如何構建網路安全體系新聞

1. 如何構建網路安全戰略體系

網路安全是確保信息的完整性、保密性和可用性的實踐。它代表防禦安全事故和從安全事故中恢復的能力。這些安全事故包括硬碟故障或斷電，以及來自競爭對手的網路攻擊等。後者包括腳本小子、黑客、有能力執行高級持續性威脅（APT）的犯罪團伙，以及其他可對企業構成嚴重威脅的人。業務連續性和災難恢復能力對於網路安全（例如應用安全和狹義的網路安全）至關重要。

安全應該成為整個企業的首要考慮因素，且得到高級管理層的授權。我們如今生活的信息世界的脆弱性也需要強大的網路安全控制戰略。管理人員應該明白，所有的系統都是按照一定的安全標准建立起來的，且員工都需要經過適當的培訓。例如，所有代碼都可能存在漏洞，其中一些漏洞還是關鍵的安全缺陷。畢竟，開發者也只是普通人而已難免出錯。

安全培訓

人往往是網路安全規劃中最薄弱的環節。培訓開發人員進行安全編碼，培訓操作人員優先考慮強大的安全狀況，培訓最終用戶識別網路釣魚郵件和社會工程攻擊——總而言之，網路安全始於意識。

然而，即便是有強大的網路安全控制措施，所有企業還是難逃遭遇某種網路攻擊的威脅。攻擊者總是利用最薄弱的環節，但是其實只要通過執行一些基本的安全任務——有時被稱為「網路衛生」，很多攻擊都是可以輕松防護的。外科醫生不洗手決不允許進入手術室。同樣地，企業也有責任執行維護網路安全的基本要求，例如保持強大的身份驗證實踐，以及不將敏感數據存儲在可以公開訪問的地方。

然而，一個好的網路安全戰略需要的卻不僅僅是這些基本實踐。技術精湛的黑客可以規避大多數的防禦措施和攻擊面——對於大多數企業而言，攻擊者入侵系統的方式或「向量」數正在不斷擴張。例如，隨著信息和現實世界的日益融合，犯罪分子和國家間諜組織正在威脅物理網路系統的ICA，如汽車、發電廠、醫療設備，甚至你的物聯網冰箱。同樣地，雲計算的普及應用趨勢，自帶設備辦公（BYOD）以及物聯網（IoT）的蓬勃發展也帶來了新的安全挑戰。對於這些系統的安全防禦工作變得尤為重要。

網路安全進一步復雜化的另一個突出表現是圍繞消費者隱私的監管環境。遵守像歐盟《通用數據保護條例》（GDPR）這樣嚴格的監管框架還要求賦予新的角色，以確保組織能夠滿足GDPR和其他法規對於隱私和安全的合規要求。

如此一來，對於網路安全專業人才的需求開始進一步增長，招聘經理們正在努力挑選合適的候選人來填補職位空缺。但是，對於目前這種供求失衡的現狀就需要組織能夠把重點放在風險最大的領域中。

網路安全類型

網路安全的范圍非常廣，但其核心領域主要如下所述，對於這些核心領域任何企業都需要予以高度的重視，將其考慮到自身的網路安全戰略之中：

1.關鍵基礎設施

關鍵基礎設施包括社會所依賴的物理網路系統，包括電網、凈水系統、交通信號燈以及醫院系統等。例如，發電廠聯網後就會很容易遭受網路攻擊。負責關鍵基礎設施的組織的解決方案是執行盡職調查，以確保了解這些漏洞並對其進行防範。其他所有人也都應該對他們所依賴的關鍵基礎設施，在遭遇網路攻擊後會對他們自身造成的影響進行評估，然後制定應急計劃。

2.網路安全（狹義）

網路安全要求能夠防範未經授權的入侵行為以及惡意的內部人員。確保網路安全通常需要權衡利弊。例如，訪問控制（如額外登錄）對於安全而言可能是必要的，但它同時也會降低生產力。

用於監控網路安全的工具會生成大量的數據，但是由於生成的數據量太多導致經常會忽略有效的告警。為了更好地管理網路安全監控，安全團隊越來越多地使用機器學習來標記異常流量，並實時生成威脅警告。

