自去年史上最大的用戶信息泄露事件(塔吉特)以來，又接連發(fā)生了多起信息泄露的安全事件。僅從8月到現(xiàn)在，就有UPS快遞、CHS(社區(qū)醫(yī)療系統(tǒng))、火狐開源、蘋果iCloud、家得寶等信息泄露事件相繼爆發(fā)。是黑客與安全人員之間存在技術(shù)方面的差距嗎?為什么成功的入侵事件越來越多?

1、 互聯(lián)網(wǎng)海納百川，防御戰(zhàn)線全面擴張

全球互聯(lián)網(wǎng)已經(jīng)成為當今世界推動經(jīng)濟發(fā)展和社會進步的重要信息基礎(chǔ)設(shè)施。包括云計算、移動互聯(lián)網(wǎng)和萬物互聯(lián)網(wǎng)，極大的推動了互聯(lián)網(wǎng)的邊界擴張，可能被攻破的網(wǎng)絡(luò)節(jié)點不斷增多，由此帶來的安全挑戰(zhàn)前所未有。

1.1云計算促進產(chǎn)業(yè)融合，平臺類型多樣

傳統(tǒng)產(chǎn)業(yè)與互聯(lián)網(wǎng)加速融合

云計算正在改變傳統(tǒng)產(chǎn)業(yè)運行的模式，帶來了服務(wù)模式的革命。云計算將傳統(tǒng)制造業(yè)變?yōu)榫G色低碳和資源節(jié)約型產(chǎn)業(yè)，將政務(wù)、交通、旅游、醫(yī)療等行業(yè)變成工業(yè)流水線一樣的高效產(chǎn)業(yè)，強化了互聯(lián)網(wǎng)對這些產(chǎn)業(yè)進行管控的實時性和高效性，全面提升了全社會整體信息化水平，加強了這些傳統(tǒng)產(chǎn)業(yè)與互聯(lián)網(wǎng)融合的程度，促進了互聯(lián)網(wǎng)產(chǎn)業(yè)的商業(yè)化、多元化、個性化。中國軟件評測中心作為國內(nèi)權(quán)威第三方評測機構(gòu)，基于測試即服務(wù)模式搭建了我國首個在線測試技術(shù)云平臺-中國測試云(www.cstccloud.org )，致力于云計算領(lǐng)域的測試和研究。

互聯(lián)網(wǎng)平臺類型多樣

互聯(lián)網(wǎng)上匯聚的計算資源、存儲資源、數(shù)據(jù)資源和應(yīng)用資源正隨著互聯(lián)網(wǎng)規(guī)模的擴大而不斷增加。大數(shù)據(jù)的產(chǎn)生使得互聯(lián)網(wǎng)正在從傳統(tǒng)意義的通信平臺轉(zhuǎn)化為海量的數(shù)據(jù)信息平臺。云計算促使互聯(lián)網(wǎng)不止是一個傳統(tǒng)的通信平臺，同時還是一個數(shù)據(jù)平臺和計算平臺，實現(xiàn)了互聯(lián)網(wǎng)的平臺類型多樣性，使得互聯(lián)網(wǎng)具備了通信傳輸功能、數(shù)據(jù)存儲功能和海量數(shù)據(jù)計算統(tǒng)計功能。

1.2移動互聯(lián)促使終端及應(yīng)用激增

移動終端的飛速發(fā)展將傳統(tǒng)的PC互聯(lián)網(wǎng)拓展成移動互聯(lián)網(wǎng)，終端類型的移動性激發(fā)了人們對移動性數(shù)據(jù)的需求。由于不同人群對移動性數(shù)據(jù)的依賴程度、獲取方式、用途的不同，又進一步刺激了互聯(lián)網(wǎng)應(yīng)用走向多元化、個性化、移動化和商業(yè)化。移動終端設(shè)備普，越來越多的人希望在移動的過程中高速地接入互聯(lián)網(wǎng)，獲取急需的信息。移動互聯(lián)網(wǎng)應(yīng)用是未來發(fā)展前景巨大的互聯(lián)網(wǎng)應(yīng)用。在未來將有更多的定位感知服務(wù)可通過移動設(shè)備的應(yīng)用程序來實現(xiàn)。正如中國軟件評測中心的移動互聯(lián)網(wǎng)可信應(yīng)用測試平臺-利貓網(wǎng)(www.licat.com )就是順應(yīng)這一移動大潮，對移動應(yīng)用的全生命周期提供360度監(jiān)控，并提供專業(yè)的安全加固服務(wù)。

