宁家骏-我看信息安全前景

1、我看信息安全前景宁家骏()国家信息化专家咨询委员会 2007.10.8信息安全形势总体不容乐观公安部网站最近公布的全国信息网络安全状况暨计算机病毒疫情调查的结果显示，我国信息网络安全事件发生比例连续3年呈上升趋势，今年已经达到65.7，较去年上升11.7。 调查结果显示，我国信息网络安全事件的主要类型是：感染计算机病毒，收到垃圾电子邮件，遭到网络攻击和网页篡改、失密和被窃现象多有发生等。调查认为，近年来信息网络安全事件持续上升的主要原因是，随着信息化的快速发展，信息网络使用单位的安全防范意识虽有增强，但信息网络安全管理人员不足、专业素质不高，一些安全防范措施没有发挥应有作用。同时，信息安全服务

2、业发展明显滞后于信息网络发展的要求。在网络信息技术高速发展的今天，信息安全已变得至关重要。计算机系统的安全一旦遭到破坏，不仅会带来巨大经济损失，也会导致社会的混乱环境和背景近年来，我国经济社会持续快速发展发展，信息化步伐加快，在促进经济发展、调整经济结构、改造传统产业和提高人民生活质量等方面发挥了不可替代的重要作用。一方面社会经济对信息化的依赖程度越来越高，同时逐步建设和积累了一批宝贵的信息资产。 与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有发生，手段也越来越高技术化，从而对各国的主权、安全和社会稳定构成了威胁。 计算机互联网络涉及社会经济生活各个领域，并直接与世界相联，可以说是国家的一

3、个政治“关口”，一条经济“命脉”。网络与信息安全已上升为一个事关国家政治稳定、社会安定、经济有序运行和社会主义精神文明建设的全局性问题。 我国信息安全问题的突出表现病毒肆虐、黑客侵扰、系统故障等造成的经济损失呈逐年增长态势境外民运、民族分裂主义和法轮功等敌对势力利用信息通讯网络造谣诽谤、组织动员、煽动闹事和破坏；国外反华势力加大对我意识形态和文化渗透，鼓吹利用互联网推进民主和人权。不良和有害信息屡禁不止，利用信息网络技术从事犯罪活动日益猖獗，网络群体层出不穷，网上舆论传播直接影响社会稳定。通讯与信息网络上失密、泄密及窃密事件时有发生。直接影响到政府管理效率和公众形象。从鸩酒到慢药：“混合性威胁

4、”的时代已经到来根据IDC最新的调查结果，如今计算机用户面临的三项最严重的安全威胁依次是垃圾邮件、DdoS攻击和网上欺诈。与前些年安全威胁大多来自病毒和蠕虫等的大规模猛烈爆发不同，近年来各种各样的“谍件”或恶意代码开始在网上肆虐，其疯狂程度已超过了传统的病毒威胁。倘若把病毒比作剧毒的鸩酒，那么“间谍软件”就如同小说里的“慢药”，毒性更强，中毒后还不易被察觉。由于利益驱动，“间谍软件”大都采用巧妙的形式潜伏于用户的个人电脑中，它们更难被被发现，却能窃取用户宝贵个人资料，以非法获利，这就是“网上欺诈”。今天用户面对的安全威胁更复杂，经常是由多种善变的威胁组成的“混合型威胁”，包括病毒、蠕虫、间谍软

5、件、拒绝服务攻击等。网络安全问题正日益严峻。Threat EvolutionMulti and Blended attacks are now a common practice.Email is the most common delivery mechanism.The motive and intent is changingMoving from notoriety to financial gain.Theft of financial and personal information.Traditional security isnt enoughMalicious code ex

6、posing confidential data has increased significantly影响当今信息安全的几种趋势趋势一信息将比以往更有价值 政府和企业通过信息化，大幅提高了工作效率。各类组织的数据库成了最有价值的资产。 信息在控制接入方面同样具有价值，例如，签署契约，用户鉴定对于维护社会稳定、执法工作中的追踪罪犯，搜集证据等方面也极具价值。 趋势二网络成为关键的基础设施网络再不经意之间，已经成了各类业务应用系统最关键的基础设施，但这并不是各类组织机构最初设计的初衷，“然而它就是这样发生了” 互联网的发展趋势大大吸引了一大批重要系统步入网络。互联网使公司大幅提高了工作效率，使人