3.雲安全

越來越多的企業將數據遷移到雲中也會帶來新的安全挑戰。例如，2017年幾乎每周都會報道由於雲實例配置不當而導致的數據泄露事件。雲服務提供商正在創建新的安全工具，以幫助企業用戶能夠更好地保護他們的數據，但是需要提醒大家的是：對於網路安全而言，遷移到雲端並不是執行盡職調查的靈丹妙葯。

4.應用安全

應用程序安全（AppSec），尤其是Web應用程序安全已經成為最薄弱的攻擊技術點，但很少有組織能夠充分緩解所有的OWASP十大Web漏洞。應用程序安全應該從安全編碼實踐開始，並通過模糊和滲透測試來增強。

應用程序的快速開發和部署到雲端使得DevOps作為一門新興學科應運而生。DevOps團隊通常將業務需求置於安全之上，考慮到威脅的擴散，這個關注點可能會發生變化。

5.物聯網（IoT）安全

物聯網指的是各種關鍵和非關鍵的物理網路系統，例如家用電器、感測器、列印機以及安全攝像頭等。物聯網設備經常處於不安全的狀態，且幾乎不提供安全補丁，這樣一來不僅會威脅到用戶，還會威脅到互聯網上的其他人，因為這些設備經常會被惡意行為者用來構建僵屍網路。這為家庭用戶和社會帶來了獨特的安全挑戰。

網路威脅類型

常見的網路威脅主要包括以下三類：

保密性攻擊

很多網路攻擊都是從竊取或復制目標的個人信息開始的，包括各種各樣的犯罪攻擊活動，如信用卡欺詐、身份盜竊、或盜取比特幣錢包。國家間諜也將保密性攻擊作為其工作的重要部分，試圖獲取政治、軍事或經濟利益方面的機密信息。

完整性攻擊

一般來說，完整性攻擊是為了破壞、損壞、摧毀信息或系統，以及依賴這些信息或系統的人。完整性攻擊可以是微妙的——小范圍的篡改和破壞，也可以是災難性的——大規模的對目標進行破壞。攻擊者的范圍可以從腳本小子到國家間諜組織。

可用性攻擊

阻止目標訪問數據是如今勒索軟體和拒絕服務（DoS）攻擊最常見的形式。勒索軟體一般會加密目標設備的數據，並索要贖金進行解密。拒絕服務（DoS）攻擊（通常以分布式拒絕服務攻擊的形式）向目標發送大量的請求佔用網路資源，使網路資源不可用。

這些攻擊的實現方式：

1.社會工程學

如果攻擊者能夠直接從人類身上找到入口，就不能大費周章地入侵計算機設備了。社會工程惡意軟體通常用於傳播勒索軟體，是排名第一的攻擊手段（而不是緩沖區溢出、配置錯誤或高級漏洞利用）。通過社會工程手段能夠誘騙最終用戶運行木馬程序，這些程序通常來自他們信任的和經常訪問的網站。持續的用戶安全意識培訓是對抗此類攻擊的最佳措施。

2.網路釣魚攻擊

有時候盜取別人密碼最好的方法就是誘騙他們自己提供，這主要取決於網路釣魚攻擊的成功實踐。即便是在安全方面訓練有素的聰明用戶也可能遭受網路釣魚攻擊。這就是雙因素身份認證（2FA）成為最佳防護措施的原因——如果沒有第二個因素（如硬體安全令牌或用戶手機上的軟體令牌認證程序），那麼盜取到的密碼對攻擊者而言將毫無意義。

3.未修復的軟體

如果攻擊者對你發起零日漏洞攻擊，你可能很難去責怪企業，但是，如果企業沒有安裝補丁就好比其沒有執行盡職調查。如果漏洞已經披露了幾個月甚至幾年的時間，而企業仍舊沒有安裝安全補丁程序，那麼就難免會被指控疏忽。所以，記得補丁、補丁、補丁，重要的事說三遍！

