“互聯(lián)網(wǎng)+”遭遇安全挑戰(zhàn)

責(zé)任編輯:editor004

作者:李含

2015-06-10 11:29:34

摘自:法治周末

5月27日,因杭州市政道路建設(shè)導(dǎo)致網(wǎng)絡(luò)光纜被挖斷,支付寶一度出現(xiàn)無法正常使用的情況,耗時(shí)兩個(gè)小時(shí)才逐漸恢復(fù)正常。落紅衛(wèi)認(rèn)為,對(duì)于工業(yè)控制的傳統(tǒng)企業(yè)而言,防范信息安全,需要注意兩個(gè)層面:“一個(gè)是‘監(jiān)視’,另一個(gè)是‘控制’,合起來就是通常所說的‘監(jiān)控’。

原題:支付寶斷網(wǎng)引擔(dān)憂

“互聯(lián)網(wǎng)+”遭遇安全挑戰(zhàn)

“什么互聯(lián)網(wǎng)+、工業(yè)4.0、大數(shù)據(jù)……都頂不住傳統(tǒng)行業(yè)一鏟子!”

5月27日,因杭州市政道路建設(shè)導(dǎo)致網(wǎng)絡(luò)光纜被挖斷,支付寶一度出現(xiàn)無法正常使用的情況,耗時(shí)兩個(gè)小時(shí)才逐漸恢復(fù)正常。

這一事件的發(fā)生,在招來大量網(wǎng)友調(diào)侃之余,也引發(fā)了更深層次的思考:現(xiàn)如今,當(dāng)互聯(lián)網(wǎng)深刻影響人們正常生活的背景下,我們究竟面臨著哪些挑戰(zhàn),需要怎樣的信息安全保障?

當(dāng)“互聯(lián)網(wǎng)+”上升為國(guó)家戰(zhàn)略之時(shí),當(dāng)眾多傳統(tǒng)企業(yè)發(fā)力實(shí)施向“互聯(lián)網(wǎng)+”轉(zhuǎn)型之際,這著實(shí)是一個(gè)需要認(rèn)真對(duì)待的問題。

異地多活發(fā)揮關(guān)鍵作用

此次支付寶受到光纜被挖斷影響后,阿里巴巴采取的“異地多活”系統(tǒng)架構(gòu),無意之間火了一把。

當(dāng)我們?cè)俅螌⒛抗饩劢勾舜问录蠒r(shí),可以發(fā)現(xiàn)一個(gè)值得回味的現(xiàn)象:被挖斷的光纜,耗時(shí)4個(gè)多小時(shí)才被修好,而支付寶的服務(wù),僅兩個(gè)小時(shí)就恢復(fù)了正常。

這意味著,支付寶的相關(guān)服務(wù),能夠在一定程度上抵御網(wǎng)絡(luò)信號(hào)在物理傳輸上的中斷。

支付寶在其聲明中指出,支付寶的異地多活系統(tǒng)架構(gòu)在此次意外中發(fā)揮了巨大作用,沒有因光纜被挖斷而影響全部用戶,并且緊急將故障機(jī)房的流量切換至了其他機(jī)房。

“為了應(yīng)對(duì)故障的發(fā)生,很多企業(yè)都會(huì)進(jìn)行容災(zāi)備份(以下簡(jiǎn)稱“災(zāi)備”)。傳統(tǒng)意義上的災(zāi)備,只是為了保證數(shù)據(jù)不會(huì)丟失,但這種觀點(diǎn)已經(jīng)過時(shí)了。”阿里安全部技術(shù)副總裁杜躍進(jìn)說。

杜躍進(jìn)告訴法治周末記者,按照傳統(tǒng)災(zāi)備的定義,只是對(duì)相關(guān)的數(shù)據(jù)多了一份存檔,卻并未考慮第一時(shí)間恢復(fù)相關(guān)服務(wù);但是,從發(fā)生問題到解決問題的很長(zhǎng)時(shí)間內(nèi),即便數(shù)據(jù)沒有丟失,也會(huì)因?yàn)榉?wù)無法開展而對(duì)用戶造成很大的影響,甚至損失。

