• 主题
高级搜索  >
历史搜索 清空历史
首页>中文会议>其他>第五届中国互联网安全大会
第五届中国互联网安全大会

第五届中国互联网安全大会

  • 召开年：2017
  • 召开地：北京
  • 出版时间： 2017-06-13

主办单位：;中国互联网协会;;360互联网安全公司;;

会议文集：第五届中国互联网安全大会 论文集

会议论文

热门论文

全部论文

全选（0）
  • 摘要：最近几年,随着互联网的发展,整个世界正在逐渐发生变化.2015年12月3日,乌克兰伊万诺—弗兰科夫斯克地区的供电系统遭到黑客攻击,导致大规模停电事故的爆发.2017年5月12日,勒索病毒爆发.黑客利用"永恒之蓝"实施网络攻击.100多个国家和地区超过10万台电脑遭到勒索病毒的攻击,造成约80亿美元的损失,并且这次网络攻击已经影响到金融、能源、医疗等众多行业，在大安全时代，没有攻不破的网络。现在一切皆可编程，很多东西的运行都需要软件。但是软件是人写的，人都会犯错误，平均1 500行代码就可能会有一个错误，这个错误就是漏洞。智能手机里的代码，能以千万行计算，而城市地铁系统里面的代码能达上亿行，这里面可能会有无数的漏洞。有漏洞就会被人利用，所以没有攻不破的网络，大安全时代网络威胁也在变大。万物互联时代，摄像头的攻击、家用电视的攻击都会涉及个人隐私，大安全时代有一个巨大的挑战——网络犯罪。未来大多数犯罪都可能借助网络实施。2017年5月12日的“永恒之蓝”勒索病毒事件让大家知道了什么是勒索病毒。勒索病毒已经成为一种商业模式。过去黑客入侵电脑并不能直接赚钱，只能把电脑变成被控制的主机来攻击别人的电脑。而现在，黑客把电脑关键数据进行加密，很多人不得不支付，大安全时代，要有大格局。与传统战争不一样，网络战的界限很难被区分，它是国家、社会、科研力量之间的冲撞，大安全时代人是最重要的因素。因为安全方面最脆弱的主体就是人，所有的攻击都是从人开始的。“永恒之蓝”勒索病毒让不少内网隔离的单位受到感染，归根结底还是人出了问题。
  • 摘要：随着网络技术的快速发展和网络覆盖率的快速提高，软件漏洞、黑客入侵、病毒木马、恶意攻击等问题频频爆出，这些问题对全球经济发展和各国社会稳定带来了极大冲击。网络空间安全建设刻不容缓，本文从传统信息系统入手，分析了网络空间特征及其安全框架，旨在对网络空间安全体系建设以及关键技术研究提供一定参考。
  • 摘要：随着信息社会的崛起和全球化的日益深入,信息技术和远程通信技术被广泛应用于经济、社会以及政治事务等各方面,由此在催生所谓的"新经济"样态的同时,也为新的犯罪类型——网络犯罪的出现提供了现实基础.中国谈及新型网络犯罪防治有着更为丰富的社会内涵和更为深刻的政策底蕴。基于建设网络强国的战略安排，国家不仅在产业升级和经济发展的层面，而且在民众福祉等层面考量网络犯罪防治的必要性与紧迫性；不仅重视事后的严厉打击，而且重视事前与事中的防范；不仅注重国内制度架构的完善，而且注重国际规范体系的建设。
  • 摘要：网络攻击、勒索软件等网络威胁愈演愈烈,共享网络漏洞等的网络安全信息成为各国网络安全立法的重要议题.近期美国通过的《网络安全信息共享法》(CISA)和欧盟的《网络和信息系统安全指令》都对网络安全信息有较为全面的规定.《中华人民共和国网络安全法》第39条规定,把促进"网络安全信息共享"作为关键信息基础设施保护的重要措施,第25条和第51条规定了网络安全事件报告和通报的相关事宜.公众对政府部门收集私主体所掌握网络安全信息的担忧是网络安全信息共享立法的另一难点问题。这些担忧主要是担心政府部门获得这些信息后侵害私主体对这些信息享有的合法权益或者利用这些信息对私主体造成不利，政府可做出如下针对性规定。
  • 摘要：目前,中美两国是少数通过立法建立国家网络安全审查制度的国家,在全球范围内具有显著的示范意义.国家网络安全审查制度肇始于美国2014年《合并与持续拨款法案》1第515条款,其后,美国商务部(DOC)相继发布了2015-08采购备忘录和《信息技术安全清单》(IT security checklist)2,重申并细化了515条款中的审查要求,并将其作为联邦机构3采购信息技术的前置条件.中国则通过2016年颁布的《中华人民共和国网络安全法》和2017年颁布的《网络产品和服务安全审查办法(试行)》初步建立了国家网络安全审查的制度框架,并同样将其作为关键信息基础设施采购网络产品和服务的必要环节.对比中美两国已建立的国家网络安全审查制度,二者在制度功能、制度结构和制度内容方面具有高度一致性.