7、们之间的交流与沟通变得更加便捷畅快但是互联网的高风险也不可能阻止重要系统抛开网络，但同时也带来风险。因此，“如果互联网或组织利用的专网瘫痪，势必带来巨大的负面影响。” 趋势三越来越多的信息有可能通过网络为他人所窥探越来越多的用户个人信息活组织的信息交由他人管理。这既带来了方便，也带来了风险比如，互联网服务供给商记录用户在网站的浏览历史，收发的信息;电话接线员的服务器上也会保留一份用户的号码簿。 “每个人的私人信息都很有价值，但却不能保证信息的安全性，即便是对于高度私人化的信息也是如此。”“每个组织的私有信息都很有价值，必须采取措施保证网上传输信息的安全性。” 趋势四黑客逐渐变成犯罪的职业黑客袭

8、击不再是一种个人兴趣，而是越来越多地变为一种有组织的、利益驱使的职业犯罪。 “由于对手正在改变，黑客袭击的性质也随之而变。” 拒绝服务相关的敲诈勒索与“网络钓鱼”就是黑客袭击的两个例子。黑客还会利用黑市穿透共同的IT系统。形成了黑客参与其中的黑色产业链 盗取虚拟财产转化为流通货币的黑色产业链有可能形成偷：网游，网银盗号现象愈演愈烈，在06年截获的各类病毒中，专门盗取网银、网游等网络财产和QQ号的木马占了51，这类病毒相对去年有明显增长，已经成为众多网民面临的第一大威胁。“经济利益”毫无疑问已经成为病毒制造者最大的驱动力，病毒制造者已经不再是以炫耀自己的技术为目的，也不再是单打独斗，而是结成了团

9、伙，有的人负责盗取银行或网游帐号，有的人负责销赃，从而形成了一整条的黑色产业链。这类病毒的传播不再是漫无目的，而是具有鲜明的指向性。例如通过游戏网站、网游外挂传播木马病毒、盗取用户的相关信息。 趋势五复杂性成为最大问题“系统越复杂，面临的安全危险就越大”互联网为“有史以来最复杂的机器”。网络安全技术的发展始终未能跟上互联网前进的步伐。“网络安全形势好转，可同时系统却变得更加复杂。” 趋势六 黑客袭击要比漏洞补丁来得更快新的漏洞出现要比设备制造商修补的速度更快。在其他方面，一些嵌入式系统中出现的漏洞，比如思科系统公司的路由器，不能被修补，导致许多公司成为被攻击的对象。零日攻击现象日趋普遍 趋势七

10、 道高一尺，魔高一丈病毒和蠕虫较以往更为高级，演变更快有的已经渗透到了漏洞测评工具，杀毒软件和入侵监测系统和其他防御系统正把Google公司作为信息搜集工具。“这种趋势导致越来越多的蠕虫犯罪。” 趋势八最弱连接点比比皆是企业网边界难以确定，存在对端成为安全最弱连接点的可能“如果远程计算机不可信赖，不管你的认证方案有多棒都无济于事。”在很多情况下，不在公司保护范围内的电脑是最弱的连接。这些电脑经常感染蠕虫和间谍软件，为黑客袭击提供机会。包括无线接入、卫星接入等跨网段接入常常带来意外的风险 趋势九安全软件可能成为安全新威胁各大公司不断地发展安全软件来防御终端用户，但误杀事件常常成为冤案一些DRM(

11、数字版权保护)软件，同样可能成为安全隐患。在至少一种情况下，包括索尼公司安装的DRM软件，如果没有用户的许可，软件都会对终端用户造成伤害“我们看到越来越多的安全防护非但不能够保护用户，反而被用作侵袭用户的工具。” “围绕这一问题的有关标准和规则将成为一个大战场。”可以预言一场关于保护用户和侵袭用户的软件之间的争斗将长期持续存在。 趋势十法规将推动风险评估和安全检查国内相关法规出台，上市企业引用萨班斯法案，都对信息安全风险评估和等级提供了发展机遇，并成为公司安全检查背后的驱动力。信息安全问题不仅是技术原因引起，它还涉及人及社会。从社会学的观点来看，只有依靠科学有效的管理和有着良好信息安全技能的人