1.3萬物互聯(lián)促使終端形態(tài)和服務(wù)模式多樣

移動互聯(lián)網(wǎng)之后，一個最重要的時代要開始了——那就是萬物互聯(lián)。“IoT-萬物互聯(lián)”將是互聯(lián)網(wǎng)未來的發(fā)展趨勢。不僅手機、電腦、電視機等傳統(tǒng)信息化設(shè)備將連入網(wǎng)絡(luò)，家用電器和工廠設(shè)備、基礎(chǔ)設(shè)施等也將逐步成為互聯(lián)網(wǎng)的端點。萬物互聯(lián)的時代正在到來。任何設(shè)備都可以接入互聯(lián)網(wǎng)成為終端設(shè)備，促使互聯(lián)網(wǎng)終端設(shè)備的形態(tài)千變?nèi)f化，促使傳統(tǒng)商品具備了互聯(lián)網(wǎng)屬性，具備了提供互聯(lián)網(wǎng)服務(wù)的能力，由此拓寬了互聯(lián)網(wǎng)的服務(wù)模式和服務(wù)能力。

萬物互聯(lián)拓寬互聯(lián)網(wǎng)終端設(shè)備的形態(tài)

互聯(lián)網(wǎng)不僅僅是人之間的連接、手機之間的連接，而是能夠把今天我們所有各種各樣的設(shè)備，大到工廠里的這種發(fā)電機，車床，小到家里的冰箱、插座、燈泡，到每個人身上帶的戒指、耳環(huán)、手表、皮帶等所有的東西都可以連接起來。所有的設(shè)備，它都會內(nèi)置一個智能的芯片和內(nèi)置的智能操作系統(tǒng)。通過這種技術(shù)改造是所有這些設(shè)備都變成了互聯(lián)網(wǎng)的終端設(shè)備。因此，我們可以說萬物互聯(lián)網(wǎng)拓寬了互聯(lián)網(wǎng)終端設(shè)備的形態(tài)，改變了傳統(tǒng)互聯(lián)網(wǎng)終端設(shè)備只包含筆記本電腦、臺式機和服務(wù)器的格局，使終端設(shè)備的形態(tài)多元化、個性化、移動化。

萬物互聯(lián)網(wǎng)拓寬互聯(lián)網(wǎng)的服務(wù)模式

萬物互聯(lián)是對中國傳統(tǒng)產(chǎn)業(yè)的一個變革，利用IoT技術(shù)你可以把傳統(tǒng)的商品變成智能的。基于IoT技術(shù)，傳統(tǒng)企業(yè)就不僅僅是利用互聯(lián)網(wǎng)來獲取信息、發(fā)布信息和出售商品，它可以利用IoT的技術(shù)，讓每個產(chǎn)品都變成具有互聯(lián)網(wǎng)體驗的產(chǎn)品，它可以讓商業(yè)模式變成從一次性買賣的模式變成提供互聯(lián)網(wǎng)服務(wù)的模式。萬物互聯(lián)加強了傳統(tǒng)商業(yè)和產(chǎn)業(yè)與互聯(lián)網(wǎng)的融合，拓寬了傳統(tǒng)互聯(lián)網(wǎng)的服務(wù)模式，促進了互聯(lián)網(wǎng)的商業(yè)化。

2、 網(wǎng)絡(luò)安全攻防回報不對稱

近年來曝出的黑客攻擊事件的影響越來越惡劣，涉及的資產(chǎn)損失越來越慘重，導(dǎo)致網(wǎng)絡(luò)用戶對網(wǎng)絡(luò)安全問題惶恐不安，用戶利益岌岌可危。為什么防守越來越被動?

原因一: 攻、防技術(shù)人員收入懸殊

黑客攻擊有獲利快，短期收益高等特點，而反觀國內(nèi)各大網(wǎng)絡(luò)安全公司的薪酬情況，以及國家對網(wǎng)絡(luò)安全防護人員的培養(yǎng)力度，攻擊網(wǎng)絡(luò)漏洞所獲取的收益要遠高于到網(wǎng)絡(luò)安全公司上班所得到的報酬。加之法律不健全和懲罰力度不夠，安全技術(shù)人員很可能會因為利益的驅(qū)使最終走向黑客的陣營。