  • 摘要：在中国的立法体系中,存在一种"促进型"法律,如《中华人民共和国中小企业促进法》《中华人民共和国电影产业促进法》《中华人民共和国循环经济促进法》等.产业政策立法常常表现为"促进型"法律,网络安全产业政策立法也是如此,初步称之为"网络安全产业促进法".网络安全产业促进立法既可以散见于相关法律法规之中,也可以被单独制定,但从中国面临的严峻网络安全形势和网络安全产业发展的迫切需求来看,建议制定网络安全产业促进法，土地、投资、税收、金融支持。在网络安全产业促进法中应设计土地供应、投资鼓励、税收优惠、融资环境等方面的具体规则，通过政策倾斜的方式实现网络安全产业的优先发展和重点发展，网络安全技术创新和标准制定。网络安全产业促进法可以通过鼓励风投向网络安全技术领域转移，鼓励网络安全企业不断加大研发投入，促进网络安全技术攻关、成果转化、应用推广。同时，国家应支持网络安全企业参与行业标准、国家标准甚至国际标准的制定工作，网络安全龙头企业培育。当前我国专注于信息安全的主流厂商营业收入不足百亿，大部分企业在亿元级别以下，利润率微薄。网络安全产业促进法应帮助改善企业生存环境、提升产业活力，助力打造引领安全产业发展的龙头企业，中小网络安全企业扶持。在网络安全产业促进法中，一方面可以制定通过扶持中小型网络安全企业创新成长，推动网络安全产业发展的制度；另一方面可以制定通过网络安全龙头企业带动产业发展和中小企业成长，增强国内企业在与国外安全厂商对抗中的竞争力的制度。
  • 摘要：互联网安全的重大变化过去五年,网络空间安全备受关注,已经上升到了国家安全的高度."美国大选""乌克兰电力"等一系列事件证明了网络空间安全与国家安全之间的重要关系,"没有网络安全就没有国家安全".通过这些重大网络安全事件,越来越多的人认识到了网络空间安全不仅关系到自己日常生活,更关系国家的安全，在未来的五年里，网络空间安全的需求毫无疑问会持续扩张；攻击手段也会快速演变；新的防御手段也会不断地被发明出来；产业会需要更加快速的技术和思路创新。安全产业是一个需要自我救赎的行业，要考虑自身的产业链条重构。产业内的从业者之间应通过协作来提高服务专业水平，降低服务成本。此外，安全教育将是一个巨大的产业机会，未来五年，网络空间工作面临的挑战非常大，我们的产业生存环境依然会比较严峻，需要在技术创新、模式创新、合作创新上开放心态，砥砺奋进。
  • 摘要：随着IT产业和信息化的深入发展,网络安全日益成为国家安全的重要组成部分.当前,大部分国家都将网络安全提升到国家战略层面去认识、规划和管理,甚至将其列为传统安全威胁的一个方面.在构建网络安全体系方面,企业更应积极搭建新平台,构建新的思维体系,倡导技术创新,联合驱动共同发展,打造网络安全新生态，在信息科学技术理论的支撑和指导下，信息科学技术得到了突飞猛进的发展，同时，信息化产业也飞速发展。信息作为时下最重要的战略资源，具有重要的作用和意义。然而哪里有信息哪里就存在信息安全问题。当前，一方面信息科学技术达到空前繁荣；另一方面危害信息安全的事件也频频发生，安全漏洞、服务器被攻击、数据泄露、网络植入木马等攻击手段层出不穷，安全企业应联合驱动，共同维护市场秩序。健康的市场竞争环境，是确保一个产业健康、有序发展的前提条件和重要保证。这需要每一个市场参与者共同去努力，恪守竞争规则，维护行业规范。此外，面对繁多的信息安全产品，以及成千上万的产品细分和行业需求，企业需要铸造优质的产业生态圈。未来的信息安全企业不应该是孤军奋战，而是要通过不断融合、协作的方式，以开放的理念思维迎接不断变化的市场，共同创建立体化网络空间，驱动信息安全持续发展，促进百花齐放百家争鸣的形势出现。业内龙头企业应该强强联合，达成持续有效的合作，共同打造信息安全行业生态产业链，安全企业应促进技术创新，保障网络安全。技术创新是产业发展的根本。提高行业整体技术水平，是行业发展的核心。安全企业只有抓住技术的制高点，才能彻底摆脱自身对国外厂商的依赖。同时，安全企业要勇于创新，消化吸收国外的先进技术和理念，实现自身完全自主可控，才能取得事半功倍的效果。
  • 摘要：网络空间安全是海陆空太空以外的第五维度安全,是国家安全的重要组成部分.网络空间安全同时也渗透到海陆空太空的各个安全维度,并冲击着传统的安全维度.在陆地上,"平安城市"中的摄像头和各种传感器的安全事件日益严峻;在海洋安全中,光缆、雷达安全不容忽视;在天空中,各种无线网络的安全需要被保障;在太空中,中国2016年8月发射的"墨子号"量子科学实验卫星将安全应用带上了太空.由此可见,安全问题已经突破了空间限制,覆盖了各个物理维度.对于攻击防御来说，需要考虑的是整个攻击面的全过程，无论踩点、投送、漏洞利用、木马植入还是主机失陷都是不可被忽视的过程节点。对于整个Killchain全过程，单一产品无法做到完全防御。对全过程的防御需要从物理安全、网络安全、主机安全、系统安全、云端安全、数据安全等各维度监控，通过厂商之间、安全设备之间的数据共享和情报共享来实现事前感知、事中防御以及事后追踪取证，以此形成良好的安全协同环境。这种安全协同环境需要厂家之间的设备协同与数据共享，最终形成态势感知以及全息、可控的安全数据的生成。此环境还要特别重视人的因素。“人为度量”包含了几个含义：人可能是威胁的度量，也可能是预防威胁的度量。技术上可以通过UEBA技术（用户实体行为分析），如图3所示，将人的行为以及实体的操作过程进行结合来界定人的风险，还可以利用机器学习和大数据分析去建立风险基线，引入风险研判机制。以往考虑的威胁是黑客、Botnet等外部攻击，但实际上威胁也有可能来自于内部的风险或内部的人为操作。
