開源軟件安全風險大 海量數(shù)據(jù)帶來治理難題

來源：第一財經(jīng)

[ BCS2021發(fā)布數(shù)據(jù)顯示，我國2020年網(wǎng)絡安全產業(yè)規(guī)模超過1700億元，較2015年翻了一番。 ]

隨著大數(shù)據(jù)的爆發(fā)和企業(yè)云部署的加速，如何提高網(wǎng)絡技術供應鏈的安全性，是擺在全世界政府和企業(yè)面前的迫切問題。

8月28日，2021北京網(wǎng)絡安全大會（BCS2021）的一場線上技術峰會上，來自全球的頂尖網(wǎng)絡安全技術專家就網(wǎng)絡安全技術的復雜性以及應用展開探討，并呼吁提高網(wǎng)絡安全標準，完善包括開源軟件在內的軟件供應鏈安全。

開源軟件安全風險大

“大多數(shù)組織機構并沒有明確掌握他們所使用的軟件面臨的風險，尤其是在引入開源軟件的時候。”弗若斯特研究機構（Forrester）副總裁、集團研究總監(jiān)勞拉·科茨勒（Laura Koetzle）表示。

科茨勒說道，2021年全球網(wǎng)絡安全領域充滿了變化和挑戰(zhàn)。攻擊來自兩方面，一個是供應鏈攻擊，另一個是勒索攻擊。

今年以來，美國先后發(fā)生了針對SolarWinds、Colonial Pipeline、JBS和軟件公司Kaseya的一系列網(wǎng)絡攻擊，令包括能源、食品在內的多個行業(yè)損失慘重。“從SolarWinds的供應鏈攻擊開始，黑客就鎖定了攻擊價值較高的供應鏈上游，尤其是攻擊那些使用較為廣泛的軟硬件產品，因此通常具備‘攻其一點，傷及一片’的特點。”科茨勒表示。

科茨勒建議，為了應對黑客在目標中潛伏很長時間并植入惡意代碼的攻擊方式，組織機構應該嘗試使用零信任架構，將每一次訪問的安全風險降至最低，同時應當建立軟件資產清單，便于清晰掌握軟件供應鏈所面臨的風險，即便發(fā)生攻擊，也能在最短時間內做出正確的響應。

開源軟件使用的廣泛性，給了大量攻擊者以可乘之機。數(shù)據(jù)顯示，開源軟件存在的漏洞相對較多，因此成為網(wǎng)絡攻擊的主要對象。根據(jù)奇安信發(fā)布的《2021中國軟件供應鏈安全分析報告》，在奇安信代碼安全實驗室分析的2557個國內企業(yè)軟件項目中，平均每個軟件項目存在66個已知開源軟件漏洞，最多的軟件項目存在1200個已知開源軟件漏洞。其中，存在已知開源軟件漏洞的項目占比近90%；存在已知高危開源軟件漏洞的項目占比超過80%；存在已知超危開源軟件漏洞的項目占比超過70%。

“多項開源組件受到高危漏洞影響、松散的開源社區(qū)管理難以有效推動漏洞修復以及開源代碼的漏洞補丁部署狀況混亂，是造成開源代碼面臨漏洞威脅巨大的三個主要原因。”復旦大學計算機科學技術學院副院長楊珉教授表示，“面對這些不足，我們希望通過挖掘開源組件漏洞、增強開源漏洞信息以及評估漏洞補丁狀態(tài)等方面的工作來解決。”但他表示，這個過程中仍然遇到了漏洞挖掘效率低、漏洞庫信息不完整、補丁部署管理混亂等方面的困難。

除了開源軟件之外，互聯(lián)網(wǎng)核心協(xié)議的漏洞問題同樣不可小覷。清華大學–奇安信集團聯(lián)合研究中心主任段海新警告稱，互聯(lián)網(wǎng)基礎協(xié)議的小問題卻有可能釀成互聯(lián)網(wǎng)安全問題的大隱患。

段海新說道：“經(jīng)過長期的研究和攻防實踐，我們發(fā)現(xiàn)了互聯(lián)網(wǎng)基礎協(xié)議漏洞的一些顯著特征，基礎協(xié)議的漏洞影響范圍很廣，但想要運用自動化的方法來挖掘或者尋找漏洞卻十分困難。并且，這些互聯(lián)網(wǎng)協(xié)議漏洞絕大多數(shù)都是邏輯漏洞，甚至許多漏洞是多個系統(tǒng)組合在一起才出現(xiàn)的，需要多個系統(tǒng)組合在一起才能發(fā)現(xiàn)。”

勒索病毒也是近年來黑客攻擊的主要方式之一。近年來，勒索軟件的攻擊對象也發(fā)生了變化，似乎不再侵擾消費者系統(tǒng)，而是企圖感染整個企業(yè)網(wǎng)絡。

