。此外，隨著軍工企業網絡規模的持續增長，現有的網絡安全人才隊伍的數量和梯隊結構存在不足，承擔事務性的日常操作技術人員占比大，缺乏防護體系規劃與設計的高端技術人才。

（二）數據泄露風險

隨著大數據時代的到來，數據成為軍工企業的重要資產，也是網絡安全防護的重要防護對象。受限于技術發展水平，仍有部分軍工企業數據安全防護體系仍沿用傳統思路與方法，將防火墻、病毒防護、入侵檢測等安全產品進行簡單的堆砌，以邊界、策略、規則為主的靜態架構對于新型的惡意攻擊和威脅的防護能力存在不足，難以及時發現網絡攻擊并進一步深入分析判斷真實企圖。此外，部分業務系統技術老舊且存在數據安全保護設計不足等問題，無法快速識別來自內部和外部的非法數據獲取行為。

（三）新技術漏洞風險

云計算、大數據、人工智能等新興技術的快速發展，使企業網絡安全面臨著更復雜的局面，各種新的軟硬件漏洞推陳出新、層出不窮。據騰訊發布的企業安全威脅報告，2019年平均每周有40%的企業受到病毒攻擊，近80%的企業終端還存在著未修復的高危漏洞。高危漏洞極易被黑客、木馬、病毒等入侵，使攻擊者能夠在未授權的情況下訪問或破壞系統，導致系統崩潰或重要信息被破壞、盜取。當前，軍工企業應用新一代信息技術陸續推出創新應用，同時針對現有存量系統開展新架構升級改造，正在面臨著新技術應用帶來的漏洞風險。

三、工作措施及建議

（一）注重員工安全管理，完善人才培養機制

網絡空間的競爭，歸根結底是人才競爭。軍工企業要進一步加強網絡安全體系建設，須在全員范圍內樹立正確的網絡安全觀，建立貫穿從錄用到離崗全流程的安全教育和監督審查，實現網絡安全工作人員保密知識和專業技能教育培訓100%全覆蓋。持續打造內部人才培養機制，構造自身“造血”系統，培養能夠進行安全建設和頂層規劃的高水平人才，加強網絡安全模型、密碼學、身份認證、計算機病毒及惡意軟件防治、網絡攻防技術等專業技術人才培養。組織網絡攻防活動，通過內部攻防對抗和聯合外部攻防演練等方式提升工作人員實戰能力與實踐水平。

（二）強化全局頂層設計，構筑主動防御體系

嚴格落實網絡安全標準要求，堅持從靜態防御向主動防御體系的轉變，構建“進不去、拿不到、看不懂、改不了、癱不成、賴不掉”的安全防御體系。具體包括：首先是基礎防護到位、安全措施有效，實現對入侵和惡意代碼的防護以及對網絡攻擊行為的實時監控；其次是聯動防御提升，實現各類安全產品之間的集成聯動，杜絕防護“孤島”，實現全網安全防護能力的調度與協作；最后是全局監管防控，實現針對管理人員操作行為的全面審計以及終端網絡用戶的身份鑒別，可準確識別并有效阻斷非法設備接入和操作。通過基礎建設、聯動防御和統籌監管三個層次建設，全方位提升軍工企業網絡安全風險的感知能力與預警能力，及時發現存在的問題和薄弱環節，在異常行為發現第一時間進行精準定位和快速溯源。

（三）加強漏洞安全防護，定期組織安全演練

隨著新修訂的信息安全等級保護等標準的發布，標志著防護對象從以往傳統的信息系統，逐步覆蓋到云計算、移動互聯、物聯網、工業控制系統等新的對象。軍工企業應進一步加強標準防護規范的學習，關注新的技術變化所帶來新的安全防護要求。要建立高效的漏洞信息跟蹤機制，及時更新最新補丁以保證設備、硬件、軟件的安全性，降低被惡意攻擊的可能性。定期組織相關工作人員進行網絡安全演練，以釣魚網頁、釣魚郵件等模擬攻擊手段來增強員工的安全意識，確保全方位、無死角地推進安全管理和防護建設。

（四）重視數據安全防護，建立全生命周期防護機制

軍工企業要樹立以數據為核心的安全防護意識，通過管理手段和技術措施將安全滲入到數據采集、傳輸、存儲、應用和銷毀的各個環節，建立覆蓋數據全生命周期的數據安全防護機制。建立企業數據分類分級管理，按照不同類別建立相應加密、脫敏、訪問和審計策略，促進形成更加細化、精準和高效的防護能力。通過計算機密碼學、數字簽名等技術實現數據在存儲和傳輸過程的保密性和不可篡改，采取身份認證、數據庫審計、加密網關等措施阻斷非授權人員對數據資源的非法訪問，確保軍工企業數據安全實現全程可控。

四、總結

在網絡空間戰爭日益激烈的今天，軍工企業的關鍵信息基礎設施、重要數據都面臨著新的風險與挑戰。網絡安全關乎著軍工企業的生存發展與國家的安全穩定，軍工企業只有將網絡安全意識根植于企業文化中，打造內外共同防御的安全防護體系，才能更好地適應不斷變化的網絡安全攻防形勢，筑牢軍工企業網絡安全防護之墻。