  • 摘要：互联网的变化日新月异,新格局下的攻防态势对重要信息系统的安全保护带来了新的挑战.等级保护2.0引领时代步伐,在之前系统的基础上进行了全新升级,对云计算、移动互联、物联网、工业控制等重要系统提出了新要求,其更完善、更具体、更符合时代要求.如何构建符合等级保护2.0要求的新能力,是摆在重要信息系统保护者面前的新课题.相关部门应以积极防御的思想落实等级保护2.0要求，基于全流量进行深度威胁分析，基于大数据检测内外部安全威胁，基于威胁情报检测终端失陷，提升业务应用安全，主动发现云计算环境下的云端业务安全，闭环监控并分析工控系统数据流安全，建设创新型的安全保护和运营能力，完美融合等级保护合规要求与核心安全能力的建设，为等级保护2.0时代提供良好的技术支撑。
  • 摘要：作为分布式存储、共识机制、加密算法等技术在互联网时代的创新应用模式，区块链正处在POC测试向应用示范、行业推广等转折的关键时期，其在容错性、隐私保护、业务合规陛监管等方面还面临不少挑战。本文概述了区块链在安全方面可能面临的技术风险和管理风险，并在测试评价、能力建设等方面对此提出了对策建议。作为一项新兴技术，区块链在政务管理、医疗卫生、智能制造、媒体发布和供应链管理等领域都有着广阔的应用前景。行业主管部门、研发企业、应用单位、第三方服务机构等应共同努力，共建区块链良性发展生态，共同推动区块链健康有序发展。
  • 摘要：随着信息技术的广泛应用,网络空间已经成为人类社会运行不可或缺的重要领域,与传统的陆海空物理疆域相比较,其网络空间覆盖面更广,可按物理域、逻辑域、认知域和社会域4个层面来描述并且具备一体化的特性.支撑网络空间运行的关键是信息基础设施,但其面临的网络安全形势越来越复杂,传统的安全保障模式已经穷于应对,所以必须创新模式,开展整体保障,才能有效支撑"网络强国"战略的顺利实施.在《中华人民共和国网络安全法》、网络安全等级保护制度等法律法规的指引下，整体保障服务为关键信息基础设施提供坚实的网络信息安全保障，可实现重要信息系统持续健康运行和数据资产的可靠保护，统筹设计，重点突出，逐步实现全面安全，达到攻击可防御、行为可检测、攻击可溯源、威胁可预警、事件可处置等网络安全工作目标，可实现企业网络安全从单一防护向体系化防护、从被动防御向主动防御、从局部静态防御向整体动态防御的根本性转变。
  • 摘要：网络安全社会意识普及工作应积极借鉴国际上的先进实践经验，同时结合我国国情及社会发展特点，逐步建立具有中国特色的网络安全社会意识普及的体系与方法，这是解决问题的基本思路。网络安全社会意识的普及是一个复杂、长期持续的工程，需要建立多层次、科学高效的宣传普及体系及方法，才能有效推进网络空间及现实社会的社会意识形态正向发展。
  • 摘要：纵观当今世界,随着全球经济一体化趋势的迅猛发展,全球性网络空间安全问题与日俱增.鉴于此,中国网络安全企业必须顺应和理解信息时代全球化网络安全治理的方向和共识,通过创新驱动发展,实施"走出去"的国际化战略,深刻践行《中华人民共和国网络安全法》和习近平总书记讲话的重要指示精神,树立正确的网络安全观,以建设网络强国为己任,并由此探索出具有中国特色的"中国方案",让中国网络安全企业跻身世界前列,彰显强大的核心竞争力，中国网络安全企业“走出去”面向世界，是关系到全面提升中国网络安全整体质量和综合科技实力的必要条件。目前，中国的网络安全市场环境处于爆发初期，从个体角度来看，囿于有限的市场容量，国内各安全厂商面临巨大的生存压力和残酷的竞争态势，加之缺乏足够的力量全方位地投入网络安全各领域的创新研发，尚未形成整体的优势。放眼国际网络安全蓝海市场，则潜力无穷，而现实情况却是，中国网络安全企业在国际上无论是产品体量（体系）、技术还是服务均缺乏明显的竞争力和壁垒。因此，中国安全企业如何“走出去”，在国际上立于一席，甚至引领方向和趋势，道路漫长而艰辛，但是前途很是光明。谋划国际化道路，要具备国际化基因。例如，通过在全世界建立若干个海外分支机构作为桥头堡，将网络安全最新潮流趋势和新技术、新格局、新视野新需求及时反馈，以此作为创新研发的依据，推出创新型的产品与服务。
  • 摘要：深度思考交通网络安全问题，其本质就是开放性和安全性之间的矛盾。需要的是全生命周期管理和主动防御式的管理。网络安全的概念已经不仅是网络安全本身，也涉及可靠度、精准度，灾害、事件、风险预警都可以归纳到网络安全的范畴，围绕交通运输大数据和网络安全，产学研各方面都在协同努力，中国交通通信信息中心、中国交通报、同济大学交通运输学院和360企业安全集团，联合组建了交通运输大数据系统与安全实验室，这是一个协同性研发平台，意在通过集聚多方科研力量、技术资源和人才队伍，更好地解决交通网络安全问题。交通大数据实验室将在行业网络安全风险评估、网络安全风险态势感知与预警、大数据全生命安全周期安全评价和防护、交通基础设施和运载工具智能化安全保障、区块链安全认证技术、舆情监测等方面开展研发和应用推广。
