大数据安全：“互联网+” 的核心挑战

文|本刊记者　姜红德



大数据安全：“互联网+” 的核心挑战

在大数据安全挑战面前，需要通过大数据技术来保障安全，做好新的安全支撑，也要通过相关制度来形成新的安全防护体系，防止网络犯罪分子的攻击和破坏。

文|本刊记者姜红德

北京市朝阳区法院曾经审理过一起借助“静默插件”盗取手机、计算机系统中的数据、非法控制计算机系统的案件。在这起案例中，引起重视的并不是插件破坏了用户的手机信息系统或者非法盗取用户的线上财富，而是在用户没有察觉的情况下将手机用户位置、存储卡信息、收发短信和通信录等关键信息上传到服务器或者网络空间，从而达到偷取、篡改用户数据的目的。据警方数据显示，该“静默插件”已经获取了超过了2000万条手机通信录，造成了真正的数据安全威胁与挑战。

DT时代的二元挑战

阿里巴巴董事局主席马云曾提出，互联网正处于从IT向DT（数据技术）全面转型的时代。作为国内最大的电子商务集团，阿里巴巴其实某种意义上是一家数据公司，是将信息流、物流和资金流整合为三驾马车的数据创新型公司。

2015年是中国大数据发展高峰期，这一年我国政府部门颁布了大数据开放行动的战略。2015年底，《中共中央关于制定国民经济和社会发展第十三个五年规划的建议》通过并提出了发展“互联网+”、分享经济和大数据等创新战略，更是将大数据开放、开发提到了国家战略高度。

可以预见，跨越2016年～2020年的“十三五”期间，以大数据、云计算为特征的网络信息经济将成为中国ICT行业发展方向。2015年热门的互联网+关键词更是集中智能化、融合与连接，不仅设备与设备相连，人与设备，人与人也会相连，万物互联（IOE）成为重要趋势。

在大数据获得开放的同时，也带来了对数据安全的隐忧。“数据安全是‘互联网+’时代的核心挑战，安全问题的特征是线上和线下融合在一起的，“互联网+”时代产生的数据在存储、使用上和传统的方式有很大的区别，应急相应的黄金时间越来越短，信息位置越来越重要，要充分建立技术、人才和产业优势来获得我国在信息安全领域的优势性地位。”阿里巴巴集团安全部技术副总裁，原国家互联网应急中心副总工程师杜跃进博士说。

“从个人隐私安全层面看，大数据将网络大众带入到开放透明的裸奔时代，数据安全若保护不利，将引发民情抱怨不满”。中国信息安全测评中心研究员磨惟伟表示，针对大数据时代的冲击，美英法日等主要国家已纷纷制定出相关战略，例如制定数据开放行动计划，加快数据立法安全保障体系建立。我国应该更加注重顶层设计发展与安全的双向并行，责任与担当双重并重，进而实现大数据发展运筹帷幄。

如何看待开放与安全这样一个二元化的挑战，中科院大学管理学院教授吕本富表示，“大数据的开放与安全问题目前还缺乏具体的界限，到底应该开放什么数据，哪些大数据需要政府来监管，目前还没有明确界定和区分”。不过，他坚持在跨国流动的大数据以及个人隐私相关的数据方面，政府应采取分层的方法进行监管，不可像防火墙一样全都封闭起来。

连接下的隐患

在人人互联，万物互联的时代，数据安全到底会给用户或者企业带来哪些隐患？

还是以“静默插件”为例来说明，安装了“静默插件”的手机会和服务器自动连接，在用户不知情的情况下，自动安装和下载某些软件和广告信息，经过升级，插件还能向服务器上传手机用户通信录、位置信息等。有了这些信息，第三方公司就能跟踪分析用户的数据和信息，包括邮件等隐私信息。

在网络上我们经常会看到Cookie这个名词，很多人不知道它的作用是什么。一些网络黑客通过掌握Cookie了解用户的上网习惯、包括浏览记录、IP地址、网卡号、用户名、密码等信息。一位企业负责人曾公开表示，“就像一个蜘蛛网一样，不管你出现在什么地方，我都可以抓到你。我们目前能捕捉到互联网上5.7亿的Cookie。”

经常有很多用户想把自己的惊喜分享给群体或者朋友，家人，但是这样的共享做法也会经常受到攻击。卡巴斯基的调查研究表明，多数社交媒体用户缺乏安全意识，使得用户的数据信息很容易被获取，一些网络犯罪分子通过用户的身份数据来进行金融诈骗和犯罪。特别是在社交媒体的简介中，包含大量用户个人信息，从生日到家庭住址再到假期计划等。网络罪犯根本无需深入发掘，就能够找到可以利用的有价值信息，或者窃取身份数据信息牟利。

互联网+时代，任何和业务相关的网络资源、存储资源和计算资源，也都不再限于独立的物理设备，IT基础架构由静态转为动态，传统意义上的安全界限已经模糊。与此同时，信息安全的危险正在进一步升级，在APT、DDos、异常风险、网络漏洞等网络威胁下，传统防御型、检测型的安全防护措施已经力不从心，也无法适应新形势下的要求。

