首頁 > 關(guān)于我們 > 安恒動態(tài) > 2019 > 正文

ISC2019 | 關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)論壇，精彩觀點集錦

閱讀量：次

8月20日，作為ISC2019期間的重要論壇，由中國網(wǎng)絡(luò)空間安全協(xié)會主辦，三六零安全科技股份有限公司、杭州安恒信息技術(shù)股份有限公司承辦的關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)論壇，在雁棲湖國際會展中心舉行。

關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)論壇上碰撞出了哪些新觀點？又有哪些值得思考的地方？

致辭篇

未來，我認(rèn)為關(guān)鍵信息基礎(chǔ)設(shè)施安全應(yīng)該把“信息”去掉。過去，我們一直講關(guān)鍵信息基礎(chǔ)設(shè)施安全，是因為在銀行、金融等行業(yè)IT系統(tǒng)至關(guān)重要。但隨著數(shù)字化發(fā)展，基礎(chǔ)設(shè)施都可能全部信息化、數(shù)字化，我們需要考慮關(guān)鍵技術(shù)設(shè)施在全面數(shù)字化時代面臨的安全威脅。

（圖：杜躍進(jìn)? 副理事長中國網(wǎng)絡(luò)空間安全協(xié)會）

分辨持續(xù)發(fā)生的安全威脅，不斷加強(qiáng)和強(qiáng)化針對我國關(guān)鍵技術(shù)設(shè)施安全防護(hù)，是今天我們整個行業(yè)非常重要的命題。360與各行業(yè)緊密協(xié)作，主要有三點：

1、跟運營商搭建安全管理的中樞，構(gòu)建攻防的體系。

2、寄托360大網(wǎng)，助力我國的監(jiān)管機(jī)構(gòu)強(qiáng)化檢測預(yù)警的能力。

3、構(gòu)建網(wǎng)絡(luò)威脅情況共享能力。

（圖：姚彤?副總裁360集團(tuán)）

主題演講

國內(nèi)外相關(guān)實踐經(jīng)驗表明，在CII運營者的所有信息基礎(chǔ)設(shè)施中，有些網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)對保障關(guān)鍵業(yè)務(wù)持續(xù)、穩(wěn)定運行是非常關(guān)鍵的“Critical”，有些僅僅是比較重要的“Important”，甚至有一些信息設(shè)施對關(guān)鍵業(yè)務(wù)是無關(guān)緊要的“Unimportant”。將關(guān)鍵的信息基礎(chǔ)設(shè)施與其它信息基礎(chǔ)設(shè)施區(qū)分開來，是開展關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)的第一步。

保護(hù)對象不明確、保護(hù)范圍不清晰，已經(jīng)成為制約關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作的瓶頸?！盎谛畔⒘鞯年P(guān)鍵信息基礎(chǔ)設(shè)施邊界識別認(rèn)定方法”經(jīng)過實踐驗證即將出臺，將支撐關(guān)鍵業(yè)務(wù)持續(xù)、穩(wěn)定運行至關(guān)重要的網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)同運營者其它信息基礎(chǔ)設(shè)施區(qū)分開來，實施一體化重點保護(hù)。

（圖：馮燕春?理事長?中國電子商會自主可控技術(shù)委員會《CII邊界識別刻不容緩》）

我國關(guān)鍵信息基礎(chǔ)設(shè)施安全面臨的嚴(yán)峻的挑戰(zhàn)，主要包括經(jīng)濟(jì)社會對網(wǎng)絡(luò)依賴程度不斷加深、關(guān)鍵信息基礎(chǔ)設(shè)施成為網(wǎng)絡(luò)攻擊的主要目標(biāo)、新技術(shù)應(yīng)用帶來新風(fēng)險三個層面的因素。

基于以上形勢，中國網(wǎng)絡(luò)空間協(xié)會在不斷探索和站在全行業(yè)的高度調(diào)動各方力量匯集行業(yè)資源，增強(qiáng)我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)能力。

1、推動關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)的法律體系建設(shè)，不斷提升關(guān)鍵信息基礎(chǔ)設(shè)施的安全保護(hù)意識。

2、搭建關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)支撐平臺，開辟網(wǎng)絡(luò)安全產(chǎn)業(yè)的新藍(lán)海。

