网络安全 频道

记中国RSA大会和OWASP 2010中国峰会

  【IT168 资讯】2010年10月21日,由美国RSA Conference主办的RSA大会2010信息安全国际论坛(以下简称中国RSA大会)在北京举行;而一天之后,OWASP 2010中国峰会也在北京召开。纷至沓来的两场安全盛会让中国的信息安全界与最前沿的产业动态、趋势做了一次近距离接触。

  RSA大会:烙上中国特色

  中国RSA大会的召开,标志着RSA Conference这一全球最权威的信息安全年度峰会首次进入中国。本次论坛的五大议题分别是:云计算安全、可信计算、反网络欺诈、法规遵从和密码学,全部是中国信息安全界最关心的、业界最热门的话题。

  由于本次论坛是在中国召开,组织者煞费苦心地选择了最早的双因素认证手段——虎符作为论坛的Logo,再加上开场时的中国古代士兵的功夫表演,体现了浓郁的中国特色。

  RSA总裁兼EMC执行副总裁亚瑟?科维洛在主题演讲中提到,我们面临着三大安全问题,首先是被动的安全防御导致的多个安全产品的堆砌,使得管理十分复杂。其次是业界对虚拟环境的安全还不够重视,而虚拟环境中的攻击较难处理。第三是我们面临越来越程度复杂的网络犯罪,而且他们的欺诈行为非常成功。比如中国的网络钓鱼今年增加了78%左右,这些攻击中有99%都是针对在线零售网站。由于这些安全问题的存在,严重影响了部署云计算的进程。

  中国RSA大会自然少不了国内厂商的参与,网康科技、启明星辰、绿盟科技、卫士通、安恒信息、天威诚信、飞天诚信都在论坛上做了主题演讲。网康科技首席执行官袁沈钢表示,网康科技已经先后6次组团参展美国RSA Conference,此次RSA来到中国,对网康科技来说更是难得的机遇。袁沈钢发表了题为“云计算对合规性及网络质量的挑战”的主题演讲,并参加了信息安全创业者圆桌论坛。

  之前,中国的学术机构一直无缘亮相美国的RSA Conference。这次在中国召开的RSA大会,亮点之一便是国内学术机构集体亮相。中国电子学会、中国科学院、北京大学、清华大学、复旦大学、武汉大学均派出代表参与活动并发表演讲。

  清华大学计算机系教授、博士生导师郑纬民在接受记者采访时表示,清华大学做了一个存储云(就是一个数据中心),让个人用户、集团用户、公共用户存储数据。在他看来,做好两件事就实现了安全。首先是数据别丢失;其次是数据不能让别人看,不能让别人拿走。对于第二件事情,郑纬民和他的团队采取了如下措施:1、基于交换机实现访问控制,对用户进行权限管理。2、数据加密后再放入存储云,或者传输的时候加密。3、存储云本身的安全。清华大学和复旦大学、华东科技大学、EMC一起开发了“道里系统”,该系统可以防止系统管理员看到用户的数据。4、可追溯。用户访问数据的时候,整个操作过程都被记录下来,有案可查。现在,这个存储云已经是一个比较让人放心的“云”。

  回顾本次中国RSA大会,科维洛的观点颇具代表性。他表示,在中国RSA大会召开前一周,欧洲的RSA大会刚刚结束。两个会议的话题基本相同,但欧洲的会议偏商业性,而中国的会议更加偏重技术性。另外,他看好中国RSA大会的前景。他举例说,尽管从十年前开始,日本每年都举办RSA信息安全大会,但是到今天为止仍然是一个只有日本本土人员参加的会议。中国是亚洲第二个举办RSA大会的国家,在未来,科维洛相信中国RSA大会将吸引新加坡、马来西亚等更多周边国家的有关人士来参与,成为亚洲的安全盛会。

  OWASP 2010:中国味更浓

  OWASP 2010中国峰会有一点和RSA大会2010信息安全国际论坛相同,那就是二者都是第一次在中国举办。不过,由于有着美国RSA Conference的强大背景,中国RSA大会的风头盖过了OWASP 2010中国峰会。但是,凭借着自己的鲜明特色,OWASP 2010中国峰会也获得了圆满成功。

  OWASP(Open Web Application Security Project,)的中文名称是“开放式Web应用程序安全项目”,从这个名称可以看出这是一个专注于Web应用程序安全的组织,所以OWASP 2010中国峰会抓住并突出这一点,以“大融合时代应用安全”为主题,围绕Web应用安全的相关领域,在“应用安全威胁”、“安全开发流程”、“代码安全”、“安全测试(渗透测试)”、“各行业应用安全需求及技术”等多个方面开设了培训和演讲专题。OWASP基金会全球董事会董事Brennan表示,OWASP有一个宏伟的目标,就是帮助所有的软件开发者设计更安全的代码,构建更可靠的Web环境。

  与中国RSA大会相比,记者感到OWASP 2010中国峰会的中国味道更浓。除了微软、梭子鱼等几家国外企业之外,公安部、中科院、中国信息安全测评中心、中国互联网信息中心、安恒信息、启明星辰、谷安天下、神州数码、华为、中兴、阿里巴巴、携程、盛大等大量国内企事业单位均积极参与了峰会。

  目前,国内企业受到的攻击有80%来自内部,而来自外部的20%的攻击中,有85%的攻击是SQL注入、跨站脚本(CSS/XSS)等攻击。所以Web安全越来越受到重视。对于这种安全状况,神州数码Web监控系统产品经理陈克军在与记者的交流中表示,国内安全厂商已经推出合适的产品来保护用户的Web应用安全。

  神州数码目前可以提供Web实时监控与检测的产品和服务。该硬件产品主要具有四大功能:1、网页挂马检测。2、网站存活监控。3、关键字检测。4、域名劫持防御。最近神州数码的Web实时监控与检测的产品在江苏经信委中标,主要就是提供关键字检测的能力,防止Web页面被非法篡改。硬件产品的优势在于,检测速度快,每小时可以检测上万个页面,并且可以深达10层页面且准确率达到99%。目前,神州数码重点开拓政府和军队这两个行业。

  虽然Web实时监控与检测产品可以在很大程度上解决网页安全,但它还有不足之处,那就是只注重检测,防御的功能比较少,所以神州数码下一步将推出Web应用防火墙(WAF)。陈克军认为WAF仍处在市场培育期,还有大量的市场机会有待神州数码去挖掘。

0
相关文章