勒索軟件WannaCry破解者馬庫斯·哈欽斯（Marcus Hutchins）關注到了這一變化趨勢。他表示：“這主要是因為感染一家企業(yè)，要比同時感染數(shù)十萬臺設備容易得多，并且相對個人消費者而言，企業(yè)支付贖金的意愿更強。”

哈欽斯強調，勒索病毒的防范不僅僅是一個技術問題，僅靠提高安全性、增加安全預算是無法解決的，需要在金融、法律以及網(wǎng)絡安全等領域開展多方合作。

海量數(shù)據(jù)帶來治理難題

隨著數(shù)字經(jīng)濟的發(fā)展，我國在網(wǎng)絡安全方面的投入也不斷加大。本次BCS2021發(fā)布數(shù)據(jù)顯示，我國2020年網(wǎng)絡安全產業(yè)規(guī)模超過1700億元，較2015年翻了一番，年均增速超過15%，遠高于9%的全球平均的水平。

另據(jù)工信部今年編制的《網(wǎng)絡安全產業(yè)高質量發(fā)展三年行動計（2021-2023年）》征求意見稿，到2023年，我國網(wǎng)絡安全產業(yè)規(guī)模超過2500億元；電信等重點行業(yè)網(wǎng)絡安全投入占信息化投入比例不低于10%。

行業(yè)預測，未來十年我國網(wǎng)絡安全行業(yè)將保持25%以上的增速，十年后市場規(guī)模將超過1.4萬億元，頭部企業(yè)將迎來巨大發(fā)展機遇。目前我國網(wǎng)絡安全相關上市企業(yè)已經(jīng)有20余家，總市值超過5000億元。

從政策層面來看，網(wǎng)絡安全法和數(shù)據(jù)安全法已經(jīng)成為我國數(shù)字經(jīng)濟中兩大最為重要的政策領域。隨著科技行業(yè)規(guī)模的不斷壯大，企業(yè)控制海量數(shù)據(jù)(603138,股吧)的安全性也越來越受關注，數(shù)據(jù)的治理也顯得更加重要。

奇安信集團總裁吳云坤在BCS2021上表示：“從先發(fā)展后治理、同步發(fā)展和治理到治理先行，這是從信息化視角看網(wǎng)絡安全的巨大轉折，網(wǎng)絡安全迎來了發(fā)展新拐點。”

吳云坤表示，今年以來國家密集出臺了《數(shù)據(jù)安全法》《個人信息保護法》《網(wǎng)絡安全審查辦法》修訂版等法律法規(guī)、政策制度和監(jiān)管手段，這些法規(guī)和手段強調的是治理先行。

“隨著網(wǎng)絡安全與數(shù)據(jù)安全逐漸深入業(yè)務本身，數(shù)據(jù)安全治理與日常業(yè)務的開展經(jīng)常會出現(xiàn)沖突。如果有一個平行空間，能夠讓業(yè)務部署維度與安全部署維度做到正交融合，那么對于安全行業(yè)的發(fā)展來說將會是一個重要變革。”螞蟻集團副總裁韋韜表示。

韋韜提到了“安全平行切面體系”的概念，這是一個安全基礎設施，通過嵌入在端管云內部的各層次切點，使得安全管控與業(yè)務邏輯解耦，并通過標準化的接口為安全業(yè)務提供內視和干預能力。此外，還能在App隱私管控、數(shù)據(jù)分類分級、數(shù)據(jù)主體確權以及數(shù)據(jù)輸出防泄露等數(shù)據(jù)治理關鍵工作中起到重要作用。

全球政府和企業(yè)對于網(wǎng)絡安全的投入也在增加。上周，美國總統(tǒng)拜登會見包括蘋果、谷歌、微軟、亞馬遜、IBM等在內的美國大型科技公司、金融業(yè)以及基礎設施企業(yè)的高管，并呼吁私營部門高管提高網(wǎng)絡安全標準，采取更多措施應對網(wǎng)絡攻擊對美國經(jīng)濟日益增長的威脅。

白宮表示，美國國家標準與技術研究院 (NIST) 將與行業(yè)以及企業(yè)合作，提高技術供應鏈的安全性，包括開源軟件。

亞馬遜已經(jīng)表示將免費向公眾提供其網(wǎng)絡安全培訓，并將從10月開始向一些云計算客戶提供多因素身份驗證設備。微軟表示將在五年內在網(wǎng)絡安全方面投資200億美元，并提供1.5億美元的技術服務，以幫助聯(lián)邦、州和地方政府更新維護其安全系統(tǒng)。

IBM也表示將在三年內培訓超過15萬人的網(wǎng)絡安全技能，谷歌則稱將在未來五年內投入100億美元用于網(wǎng)絡安全，并幫助10萬名美國人獲得行業(yè)認可的數(shù)字技能證書。

標簽： 開源軟件 網(wǎng)絡安全 數(shù)字經(jīng)濟 上市企業(yè)

推薦

財富更多》

動態(tài)更多》

熱點