未來，網(wǎng)絡(luò)攻防將變成一個(gè)新常態(tài)，這將是一個(gè)長期的攻防戰(zhàn)。但是我們不能因?yàn)槁┒淳头艞壾浖?，放棄進(jìn)步。
一波剛平一波又起，剛剛送走“WannaCry”，“Petya”又來了。
6月底，全球遭受新一輪勒索病毒（被稱為Petya變種）的攻擊，俄羅斯最大的石油公司、烏克蘭切爾諾貝利核設(shè)施輻射監(jiān)測系統(tǒng)以及歐美等多國企業(yè)紛紛中招。在歐洲國家重災(zāi)區(qū)，新病毒變種的傳播速度達(dá)到每10分鐘感染5000余臺電腦。
“未來的世界可能沒有我們想象的那么好，我們會面對一個(gè)充滿漏洞的軟件世界。”面對新病毒的襲來，360公司創(chuàng)始人、董事長周鴻祎直戳網(wǎng)絡(luò)安全事件的要害——不起眼的漏洞一旦被發(fā)掘出來，就可以變成國家間網(wǎng)絡(luò)戰(zhàn)的武器。
“因?yàn)橛新┒吹拇嬖冢瑳]有一個(gè)系統(tǒng)是不會被攻破的。未來，網(wǎng)絡(luò)攻防將變成一個(gè)新常態(tài)，這將是一個(gè)長期的攻防戰(zhàn)，但是我們不能因?yàn)槁┒淳头艞壾浖艞夁M(jìn)步。”周鴻祎在第二十一屆中國國際軟件博覽會上如是說。
漏洞可變成武器
“一切皆可編程，萬物均要互聯(lián)。”因?yàn)槲锫?lián)網(wǎng)把虛擬世界和物理真實(shí)世界聯(lián)系在一起，利用漏洞發(fā)起的攻擊也便可以從虛擬世界影響到物理世界。
“目前，很多軟件的復(fù)雜度已經(jīng)超過了過去十年的總和。但是，所有的軟件都是人為編寫的，只要是人就一定會犯錯(cuò)誤，不管是主觀還是客觀上的錯(cuò)誤，都會留在軟件里。”周鴻祎說。
按照統(tǒng)計(jì)，軟件中平均1000行到1500行代碼中就會存在一個(gè)漏洞。而現(xiàn)在，智能手機(jī)中代碼行數(shù)多達(dá)幾千萬，自動駕駛汽車代碼行數(shù)更是高達(dá)幾億，可以想象這些產(chǎn)品里會有多少漏洞。
“有一些小Bug，看起來非常無害，甚至不影響軟件的正常操作運(yùn)行，但這些漏洞一旦被犯罪分子和黑客利用，可能帶來毀滅性的結(jié)果。”周鴻祎表示。
此次爆發(fā)的Petya變種病毒事件，攻擊方式與WannaCry相同，都是利用“永恒之藍(lán)”漏洞進(jìn)行傳播，并通過微軟的實(shí)用工具之一PsExec在內(nèi)網(wǎng)進(jìn)行滲透。
亞信安全技術(shù)總經(jīng)理蔡昇欽表示，不同于傳統(tǒng)勒索軟件加密文件的行為，Petya勒索病毒還采用磁盤加密方式，通過加密硬盤驅(qū)動器主文件表，使主引導(dǎo)記錄不可操作，限制對系統(tǒng)的訪問。另外，Petya還巧妙地使用合法的Windows進(jìn)程Psexec和Windows管理信息的命令行（WMIC）、WMIC擴(kuò)展WMI（Windows管理工具），提供了從命令行接口和批命令腳本執(zhí)行系統(tǒng)管理的支持。