法治周末記者了解到,所謂異地多活的系統(tǒng)架構(gòu),其特點(diǎn)就是在不同地點(diǎn)的數(shù)據(jù)中心都可以同時(shí)支持業(yè)務(wù),而且每個(gè)地點(diǎn)發(fā)生的交易都是真實(shí)業(yè)務(wù)流量。

“傳統(tǒng)災(zāi)備中的備份系統(tǒng),都不處于真實(shí)的交易活動(dòng)狀態(tài),所以很難判斷它的狀態(tài)到底怎么樣,在出現(xiàn)問題時(shí),都不一定敢切過去。”一位安全行業(yè)人士介紹說。

而在異地多活系統(tǒng)中,不同數(shù)據(jù)中心之間是能夠自由切換的,如果一個(gè)數(shù)據(jù)中心受到影響而無法正常工作,完全可以切換到其他不受影響的數(shù)據(jù)中心繼續(xù)提供服務(wù)。

杜躍進(jìn)認(rèn)為,異地多活系統(tǒng)就是為了應(yīng)對(duì)自然、地質(zhì)災(zāi)害等物理?yè)p害,即便某些數(shù)據(jù)中心遭遇通信、供電系統(tǒng)被切斷,也能夠保證相關(guān)服務(wù)的正常開展;而且,這種異地多活系統(tǒng),在技術(shù)上可以做到無縫銜接、甚至讓用戶感受不到異樣。

而此次支付寶在系統(tǒng)切換上耗費(fèi)了兩個(gè)小時(shí),據(jù)支付寶方面透露,原因在于支付寶作為一個(gè)金融系統(tǒng),對(duì)切換中數(shù)據(jù)與資金安全性的要求極高,因此切換速度上沒有做到更快;今后支付寶也會(huì)不斷提升切換速度。

杜躍進(jìn)向法治周末記者介紹,淘寶也曾受到過此類通信光纜被挖的影響,不過淘寶用戶就基本沒有感覺到服務(wù)的異常,同樣也是異地多活系統(tǒng)的功勞,實(shí)現(xiàn)了在淘寶上幾乎無縫切換,“這種異地多活系統(tǒng),除了阿里之外,目前全球也就Google和Facebook可以實(shí)現(xiàn)”。

“光纜被挖斷可能并不能完全杜絕,但對(duì)于支付寶而言,會(huì)繼續(xù)推進(jìn)技術(shù)的升級(jí)改造,繼續(xù)完善異地多活的系統(tǒng)架構(gòu)。未來,即使再次出現(xiàn)光纜被挖斷等意外情況,我們進(jìn)行異地切換時(shí),也盡量做到讓用戶最小感知甚至無感知。”支付寶在其聲明中表示。

注意“監(jiān)視”與“控制”問題

正如網(wǎng)民所調(diào)侃的那樣,作為我國(guó)最大的互聯(lián)網(wǎng)上市企業(yè),阿里巴巴在遇到類似光纜被挖斷的事件時(shí),也難免受到安全性的影響。

而在支付寶所遇到的問題發(fā)生后不久,攜程網(wǎng)、招商證券系統(tǒng)都遭遇了系統(tǒng)故障,大面積服務(wù)的癱瘓,讓人們因網(wǎng)絡(luò)安全而緊張的情緒,再一次繃緊。

接二連三的信息安全事件發(fā)生,不禁讓人疑慮:當(dāng)“互聯(lián)網(wǎng)+”戰(zhàn)略在全國(guó)各行各業(yè)內(nèi)如火如荼地開展時(shí),并不擁有頂尖網(wǎng)絡(luò)技術(shù)的傳統(tǒng)企業(yè),會(huì)遇到類似的挑戰(zhàn)么?