  • 摘要：大数据时代给了前所未有的数据集中及处理能力.可以把文档、照片、视频和记录等全部放在云端,享受随时随地都可以同步和查看的便捷性;企业则可以将生产、运营、营销和客户等各个环节数字化,还可以收集全行业的信息,通过移动终端可以轻松地获得企业生产经营的各种报表和趋势预测;政府的服务和社会化管理则可以通过互联网到达每家每户和每个企业.然而在如此强大和方便的技术背后,安全和隐私问题正在日益凸显.对于隐私保护的效果可以用“披露风险”来度量。“披露风险”表示攻击者根据所发布的数据和其他相关的背景知识，能够披露隐私的概率。那么隐私保护的目的就是尽可能地降低“披露风险”。隐私数据中有的可以显性标识一个人，比如姓名、身份证号码等，这些信息一般就不予发布;有的信息虽然不能单独标识一个人，但整合起来就能泄露一个人的身份。
  • 摘要：智慧城市建设是一个城市系统互联互通的庞大工程,随着智慧城市建设的推进,信息安全问题也随之而来.城市高度智能化、网络化、泛在化和开放化,使得智慧城市的网络环境更加复杂,其信息安全比传统城市的更严峻,更具挑战性.智慧城市需要建立能够适应开放、共享、协作的新型信息安全防护体系,通过强化安全意识、推进信息安全立法、加强安全组织管理和建设可靠网络安全保护系统等多重措施,来应对智慧城市建设新形势带来的新挑战,支撑城市各信息系统的安全运行,从而使智慧城市真正发挥其巨大价值.智慧城市是城市化和信息化的有机融合，做好其安全防务是对企业信息、公民隐私、国家机密的保护的核心需求，智慧城市的各类应用也离不开系统安全的保障。本文对智慧城市安全威胁及防护策略做了初步的分析和设计，希望引起社会各方对智慧城市系统安全的更多关注和资源投入，共同推进我国安全、可靠、高效、和谐的新型智慧城市的建设发展。
  • 摘要：提到汽车安全大家的第一印象可能会是刹车、安全气囊、预紧式安全带等安全装置,这些安全功能被称为Safety Features,但是随着自动驾驶和网联汽车如火如荼地发展,汽车安全远远不止这些方面,攻击案例表明黑客有能力远程攻击汽车,从而威胁到驾乘人员的生命安全.本文将全方位地介绍现代汽车面临的黑客攻击威胁,即Security Threats.会介绍针对汽车攻击的发展历程、汽车防盗系统安全、汽车接入互联网后面临的网络攻击威胁、即将大规模应用的V2X(Vehicle to x,车与X通信)通信的安全,以及自动驾驶汽车面临的安全威胁等.由于汽车安全涉及的内容非常广泛,而本文篇幅有限,所以本文在提到具体漏洞的时候只会简短地描述并附上参考资料,感兴趣的读者可以查看参考资料详细了解本文提到的漏洞案例的细节.
  • 摘要：对整个信息系统的通信网络、区域边界、计算环境、各个区域、各个层次都实施信息安全策略和安全机制，保证访问者对每一个系统组件进行访问时都有多层次保障机制的监控，以确保系统充分防御，把系统遭受攻击的风险降至最低，确保系统安全、可靠地运行，信息安全不是局部的体系，仅靠几个安全技术或产品的堆砌是无法从根本上有效控制安全风险的发生和蔓延的；安全不是静态的体系，需要随着组织策略、组织架构、信息系统和操作流程的改变而改变；安全不完全是技术问题，因为责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起更为严重的操作风险，所以构建全方位、多层次、可动态发展的纵深信息安全保障体系是我们的终极目标，而推行年度滚动落地的等级保护则是建立健全保障体系的重要行动支撑。多年来，一边落实信息安全等级保护要求，切实推进以信息系统为单位的安全治理，一边积极领会IS027001管理体系标准，如图2所示，在持续推进等级保护中稳步实现信息安全保障。
  • 摘要：在Android(安卓)系统安全领域,无数安全研究员在探索Android系统的0Day安全漏洞问题,它像耀眼的明星一样引人瞩目.随着时间的流逝与各种各样新漏洞的出现,曾经万众瞩目的0Day也渐渐退出历史舞台.然而,在对Android的恶意软件里,发挥主要作用的却是那些布满灰尘的N-Day漏洞.Android系统从2008年诞生,到今天已经成长了9年，根据统计结果显示，在国内主流的手机制造商中，排名靠前的厂商几乎都有为自家部分手机提供较新的Android安全补丁。在此次统计中，VIVO，三星、华为、小米、OPPO这5个厂商在本季度的检测结果显示较好，而且在本季度的调研中这5个厂商均有保持与谷歌最新安全补丁同步的更新提供，这也显示了厂商对用户手机中安全补丁等级的逐步重视。对比往期数据，可以明显感觉到最近一年国内手机厂商在Android安全领域的进步与变化，新机型的更新频率和安全补丁的更新也有了很大提升，希望这些厂商能继续保持对用户手机安全负责任的态度，同时也希望其他厂商能够更加主动地为用户手机系统安全保驾护航。
  • 摘要：本文将从4个方面阐述网安专业攻击、防守、溯源"三位一体"应用型人才培养教学体系的改革探索.一、概念界定网安专业——指网络安全与执法及其相关专业.三位一体——指在教学实施当中,攻击、防守、溯源三个要素要统筹兼顾,不能顾此失彼.应用型——指公安院校教学要以实战为导向,深入实战、指导实战、服务实战.