2014年上半年，包括eBay在內(nèi)的大牌零售商以及Neiman Marcus等多家酒店的用戶信息遭到入侵泄漏，這些信息包含了大量用戶的信用卡數(shù)據(jù)，這將帶來無法估量的經(jīng)濟損失。網(wǎng)絡(luò)犯罪的經(jīng)濟和技術(shù)成本較之過去已大幅度降低，功能豐富的工具包和完善的服務(wù)繁榮著中國的網(wǎng)絡(luò)黑市。想進入這個圈子和利用網(wǎng)絡(luò)謀取利益的人越來越多，因為他們看到許多人通過這種方式獲利頗豐。隨著攻擊成本的降低，網(wǎng)絡(luò)交易的繁榮，巨大的利益驅(qū)動著黑客陣容的不斷增大，這是安全防護人員的收入水平無法企及的。

原因二: 公眾對攻防榮譽理解不對稱

國內(nèi)的民間組織或國家開辦的網(wǎng)站在互聯(lián)網(wǎng)上主要在報道黑客攻擊的安全事件和發(fā)布漏洞信息。卻很少有專門的網(wǎng)站去公布互聯(lián)網(wǎng)上發(fā)生的安全防護工作和成功的防護案例。由于對黑客攻擊事件的宣傳力度遠大于對安全防護工作的宣傳力度，很容易給公眾一個偏頗的輿論導(dǎo)向，令廣大的網(wǎng)絡(luò)用戶產(chǎn)生國家對安全防護工作不作為、不到位的誤解，容易導(dǎo)致網(wǎng)絡(luò)用戶對國家網(wǎng)絡(luò)安防失去信心。

3、 攻擊難度降低

同類應(yīng)用泛化、攻擊方法的簡化、惡意工具的普及和用戶防范意識薄弱都導(dǎo)致了網(wǎng)絡(luò)攻擊難度的降低。

3.1網(wǎng)絡(luò)攻擊的自動化程度越來越高

當網(wǎng)絡(luò)安全專家用“自動化”描述網(wǎng)絡(luò)攻擊時，網(wǎng)絡(luò)攻擊已經(jīng)開始了一個新的令人恐懼的“里程碑”，就像工業(yè)自動化帶來效率飛速發(fā)展一樣，網(wǎng)絡(luò)攻擊的自動化促使了網(wǎng)絡(luò)攻擊速度的大大提高，極大的降低了網(wǎng)絡(luò)攻擊難度，使得沒有網(wǎng)絡(luò)安全知識的人經(jīng)過簡單的學(xué)習(xí)就可以操縱工具進行網(wǎng)絡(luò)安全攻擊。以前需要依靠人工啟動工具發(fā)起的攻擊，現(xiàn)在發(fā)展到由攻擊工具本身主動發(fā)起新的攻擊。隨著分布式攻擊工具的出現(xiàn)，攻擊者可以很容易地控制和協(xié)調(diào)分布在Internet上的大量已經(jīng)部署的攻擊工具。目前，分布式攻擊工具能夠更有效地發(fā)動拒絕服務(wù)攻擊，掃描潛在的受害者，危害存在安全隱患的系統(tǒng)。

3.2防火墻被攻擊者滲透的情況越來越多

配置防火墻目前仍然是防范網(wǎng)絡(luò)入侵者的主要保護措施，但是，現(xiàn)在出現(xiàn)了越來越多的攻擊技術(shù)，可以實現(xiàn)繞過防火墻的攻擊，例如，黑客可以利用Internet打印協(xié)議IPP和基于Web的分布式創(chuàng)作與翻譯繞過防火墻實施攻擊。

3.3安全威脅的不對稱性在增加

Internet上的安全是相互依賴的，每臺與Internet連接的計算機遭受攻擊的可能性，與連接到全球Internet上其他計算機系統(tǒng)的安全狀態(tài)直接相關(guān)。由于攻擊技術(shù)的進步，攻擊者可以較容易地利用分布式攻擊系統(tǒng)，對受害者發(fā)動破壞性攻擊。隨著黑客軟件部署自動化程度和攻擊工具管理技巧的提高，安全威脅的不對稱性將繼續(xù)增加。

3.4用戶防護意識不足

由于用戶越來越多地依賴網(wǎng)絡(luò)提供各種服務(wù)來完成日常相關(guān)業(yè)務(wù)，攻擊者攻擊位于Internet關(guān)鍵部位的網(wǎng)絡(luò)基礎(chǔ)設(shè)施造成的破壞影響越來越大。對這些網(wǎng)絡(luò)基礎(chǔ)設(shè)施的攻擊，主要手段有分布式拒絕服務(wù)攻擊，蠕蟲病毒攻擊、對Internet域名系統(tǒng)DNS攻擊和對路由器的攻擊。盡管路由器保護技術(shù)早已成型，但許多用戶并未充分利用路由器提供加密和認證特性進行相應(yīng)的安全防護。除了安全防護技術(shù)能力的提高外，安全策略的思考，用戶防護意識的提高，這些正是大多數(shù)技術(shù)人員所缺乏的。

