時過境遷，伴隨成長的中國互聯網信息安全走過了艱難的十個年頭，整個社會運轉也已與網絡密不可分，網絡信息安全已成為經濟得以繁榮和可持續增長的基石，信息安全與否已經影響到經濟發展以及社會的穩定，甚至國家安全。

 

時過境遷，伴隨成長的中國互聯網信息安全走過了艱難的十個年頭，整個社會運轉也已與網絡密不可分，網絡信息安全已成為經濟得以繁榮和可持續增長的基石，信息安全與否已經影響到經濟發展以及社會的穩定，甚至國家安全。要實現真正意義上的安全，就要具備相應的安全管理規範，進行自下而上的安全管理。日前，COG（信息安全專業委員會）的發起者之一——李麒（網名liwrml，綠色兵團麒麟站的創建者）接受了記者采訪，並以“專業”的角度為我們解讀了現今國內外安全形勢現狀以及對中國未來信息化安全的展望。

黑色產業鏈猖獗 黑客正麵臨失控化

“目前國內外的互聯網安全形勢可以說是非常嚴峻”，在談到國內安全現狀時李麒表示，“著名的激進黑客組織Anonymous和LuizSec最近幾個月在全世界發動了一係列網絡攻擊，包括美國參議院、IMF以及索尼等都是深受其害。在國內方麵，百合網、世紀佳緣和7天連鎖酒店的數據庫中的數據也被黑客獲取，國內某知名微博的數據庫也被黑客所竊取。”

他認為，不能用原來的眼光再去審視現在的狀態，現在很多網頁轉變為網站，首先規模大了，其次，很多互聯網企業已經由名片型轉化成社交型型且呈開放化的狀態，比如微博、開放平台等產品。

“大量來自黑色產業鏈的攻擊，他們目的在於讓整個互聯網安全體係全麵崩潰、信任體係全麵瓦解”，李麒認為，國內一部分黑客專注於搞黑色產業鏈，比如網站掛馬、DDOS攻擊等。另外國內廠商間的互相攻擊也給國內網民安全市場帶來不小的衝擊。

中國黑客出現的必然

“黑客思維模式都是逆向思維，而中國人尤其擅長，他們的思維很跳躍”，“其次，一部分人可能在現實社會中得不到尊重，得不到肯定，更感覺不到自己是強者。但在虛擬環境下，在網絡社會中就像神一樣，一些人追求的是這種感覺。”——這是黑客存在的必然條件。

李麒進一步對國內的黑客進行了分析，他認為，現今國內黑客背景歸為3類，編程代碼類——這部分人具有一定的編程能力，一般將研究方向放在利用工具、代碼分析、漏洞挖掘等，但此類人員不主動攻擊或滲透相關網站；第二種是滲透入侵類——這部分人具有一定的滲透突破能力，一般將研究方向放在滲透入侵，對各種漏洞消息敏銳，對漏洞利用靈活貫通，將“如何獲取係統的控製權”作為最終目標；而除此之外就是廣大的信息安全技術愛好者。

“但是黑客水平良莠不齊，其中能夠做到高端rootkit編寫、漏洞挖掘、深度逆向，或漏洞挖掘，比如IE、Adobe、CDA、本地提權，可以根據公布的部分漏洞細節進行代碼實現的編程代碼類高級黑客不超過30人；而能夠做到手握各種0day，各種國際出口流量，足以影響互聯網或者獨立滲透各類網站的滲透入侵類高級黑客不超過30人。”

中外信息安全差距巨大

在係統網絡領域沒有絕對的安全，道高一尺，魔高一丈，隻要網絡存在，與黑色產業鏈的鬥爭就沒有止境。他們在不斷利用漏洞時，手法越來越新奇，所以安全從業人員的任務需要隨時關注最新工具和技巧，采取相應的措施自我保護。

“實際上判斷安全風險首先明確一點，安全都是相對安全，沒有絕對安全。像斷絕物理設備這樣的安全是沒有意義的。因為這是去了本質的可能性相對的安全是指在一定的時間範圍內或者一定的周期內是安全的。做風險評估就是這個道理。在一定的周期內，信息係統或安全係統弄否達到要求的安全等級。而消除風險是不可能的。風險消除不掉而隻能轉架。例如將高風險轉換為中風險、中風險轉換為低風險、低風險轉換為可以接受的範圍。但這需要定期的做安全檢查和滲透測試，隻有雙管齊下才能保證安全性。”

在李麒看來，中外信息產業差距還是很大的，現在國外信息產業發展的還是非常不錯的，比如說賽門鐵克是做防病毒起家的，同時也在慢慢的去拓展他的產品線，圍繞自己的解決方案做體係，同時做得很規矩。“首先其產品過硬，所以不要懷疑國外的技術。其次方案可信的並且他們的競爭是合理的競爭，這點國內還差得很遠。”

COG將幫助國內黑客實現轉型

黑客一詞，源於英文Hacker，原指熱心於計算機技術，水平高超的電腦專家，尤其是程序設計人員。但到了今天，黑客一詞已被用於泛指那些專門利用電腦搞破壞或惡作劇的家夥。對這些人的正確英文叫法是Cracker，有人翻譯成“駭客”。而黑客和駭客根本的區別是：黑客們建設，駭客們破壞。黑客有著自己的文化，互聯網因他們的存在而健康發展，網絡安全的範疇也因而成為了黑客們義不容辭的責任。

“歸根結底還是利益在使然。但國內在這方麵相關的立法還是不夠嚴格，在國外互聯網犯罪是跟刑法是劃等號的，虛擬世界的財產就是現實世界的財產。國內前段時間推出了一係列法律規定，比如製造黑客工具、散播黑客工具是要定罪的，新的司法條例對於黑客計算機犯罪也有特別有規定，這是一個進步，但仍舊不夠。”

在他看來，根本的原因在於國內的相關部門不重視安全，一些安全人員也得不到重視。“安全技術如果沒有國家扶持是得不到發展的，整個信任體係將會出大的問題。例如一些比較機密的東西不能夠讓外資企業來做，如果國外的公司都占領中國市場，民族企業更無法複興，這是一個永恒不變的話題，此外，如果大家都搞黑色產業鏈，中國的安全肯定無法發展，這是一個非常嚴峻現實問題。”

作為COG的發起者之一，李麒唿籲，國內所有的安全從業人員應該將安全問題重視起來，像蝴蝶效應一樣，形成連鎖反應。

“COG將專注於網絡信息安全領域的技術研究，積極麵對全球範圍內各類安全事件，通過對安全事件的評估、分析、調查，提供行之有效的對策和建議。通過定期發布相關安全事件報告，全麵提升中國的網絡信息安全水平，為打造安全的中國互聯網環境而努力。同時，COG還將通過培養、資助、合作等多種方式協助有誌於在信息安全領域發展的技術團隊及個人，對信息安全學術領域的優秀團隊和對信息安全工作有傑出貢獻的個人提供資助。”

他表示，相關的國家單位部委不僅應該重視安全還需將整個安全產業進行規整。不要再出現惡意競爭的局麵，隻有安全人員被重視起來整個安全產業才會良性的發展。“希望每個安全從業人員都能夠自律。這樣去倡導技術的人會越來越多，而專注技術於創新就可以提高信息安全產業，產業界也就自然覺醒。”