  • 摘要：数据是一个国家的基础性战略资源,对于保障国家安全、推动经济发展、完善社会治理、提升政府服务和监管能力具有重大深远的影响.2014年2月美国发布了由美国国家标准与技术研究院(NIST)起草的《提升关键基础设施网络安全的框架》,旨在提高关键基础设施的安全性,加强网络数据的保护和安全共享.欧盟在2016年5月颁发了新的通用数据保护规则《数据保护法》,旨在规范欧洲的数据监管环境.中国近两年来也陆续发布了《物联网标准化白皮书》《云计算白皮书》《大数据发展白皮书》等文件和报告.密码算法是数据安全保护的基石，是保障数据安全的核心技术。但数据的规模化、泛在化使数据的所有权、使用权和管理权相分离，传统的数据保护密码算法无法满足移动互联、云计算、大数据、物联网等开放融合环境中数据保护的多元化需求，也无力应对开放融合环境带来的白盒攻击、量子攻击、侧信道攻击等多样化的攻击手段。因此，新型数据保护密码算法的研究已成为各国政府、企业以及研究机构关注的焦点，也是学术界今后需要面对的重要科学问题。虽然国内外研究机构在新型开放融合环境下数据保护密码算法的研究方面已取得了不少研究成果，但如何建立新型的密码基础和设计理论，提高密码算法的设计效率，提升适应不同需求的快速响应能力，建立抵御多样化攻击的有效手段，仍是亟待解决的关键问题。
  • 摘要：量子力学和相对论是20世纪物理学史上重要的成就之一.其中,量子力学则是一门研究微观世界运行规律的学科,经典物理规律只是量子规律在宏观条件下的近似,所以世界本质是遵循量子力学描述的规律的,而微观物理系统的状态和动力学规律必须在量子力学的框架下才能被正确的描述.以量子信息技术为代表的第二次量子革命一定会带来人类社会物质文明的巨大进步，同时也给了我国一个从经典信息技术时代的跟随者、模仿者转变为未来信息技术和安全技术引领者的伟大机遇。通过建设量子网络，开拓量子应用形式和场景，面向“一带一路”倡议，将更好地服务于国家主权安全，服务于国民经济主战场，由于非对称密码体系是身份认证、数字签名、密码传递等应用的基础，为了对抗量子计算，需要更坚固的盾来防护信息安全。用量子来对抗量子是一个重要的研究方向。依托量子力学的物理原理，建设量子密码体系，开发量子密码分发、量子签名、量子秘密共享等实际应用系统，可以重新构建网络社会的信任基础。其中量子密钥分发是量子密码学中最先实用化、也是最成熟的技术方向。它利用了量子力学的三大定理：量子不可分割、量子不可克隆、量子的真随机特性，从而实现量子密钥无条件安全的分发方式。
  • 摘要：企业信息化发展要求更大范围的信息共享,以及多个应用系统之间的互相集成,云计算的普及又使得IT基础设施从独占模式变成共享模式,这提高了企业信息化对业务的支持能力,但是也打破了原有安全边界和数据防护模式,进而带来了数据失控问题.因此企业面临一个巨大挑战:既要实施信息化升级以加强信息共享,同时也要掌握数据控制权.梳理了关键系统密码应用场景的架构分层，底层是硬件，上一层是密码套件，再往上是安全服务层，最上层是业务应用，认为非常关键的安全服务层通常被忽视，比如OAuth/SAML、结合业务策略加密等内容，缺少这些安全服务就很难把密码算法真正使用起来，因为应用开发人员很难精通密码套件中各种API的含义，应用开发人员需要的是结合了业务安全要素、进行业务封装后的密码安全服务层。只有考虑到应用软件行业的特点，把基础密码能力封装为安全服务，才能在实际项目中顺利完成关键应用系统的密码升级。“把安全内建在应用中”是未来网络安全的必然发展方向，但达成这个目标不可能仅由密码产业或应用软件产业的一方单独完成，关键应用系统的数据安全问题也不是只靠基础密码能力就能解决。希望密码产业和应用软件产业有效协作，这样才能够把SM系列算法应用到各行各业的关键应用系统中，有效保护国家网络空间安全。
  • 摘要：随着智能家居、智能穿戴、车联网等领域的飞速发展,物联网越来越多地走入了每个人的生活中.根据咨询机构Gartner预测,从2013年到2020年,物联网端点将以32％的复合平均增长率增长,达到210亿台.其中受益于能源管理和汽车应用的推动,跨行业类别以36％的复合增长率成为最高增长类别.电子产品、能源管理、家居安全、汽车等物联网消费爆发,推动消费物联网类别成为下一个高速增长类别.物联网环境下的安全形势之所以严峻，是由其特殊的业务形式和承载介质决定的。物联网行业所面临的安全威胁从终端节点到感知网络、通信网络，从应用层面到管控层面，以及一些非技术层面的因素都关联和影响着物联网的安全问题。物联网设备类型存在多样性、脆弱性、感知节点与终端系统通信的安全性、设备与云平台数据传输的劫持与篡改、用户身份认证机制的不健全、访问控制和授权机制的绕过与越权访问等情况。这些安全问题中，如何确认用户的真实身份是重要一环，决定了是否为当前用户提供相应的服务，业务过程有没有仿冒风险等。反观身份认证领域的发展，由最初的口令管理、密钥管理，发展到网络访问控制、数据访问控制，再到IDaaS。管理范围已经从简单的信息管理扩展到与身份相关的全生命周期管理。