4、 攻擊風險降低

網(wǎng)絡(luò)安全攻擊層出不窮，越演越烈的原因不只是因為利益的趨勢，還有一個重要的原因是由于網(wǎng)絡(luò)安全攻擊犯罪的技術(shù)隱蔽，取證困難，懲處力度不夠，以及法律的缺失造成的攻擊風險降低。

4.1攻擊技術(shù)隱蔽

目前攻擊工具的開發(fā)者正在利用更先進的思想和技術(shù)來武裝攻擊工具，攻擊工具的特征比以前更難發(fā)現(xiàn)。相當多的工具已經(jīng)具備了反偵破、智能動態(tài)行為、攻擊工具變異等特點，這些特質(zhì)造成了攻擊技術(shù)更加隱蔽。

反偵破是指攻擊者越來越多地采用具有隱蔽攻擊工具特性的技術(shù)，使得網(wǎng)絡(luò)管理人員和網(wǎng)絡(luò)安全專家需要耗費更多的時間分析新出現(xiàn)的攻擊工具和了解新的攻擊行為。智能動態(tài)行為是指現(xiàn)在的攻擊工具能根據(jù)環(huán)境自適應(yīng)地選擇或預(yù)先定義決定策略路徑來變化對他們的模式和行為，并不像早期的攻擊工具那樣，僅僅以單一確定的順序執(zhí)行攻擊步驟。攻擊工具變異是指攻擊工具已經(jīng)發(fā)展到可以通過升級或更換工具的一部分迅速變化自身，進而發(fā)動迅速變化的攻擊，且在每一次攻擊中會出現(xiàn)多種不同形態(tài)的攻擊工具。同時，攻擊工具也逐漸普遍地支持多操作系統(tǒng)平臺運行。在實施攻擊的時候，許多常見的攻擊工具使用了如IRC或HTTP等協(xié)議從攻擊者處向受攻擊計算機發(fā)送數(shù)據(jù)或命令，使得人們難以區(qū)別正常的網(wǎng)絡(luò)傳輸流與攻擊信息流。這些具備了反偵破、智能動態(tài)行為、攻擊工具變異等特點的攻擊方式提高了攻擊的隱蔽性，加大了識別和定位攻擊的難度，造成了犯罪取證的困難，從而降低了黑客攻擊的風險。

4.2攻擊工具獲取途徑隱蔽

為了躲開執(zhí)法部門的監(jiān)管，地下市場的運營者使用Tor匿名網(wǎng)絡(luò)來隱藏身份，從而谷歌、Bing等搜索引擎無法搜到。中國地下市場的黑客主要使用QQ做為通訊工具。銷售黑客工具的賣家會依據(jù)產(chǎn)品線建立不同的QQ群組，比如DDoS工具或惡意軟件。通過QQ的關(guān)鍵字查詢，才可以搜索到販賣黑客攻擊工具的入口。通過Tor匿名網(wǎng)絡(luò)或者QQ工具做為安全攻擊工具的交易途徑，都可以實現(xiàn)交易過程的隱蔽性。

4.3需刑事立法治理網(wǎng)絡(luò)犯罪

打擊網(wǎng)絡(luò)犯罪，立法滯后。查處網(wǎng)絡(luò)違法犯罪行為依據(jù)的法律依據(jù)不足。比如網(wǎng)絡(luò)黑市中販賣刀槍問題非常突出，由于法律不完善，這類違法犯罪不能得到及時懲處。此外，傳統(tǒng)案件的管轄規(guī)定也難以適應(yīng)網(wǎng)絡(luò)犯罪中偵查的需要。比如，網(wǎng)絡(luò)詐騙案取證可能跨省甚至跨國，公安機關(guān)花費大量人力物力偵辦后，可能面臨因案件涉案金額較低而無法刑事處罰的結(jié)果。各國的實踐證明，網(wǎng)絡(luò)犯罪治理既需要用技術(shù)手段解決，還需要用管理手段解決，更需要用法律手段解決，以法律的方式方法提升國家網(wǎng)絡(luò)犯罪治理體系和治理能力現(xiàn)代化，依法辦網(wǎng)，依法管網(wǎng)，依法運行，這既是發(fā)展方向，也是治理的重要抓手。我國現(xiàn)行對互聯(lián)網(wǎng)直接進行規(guī)范的法律、行政法規(guī)、司法解釋、部門規(guī)章和其他規(guī)范性文件共有172件(不含地方性法規(guī))。172件中以部門規(guī)章和其他規(guī)范性文件為主，針對互聯(lián)網(wǎng)的專門法律3件;調(diào)整行政類法律關(guān)系的有145件，而調(diào)整刑事法律關(guān)系的只有14件。總體而言，法律層級偏低，重行政輕民事和刑事。應(yīng)制定融合程序與實體的獨立的反網(wǎng)絡(luò)犯罪，以及融合多種學(xué)科的信息安全法，以解決核心法律嚴重缺失問題。