2015年发生了多起基于互联网+的网络安全事件，也给2016年的网络数据安全敲响了警钟。如Uber公司5万名司机的个人信息被不知名的第三方人士获取，包括司机照片、社保资料和汽车等级号等信息。另外一个造成巨大影响的事件是国内社保数据信息泄密，数据多达5000万条，影响范围包括全国30多个省市。再有就是江苏公安机构采用的海康威视视屏监控设备，被境外机构控制，形成的网络威胁也非常大。

类似的数据安全事件会逐渐增多，黑客通过分析、篡改这些数据，会进一步造成更大的危害，这些在一些国家的工业生产、国家安全领域已经有了先例。如果不能采取有效的措施加以制止，那么后果是非常严重的。

建立可靠的大数据安全防护体系

“国之交在于民相亲，民之亲在于心相通、”，韩非子曾用这句话来形容国与民之间的紧密联系。今天的互联网时代同样如此，也是网络带来了大数据，网络相连同样带来了数据相连，大数据和互联网之间的关系就像国与民之间的关系一样密不可分。

在大数据安全挑战面前，需要通过大数据技术来保障安全，做好新的安全支撑，也要通过相关制度来形成新的安全防护体系，防止网络犯罪分子的攻击和破坏。在已经公布的大数据开放行动计划之中，数据开放已经是大势所趋，数据共享是下一步政府信息化和企业信息化的重要目标。大数据的应用会越来越多，而大数据的安全也需要得到根本性保障。

“目前国内的大数据技术和应用还存在很多问题，导致了一些安全隐患还不能完全杜绝”，磨惟伟近日表示。他说，这些问题覆盖了大数据观念陈旧、应用落地难、核心技术不能自主可控、大数据处理方式不足和管控、管理滞后等领域，从而导致了我国在大数据安全方面目前存在更多的挑战。

磨惟伟表示，要从根本上保障大数据信息安全，需要在制度、技术等6方面进行规划和创新：强化数据主权捍卫保障，求同存异，向世界发出中国声音，形成中国的网络盟友，加强网络空间的开放与合作；多管齐下，实施数据管理，加强顶层设计，做到职能优化，分工协作，提升大数据感知、防护、应急处置能力；打造数据开放试点，形成联动效应；实现数据共享优势格局，形成依法共享、整合共享、安全共享、人人共享；推动大数据成果应用转化，实现数字中国的建设目标；加强数据安全隐私的防护，从制度、技术等多方面全面形成数据防护安全体系，进而实现数据时代公民隐私的安全构建。

时不我待，无论是在大数据技术还是制度方面，我们都需要做好准备随时迎接挑战。

产学研结合助力高铁信息技术发展

2016年1月18日，北京交通大学主持召开了高铁信息技术学术研讨会，暨“高铁信息技术工程实验室”成立仪式。在科技部及铁总公司相关领导的指导和支持下，由北京交通大学、中国科学院院计算技术研究所、中科曙光公司三方签署了合作仪式，成立了高铁信息技术工程实验室。此次合作以高铁信息技术需求为导向，以高铁运维安全保障技术自主创新为动力，以相关技术产业化为目标。三方将以高铁信息技术为合作契机，组成科研工程体，共同致力于包括车载计算机、铁路高性能计算、大数据与云计算、软件可靠性、传感器、PHM理论及模型等，以及低功耗、轻量级、可移动大数据中心等基础研究领域；包括动车组健康监测、高铁运维支撑、危险品运输安全监测、铁路防灾预警等技术重点应用领域；在高铁信息技术相关标准方面开展研究合作；并在高铁安全保障技术、软件评测等方面形成标志性科研成果，争取“十三五”国家项目方面取得实质性进展，为产业化奠定基础。

2016甲骨文瞄准持续创新

盘点2015年甲骨文中国的表现，是付出与收获的一年，通过一系列对本地市场的投入与相应举措，正在稳健的朝向云计算首选公司目标前进，助力中国云计算产业发展。接近年底的时候，甲骨文宣布与腾讯云合作，联合为中国客户提供甲骨文企业级云计算服务，合作范围全面覆盖SaaS、PaaS和IaaS三层云服务，将使不同规模的中国企业能够更好的借助云计算的优势和敏捷性，实现业务转型，打造核心竞争优势。2016年，甲骨文将持续创新，为用户提供业界最广泛、最深入、最丰富的云产品和服务。计划将SaaS市场做到第一；而在PaaS市场保持领先之后还能定义整个市场。对于其他领域也将持续保持深化与创新优化。

寄云科技发布SaaS服务平台和PaaS平台

1月15日，寄云科技发布了SaaS服务平台和PaaS平台，旨在帮助ISV 和SaaS厂商“飞越”客户消费鸿沟。会上，寄云科技还携手HP、管家+、通达和IBOS等发出成立SaaS联盟的倡议，希望能联合各环节的资源共建SaaS行业健康生态链，推动企业服务的快速发展和普及。