  • 摘要：目前,业界通常把区块链的发展分成三代,现在,正处于第三代区块链的开发时代,其主要目的是提高性能和安全性.当谈论安全时,普遍从安全三要素来看,即从CIA的角度来检查它.第一个要素是保密性(Confidentiality),第二个要素是完整性(Integrity),第三个要素是可用性(Availability).在前两代区块链中,保密性不是主要焦点.用户的身份保密通过使用公钥和私钥方案以及单向哈希算法,这被称为半匿名性,因为在交易中涉及用户的公共地址是公开的,而且交易数量也保持公开可见.可以使用行为分析方法分析出事务中涉及的用户实际身份.安全的第二个要素是完整性.完整性是前两代区块链的主要贡献之一.区块链本身有一些很好的安全属性，但是区块链项目的落地需要考虑其他安全因素。如果能够考虑并且实现在本文中提出的6个主要的安全控制，相信区块链项目的安全性可以得到很好的保障。
  • 摘要：区块链技术以其所特有的分布式、去中心化、不可篡改、永续存储、智能合约等特性,被称为"信任的机器",并由此创造出广阔的市场想象空间,它已经迅速成为全球信息技术关注的热点.在产业界的努力下,中国区块链技术的应用发展迅速,从底层的技术框架到上层的应用实践均取得了丰富的实践成果.在互联网存证、跨境转账汇款、互助保险、证券交易、知识产权交易甚至项目融资等方面开展了大胆的尝试.但在飞速发展的背后,行业也呈现过热的隐忧,一些公司甚至开始利用区块链概念来包装"私货".在区块链系统中，私钥安全是关系到数字资产安全、用户隐私的核心环节。在日益严峻的移动安全形势下，及时建立可信的私钥安全机制是区块链应用落地的关键因素之一。为了更好地推动区块链应用，创造更加丰富、可信的区块链应用，对区块链企业提以下三点建议，站在巨人的肩膀上，利用已有成熟的产业链提升密钥安全，抓住产业爆发式增长的战略机遇，提前规划移动端密钥保护和云端密钥保护方案，积极进行密码算法的国产化改造，替换ECC和SHA256为SM2、SM3，真正实现其合法合规落地。
  • 摘要：Bootloader作为Android手机的引导程序,在Android系统正式启动之前就以高权限执行.Bootloader除提供加载内核传递启动信任链的功能外,还可能支持解锁功能,即允许打破这种信任传递关系.Bootloader解锁后,不会再验证内核的签名,也允许更改各分区的内容.各个厂商定制Bootloader时还会增加解锁码类的额外验证.本文分为两个部分分别分析国内两个厂商定制的Bootloader,并分享其中发现的问题,以及介绍解决问题的思路和方法.Bootloader是Android启动过程中的关键组件，是具有ELI或EL3级别的权限，如果发生问题可能会导致很严重的后果。其输入接口有限，漏洞缓解措施十分有限。想要保证它的安全运行除了要验证fastboot的输入外，还应该考虑到它读取Android系统本身可控的分区内容时的校验，以及版本回滚控制等问题。由于官方没有给出统一的解决方案，厂商定制时就势必要根据自身系统特性考量有效的运行模式。
  • 摘要：源码审计是一种非常有效的漏洞挖掘手段,但它的前提是需要有阅读源码的权限.Windows是世界上使用范围较广的闭源操作系统,除了微软内部人员之外,安全研究人员只能通过逆向分析和模糊测试来挖掘Windows系统和软件的漏洞.因此,源码审计这种基础的漏洞挖掘方式在面对Windows系统时便显得无能为力了.2004年,微软泄露了部分nt4和w2k源码,此次事件距今已有14年的历史,Windows系统也已经从XP进化到了win10.那么,审计这些代码还有价值吗?本文将通过源码来分析近年来曝光的Windows内核漏洞问题.本文通过源码分析的方式介绍了几个Windows内核漏洞。这些漏洞轻则让系统崩溃，重则让入侵者实现提权。它们一直隐藏在古老的nt4/w2k源码中，直到近几年才被发现，可见对这些古老源码的审计依然有价值。源码审计不仅能发现漏洞，还能通过注释和代码逻辑看出开发者的思路在哪里出现了纰漏。这些问题经过总结，一方面能为源码审计提供思路，另一方面对开发者也有借鉴价值。从这个角度看，源码审计不仅是安全研究者手中的武器，也应该是每个开发者保护其代码的铠甲。
  • 摘要：Windows发展至今已成为全球应用较广泛的系统.PatchGuard(以下简称PG)则是微软为保护内核而添加的防护机制,它主要用于防护内核关键部分,使其不被篡改.PG将会周期性地检查系统,如果你的内核Patch被微软发现,那么系统将会被BSOD(Blue Screen of Death,电脑蓝屏).随着时间的推移，在同权限对抗越来越复杂与困难的情况下，不管是攻击方还是防守方，都会将有更多的精力投入到权限更高的硬件对抗上来。在未来，将会有更多的硬件机制用于系统对抗中。
