8月底，華住集團旗下連鎖酒店用戶數(shù)據(jù)和順豐快遞客戶數(shù)據(jù)的疑似泄露、交易事件引起輿論關(guān)注，前者涉及數(shù)據(jù)總數(shù)達5億條，后者為3億條，大規(guī)模用戶數(shù)據(jù)泄露事件涉及每個網(wǎng)民，讓人“細(xì)思極恐”。

　　實際上，近些年數(shù)據(jù)泄露事件頻發(fā)，從臉書被爆出5000萬用戶信息遭泄露，到“Twitter”自爆安全漏洞，要求用戶修改密碼，到國內(nèi)12306訂票被爆個人信息可以被其他用戶查看，再到趣店被爆數(shù)百萬學(xué)生數(shù)據(jù)疑泄露，�？低�視監(jiān)控設(shè)備被境外控制，再到臺積電工廠遭病毒攻擊而致iPhone芯片停產(chǎn)等。信息安全事件的危害程度正在不斷升級。360公司董事長兼CEO周鴻祎近日呼吁：“中國只有網(wǎng)絡(luò)游戲、網(wǎng)絡(luò)娛樂、外賣是不夠的，還要有自己的核心技術(shù)，網(wǎng)絡(luò)安全的戰(zhàn)略意義一點不亞于芯片。”

　　華住、順豐數(shù)據(jù)為何被泄露？

　　8月28日，在暗網(wǎng)，一位ID名為“helen250”的用戶發(fā)帖出售1.3億名華住旗下酒店入住用戶數(shù)據(jù)包。8月31日，有媒體爆料，在暗網(wǎng)中有順豐用戶數(shù)據(jù)正在出售。其后，華住、順豐兩家公司均立刻報警，并稱是否數(shù)據(jù)泄露尚無法確定。而有不愿具名的網(wǎng)絡(luò)安全工程師則透露，暗網(wǎng)市場交易者表示，愿意提供萬條數(shù)據(jù)測試其真實性。

　　如果華住和順豐數(shù)據(jù)泄露是真，那么為什么如此龐大的用戶信息會泄露出來？志翔科技聯(lián)合創(chuàng)始人伍海桑告訴《中國電子報》記者，從一些媒體的公開報道來看，在華住數(shù)據(jù)泄露事件爆發(fā)前數(shù)周，有人向開源社區(qū)Github上主動上傳了相關(guān)的數(shù)據(jù)庫配置文件。從GitHub頁面截圖可以看出，上面有數(shù)據(jù)庫的地址、用戶名和密碼，通過這三個信息，就能拿到這個數(shù)據(jù)庫的全部信息。黑客隨后在8月14日，聲稱對華住酒店進行數(shù)據(jù)庫“脫庫”（即將數(shù)據(jù)庫里所有數(shù)據(jù)全部盜走）。泄露的信息中，包括了用戶的官網(wǎng)注冊資料、入住登記身份信息和酒店開房記錄，登錄密碼甚至還是明文保存的，讓黑客得到了“意外之財”。若上傳信息到GitHub，如一些媒體所言是華住程序員所為，那么平臺自身監(jiān)管不嚴(yán)，難辭其咎。這些漏洞，導(dǎo)致黑客輕松進入華住的數(shù)據(jù)庫里，盜取了數(shù)據(jù)，相當(dāng)于小偷拿到了你家的鑰匙，打開你家門，發(fā)現(xiàn)家里抽屜中放的居然是現(xiàn)金而不是有密碼的銀行卡，無須費力破譯密碼就能輕而易舉地拿走寶貝。

　　360網(wǎng)絡(luò)安全響應(yīng)中心（360CERT）負(fù)責(zé)人蔡玉光對《中國電子報》記者表示，企業(yè)數(shù)據(jù)泄露的主要原因有幾類：一是通過惡意的攻擊犯罪行為；二是員工或承包商疏忽或惡意導(dǎo)致泄露（人員因素）；三是系統(tǒng)故障，IT/業(yè)務(wù)流程故障。近年伴隨數(shù)據(jù)資產(chǎn)價值與日俱增，惡意攻擊者的目標(biāo)越來越多地指向目標(biāo)系統(tǒng)的數(shù)據(jù)庫系統(tǒng)，通過對敏感數(shù)據(jù)的竊取，再將這些包含個人隱私或商業(yè)機密的數(shù)據(jù)流入黑產(chǎn)市場，經(jīng)過倒賣最終獲取巨額利益。