“歸根結(jié)底，是因?yàn)槊绹鴩椅淦鲙煨孤读怂^的網(wǎng)絡(luò)武器。網(wǎng)絡(luò)武器這個(gè)詞聽起來特別高大上，但本質(zhì)上就是個(gè)Windows 操作系統(tǒng)的漏洞。”周鴻祎說，“可以想象，隨著萬物皆可互聯(lián)，我們身邊的每一個(gè)物品都可以編程，都有智能系統(tǒng)，帶來便利的同時(shí)意味著每個(gè)智能硬件里面都有可能存在著漏洞，這些漏洞防不勝防，一旦被網(wǎng)絡(luò)犯罪分子利用，帶來的攻擊力量將會是非常巨大的。”
2016年10月美國東海岸發(fā)生的斷網(wǎng)事件，背后的原因就是攝像頭硬件里的漏洞。黑客利用漏洞控制全球大量的智能攝像頭，操縱幾十萬臺攝像頭攻擊了美國東部的域名系統(tǒng)，直接導(dǎo)致美國多個(gè)知名網(wǎng)站服務(wù)中斷，幾乎半個(gè)國家的互聯(lián)網(wǎng)都陷入了癱瘓。
“有一種工控協(xié)議，通常用在軌道交通上，簡單來說是控制地鐵門開啟關(guān)閉的，如果這些協(xié)議存在軟件漏洞，遭到了攻擊，帶來的危害可想而知。”周鴻祎說。
重視漏洞 改變觀念
“因?yàn)橛写罅康穆┒匆廊晃幢话l(fā)現(xiàn)，也不能提前預(yù)防，所以在未來世界里，網(wǎng)絡(luò)攻擊不可避免。”周鴻祎表示，因?yàn)槁┒吹拇嬖冢磥砭W(wǎng)絡(luò)安全可能會長期處在一個(gè)不停攻防、貓捉老鼠的循環(huán)當(dāng)中。
那么，應(yīng)該如何應(yīng)對充滿漏洞的軟件世界？在周鴻祎看來，首先就是要重視漏洞，積極發(fā)現(xiàn)和挖掘漏洞，及時(shí)打補(bǔ)丁。
“挖掘漏洞不能靠360或者某幾家安全公司自己來做，我們已經(jīng)借鑒國外的方法，利用眾包的力量，發(fā)動全社會的‘白帽子’黑客一起挖掘漏洞。當(dāng)挖掘出漏洞時(shí)，應(yīng)該迅速地推出補(bǔ)丁，讓大家及時(shí)打上補(bǔ)丁。再厲害的網(wǎng)絡(luò)攻擊，只要漏洞被堵上了，就沒法攻擊了。”周鴻祎說。
但是，目前有很多機(jī)構(gòu)與企業(yè)對漏洞和補(bǔ)丁的認(rèn)識不足，覺得不打補(bǔ)丁，系統(tǒng)也沒問題，也能正常運(yùn)行。為此，周鴻祎呼吁這些安全網(wǎng)絡(luò)管理的負(fù)責(zé)人，在新的漏洞時(shí)代，整個(gè)思想觀念都要轉(zhuǎn)變。
另外，他還提出，國內(nèi)的機(jī)構(gòu)與企業(yè)也要勇于承認(rèn)有漏洞甚至被攻擊。
“很多時(shí)候，國內(nèi)的機(jī)構(gòu)與企業(yè)被攻擊了都不太愿意聲張，甚至都隱瞞不報(bào)。原因有的是自己被攻擊了不知道，有的是怕上級發(fā)現(xiàn)怪罪批評。但我們要有一個(gè)意識，就是被攻擊不是我們的錯(cuò)，漏洞是客觀存在的。”周鴻祎說。
他希望國內(nèi)的機(jī)構(gòu)和企業(yè)要改變理念，在遭遇攻擊之后要積極上報(bào)，這樣安全公司就可以得到越來越多的數(shù)據(jù)和證據(jù)，能夠更快地幫助大家修補(bǔ)漏洞，同時(shí)也能夠?qū)W(wǎng)絡(luò)攻擊進(jìn)行分析和溯源，打擊犯罪分子的同時(shí)，為國家間網(wǎng)絡(luò)空間的博弈提供證據(jù)，進(jìn)而提升國家整體的網(wǎng)絡(luò)安全能力。
京公網(wǎng)安備 11010502049343號