  • 摘要：2017年5月,一款勒索蠕虫病毒在全球范围内爆发.短短5个小时之内,病毒在美国、俄罗斯以及欧洲的100多个国家和地区迅速蔓延,感染了数十万台计算机.一夜之间,人们意识到远在科幻小说中的网络攻击就发生在自己的身边.勒索软件并不是什么新鲜事物,只是此次爆发的病毒再一次将勒索软件带进了人们的视野,并留下了深刻的印象.由于受到移动设备环境的限制，手机勒索软件很难进行蠕虫式的传播，大多数的情况下需要手机“用户”主动下载安装，因此手机勒索软件通常会迎合“用户”的需求，伪装成其他软件来迷惑用户，欺骗他们去下载。国内外的手机勒索软件的伪装对象有比较明显的差异。国外的常见伪装对象多以色情播放器为主，反观国内的伪装对象，则以刷赞、刷钻、外挂居多。
  • 摘要：伪基站是指未取得电信设备进网许可和无线电发射设备型号核准,具有搜取手机用户信息,强行向不特定用户手机发送短信息等功能,使用过程中会非法占用公众移动通信频率,局部阻断公众移动通信网络信号,经公安机关依法认定的非法无线电通信设备.工业无线电通信使用专用芯片，成本较高，但是丢包率能控制在一定范围内。伪基站是基于开源的软件无线电控制平台，软件控制的CPU的运算能力，能完成大部分的无线底层功能，但上述过程很有可能随时被中断，所以丟包率不受控制，无法衡量数量。因此，科学准确地判断伪基站劫持的IMSI和发送的短信数量，进而确定受到影响的用户数量，这无疑是保证司法公平、确保证据真实有效的现实需要。
  • 摘要：本文与大家分享的是在企业的安全运营中,安全工程师和安全数据分析师如何面对来自于未知威胁和高级威胁的挑战,同时通过两个真实企业的安全运营事件来说明高级威胁分析如何辅以威胁情报来完善安全运营中对于安全事件的分析.高级威胁分析搭配威胁情报的组合拳可以更有效和准确地检测和对抗来自于互联网的攻击，同时也能更好地去识别类似于案例1中真实的高级威胁和类似于案例2中具备攻击假象的产品漏洞利用。往往不太可能是攻击的行为很可能是高级威胁的前奏，看似是攻击的行为很可能只是某些业务逻辑漏洞的利用。利用尽可能多的安全数据来源去减小安全运营中的盲区是未来安全运营需要解决的问题。安全行业的发展和企业对于互联网安全的诉求越来越多，近两年安全行业的发展逐渐从“人+技术”的技术驱动安全发展慢慢地过渡到了“人+数据”的数据驱动安全发展，特别是近期比较火的威胁情报、用户实体行为分析(UEBA)、互联网攻击溯源等都是“人+数据”驱动安全发展的里程碑，安全行业需要越来越多的懂安全的数据分析人员加入，共同筑造企业安全的防线。
  • 摘要：在信息安全领域，常规的边界防御策略是把所有资源集中在企业网络边界前线，如果这层防线被攻破或绕过，将使剩下的整个网络处于危险之中。纵深防御旨在在多个防护层次上使用互相独立的不同防护手段以配合联动阻止攻击。然而，传统手段依赖于签名特征的静态技术，只对已知攻击有效且检测规则高度类似，难以保证防御方法的相互独立性，效果差强人意。纵深防御曾被信息安全专家寄予厚望，但经过多年来持续不断的尝试，至今仍鲜有大规模部署成功案例。全新纵深分析检测响应架构基于纵深防御概念设计，与传统SIEM和大数据平台集中处理机制迥然不同。其借助边缘计算和机器学习，将数据分析节点小型化，可被部署至单台服务器或端点，对局部区域小规模数据集仍有极佳效果。其分布于内网、边界、数据中心和混合云，持续评估关键数据资产、网络异常流量、用户及设备恶意行为等风险，按照ATT&CK框架检测未知攻击，对检测内网横向移动等攻击手法有特效。同时，其集成网络和终端调查取证及应急能力，亦可额外内置蜜罐、沙盒和欺骗等模块，宛若每个局部拥有小型下一代SIEM，可实现自适应持续检测响应闭环，接受统一管理并可相互协调。对其的部署通过快速接入服务器或安装端点软件即可实现，无需巨资投入集中计算资源和带宽，即可实现无处不在的智能安全分析，即使基础设施架构频繁调整仍能提供足够弹性，从而持续发挥巨大效用。
  • 摘要：伴随全球数字化转型的风潮,网络安全风险愈演愈烈,新威胁局势下传统的网络安全观和方法论开始被重新审视.作为安全防护体系中的"咽喉要塞",网络边界防护却在质疑声中逐渐失去以往的光芒,相比当前备受市场热捧的诸多新兴安全产品,作为"老三样"中的"老大哥",防火墙似乎正被遗忘.要在纵深防御体系中真正实现“双保险”甚至“多保险”与有效降低终端失陷的风险，则必须要打通终端、边界甚至更多安全部件的协同联动，在愈演愈烈的攻防战中，边界防护依然发挥着“首道屏障”的重要作用，而真正的纵深防御体系则需要在不同的防线间建立联系，通过协同防御实现更高的安全有效性。由被动防护迈向积极防御的过程中，安全的目标应是持续降低平均检测时间(MTTD)和平均响应时间(MTTR)。为此，边界安全应尽快补足检测能力和感知全局威胁的能力。用户应通过安全大数据和消费威胁情报，享受信息共享、集体协作带来的红利，把过往的个体防护改为集体对抗，以增强防御的实时性。同时，用户应通过技术手段确保基础的运维管理工作落地，最大限度地避免因“人”的因素贻误防护时机，构建快速响应能力。下一代安全能力的构建将极大倚重云计算、大数据、威胁情报、安全可视化等新技术的运用，这些新技术将为传统边界安全产品注入新的“智慧”。同样，边界安全方案的形态已经开始由传统的防火墙“盒子”转向为云端、管道（网络边界）、终端多部件体系化协同联动的平台化方案。