中國(guó)信息通信研究院泰爾終端實(shí)驗(yàn)室信息安全部副主任落紅衛(wèi)認(rèn)為,首先應(yīng)當(dāng)明確的是信息安全界定,對(duì)于信息安全的理解,更多時(shí)候都要放在特定的情境之中。

“狹義地來看,信息安全特指信息內(nèi)容本身的安全性;而廣義地來看,信息安全也包括網(wǎng)絡(luò)安全,例如信息基礎(chǔ)設(shè)施的安全。比如此次支付寶因光纜被挖斷而無法正常使用的情況,從廣義上來看是信息安全問題。”落紅衛(wèi)說。

落紅衛(wèi)認(rèn)為,對(duì)于工業(yè)控制的傳統(tǒng)企業(yè)而言,防范信息安全,需要注意兩個(gè)層面:“一個(gè)是‘監(jiān)視’,另一個(gè)是‘控制’,合起來就是通常所說的‘監(jiān)控’。”

落紅衛(wèi)介紹,在監(jiān)視層面,主要會(huì)影響到機(jī)密性,例如相關(guān)數(shù)據(jù)信息的泄露,但這并不是最令人擔(dān)憂的問題。

“對(duì)于傳統(tǒng)企業(yè)而言,特別是工業(yè)領(lǐng)域,最可怕的威脅來自于控制層面的安全問題。”落紅衛(wèi)說,“控制層面的安全,會(huì)影響到企業(yè)經(jīng)營(yíng)、生產(chǎn)的完整性、可用性,比如通過控制層面修改某些生產(chǎn)環(huán)節(jié)至關(guān)重要的參數(shù),引發(fā)的后果將不堪設(shè)想。”

作為安全廠商,啟明星辰首席戰(zhàn)略官潘柱廷提出,當(dāng)“互聯(lián)網(wǎng)+”遇到安全問題時(shí),就不是加法的關(guān)系了,而是一個(gè)乘法的關(guān)系:“如果企業(yè)在安全防范上做得不好,就會(huì)給我們現(xiàn)有的業(yè)務(wù)進(jìn)行一次乘法:安全系數(shù)如果是零點(diǎn)幾,就會(huì)讓這家企業(yè)的業(yè)務(wù)大量萎縮;而如果安全系數(shù)是一個(gè)負(fù)數(shù),那么企業(yè)此前大量積累的業(yè)務(wù)、數(shù)據(jù),甚至可能變成一種災(zāi)害。”

國(guó)家互聯(lián)網(wǎng)應(yīng)急中心運(yùn)行部副處長(zhǎng)李佳也認(rèn)為,在“互聯(lián)網(wǎng)+”的大背景下,數(shù)據(jù)是企業(yè)的核心資產(chǎn),但也是網(wǎng)絡(luò)攻擊的首要目標(biāo)。傳統(tǒng)企業(yè)面臨轉(zhuǎn)型時(shí),在網(wǎng)站或APP應(yīng)用上的開發(fā)經(jīng)驗(yàn)不足,安全意識(shí)和水平不夠,網(wǎng)站服務(wù)器訪問控制機(jī)制較弱,導(dǎo)致黑客能夠利用系統(tǒng)上的漏洞對(duì)服務(wù)器發(fā)起攻擊,從而輕易獲得服務(wù)器中所有信息,造成數(shù)據(jù)泄露。

“例如,2014年我國(guó)多家知名電商、快遞公司、招聘網(wǎng)站、考試報(bào)名網(wǎng)站等發(fā)生數(shù)據(jù)泄露事件。5月中旬,工業(yè)和信息化部處理了一起某知名手機(jī)廠商論壇數(shù)據(jù)泄露事件,原因是該論壇使用的用戶管理模塊存在漏洞,導(dǎo)致包括賬號(hào)、密碼和社交賬號(hào)等800萬條用戶信息泄露。”李佳告訴法治周末記者。