4.社交媒體威脅

「Catfishing」一詞一般指在網路環境中對自己的情況有所隱瞞，通過精心編造一個優質的網路身份，目的是為了給他人留下深刻印象，尤其是為了吸引某人與其發展戀愛關系。不過，Catfishing可不只適用於約會場景。可信的「馬甲」賬戶能夠通過你的LinkedIn網路傳播蠕蟲。如果有人非常了解你的職業聯系方式，並發起與你工作有關的談話，您會覺得奇怪嗎?正所謂「口風不嚴戰艦沉」，希望無論是企業還是國家都應該加強重視社會媒體間諜活動。

5.高級持續性威脅（APT）

其實國家間諜可不只存在於國家以及政府組織之間，企業中也存在此類攻擊者。所以，如果有多個APT攻擊在你的公司網路上玩起「捉迷藏」的游戲，請不要感到驚訝。如果貴公司從事的是對任何人或任何地區具有持久利益的業務，那麼您就需要考慮自己公司的安全狀況，以及如何應對復雜的APT攻擊了。在科技領域，這種情況尤為顯著，這個充斥著各種寶貴知識產權的行業一直令很多犯罪分子和國家間諜垂涎欲滴。

網路安全職業

執行強大的網路安全戰略還需要有合適的人選。對於專業網路安全人員的需求從未像現在這樣高過，包括C級管理人員和一線安全工程師。雖然公司對於數據保護意識的提升，安全部門領導人已經開始躋身C級管理層和董事會。現在，首席安全官（CSO）或首席信息安全官（CISO）已經成為任何正規組織都必須具備的核心管理職位。

此外，角色也變得更加專業化。通用安全分析師的時代正在走向衰落。如今，滲透測試人員可能會將重點放在應用程序安全、網路安全或是強化網路釣魚用戶的安全防範意識等方面。事件響應也開始普及全天制（724小時）。以下是安全團隊中的一些基本角色：

1.首席信息安全官／首席安全官

首席信息安全官是C級管理人員，負責監督一個組織的IT安全部門和其他相關人員的操作行為。此外，首席信息安全官還負責指導和管理戰略、運營以及預算，以確保組織的信息資產安全。

2.安全分析師

安全分析師也被稱為網路安全分析師、數據安全分析師、信息系統安全分析師或IT安全分析師。這一角色通常具有以下職責:

計劃、實施和升級安全措施和控制措施；

保護數字文件和信息系統免受未經授權的訪問、修改或破壞；

維護數據和監控安全訪問；

執行內／外部安全審計；

管理網路、入侵檢測和防護系統；分析安全違規行為以確定其實現原理及根本原因；

定義、實施和維護企業安全策略；

與外部廠商協調安全計劃；

3.安全架構師

一個好的信息安全架構師需要能夠跨越業務和技術領域。雖然該角色在行業細節上會有所不同，但它也是一位高級職位，主要負責計劃、分析、設計、配置、測試、實施、維護和支持組織的計算機和網路安全基礎設施。這就需要安全架構師能夠全面了解企業的業務，及其技術和信息需求。

4.安全工程師

安全工程師的工作是保護公司資產免受威脅的第一線。這項工作需要具備強大的技術、組織和溝通能力。IT安全工程師是一個相對較新的職位，其重點在於IT基礎設施中的質量控制。這包括設計、構建和防護可擴展的、安全和強大的系統；運營數據中心系統和網路；幫助組織了解先進的網路威脅；並幫助企業制定網路安全戰略來保護這些網路。

2. 如何建立以防火牆為核心的五位一體網路安全體系

全流程實施網路安全響應。建立健全網路安全事件應急響應機制，優化完善網路安全事件應急預案，規范應急響應處置流程，常態化開展應急演練。

確保重要信息系統的實體安全、運行安全和數據安全。遴選網路安全應急支撐機構，組織支撐機構參與網路安全事件處置和重要敏感時點網路安全保障，妥善處置各類網路安全事件100餘起，全部及時督促涉事單位整改到位。

計算機網路運行過程中，伺服器作為核心，應作為防護重點，圍繞計算機伺服器構建安全防護體系。但隨著計算機技術的發展，網路黑客及入侵技術在形式上也不斷演變，從而使計算機網路安全威脅不斷升級。為使計算機伺服器安全防護體系盡量保持高效，應做好以下幾點：