  • 摘要：虽然深度学习系统经过训练可以实现对正常输入的低的误判率,但是当攻击者用系统化的方法生成误判样本的时候,攻击的效率就可以接近100％,从而实现稳定的逃逸攻击."逃逸攻击就是要把0.001％的误判率变成100％的攻击成功率".本文的目的是介绍被大众所忽视的人工智能安全问题。虽然深度学习在处理自然生成的语音图像等已达到相当高的准确率，但是对恶意构造的输入仍然有巨大的提升空间。虽然深度学习系统经过训练可以实现对正常输入的很低的误判率，但是当攻击者用系统化的方法能够生成误判样本的时候，攻击的效率就可以接近l00%，从而实现稳定的逃逸攻击。随着人工智能应用的普及，相信对逃逸攻击的研究也会越来越深入。这些研究包括对对抗样本生成以及对增强深度学习对抗能力的研究。
  • 摘要：深度学习引领着新一轮的人工智能浪潮,受到工业界以及全社会的广泛关注.虽然大家对人工智能有很多美好的憧憬,但是现实是残酷的——随着人工智能应用开始变成现实,其安全问题也渐渐显现出来.人工智能应用面临来自多个方面的威胁,包括深度学习框架中的软件实现漏洞、对抗机器学习的恶意样本生成、训练数据的污染等.这些威胁可能导致人工智能所驱动的识别系统出现混乱,形成漏判或者误判,甚至导致系统崩溃或被劫持,使智能设备变成僵尸攻击工具.
  • 摘要：近几年,威胁和风险环境已经发生了巨大的变化,主动攻击行为与高级攻击技术(APT)的复杂性不断升级.而随着云计算与大数据技术的发展,新一代的高级安全技术和防护策略也取得了快速发展,比如以风险或杀伤链为基础的方法,便是大量利用了威胁情报和大数据分析技术.这就要求传统的安全运营中心(SOC)来适应这些新的变化,企业需要认识到传统的以防护为核心的策略已经失效,企业资产可能已经被破坏.企业安全体系必须以监控和响应为核心,通过持续监测、及时响应来减轻和限制攻击造成的损失，新一代SOC的未来将与企业的业务不断融合。现在已经有一些互联网公司在用SOC相关技术做一些反欺诈方面的工作，未来通过SOC的大数据分析，企业将建立符合更多业务场景的安全服务，比如反欺诈、财务内控、供应链安全、品牌保护等，SOC将与业务和管理更深度地融合，进而为企业提供更多的支撑。
  • 摘要：现在,越来越多的企事业单位和机构开始接受威胁情报(Threat Intelligence,TI)的理念,并逐步将威胁情报服务部署在网络安全工作流中.当前用户选择威胁情报服务主要依赖于供应商的宣传和产品的试用.TI供应商都宣称其拥有雄厚实力,能为客户的安全业务提供最好的产品和服务,但大部分TI产品试用都有时间和功能限制,短期试用并不能为用户的选择提供决定性的依据和意见.因此,如何科学、客观、体系化地对供应商的威胁情报质量进行评估,对于用户而言,是现实而迫切的需求.
  • 摘要：态势感知是一种安全能力建设,这种能力侧重于对威胁的检测、分析,恰好适应了单纯在防御上进行投入,已经无法有效应对当前威胁的现状.态势感知的基础是对报警和元数据的收集,为达到"全天候全方位"的目标,其需要在流量、内容、终端三个方面,利用实时数据和历史数据进行检测.但单纯报警的可视化展示并不是真正的"态",要呈现当前的"态",需要针对报警或者异常情况,对其进行误报甄别、定性分析(识别定向型攻击或是随机性攻击)、了解攻击的影响范围和危害、确定缓解或清除的方法及难度等.在这个前提下,它再对组织面临安全事件全面呈现才能称为"态".而"势"则是未来可能的安全事件或状态,这种预测可以从对已知攻击者的意图、技战术特点以及Killchain分析得出,如果能够获得相关行业或者组织的情报共享,无疑可以更全面地掌握"势".因此可以认为,态势感知在某种意义上是一个大数据安全分析的问题.威胁情报在国内还属于比较新的安全技术，但却是现阶段帮助组织快速提升检测、分析、预防预测能力的最佳选择，尤其是态势感知这种综合能力的建设必须考虑威胁情报。同时，依托不同类型的情报相关产品，让分析人员的能力逐步成长，提高分析效率，也是解决人才缺口行之有效的方法。

客服邮箱：kefu@zhangqiaokeyan.com

京公网安备：11010802029741号 ICP备案号：京ICP备15016152号-6 六维联合信息科技 (北京) 有限公司©版权所有 出版物经营许可证

  • 客服微信

  • 服务号