面對(duì)這樣的挑戰(zhàn),李佳建議,網(wǎng)絡(luò)安全防范工作是一個(gè)系統(tǒng)、復(fù)雜的工程,需要將技術(shù)與管理兩方面結(jié)合起來進(jìn)行綜合、全面的規(guī)劃和設(shè)計(jì)。

“在技術(shù)方面,應(yīng)部署身份認(rèn)證、訪問控制、入侵檢測(cè)、防火墻、日志審計(jì)、容災(zāi)備份等安全保護(hù)措施,并定期對(duì)系統(tǒng)進(jìn)行漏洞掃描等安全性檢測(cè)。在管理方面,一是要加強(qiáng)對(duì)內(nèi)部工作人員網(wǎng)絡(luò)安全意識(shí)的教育和管理,二是要有針對(duì)性的制定各種規(guī)章制度。”李佳說。

照搬安全系統(tǒng)并不可行

面對(duì)新形勢(shì)下的信息安全問題,眾多轉(zhuǎn)型“互聯(lián)網(wǎng)+”的企業(yè),尋求通過外界的幫助,來構(gòu)建一整套安全系統(tǒng)。大量的市場(chǎng)需求,也帶動(dòng)了企業(yè)級(jí)系統(tǒng)安全廠商的發(fā)展。

在6月1日啟動(dòng)的第二屆國(guó)家網(wǎng)絡(luò)安全宣傳周上,法治周末記者看到,諸如阿里巴巴、騰訊、360、啟明星辰等公司紛紛搭臺(tái),展示了面向企業(yè)用戶的安全解決方案。

然而,在中科院信息工程研究所高級(jí)工程師仇新梁看來,盡管有著外部安全廠商專門解決企業(yè)遇到的信息安全難題,但實(shí)際上,問題的根源還是要從企業(yè)內(nèi)部挖起。

“向‘互聯(lián)網(wǎng)+’轉(zhuǎn)型的傳統(tǒng)企業(yè),實(shí)際上都是看中了互聯(lián)網(wǎng)能夠帶來的成本降低以及效率、服務(wù)質(zhì)量的提升。但是,這些企業(yè)很多都沒有從意識(shí)中建立信息安全的觀念,就上馬‘互聯(lián)網(wǎng)+’戰(zhàn)略,進(jìn)而導(dǎo)致信息安全問題十分突出。”仇新梁說。

仇新梁提醒,“互聯(lián)網(wǎng)+”只是一種轉(zhuǎn)型,并不會(huì)創(chuàng)造很多新的問題,只不過是一些此前從未遇到過此類問題的企業(yè),在面臨這些問題時(shí)應(yīng)當(dāng)如何應(yīng)對(duì)。

“即便有安全廠商能夠提供安全服務(wù),一家企業(yè)也應(yīng)當(dāng)做好自身內(nèi)部安全保障機(jī)制和措施的建設(shè)。”仇新梁說。

杜躍進(jìn)強(qiáng)調(diào),目前最大的問題,實(shí)際上是傳統(tǒng)企業(yè)并不真正重視互聯(lián)網(wǎng)中的安全問題:“表面上看大家都很重視信息安全問題、天天都在講信息安全,也有很大的投入,但要是沒搞明白新環(huán)境下的安全究竟應(yīng)當(dāng)如何保護(hù)的話,這些投入再大都是沒有意義的。”

杜躍進(jìn)認(rèn)為,“互聯(lián)網(wǎng)+”的背景使得傳統(tǒng)生產(chǎn)模式互聯(lián)網(wǎng)化、線上線下領(lǐng)域疊加、環(huán)節(jié)越來越多、相關(guān)服務(wù)的快速迭代等情況出現(xiàn),讓很多安全問題本身復(fù)雜化了。

