上海社會(huì)科學(xué)院信息研究所、中國信息通信研究院安全研究所及社會(huì)科學(xué)文獻(xiàn)出版社今天上午聯(lián)合發(fā)布《網(wǎng)絡(luò)空間安全藍(lán)皮書：中國網(wǎng)絡(luò)空間安全發(fā)展報(bào)告(2016)》。藍(lán)皮書指出，新形勢下我國網(wǎng)絡(luò)空間安全威脅日益嚴(yán)峻，大型互聯(lián)網(wǎng)商業(yè)平臺安全事故呈現(xiàn)高發(fā)態(tài)勢，針對個(gè)人數(shù)據(jù)的網(wǎng)絡(luò)犯罪呈現(xiàn)組織化和產(chǎn)業(yè)化的特征，一系列重大安全事件仍然頻發(fā)并呈現(xiàn)典型特征。網(wǎng)絡(luò)黑產(chǎn)已從半公開化的純攻擊模式轉(zhuǎn)化為斂財(cái)工具和商業(yè)競爭手段，已經(jīng)形成跨平臺、跨行業(yè)的集團(tuán)犯罪鏈條。報(bào)告顯示，從2015年下半年到2016年上半年，我國網(wǎng)民因垃圾信息、詐騙信息、個(gè)人信息泄露等遭受的經(jīng)濟(jì)損失高達(dá)915億元。
網(wǎng)絡(luò)空間安全面臨著四大威脅
一是國家級重要信息系統(tǒng)和關(guān)鍵基礎(chǔ)設(shè)施成為跨國網(wǎng)絡(luò)攻擊的主要目標(biāo)。2015年5月29日，360公司“天眼實(shí)驗(yàn)室”發(fā)布報(bào)告曝光專門攻擊中國政府的境外黑客組織“海蓮花”（Ocean Lotus）。該組織自2012年4月以來，針對中國政府、海事機(jī)構(gòu)、海域建設(shè)部門等展開了長時(shí)間的高級持續(xù)性威脅（APT）攻擊，這也是國內(nèi)首次披露來自境外的國家級黑客組織。
二是大型互聯(lián)網(wǎng)平臺安全事故頻發(fā)且影響重大。2015年5月27日，國內(nèi)最大的網(wǎng)絡(luò)支付平臺支付寶出現(xiàn)網(wǎng)絡(luò)故障癱瘓兩個(gè)小時(shí)；2015年5月28日，國內(nèi)最大的在線旅游平臺攜程遭遇全線癱瘓并創(chuàng)下了國內(nèi)互聯(lián)網(wǎng)公司系統(tǒng)癱瘓12小時(shí)的新紀(jì)錄。上述平臺級安全事故對我國廣大用戶乃至社會(huì)經(jīng)濟(jì)運(yùn)行造成重大影響。
三是數(shù)據(jù)泄漏事件頻發(fā)，網(wǎng)絡(luò)黑產(chǎn)規(guī)模驚人。自2015年以來，數(shù)據(jù)泄露事件頻頻曝光，包括機(jī)鋒網(wǎng)被曝泄2300萬用戶信息、網(wǎng)易郵箱過億用戶數(shù)據(jù)泄露、涉及數(shù)千萬用戶信息的社保系統(tǒng)被發(fā)現(xiàn)大量高危漏洞，用戶信息可能遭到泄露、以及徐玉玉因數(shù)據(jù)泄漏遭電信詐騙事件引發(fā)了全社會(huì)的關(guān)注。
四是新技術(shù)發(fā)展推動(dòng)網(wǎng)絡(luò)攻擊方式的創(chuàng)新和升級。2015年9月，蘋果Xcode開發(fā)鏈被污染事件曝光，包括微信、網(wǎng)易云音樂、高德地圖、滴滴出行、鐵路12306甚至一些銀行手機(jī)應(yīng)用均受影響，蘋果應(yīng)用商店超過3000個(gè)應(yīng)用被感染。該事件采用了非官方供應(yīng)鏈（工具鏈）污染的方式，顛覆了傳統(tǒng)惡意代碼傳播方式的固化思維，反映出我國互聯(lián)網(wǎng)廠商研發(fā)“野蠻生長”、安全意識低下的現(xiàn)狀。2015年11月，浙江警方偵破黑客租用阿里云服務(wù)器“撞庫”導(dǎo)致淘寶數(shù)據(jù)泄露也是一種全新的網(wǎng)絡(luò)攻擊形態(tài)，已引起云平臺運(yùn)營者和主管部門的高度重視。
移動(dòng)安全形勢依然嚴(yán)峻
藍(lán)皮書指出，2015年，隨著短信攔截木馬、色情軟件傳播惡意廣告、鎖屏勒索、流氓推廣等黑色產(chǎn)業(yè)的發(fā)展和日趨成熟，以及ROM植入樣本、利用漏洞提權(quán)樣本的大量出現(xiàn)，惡意代碼更是大量利用加固手段，給惡意代碼檢測帶來了嚴(yán)重挑戰(zhàn)。隨著“寄生獸”這種通用App更新機(jī)制漏洞，以及媒體庫Stagefright系列漏洞的出現(xiàn)，Android平臺已然千瘡百孔；隨后更出現(xiàn)了百度SDK WormHole漏洞，影響了大量App和數(shù)億用戶，Android安全形勢遠(yuǎn)比想象的嚴(yán)峻。2016年，隨著“互聯(lián)網(wǎng)+”的概念深入人心，大量傳統(tǒng)企業(yè)引入互聯(lián)網(wǎng)相關(guān)資源并進(jìn)行改革，移動(dòng)互聯(lián)網(wǎng)得到更加高速發(fā)展的同時(shí)，威脅形態(tài)日益泛化，威脅目標(biāo)更具針對性，資產(chǎn)損失可能會(huì)更加慘重。
從移動(dòng)端系統(tǒng)平臺來看，Android平臺將會(huì)繼續(xù)出現(xiàn)多樣化、更加成熟化的勒索木馬程序，流氓惡意推廣軟件繼續(xù)更加規(guī)模化的發(fā)展，會(huì)出現(xiàn)大量黑色產(chǎn)業(yè)利用泄露的用戶隱私數(shù)據(jù)，進(jìn)行更加精細(xì)化的滲透和攻擊的情景，Android系統(tǒng)將會(huì)被披露出大量的安全漏洞。伴隨iOS應(yīng)用和開發(fā)者的進(jìn)一步增加，iOS有迎來更大規(guī)模的移動(dòng)惡意代碼爆發(fā)的可能性。
從用戶隱私泄露來看，通過偽基站和釣魚網(wǎng)站、網(wǎng)站被脫庫攻擊等相關(guān)手段仍然會(huì)導(dǎo)致大量用戶的通信錄、郵箱、社交賬號、互聯(lián)網(wǎng)金融類賬號和身份信息等隱私不同程度的泄露并被地下黑色產(chǎn)業(yè)利用。更具針對性、更系統(tǒng)化的攻擊手段和威脅模式將是未來對移動(dòng)安全不小的挑戰(zhàn)。
從其他方面來看，針對不同類型的物聯(lián)網(wǎng)和智能家居的木馬程序可能會(huì)逐漸增多，并且木馬程序進(jìn)入智能設(shè)備的途徑也會(huì)不斷豐富多樣。在傳統(tǒng)互聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等多網(wǎng)融合背景下，統(tǒng)一的安全模型會(huì)受到更大的挑戰(zhàn)，泛化威脅下的防御體系需要升級。