12、，实施综合规范的保障手段，才能取得良好的效果。而在这一过程中，信息安全风险评估逐渐成为关键环节。 信息安全专业人才梯队构成不合理确保计算机系统的安全已成为世人关注的社会问题 ，世界各国都在积极培养自己的信息安全人才。建立国家信息安全保障体系，人才是关键信息安全专业是计算机、通信、数学、物理等领域的交叉学科，目前在电子商务、电子政务、电子金融、军事等领域都急需信息安全专门人才。我国每年信息安全人才缺口数以万计。由于目前我国信息安全管理和技术人才的缺乏，直接导致了我国信息安全关键技术整体上比较落后，信息安全产业缺乏核心竞争力。因此，尽快加强信息安全学科、专业和培训机构体系化建设，为国家和社会培养出

13、大批复合型、应用型信息安全专业人才是当务之急。 人才问题已经成为当前严重制约信息安全产业发展的瓶颈由重视边界防护到更加注重数据防护传统上，我们谈到信息安全防护时，首先考虑到的就是网络边界防护，也就是通过防火墙/VPN、网关安全技术给自己的网络安装一道防护的“闸门”，通过网络访问控制技术来实现对内部网络的保护。 “可是，这种防护的负面影响甚至超过了它能带来的利益，给用户的限制要多于其所能消除的安全隐患。” 随着互联网的大量普及，我们的网络和信息系统不可避免地要对外开放，要开放给客户，要越来越多地共享应用系统和数据库给合作伙伴，在这种情况下，保护数据本身比建一堵围墙重要得多也有效得多。 边界不再是

14、网络设备，而是应用网络的人“我们在数据周围建了很高的墙，但是却忽略了数据是流动的，不会呆在墙内原先的地方，我们要保护的是国王而不是城堡，而国王是要到处走动的。” “人们建起了更宽的护城河和更厚的城墙，但很多人却忘记在君主打开城门走出城堡时保护他这恰恰是一个公司最重要的资产。”-盖茨整体上来看，目前的安全思想整体已不能应对这个无论在公司内外都可以接入公司网络的互联网时代，利用“高打墙深挖壕”方法护卫网络的传统思想需要改变了。因此，人们必须转变观念，将原本清晰的网络边界更加模糊化。准确来讲，今天的网络边界与以往不同，它不再是数据中心中的物理资产，也不是办公室中的桌面电脑，而是应用网络的人。“用户才

15、是真正的网络边界。”他说。 身份管理和可信计算将成安全核心理念的变化将带来安全防护方式的巨大变化。我们不仅要对自己的信息系统的安全负责，还要对与自己网络紧密相连的客户、合作伙伴的信息系统的安全负责。因此，防护系统不能仅仅局限在网络边缘，而应该融入到所有的信息系统之中，这样才能作到“Keep it open, Keep it safe(保持开放，保持安全)”。 微软提出了一种新的计划确保安全的数据访问在IPv6网络中采用联合身份认证方式、采用数据权限管理保护文件和数据、在线身份确认采用智能卡的方式而不是口令的方式。随着网络边界的模糊，连接向合作伙伴、供应商、客户扩展，基于网络拓扑的权限分配模式将

16、不再发生变化，这意味着我们可以通过一个标准化的方式，创建实现可信和可互操作性目标的简单的模式。 基于IPv6的IPsec技术是一项未来非常具有前景的技术，采用IPsec技术，在连接的两端可以实现重要的身份认证，不管网络边界或者网络拓扑是怎样的，你都能定义策略，从逻辑上控制访问而不是从物理上控制访问。 由UTM到USM提出整合式安全管理USM概念，有的专家认为UTM产品在攻击产生后才来防御的方式，已无法解决企业面对日趋复杂的网络威胁之问题，因此提出整合式安全管理（Unified Security Management；USM）之概念，不仅仅做到UTM，更强调企业在第一线作好病毒扫描、Firewa

17、ll、IDP及VPN之角色后，还能将企业内部使用者对于网络或内部应用程序任何的行为模式予以侧录，以提供数码证据还原及系统稽核的功能，而这一切都可以透过单一控管平台来进行。有的专家已经提出，目前大多数厂商所强调的UTM产品，已无法做到更全面性的防护，只有将IM、P2P等应用程序整合进来作统一监控才能满足企业的需求，甚至进而追踪详细的网络传递状况，并做进一步分析，如此一来，监控到网络的每一个角落的USM产品，才是继UTM之后，有效防止内外威胁的最佳整合式信息安全管理系统。 信息安全产业发展还赶不上发展和需要应该说信息安全学科的最早发展是由于军事的需要。在二战，海湾战争中等重要战争中，对信息的窃取.

