Fork me on GitHub

浅谈中国安全局势

之所谓是浅谈,是因为中国网络安全局势是一个很大的话题,所以很难在这短短的篇幅当中做深入的探讨,因此我将尽力浓缩我这几年在学习和生活过程中对国内网络安全局势的想法。

首先,网络空间内的攻与防永远是一个伴生关系,并且二者在人类实现信息化社会过程的博弈中绽放了耀眼的火花,纵观全球的安全局势,每年都会发生轰动全球的信息安全事件,如勒索病毒的爆发,伊朗震网事件的发生,以及每年都会发生的账号或者个人信息泄露的事件,种种事件表明:网络并不安全,这也就是为什么我国如此重视网络安全人才培养的原因,随着我国对信息化推进的过程中,网络安全的范畴不断扩大,网络安全的形式也十分严峻,在各个国家大大小小的摩擦中,网络已经成为了一个悄然的战场,网络攻击发生在大众看不到的地方,各种国际上的APT事件往往伴随着明显的政治因素和地缘因素,而就我经验而言,APT攻击的切入点往往是0Day漏洞或者是社会工程学,对于0Day漏洞往往我们没办法找到一个有效的反制措施,但是针对社会工程学,一句老话:安全各个安全环节中最大的漏洞在于人本身,各大企业或者政府机关重要机构都要加强对从业人员安全意识的培养,如不要轻易打开不明来源的邮件,不要在社交媒体上过多的暴露自己的个人信息等,这些措施都能帮助我们减少来自APT攻击的威胁。

在工业控制安全领域中,就我个人了解,由于工业控制网络的起步较慢,在一些常见的工业控制协议或者网络体系中都多多少少存在着漏洞,如协议采用明文传输,并无加密反窃听措施,也无数据校验措施无法确保数据的正确性等安全漏洞,由此引申到其他领域如医疗领域航空航天领域,很多通行的安全标准存在着一些问题,但是由于改变这些标准将会在短时间内对这些造成较大的影响,因此这些漏洞就长期的存在于各领域中,随时都有爆发的危险,所以我认为安全并不是一种行为,而是一种需要扎根于心底的意识和常态,只有把安全的意识注入到生产生活的每个角落当中,才能形成一个真正安全的防护体系。
纵观国内智能终端行业的崛起,我们可以发现移动和便携会是互联网下一个发展的趋势,越来越多的设备强调便携和智能,就像之前的锤子科技发布的TNT工作台,虽然骂声一片,但是这却代表着一个行业的发展趋势,虽然现在来说由于这些技术并不成熟,但是谁能预料到未来的几年或者几十年内,会不会成为一个智能终端的时代呢,手机或者智能手表就能替代传统的办公电脑,伴随机器学习技术的兴起,我认为智能终端安全便是下一个满是硝烟的网络安全战场。

近几年,国内的网络安全竞赛和活动呈现一个井喷状态,无论是地方政府机关各地知名高校还是一些安全企业大多都举办过CTF竞赛,作为一个时常混迹这些大小赛事中的菜鸡,我能明显的地感受到国家对网络安全人才的重视程度,正如习大大所说,没有网络安全就没有国家安全,而安全的核心在于人才的培养,在参加这些安全竞赛的过程中,安全公司从中发现了有价值的人才,而每个参赛者在比赛过程中也与各界大佬切磋了不少新的技术,提高了自身的技术水平,开拓了新的思路和视野,抛开有些比赛商业目的过强的因素,这些网络安全比赛显然是百利而无一害,正是这些比赛活跃了中国的安全圈,使得国内的网络安全呈现百花齐放的状态,这也是一个很好的趋势。

在一些国际的网络安全比赛中,如2017年全球Defcon总决赛,中国的腾讯玄武实验室以及360和长亭科技的队伍占据了前五名中的三个位置,这些队伍在比赛上展示了最新的Windows Edge浏览器的漏洞,Chrome浏览器的0Day漏洞以及Windows内核相关的多个重大漏洞,这无不展示了中国安全人才的卓越成果与超强能力,国外安全媒体无不对其称赞,并发帖说中国的网络安全技术已经达到了全球领先的水平。这种成就令我们自豪,但是比赛不久之后我国相关部门就限制了国内安全人才去参加国际的安全比赛,原因是参加这些比赛实际上是一种国产技术的流失和泄露,我觉得这种观点确实十分重要,为什么wanna cry的爆发对全球影响如此之大,其实当时wanna cry爆发之前我就在网上了解到了关于NSA武器库泄露的新闻,而且也下载下来的永恒之蓝的利用工具并做了相关的实验,在发现此漏洞的危害性之后我就认为不久之后肯定会有围绕此漏洞展开的攻击活动,果不其然,wanna cry爆发,给国内造成了巨大的损失,其实这些漏洞就是美国的安全人员积累下来的各种0Day,就如我国安全人员在比赛上展示的一样,所以我认为政府加强对安全漏洞产权的保护的举动是十分正确且有必要的。

总的来说,目前国内安全圈的氛围越来越好,安全行业炙手可热,正是我们每个安全研究人员展现自己身手的大好机会,引用某知名安全企业CEO的一句话:安全就是所有0前面的1。我们就是网络安全的士兵,保护国家网络安全,是我们每个人的使命!

您的支持是我最大的动力🍉