“僅僅靠一套系統(tǒng)、單點(diǎn)進(jìn)行安全保護(hù),對(duì)于當(dāng)下的環(huán)境而言,是遠(yuǎn)遠(yuǎn)不夠的。”杜躍進(jìn)說,“我們需要一整套生態(tài)系統(tǒng)、一整套鏈條來保障‘互聯(lián)網(wǎng)+’時(shí)代背景下的信息安全,而不僅僅是照搬一套安全系統(tǒng)、架構(gòu)來使用的問題。”

“安全問題”成不正當(dāng)競(jìng)爭(zhēng)新手段

傳統(tǒng)企業(yè)在向“互聯(lián)網(wǎng)+”轉(zhuǎn)型時(shí)應(yīng)當(dāng)提升對(duì)信息安全的認(rèn)識(shí)、真正理解新時(shí)代所面臨的問題與挑戰(zhàn),落紅衛(wèi)也提醒,企業(yè)在做好自身安全防范的同時(shí),也要量力而行,考慮在安全領(lǐng)域上的投入、產(chǎn)出性價(jià)比。

“首先要明確的是,網(wǎng)絡(luò)世界中并沒有絕對(duì)的安全。要是一家企業(yè)想把信息安全做到極致,投入可能是十分巨大的,這實(shí)際上會(huì)造成資源的浪費(fèi)。”落紅衛(wèi)指出。

落紅衛(wèi)建議,企業(yè)在考慮如何保障“互聯(lián)網(wǎng)+”轉(zhuǎn)型過程中的信息安全,要充分評(píng)估保護(hù)對(duì)象的社會(huì)價(jià)值和經(jīng)濟(jì)價(jià)值,相關(guān)投入一定要和自身的價(jià)值、重要性相匹配,找到最具性價(jià)比的做法,讓安全措施在最大限度內(nèi)發(fā)揮有效作用即可。

另外,仇新梁還提到,傳統(tǒng)企業(yè)在實(shí)施“互聯(lián)網(wǎng)+”戰(zhàn)略過程中,也要提防傳統(tǒng)行業(yè)之間的競(jìng)爭(zhēng)延伸到互聯(lián)網(wǎng)上,利用安全問題來做不正當(dāng)競(jìng)爭(zhēng)的文章。

“由于安全的重要性,一家企業(yè)在遭遇安全事件時(shí),往往會(huì)對(duì)企業(yè)的聲譽(yù)產(chǎn)生極大的負(fù)面影響,也會(huì)讓企業(yè)未來的‘互聯(lián)網(wǎng)+’之路舉步維艱。”仇新梁說,“現(xiàn)實(shí)中,利用網(wǎng)絡(luò)攻擊制造安全事件,并通過輿論施壓、抹黑競(jìng)爭(zhēng)對(duì)手的情況不在少數(shù)。”

而這些情況一旦發(fā)生,對(duì)于上市企業(yè)而言,很有可能被做空勢(shì)力利用,進(jìn)而造成股價(jià)下跌等一系列后果。

“也有一些網(wǎng)站以曝光企業(yè)系統(tǒng)中的漏洞為由,尋求企業(yè)‘贊助’,這種現(xiàn)象也值得關(guān)注。”仇新梁指出。

李佳認(rèn)為,隨著“互聯(lián)網(wǎng)+”戰(zhàn)略的實(shí)施,我國(guó)迫切需要在以下方面制定政策或法律:“一是出臺(tái)國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略,加強(qiáng)網(wǎng)絡(luò)安全頂層設(shè)計(jì);二是制定關(guān)鍵信息基礎(chǔ)設(shè)施產(chǎn)品與服務(wù)安全審查制度,加強(qiáng)關(guān)鍵基礎(chǔ)設(shè)施保護(hù);三是制定個(gè)人信息保護(hù)、數(shù)據(jù)保護(hù)、網(wǎng)絡(luò)安全行為準(zhǔn)則等法律法規(guī),治理互聯(lián)網(wǎng)惡意競(jìng)爭(zhēng)、凈化網(wǎng)絡(luò)環(huán)境。”

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)