3、加強(qiáng)人才培養(yǎng)構(gòu)建長期系統(tǒng)完善的關(guān)鍵信息基礎(chǔ)設(shè)施、安全保護(hù)培訓(xùn)體系。

（圖：趙宏志? 副秘書長中國網(wǎng)絡(luò)空間安全協(xié)會《匯聚行業(yè)能力培育發(fā)展動能增強(qiáng)我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)能力》）

目前，網(wǎng)絡(luò)安全監(jiān)管面臨著資產(chǎn)底數(shù)不清、情況不明，安全建設(shè)分散、防御失效，安全數(shù)據(jù)過載、含義欠載，面對未知威脅、無能為力，威脅情報匱乏、攻防不對稱等問題，需要我們用正確的“三觀”來解決行業(yè)網(wǎng)絡(luò)安全監(jiān)管的難題。

1、宏觀：構(gòu)建橫縱聯(lián)通、數(shù)據(jù)共享、能力協(xié)同的網(wǎng)絡(luò)空間監(jiān)管體系

2、中觀：構(gòu)建本行業(yè)“一二三四五”的安全防護(hù)監(jiān)管體系

3、微觀：用新技術(shù)和新理念來解決新問題

包含態(tài)勢感知技術(shù)、網(wǎng)絡(luò)資產(chǎn)測繪技術(shù)、端點檢測與響應(yīng)技術(shù)（EDR）、主/被動技術(shù)融合的威脅檢測技術(shù)、高級可持續(xù)性威脅檢測技術(shù)、欺騙技術(shù)（蜜罐）、威脅情報、人工智能、大數(shù)據(jù)分析等。綜合新技術(shù)構(gòu)建多維感知、集中管控的網(wǎng)絡(luò)安全大腦。

安恒態(tài)勢感知平臺已成功應(yīng)用于網(wǎng)信行業(yè)、公安行業(yè)、行業(yè)主管單位、政企單位等，深度挖掘網(wǎng)絡(luò)安全數(shù)據(jù)、多維感知網(wǎng)絡(luò)安全態(tài)勢，建立信息通報預(yù)警機(jī)制，形成與網(wǎng)信、公安等涉網(wǎng)監(jiān)管部門平臺的協(xié)同聯(lián)動，有效落實網(wǎng)絡(luò)安全建設(shè)工作。

（圖：黃進(jìn)? 高級副總裁杭州安恒信息技術(shù)股份有限公司?《基于行業(yè)監(jiān)管場景的網(wǎng)絡(luò)安全態(tài)勢感知創(chuàng)新實踐》）

電力自動化程度非常高，針對電力發(fā)起的攻擊代價大、防護(hù)難，從關(guān)鍵基礎(chǔ)設(shè)施保護(hù)的角度來說，電力網(wǎng)絡(luò)安全的保護(hù)是一個重中之重。

電力協(xié)會提出了關(guān)鍵基礎(chǔ)設(shè)施保護(hù)CIP的系列標(biāo)準(zhǔn)，里面包含了網(wǎng)絡(luò)安全安全?，F(xiàn)在，在傳統(tǒng)的電網(wǎng)安全、設(shè)備安全、人身安全基礎(chǔ)上，納入了網(wǎng)絡(luò)安全，成為電力安全的四大安全。

電力關(guān)鍵基礎(chǔ)設(shè)施的識別，主要包含電力監(jiān)控系統(tǒng)和部分重要的管理信息系統(tǒng)，針對電力關(guān)鍵基礎(chǔ)設(shè)施的安全防護(hù)，主要從保護(hù)對象的識別、防護(hù)框架的制定、網(wǎng)絡(luò)技術(shù)的應(yīng)用這幾方面去考慮，從技術(shù)防護(hù)措施、安全管理等方面開展。針對建立監(jiān)控系統(tǒng)的防護(hù)，立體式防護(hù)體系，采用安全免疫結(jié)構(gòu)安全基礎(chǔ)安全等方面的一些技術(shù)，為我們電力監(jiān)控系統(tǒng)安全防護(hù)提供服務(wù)，加強(qiáng)全域安全監(jiān)控和應(yīng)急備用措施。

（圖：朱朝陽? 副所長中國電力科學(xué)研究院有限公司信息通信研究所《電力關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)的思考與探索》）