寄云SaaS服务平台采用模块化设计、拖拽式操作，并预置先进的响应式、自适应页面模板，具有可视化编辑器以及多种SaaS属性区块，支持视频、图片、动画和文字等多媒体产品展示，提供专业多轴定价、全面的订阅管理以及灵活的结算方式。SaaS供应商无须开发和维护，注册即可0成本拥有专业的SaaS运营门户。除了提供专业的SaaS运营门户功能，寄云SaaS服务平台还打通了神州数码、惠普等多家大型渠道经销商应用商店通道，支持SaaS供应商自助快速构建线上渠道销售体系，通过线上受理渠道申请、渠道审核、渠道订单和应用管理、渠道运营统计等功能，快速将SaaS应用发布到多家渠道经销商应用商店，直达数百万级企业用户桌面，解决SaaS供应商的销售难题。寄云PaaS平台提供应用级混合云管理和自动化运维等服务，解决企业跨平台云管理的问题，从企业应用和云基础设施两个维度，为企业用户提供云资源和企业应用的配置、监控、自动化运维和管理服务，让企业能够轻松部署和管理跨公有云、私有云的重要商业应用和开源应用，降低企业云落地的门槛。

第二届中国企业互联网大会暨2016用友伙伴大会在京召开

以“融合·生态·共享”为主题的第二届中国企业互联网大会在北京举办，2016用友伙伴大会亦同步召开。用友网络董事长兼CEO王文京表示要“紧紧围绕以客户为中心，升级与伙伴的合作模式，构建全新生态圈，融合创新产品与服务，持续不断为用户创造价值，服务企业互联网化，是抓住当前机遇，实现弯道超车的关键”。

在本次大会上，用友网络全面展示了“软件+”、“企业互联网服务”与“互联网金融”三大板块业务及融合创新的产品与服务；发布了涵盖机械、建材、石化、电子等12个行业30000多家企业的调研报告-中国首个《企业互联网化指数》白皮书；推出了针对大型企业互联网化解决方案NC6.5、成长型企业互联网应用平台U8+V12.5、小微企业互联网管理软件T+V12.1；宣布了由用友网络、阿里巴巴、华为与腾讯等参与的“企业云生态”推进计划。同时，用友网络与华为签署战略合作协议，共同推进针对大型企业的私有云解决方案与服务。用友网络的软件+业务板块除了发布的三大产品外，还展出了企业互联网开放平台iUAP、数字营销、共享服务、智能制造等产品与服务。

XCTF 国际联赛郑州站暨赛客杯ZCTF 线上赛完美收官

XCTF联赛郑州站暨赛客杯ZCTF线上初赛日前完美收官。本站比赛共吸引了1493个团队共4500多人共同参与。历时36个小时后，最终多高校联合的Nu1L战队以出色的表现获得第一名，FlappyPig战队则以微弱差距获得第二名，第三名被浙大AAA战队获得（最终结果将在主办方审核完成后正式公布）。本次ZCTF“赛客”杯网络安全对抗赛是由河南省工业和信息化委员会等机构主办，河南赛客信息技术有限公司承办。本次XCTF联赛郑州站比赛(ZCTF)线上赛的成功举办，为河南地区线下赛及未来网络安全技术对抗比赛的举办奠定了良好的基础。同时ZCTF线上赛吸引了各大高校学生、网络安全从业者以及网络安全技术爱好者的参与。本次比赛的举办得到了河南省内教育界各方力量的重视，为河南高校网络空间安全人才的培养提供了强大的推动力

山石网科S系列IPS新品构建综合防御体系

1月28日，山石网科发布S系列入侵防御系统产品（IPS），产品包含6款型号，覆盖从1G到10G不同等级的流量环境。

山石网科的S系列产品以多重威胁检测和防御能力，支持底层的ARP攻击、网络层DoS/DDoS攻击以及多种常见协议的异常、数百万种病毒、海量的恶意URL和轻量级Web攻击等一系列已知、未知威胁的检测及防御；还可针对0Day漏洞自定义攻击防御机制，最大化满足用户的防护需求同时减少人力的投入。

拥有过硬的入侵检测率是优秀的IPS产品所必备的条件，山石网科S系列产品的入侵检测率在全球知名测试机构NSS Labs的测试中高达到99.6%。为了更有力的防御不断变异升级的威胁攻击，山石网科铺设了广泛的威胁情报合作体系，既与微软、CVE等权威机构实时共享漏洞库，也同安天实验室、亚信安全等业界知名安全厂商建立了多方位合作。

此外，山石网科S系列产品拥有多视角、丰富易用的报表功能，从CIO角 度出发的整体风险概览，到业务系统管理员所关注的各业务系统存在的漏洞、遭受的攻击，再到安全管理员需要掌握的威胁分布、描述、攻击源，为方便客户单位不 同职责的管理员从不同视角进行管理。具备全面的威胁环境感知能力也是山石网科S系列产品的突出特点，涵盖了应用感知、用户感知、内容感知等各个维度的感知能力，可视化程度的提升必然会带来更精确的防御。

信息化研究