第一，計算機網路安全防護體系應將伺服器及附屬設備加以結合並做好統籌規劃，同步做好計算機應用技術安全體系搭建及管理制度上的支撐。在計算機應用安全管理制度上，應針對計算機系統操作人員、管理人員及維修人員明確安全防護的基本要求，如操作口令不能泄露、計算機賬戶系統不能隨意訪問、系統管理許可權要縮緊、計算機維修要做好登記等。

第二，梳理常見的計算機伺服器遭入侵的途徑及方式，出台相應的規章制度，對危險系數較高的網路行為加以約束。

第三，計算機伺服器安全防護中的安全技術，主要通過計算機殺毒軟硬體來實施相應的網路安全管理。

第四，對計算機系統本身所隱藏的安全漏洞進行識別及修補，為計算機安全防護打好基礎。第五，定期做好計算機關鍵信息及重要數據的備份，設置計算機訪問許可權及操作密碼，避免數據被竊取及被損害。最後，約束計算機遠程訪問行為，封堵電腦黑客及入侵者通過電話號碼入侵計算機系統的遠程路徑。

3. 信息安全事件頻發 新形勢下如何構建網路安全產業格局

網路安全產業市場需求分析
數據安全潛力空間巨大
網路安全新定義
在數字化時代，Gartner將網路安全重新定義為「數字安全」，是指數字化轉型中的網路安全。具體包括網路空間和物理空間的安全，涵蓋網路系統的運行安全性、網路信息的內容安全性、網路數據的傳輸安全性、網路主體物理資產的安全性。
全球網路安全產業規模預測
據前瞻產業研究院發布的《信息安全行業發展前景預測與投資戰略規劃分析報告》統計數據顯示，2017年全球網路安全產業規模預計達到989.86億美元，較2016年增長7.9%，2018年預計增長至1060億美元。從增速看，全球網路安全產業增速在2015年達到歷史高位17.3%，預計回落至7.9%的增長水平。
信息安全事件呈幾何式增長
雲計算、大數據、物聯網等新技術正帶來IT架構顛覆式的變革，並驅動網路安全行業重構。整體而言，企業IT預算未來10年會被雲取代，而企業上雲，以及數字化轉型、物聯網、區塊鏈等等的最大顧慮則是安全，對大數據的竊取和逐利的攻擊會成為未來安全攻擊的常態。信息安全事件呈幾何式增長，2017年更是創出新高。統計數據顯示，2017年上半年泄露及被盜數據達19億條(超過2016全年的14億條)，2017全年信息泄露超過50億條。
國內數據安全現狀遠不能滿足需求
主要原因在於兩方面：安全投入規模與技術能力。其一，從國內外安全投入規模現狀對比來看，國內企業安全投入在IT的佔比約為1%到3%，而美日歐這些發達國家的安全投入佔比已經達到10%到13%。其二，從技術能力上看，安全思路要徹底革新，從邊界築牆向以數據為中心、構建縱深化體系轉化。數據安全的市場正在打開，天花板高，潛力空間巨大。
這些新一代數據安全理念包括：新的中心與邊界，一切安全活動都圍繞數據，防火牆不再是邊界，身份許可權是新邊界;體系化而非單點防禦，基於整體來考慮和設計，從上至下形成體系，數據在哪兒，機制就到哪兒;行為控制而非基線補丁策略，擅用數據進行分析。
隨著企業數字化轉型加速、業務上雲，物聯網、區塊鏈等新技術的落地，數據還將呈指數級增長，並越來越重要，成為企業最具價值的資產之一。
可以預見，企業會不斷地加大對於數據保護的安全投入，數據安全的市場會是安全行業價值最高、規模最大的細分市場之一。而大數據業務風險防範，更是已經延展至『大安全』的概念，足以支撐未來千億甚至萬億級的市場想像空間。而我們要做的就是專注於這兩大方向，做深做優，通過技術創新為行業提供最有價值的產品與服務。

