975
建設投入嚴重不足 構建全新網絡安全體係迫在眉睫
日前，由工業和信息化部、國家互聯網信息辦公室、國家發展和改革委員會等部門指導，中國互聯網協會主辦的2017中國互聯網大會在北京國家會議中心舉行。
工業和信息化部部長苗圩表示，互聯網要和實體經濟深度融合，要堅持發展與安全並重，不斷突破網絡安全核心技術，共同應對網絡安全問題。
對於如何保護和治理網絡安全，360企業安全集團董事長齊向東在講話中指出，我國網絡安全建設的投入與美國相差15倍，應盡快縮小這方麵的差距，從四個方麵建設全新的網絡安全體係。
網絡安全危機日漸加碼
當前，國內互聯網發展迅勐，越來越多的企業、政府已經使用智能化操作係統，人們在享受互聯網發展帶來的便利的同時，卻忽視了網絡安全的重要性。
以勒索病毒為例，今年5月爆發的“永恒之藍”勒索病毒，在短時間內攻擊了150多個國家的眾多政府、企業及公共組織。並且在短短一個月後，新一輪勒索病毒變種Petya又再次襲擊了全球多國。
齊向東認為，Petya勒索病毒相比於“永恒之藍”呈現出傳播速度更快、破壞性更強、目的性更複雜等多個特點。在他看來，以往的網絡攻擊，大部分人隻是“圍觀者”，現在，不管你的設備有沒有受到攻擊，都已經被迫成為了“受害者”。
比如，勒索病毒讓很多醫院不能正常出診，在英國，有很多病人不能及時進行手術，不得不轉移到其他醫院;我國部分加油站出現斷網，用戶不能刷卡和網上支付;部分政府部門，包括出入境口岸，公共服務機關，因為要清理、加固計算機係統，而掛出了暫停服務的通知。
據悉，前段時間出現的勒索病毒新變種利用“管理員共享”功能在內網自動滲透，每10分鍾就能感染5000餘台電腦，不到24小時內便致使多個歐洲國家“淪陷”。
國內網絡安全建設投入與美國相差15倍
齊向東認為，一直以來，我國在網絡建設上存在著重業務應用、輕網絡安全的現象。目前，我國網絡安全建設的投入與美國相差15倍，應盡快補齊。
數據顯示，我國整體信息化建設經費的比例不足1%，與美國的15%、歐洲的10%相比存在巨大差距，在網絡安全建設方麵的投入可謂十分“慘淡”。
齊向東表示，更令人憂慮的是，中國是全球互聯網用戶數量最大的國家，網絡安全一旦出現問題，其造成的危害可能遠超想象。
調查發現，國內企業和機構用戶在網絡安全方麵的投入幾近“吝嗇”。部分單位所選用的安全產品已經形同虛設，就算應用了安全防護產品，也幾乎不對其進行升級及漏洞修護。由於產品服務期未滿，為避免浪費資金，幾乎所有機構選擇不更新，這種現象在多個行業普遍存在。
據360的抽樣統計數據顯示，超過一半的單位在一年內未對係統進行安全評估，這種安全工作的缺失導致了勒索病毒的爆發。齊向東表示，政府和企業機構有必要改變網絡安全防護觀念，與專業化的網絡安全公司合作建立新型的安全體係。齊向東對記者表示，從破環性上來看，遍布各個行業，但大量受影響的設備都屬於關鍵基礎設施，勒索病毒通過感染磁盤引導區，導致電腦無法正常啟動，並竊取用戶名和密碼，上傳至黑客的服務器。
“在操作係統等基礎技術體係長期被歐美壟斷的情況下，國產終端安全軟件的發展未能引起足夠重視，這也將國內互聯網置於隨時可能爆發的危機之中。”齊向東說。
建立全新網絡安全體係
對於如何保護和治理網絡安全?在中國互聯網大會網絡安全論壇上，互聯網安全專家和企業負責人分享了自己的經驗。
齊向東在演講中提出，可以從4個方麵來應對，建立全新的網絡安全體係。第一，以網絡安全態勢感知與應急響應為核心，自動感知預警，提高應急響應的速度和質量;第二，建立終端、網絡、服務器三方聯動的防護體係;第三，發揮人的作用，建立防護係統與安全人員應急處置相結合的體係;第四，改變網絡安全防護觀念，與專業化的網絡安全公司合作建立新型的安全體係等。
國家互聯網應急中心網絡安全處處長嚴寒冰說，物聯網所帶來的安全問題難以防護，一旦出現漏洞修補更困難。嚴寒冰認為，保護網絡安全需要改變“全盤互聯化”的固化思維，做好隔離，構建網絡安全防護的縱深防護體係。
360安全監測與響應中心負責人趙晉龍提到，企業在麵對網絡安全侵擾時，缺乏有效的應急手段和技術支撐。他建議，企業保護自身網絡安全，應從被動防禦轉向積極防禦，在終端和網絡流量方麵進行檢測控製。而國家應重在獲取病毒情報，為企業準確預警，並反製進攻。
“防範網絡安全，要從過去‘頭痛醫頭腳痛醫腳’的方式過渡到事前隔離、實時檢測的階段，要從過去的IT安全向網絡空間安全演進，並形成頂層設計;要從疊加進化的角度，評估自身階段性，開展安全規劃。也要從數據視角規劃不同的安全防護體係，並形成協同聯動。”趙晉龍說。
目前，國內很多企事業單位，即便采購了態勢感知等最先進的全套網絡安全產品，並且建立了完善的安全防護體係，也未必能勝任企業的網絡安全日常運維與管理工作，主要原因在於安全的專業性太強，對網絡對抗及實戰經驗要求極高。
因此，最有效的辦法是和外部安全服務公司長期合作，充分利用他們體係化的能力和服務，與自身的安全運維能力結合，建立起完整有效的安全能力。
本文轉自d1net（轉載）
最後更新：2017-08-13 22:37:41