网络安全 频道

ISC 2020 杜跃进:无安全,不信创

  进入2020年,在复工复产、“新基建”全面启动的背景下,各地信创项目开始大面积铺开,信创产业也随之出现了一个现象级的风口,其必将迎来新的发展与挑战。

  恰逢其时,全球首场网络安全万人云峰会 ISC 2020 正式启幕,打破了线上线下的空间桎梏,汇聚全球豪杰,全球顶级安全智囊、专家、学者共同探讨“数字孪生时代下的新安全”解决之道,迸发出网络安全领域新对话、新探讨与新碰撞,为全球万千参会者打造永不闭幕的升级交流体验。

图片1.jpg

  在ISC 2020信创安全论坛上,360首席安全官杜跃进从攻防角度,全局视角,纵观信创产业发展全局,强调“无安全,不信创”,指出信创安全面临的三大挑战、五大问题的同时,提出要以攻防视角、整体思维、统一调度、开放运营、能力驱动的全新思路,构建可信的、安全的、可控的、可对抗的、可存活的信创安全体系。

  信创产业全面启航

  信创安全面临严峻挑战

  众多数据显示,“信创”这个风口,将是一个万亿级的市场,对于网络安全产业来说,既是机遇,也是挑战。

  360首席安全官杜跃进指出,信息技术应用创新是必然之路,在软件定义一切、万物互联、数据驱动业务的网络世界里,信创的大规模应用将迅速扩大攻击者可利用的攻击面,信创安全面临三方面严重挑战:

图片2.jpg

  自身弱。每一个软件和系统都可能有漏洞,由于信创产业的厂商、产品和人员目前都没有经历过全世界网络安全人员的挑战,全面的信息技术应用创新,将导致信创系统处于相对脆弱的阶段。

  对手强。“人间熙熙皆为利来,人之攘攘皆为利往”。互联网刚刚出来的时候,网络攻击者的动机以技术挑战为主,没有太多的利益考虑。但是,随着网络上开展的业务越来越多,网络攻击带来的利益日趋“诱人”,网络空间里的对手越来越强,单纯的网络攻击逐渐演变成获取非法利益的手段。随着信创的发展,未来关键基础实施、重要信息系统,业务都依赖软件、网络、数据作为基础,攻击者的攻击能力越来越强,信创安全将会面临更多且更强的对手。

  动机多。未来,网络安全还会面临越来越复杂的动机。不仅仅是利益驱动,直接对金融机构进行攻击获利等,还会吸引更高级的网络攻击团伙、恐怖组织以及具有国家背景的攻击团伙,他们都有可能对网络空间不同的攻击目标,使用不同的攻击手法,达到个人或国家级别的目的。

  与此同时,信创安全本身还面临着:认知偏差、能力不足、积累不足、实战不足四大问题。

  认知偏差。要清醒的认识到自己的并不等于安全的,安全产品不等于安全能力。

  能力不足。安全本质上是能力之间的对抗,在信创的安全能力领域里仍有安全测试与验证、安全开发与设计、漏洞发现与管理、威胁发现于应对、安全大数据应用等方面能力的不足。

  积累不足。能力都不是一蹴而就的,需要长期积累。目前在信创安全领域,攻防经验、威胁情报、安全知识库、安全大数据和安全专家各方面目前的积累不足。

  实战不足。首先是产品、用户和业务都未曾经受全球考验,其次是安全管理方面长期存在“捂盖子”的现象。只有揭开“捂盖子”的现象,通过发现问题不断总结、不断改进,才是应对安全挑战的正确道路,信创才能安全发展。

图片3.jpg

  基于此,杜跃进提出“无安全,不信创“,一味照搬过去的安全思维和方法,无法解决当下信息技术应用创新所面临的安全问题,信创安全需要全新的思路。

  机遇与挑战并存

  信创安全体系设计需要新思路

  网络安全和信息化是“一体之两翼,驱动之双轮”,安全作为信创发展的“基石”,需要同步规划、同步建设。

  杜跃进提出信创安全体系设计的五大指导思想:

  其一,需以攻防视角进行体系设计,网络安全的本质是攻防对抗,因此需要抓住本质,从攻防的视角进行安全设计、运营和检验。

  其二,需要整体思维,鉴于主要对手能力远超于我们,而我方基础薄弱、积累不足,任何单独的产品或者用户部门,都不可能有效应对这类威胁。由于攻防的不对称性,要充分利用来自各方的资源与力量,使其相互响应与配合,以实现有效防御。

  其三,需要统一调度,为了确保安全体系设计落实到位,特别是保障在运行阶段的攻防对抗能力,需要以统一调度的方式来运转整个安全体系。。

  其四,需要开放运营,信创体系的运行环境是开放的,攻击者通常会选择最弱,最有价值的目标进行攻击。对于防御方来说,通过开放运营才能让更好的安全能力接入,才能集中所有力量有效抵御威胁。

  最后,需要能力驱动,安全防护的最终效果,由实战的能力决定。合规作为基本要求,还需要以能力的提升、能力的检验为核心,多测多练。只有具备了对抗抵御威胁的能力,才能确保信创安全。

  “在这样的指导思想下,整个信创安全的目标可以分为五个层面。”杜跃进表示,第一层基础目标是“可信的”,可信的基础之上是”安全的”。由于漏洞永远无法消除,系统总是可能会被入侵,第三层的目标是增强被入侵之后对攻击事件的”可控性”。第四层是增强安全威胁溯源、取证、慑阻等”可对抗的”能力。基于以上四个层次的目标,第五层目标是增强核心业务“可存活的“能力,守住网络安全最后的“底线“。

图片4.jpg

  落地信创安全体系建设更加势在必行。截止目前,各信创安全厂商已逐步推进了终端安全、安全性测试、漏洞管理、安全开发、安全挑战、数字证书等方面的工作。未来还有更多的工作需要安全行业共同参与,互相配合,才有可能解决信创安全面临的问题。

  杜跃进呼吁希望更多的安全企业参与到信创安全的工作之中,以确保国家信息化建设目标的实现。

0
相关文章