4. 如何共築網路安全申論

唯有軍民攜手加快構建自主可控的網路安全體系，才能不受制於人。」在9月18日舉行的網路安全軍民融合發展論壇上，中國科學院院士鄭建華旗幟鮮明的發言贏得陣陣掌聲。

從下午2時許，持續到傍晚7時許，包括多位將軍、兩院院士在內的十餘位重量級嘉賓，以及現場幾百位業內人士，熱聊如何軍民融合共築網路安全長城。

2018國家網路安全宣傳周的一個分論壇上，與會者熱切地拍攝自己感興趣的網路安全資料。

一組步伐 網路安全蘊藏商機，川企努力搶占產業先機

軍民融合共護網路安全，讓相關企業看到了無限商機。

中國科學院院士朱中梁說，隨著天地一體化網路發展，天地一體化網路以其戰略性、基礎性、帶動性和不可替代性而成為一個國家國民經濟和國家安全的重大基礎設施，其所具有獨特的立體空間與地域優勢以及特有的信息服務能力，一定會推動我國新興產業的發展。

實際上，在四川，這一融合已經開始。集授時與數據記錄等功能於一體的北斗衛星手錶，其製造商成都天奧電子公司，是中國電科十所控股的企業，具有「軍工血統」。而廣為人知的軍用無人機「翼龍Ⅱ」，四川多家民營企業為其生產零部件。

搶抓機遇，一些四川企業邁出了新步伐。

在論壇上，邁普通信技術股份有限公司率先發布了國內第一台自主可控數據中心交換機和可控核心路由器。公司市場部總經理戴錚介紹，公司歷時7年，投入近6億元，研發自主可控網路核心設備。在由中國工程院院士李樂民主持的科技成果鑒定會上，自主可控網路設備成果被鑒定為：核心技術指標與國際同類產品相當；整體技術居於國際先進水平，產品已投入實際應用。

「我們的目標是當國內自主可控網路設備領導品牌。」戴錚表示，目前能看到的市場至少也是千億級，未來將一直持續不斷投入研發，做大做強。

5. 如何構建工業互聯網安全體系

2018年中國工業互聯網行業分析：萬億級市場規模，五大建議構建安全保障體系

工業互聯網安全問題日益凸現

工業互聯網無疑是這個寒冬中最熱的產業經濟話題。「BAT們」視之為「互聯網的下半場」，正在競相「+工業」「+製造業」而工業企業、製造業企業們也在積極「+互聯網」，希望藉助互聯網的科技力量，為工業、製造業的發展配備上全新引擎，從而打造「新工業」。

不難看出，工業互聯網正面臨著一個重要的高速發展期，預計至2020年將達萬億元規模。但與此同時，工業互聯網所面臨的安全問題日益凸現。在設備、控制、網路、平台、數據等工業互聯網主要環節，仍然存在傳統的安全防護技術不能適應當前的網路安全新形勢、安全人才不足等諸多問題。

工業互聯網萬億級市場模引發安全隱患

據前瞻產業研究院發布的《中國工業互聯網產業發展前景預測與投資戰略規劃分析報告》統計數據顯示，2017年中國工業互聯網直接產業規模約為5700億元，預計2017年到2019年，產業規模將以18%的年均增速高速增長，到2020年將達到萬億元規模。隨著國家出台相關工業互聯網利好政策，中國工業互聯網行業發展增速加快，截止到2018年3月，中國工業互聯網平台數量超250家。世界各國正加速布局工業互聯網，圍繞工業互聯網發展的國際競爭日趨激烈。

預計2020年我國工業互聯網產業規模將達到萬億元

數據來源：公開資料、前瞻產業研究院整理

一方面，加快工業互聯網發展是製造業轉型升級的必然要求;另一方面，工業互聯網是構築現代化經濟體系的必然趨勢。

工業互聯網是深化「互聯網+先進製造業」的重要基石，也是發展數字經濟的新動力。發展工業互聯網，實現互聯網與製造業深度融合，將催生更多新業態、新產業、新模式，創造更多新興經濟增長點。