18、破坏.伪装等信息攻击手段对战争的最终胜利起了决定作用。所以越来越多的国家开始意识到信息安全在国防建设中的重要作用，并开始大力建设国家信息安全的强大的绿色防护墙，当然中国也不例外。例如密码学主要限与军事应用，例如在电子对抗，雷达对抗等信息对抗方面等。但是，随着近年来信息和通信产业的迅猛发展，以及全球化的网络黑客的破坏性的强烈攻击，很多国家开始不得不考虑把密码学应用到国民生产中，我国大力发展信息安全产业，我们国家在这方面也采取了一些很有效的措施，比如近几年国家863计划重点投资建设信息安全建设，相应的又在全国建立了三个 国家信息安全成果产业化基地，引入四个国家级研究中心美国信息安全服务产业的现状与

19、发展趋势自二十世纪九十年代初的经济萧条时期开始，信息安全产品和服务的市场开始快速发展，而且在整个的九十年代期间都保持了稳步增长态势。2001年受“9-11事件”以及虚拟专用网技术的崛起等其它特殊因素的直接影响，相对于其它技术产业来说，信息安全市场的发展得到了极大的推动。近年，信息安全产品和服务方面的投资也相对于2001到2002年艰难时期有所增加。而且随着经济的复苏，信息安全产品和服务方面的投资将会继续增长，预计将以总计每年18.7%的增长速度递增，到2008年时可以达到205亿美元。与此同时，信息安全市场的主要部分（硬件、软件以及服务）都会得到强大的支持。其中安全服务（尤其是风险评估和安全管

20、理服务等高端服务）是预期中增长最快的。美国信息安全产品及服务市场美国信息安全产品及服务市场（单位：亿美元）19931998200320082013信息处理投资21803630465065009100其中， 信息安全投资所占比例（）5.110.318.731.543.6信息安全市场11.1737.2487.05205.00397.00其中， 硬件1.976.0413.8030.0055.00软件4.7614.4332.7075.00142.00服务4.4416.7740.55100.00200.00美国信息安全市场不同范畴所占比例（%）美国信息安全服务发展迅速美国信息安全服务的市场预计将以每年不

21、超过20%的速率增长，到2008年将达到100亿美元，高于信息安全软件和硬件产品部分。而且，到本世纪头十年后期，服务在整个信息安全市场中的份额将达到一半（以价值计算），并将很快突破这个比例。用户面临的安全威胁和保护措施日益增多和复杂是信息安全服务市场增长的主要动力，用户需要专业信息安全服务提供商的帮助，以最大化投资收益。实际上，越来越多的公司选择将其信息安全任务外包给安全管理服务商，这将是未来几年信息安全服务市场的主要增长源。其中，信息安全咨询和风险评估的市场预计将以每年20%的速率增长，到2008年将达到将近40亿美元，比整个信息安全服务市场的平均预测增幅稍低。随着用户面临的信息安全威胁越来

22、越大，预防或改进任务在数量和难度上都在增大，高附加值的服务，例如咨询和风险评估对于用户来说正越来越重要。这就从根本上保证了在可预见的将来对此类业务的需求将健康增长。安全成为IT主旋律到目前为止，IT巨头几乎无一例外地均已经通过各种方式进入到安全领域：2005年，IBM通过收购全球著名的入侵防御厂商ISS，快速切入信息安全产品领域，而其安全服务已经成为其重要的利润来源。赛门铁克在2005年上演“蛇吞象”的一幕，收购与自己规模相当的著名存储企业Veritas公司，迅速成为全球第三大软件公司时2006年，存储巨头EMC又以21亿美元的高价针锋相对地收购著名的信息安全企业RSA公司，成功演绎了存储与安

23、全联姻的大趋势。Cisco公司、Juniper公司、3Com公司等网络设备“大腕”早在几年前就通过收购等方式丰富了信息安全产品线，并提出了各种网络准入控制计划（NAC）厂商似乎都在默认一点，未来没有安全的理念和技术将很难赚到钱了在信息技术高度发达的美国，信息安全似乎目前已经成为CISO、CSO们考虑的焦点积极探索，加强信息安全自主创新安全存储与容灾关键技术网络与系统可生存性技术网络多媒体信息内容安全技术网络信任保障关键技术无线网络安全技术网络舆情传播及其关联性分析技术安全体系结构及指标体系实时防护模型与关键技术新型信息安全技术改善和健全我国信息安全服务资质管理的初步设想进一步提高对信息安全服务资质管理的认识随着国民经济和社会信息化进程的加快，网络和信息系统的基础性、全局性作用日益增强，国民经济和社会发展对网络