4.4網(wǎng)絡(luò)犯罪幫助犯應(yīng)嚴懲

中國軟件評測中心安全專家建議，由于網(wǎng)絡(luò)犯罪行為的特殊性導(dǎo)致幫助行為和預(yù)備行為在網(wǎng)絡(luò)犯罪中起主要作用，因此要注重打擊網(wǎng)絡(luò)犯罪中的幫助行為和預(yù)備行為。在網(wǎng)絡(luò)犯罪中，技術(shù)因素作用凸顯，網(wǎng)絡(luò)社會是技術(shù)主導(dǎo)的社會，網(wǎng)絡(luò)犯罪具有高度的技術(shù)依賴性，如實施網(wǎng)絡(luò)盜竊、網(wǎng)絡(luò)攻擊時，不獲得有效的木馬軟件或計算機病毒，犯罪難以進行。而在傳統(tǒng)刑事犯罪評價中，實施幫助犯罪的行為人，一般作為共同犯罪中的從犯進行制裁，這是因為相對于實施行為，幫助行為危害性較小。但網(wǎng)絡(luò)犯罪仍參照傳統(tǒng)刑事評價則存在錯位，因為提供技術(shù)性支持的幫助行為，往往在網(wǎng)絡(luò)犯罪中起主要作用。因此，建議立法將幫助犯正犯化、將預(yù)備行為實行化。即基于網(wǎng)絡(luò)犯罪的技術(shù)依賴性，對于網(wǎng)絡(luò)空間中某些犯罪的技術(shù)性幫助行為，如提供網(wǎng)絡(luò)攻擊技術(shù)行為的，可考慮將其設(shè)立為新罪懲處;基于網(wǎng)絡(luò)空間無限復(fù)制性和延展性的存在，使一些網(wǎng)絡(luò)犯罪行為危害性倍增，刑法可以將部分預(yù)備行為提升、獨立，使其作為實行行為成立新罪懲處。

5、 總結(jié)與建議

隨著云計算等新技術(shù)的不斷進步，萬物互聯(lián)產(chǎn)生的大數(shù)據(jù)量，這些新生事物對互聯(lián)網(wǎng)環(huán)境的不斷沖擊，導(dǎo)致互聯(lián)網(wǎng)的邊界不斷拓寬，網(wǎng)絡(luò)環(huán)境變得復(fù)雜多變，網(wǎng)絡(luò)安全防護形式日益嚴峻，保衛(wèi)網(wǎng)絡(luò)安全就是保衛(wèi)國家主權(quán)。習(xí)近平總書記指出：“沒有網(wǎng)絡(luò)安全就沒有國家安全”。在全球化、信息化時代，維護網(wǎng)絡(luò)與信息安全，亟須上升為國家層面的安全戰(zhàn)略。加強網(wǎng)絡(luò)安全保障體系建設(shè)，建設(shè)“戰(zhàn)略清晰”的網(wǎng)絡(luò)安全保障體系是復(fù)雜的系統(tǒng)工程。從全球范圍看，維護網(wǎng)絡(luò)和信息安全，是保障我國網(wǎng)絡(luò)信息空間不被西方發(fā)達國家所控制的安全防御戰(zhàn)略。以美國為代表的西方發(fā)達國家，其網(wǎng)絡(luò)安全戰(zhàn)略已經(jīng)從被動防御全面轉(zhuǎn)向積極進取的主動進攻。中國軟件評測中心長期致力于網(wǎng)絡(luò)安全防護研究工作，認為應(yīng)將筑高墻、堵漏洞的被動防御型網(wǎng)絡(luò)安全應(yīng)對戰(zhàn)略，轉(zhuǎn)變?yōu)楣シ澜Y(jié)合的網(wǎng)絡(luò)安全戰(zhàn)略，主動提升網(wǎng)絡(luò)信息空間的防御和對抗能力。