伴隨著工業互聯網的發展，越來越多的工業控制系統及設備與互聯網連接，網路空間邊界和功能極大擴展，以及開放、互聯、跨域的製造環境，使得工業互聯網安全問題日益凸顯：

1、網路攻擊威脅向工業互聯網領域滲透。近年來，工業控制系統漏洞呈快速增長趨勢，相關數據顯示，2017年新增信息安全漏洞4798個，其中工控系統新增漏洞數351個，相比2016年同期，新增數量幾乎翻番，漏洞數量之大，使整個工業系統的生產網路面臨巨大安全威脅。

2、新技術的運用帶來新的安全威脅。大數據、雲計算、人工智慧、移動互聯網等新一代信息技術本身存在一定的安全問題，導致工業互聯網安全風險多樣化。

3、工業互聯網安全保障能力薄弱。目前，傳統的安全保障技術不足以解決工業互聯網的安全問題，同時，針對工業互聯網的安全防護資金投入較少，相應安全管理制度缺乏，責任體系不明確等，難以為工業互聯網安全提供有力支撐。

如何構建工業互聯網安全體系?

那麼，如何鑄造工業互聯網的安全基石，加快構建可信的工業互聯網安全保障體系呢?

1、突破關鍵核心技術。要緊跟工業互聯網最新發展趨勢，努力引領前沿技術和顛覆性技術發展。

2、推動工業互聯網安全技術標准落地實施。全面推廣技術合規性檢測，促進工業互聯網產業良性發展。

3、完善監管和評測體系。

4、切實推進工業互聯網安全技術發展。加強全生命周期安全管理，構建覆蓋系統建設各環節的安全防護體系。

5、聯合行業力量打造工業互聯網安全生態。

在工業互聯網的安全防護能力建議：

1、頂層設計：出台系列文件，形成頂層設計;

2、標准引導：構建工業互聯網安全標准體系框架，推進重點領域安全標準的研製;

3、技術保障：夯實基礎，強化技術實力;

4、系統布局：依託聯盟，打造產業促進平台;

5、產業應用：加強產業推進，推廣安全最佳實踐。

近年來，中國也陸續出台了《關於深化「互聯網+先進製造業」發展工業互聯網的指導意見》、《工業互聯網發展行動計劃(2018-2020年)》等文件，明確提出工業互聯網安全工作內容，從制度建立、標准研製、安全防護、數據保護、手段建設、安全產業發展、人員培養等方面，要求建立涵蓋設備安全、控制安全、網路安全、平台安全、數據安全的工業互聯網多層次安全保障體系。

在國家政策以及業界的一致努力下，相信我國工業互聯網在取得快速發展的同時在安全層面的保障也會更上一層樓。

6. 建立網路安全保障體系包括

建立網路安全保障體系包括安全管理，技術保障，安全運維。

1、完善網路安全政策制度：瞎數亂建立完善網路安全法律法規，完成網路安全政策制度的制定，建立網路畢悉安全分級管理、網路安全等級評定、網路安全安全事件應急處置等制度，健全網路安全運行機制。

4、提升網路安全意識：開展網上安全宣傳活動，普及網路安全意識，教育網路使用者，傳播有關網路安全信息；磨檔搭建安全認證平台，推廣安全應用，推動個人安全教育；通過設計網路安全的論壇、周報等方式交流和更新安全資訊。

7. 如何構建工業互聯網安全體系

1、設備和控制安全

要求企業加強工業生產、主機、智能終端等設備安全接入和防護，強化控制網路協議、裝置裝備、工業軟體等安全保障，推動設備製造商、自動化集成商與安全企業加強合作，提升設備和控制系統的本質安全。

2、網路設施安全
要求工業企業、基礎電信企業在網路化改造及部署IPv6、應用5G的過程中，落實安全標准要求並開展安全評估，部署安全設施，提升企業內外網的安全防護能力。要求標識解析系統的建設運營單位同步加強安全防護技術能力建設，確保標識解析系統的安全運行。

3、工業互聯網平台和應用程序（APP）安全
要求工業互聯網平台的建設、運營方，在平台上線前進行安全評估，針對邊緣層、IaaS層（雲基礎設施）、平台層（工業PaaS）、應用層（工業SaaS）分層部署安全防護措施。要求建立工業APP應用的安全檢測機制，強化應用過程中用戶信息和數據安全保護。