“企業(yè)自恃身處內(nèi)網(wǎng)環(huán)境中，黑客難以入侵。但實(shí)際上，無(wú)線網(wǎng)絡(luò)、眾多智能設(shè)備（如手機(jī)、Pad等）為黑客提供了更多便利，而企業(yè)所信任的防火墻在黑客面前形同虛設(shè)。”知名信息安全顧問(wèn)、國(guó)家信息安全最高認(rèn)證（CISP）金牌講師張勝生在近日一場(chǎng)講座中，對(duì)目前國(guó)內(nèi)企業(yè)普遍缺乏信息安全專業(yè)團(tuán)隊(duì)，漠視信息安全的現(xiàn)狀表示擔(dān)憂。
微軟宣布停服XP、OpenSSL漏洞，近期諸多網(wǎng)絡(luò)事件讓信息安全成為熱點(diǎn)話題。近日，北京市信息安全專家委員會(huì)與北京職業(yè)技術(shù)協(xié)會(huì)舉辦了“黑客揭秘與企業(yè)防御實(shí)踐”講座。
張勝生把信息安全防御喻為“一場(chǎng)無(wú)言的持久戰(zhàn)”，交戰(zhàn)雙方是“安全管理員”與“黑客”，“黑客是利用漏洞發(fā)起攻擊，破壞系統(tǒng)獲取相關(guān)數(shù)據(jù)從而達(dá)到某種利益的人。這場(chǎng)對(duì)抗正是從黑客展開(kāi)周密踩點(diǎn)開(kāi)始，這種踩點(diǎn)就如同一場(chǎng)精心策劃的跟蹤，有時(shí)甚至?xí)掷m(xù)瞄準(zhǔn)一個(gè)企業(yè)數(shù)年之久。你攻我守，反反復(fù)復(fù)，雙方將開(kāi)展長(zhǎng)期的拉鋸戰(zhàn)。因此，企業(yè)需要做好人才儲(chǔ)備、技術(shù)儲(chǔ)備，打一場(chǎng)沒(méi)有硝煙的信息安全持久戰(zhàn)。”
在這場(chǎng)曠日持久的攻防戰(zhàn)中，黑客往往會(huì)對(duì)企業(yè)窮追不舍，造成企業(yè)巨大經(jīng)濟(jì)損失。當(dāng)然企業(yè)會(huì)重新構(gòu)建新的防御系統(tǒng)，在XSS (跨站)、CSRF（跨站請(qǐng)求偽造）、自定義腳本等日益多元化的攻擊手段下，黑客能在短時(shí)間內(nèi)發(fā)現(xiàn)新的漏洞，進(jìn)而利用漏洞給企業(yè)造成新的損失。還會(huì)有黑客直接投遞簡(jiǎn)歷，應(yīng)聘為企業(yè)的信息化管理人員，作為商業(yè)間諜長(zhǎng)期潛伏其中，給企業(yè)帶來(lái)致命打擊。張勝生提醒，“內(nèi)部攻擊的威力更甚于外部，企業(yè)要進(jìn)一步增強(qiáng)防御力。而黑客的入侵手段在不斷進(jìn)化，安全管理員更要時(shí)刻保持警惕。”
張勝生介紹說(shuō)：“1998年OpenSSL誕生后，從第一個(gè)漏洞（CVE-2014-0160）到新近剛爆出的‘心血漏洞（CVE-2014-0160）’，歷經(jīng)16年，共發(fā)現(xiàn)漏洞153個(gè)，信息安全界一直在奮斗，企業(yè)對(duì)信息安全管理的投入也越來(lái)越多。”但是目前很多企業(yè)還沒(méi)有專職的安全管理人員，企業(yè)網(wǎng)站和應(yīng)用系統(tǒng)中存在大量漏洞，一旦漏洞被利用，企業(yè)數(shù)據(jù)庫(kù)將外泄造成巨大經(jīng)濟(jì)與名譽(yù)損失。
在講座現(xiàn)場(chǎng)，張勝生為大家演示了自主研發(fā)的“紅黑演義攻防演練”平臺(tái)，重現(xiàn)了黑客入侵與安全管理員的對(duì)抗過(guò)程，他呼吁企業(yè)需要建立起自有的信息安全專業(yè)團(tuán)隊(duì)，定期開(kāi)展信息安全應(yīng)急演練，做到未雨綢繆。
張勝生認(rèn)為，企業(yè)要想贏得信息安全持久戰(zhàn)，不僅要熟悉黑客入侵的手段與心理，達(dá)到“知己知彼”，同時(shí)還要不斷加強(qiáng)企業(yè)技術(shù)人員的攻防實(shí)戰(zhàn)培訓(xùn)和演練，訓(xùn)練出一批專業(yè)化、職業(yè)化的攻防技術(shù)能手。他還提到，防御黑客需要各方專業(yè)人士達(dá)成共識(shí)，通力合作，共同致力于構(gòu)建和諧安全的網(wǎng)絡(luò)信息環(huán)境。
京公網(wǎng)安備 11010502049343號(hào)