網(wǎng)絡(luò)沖突和攻擊成為國家間對抗的主要形式，網(wǎng)絡(luò)空間安全面臨著諸多威脅，例如勒索病毒大規(guī)模爆發(fā)、關(guān)鍵基礎(chǔ)設(shè)施被攻擊、數(shù)據(jù)泄漏等。網(wǎng)絡(luò)空間安全已上升至國家戰(zhàn)略高度，要求加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系，實現(xiàn)全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢。

隨著企業(yè)信息化的發(fā)展，受攻擊面越來越多，攻擊手段越來越復(fù)雜、隱蔽化，傳統(tǒng)的邊界防護(hù)已經(jīng)無法滿足現(xiàn)實需求，企業(yè)需轉(zhuǎn)換思路，推進(jìn)統(tǒng)一的企業(yè)網(wǎng)絡(luò)安全管控架構(gòu)，從云平臺與云應(yīng)用安全、數(shù)據(jù)全生命周期安全管控、智能運營等角度，建立全場景安全監(jiān)測與自動化響應(yīng)體系。

利用AI技術(shù)，實現(xiàn)智能檢測復(fù)雜、隱蔽攻擊，半自動化溯源、取證，對安全運維進(jìn)行流程化重組，并通過智能大腦進(jìn)行編排，實現(xiàn)自動化響應(yīng)。逐步推進(jìn)企業(yè)全網(wǎng)“安全運營、安全合規(guī)、安全態(tài)勢（監(jiān)測）、數(shù)據(jù)安全、安全審計”五大關(guān)鍵能力的集中化建設(shè)，通過內(nèi)化“安全策略統(tǒng)一、安全合規(guī)集中、安全威脅處置、安全審計標(biāo)準(zhǔn)化”的運營能力，推進(jìn)全網(wǎng)統(tǒng)一的安全管控架構(gòu)建設(shè)，保障企業(yè)全網(wǎng)的網(wǎng)絡(luò)安全。

（圖：劉博? 首席科學(xué)家杭州安恒信息技術(shù)股份有限公司《大型企業(yè)全場景安全監(jiān)測與自動化響應(yīng)體系建設(shè)》）

我國99.99%網(wǎng)站系統(tǒng)都是在使用國外CA簽發(fā)的RSA SSL證書，我國還要許多網(wǎng)站系統(tǒng)并沒有部署HTTPS，這些關(guān)鍵信息基礎(chǔ)設(shè)施尚處于不安全階段。關(guān)鍵信息基礎(chǔ)設(shè)施安全必須全面應(yīng)用密碼技術(shù)來保障，采用國產(chǎn)密碼技術(shù)的國密證書全生態(tài)應(yīng)用。

基于國密證書的全生態(tài)應(yīng)用：

1、“雙軌制 (正胎備胎一起用)”?

雙證書，雙簽名，自適應(yīng)加密算法，優(yōu)先用國密算法SM2，同時兼容RSA。

2、“單軌制 (備胎轉(zhuǎn)正)”?

時機(jī)成熟，則全部采用國密算法和國密證書。只有這樣，才能真正保障我國關(guān)鍵信息基礎(chǔ)設(shè)施的安全可控。

（圖：王高華? CTO沃通電子認(rèn)證服務(wù)有限公司《國密證書全生態(tài)應(yīng)用研究與實踐》）

近年來物聯(lián)網(wǎng)發(fā)展迅猛，有統(tǒng)計表示，到了2021年IoT終端安裝數(shù)會達(dá)到250億。IoT終端的安全需求有信任根（RoT）的實現(xiàn)、安全啟動、安全的初始化和認(rèn)證、安全的加密服務(wù)集、應(yīng)用安全保證、終端生命周期安全幾個層面。面對需求，應(yīng)該從預(yù)測、防護(hù)、檢測和響應(yīng)四個維度建設(shè)IoT終端安全體系。

預(yù)測：資產(chǎn)的可視化和管理賦能、威脅感知分析、應(yīng)用安全質(zhì)控管理

防護(hù)：Rich環(huán)境應(yīng)用保護(hù)、RLE環(huán)境應(yīng)用保護(hù)、基于SIM、SE、vSE提供信任根服務(wù)

檢測：IoT設(shè)備滲透測試、源碼安全性檢測、固件和應(yīng)用安全性檢測、硬件安全性測試

響應(yīng)：資產(chǎn)庫和漏洞威脅庫、漏洞評級、漏洞升級修復(fù)