　　大規(guī)模的數(shù)據(jù)泄露對于企業(yè)來說，將直接導(dǎo)致客戶信任度下降，企業(yè)也需要投入大量成本進行取證調(diào)查，以挽回數(shù)據(jù)帶來的損失。對于個人用戶，泄露的信息會為犯罪行為，如電信詐騙、敲詐勒索等提供便利，如果泄漏的信息包含用戶信用卡、密碼，還可能導(dǎo)致用戶個人資產(chǎn)受到直接威脅。

　　針對具體事件中的溯源工作，蔡玉光建議企業(yè)“內(nèi)外協(xié)同”進行。內(nèi)部，對涉及的相關(guān)系統(tǒng)進行排查，發(fā)現(xiàn)并修復(fù)可能存在的相關(guān)漏洞，同時提取相關(guān)日志、流量、可疑文件等信息進行技術(shù)溯源；外部，可以聯(lián)合公安、運營商、安全廠商、白帽子社區(qū)等多方力量，對相關(guān)事件進行多層面、多視角的分析和回溯，及時做出應(yīng)對措施，保障企業(yè)和用戶后續(xù)的安全。以往發(fā)生的多起數(shù)據(jù)泄密事件表明，依托于企業(yè)、公安、監(jiān)管機構(gòu)、安全行業(yè)等多方面的協(xié)同努力，是可以將網(wǎng)絡(luò)犯罪分子繩之于法的。而個人用戶應(yīng)該定期更新密碼。養(yǎng)成良好的密碼習(xí)慣，大小寫+數(shù)字+符號，16位密碼。

　　物聯(lián)網(wǎng)時代安全挑戰(zhàn)升級

　　為什么信息安全的事件不斷爆發(fā)、不斷升級？在萬物互聯(lián)的時代，在一切越來越數(shù)字化的時代，在人工智能時代，我們所面對的信息安全挑戰(zhàn)不一樣了。

　　百度安全事業(yè)部產(chǎn)品總經(jīng)理韓祖利認(rèn)為，首先，AI時代面臨的安全挑戰(zhàn)比傳統(tǒng)安全時代更復(fù)雜，縱貫傳感器、軟件、數(shù)據(jù)、系統(tǒng)、網(wǎng)絡(luò)等多方面；其次，數(shù)據(jù)投毒、生物識別欺騙，AI自身的安全性變得前所未有的重要；最后，AI時代的安全生態(tài)是共研生態(tài)，以往企業(yè)碎片化的單兵作戰(zhàn)、安全統(tǒng)一標(biāo)準(zhǔn)的缺失，將消耗公眾對整個行業(yè)的信心。

　　“當(dāng)我們從互聯(lián)網(wǎng)時代進入到移動互聯(lián)網(wǎng)和物聯(lián)網(wǎng)時代，原來的IT系統(tǒng)安全體系‘hold’不住了。”安天移動安全副總經(jīng)理陳家林在接受《中國電子報》記者采訪時表示。信息化、數(shù)字化、智能化三化演進的IT信息系統(tǒng)帶來的是數(shù)據(jù)量量級的巨大變化，同時也帶來了IT系統(tǒng)復(fù)雜度的增加。對于互聯(lián)網(wǎng)公司來說，到了移動互聯(lián)網(wǎng)和物聯(lián)網(wǎng)時代，線上線下的融合、各種各樣入口帶來的數(shù)據(jù)是指數(shù)級的變化和系統(tǒng)復(fù)雜度的增加，對于傳統(tǒng)企業(yè)來說，他們原來的IT系統(tǒng)很難支撐。出現(xiàn)安全問題、信息泄露，一定是始料未及的。

　　“過去的攻擊相對來說是散兵游勇，更多是顯示技術(shù)能力，但今天的網(wǎng)絡(luò)攻擊更突顯利益驅(qū)動，是團隊化、產(chǎn)業(yè)化作戰(zhàn)。”IBM全球安全事業(yè)部首席架構(gòu)師Ron Williams對《中國電子報》記者說。

　　伍海桑認(rèn)為，除了數(shù)據(jù)規(guī)模、IT系統(tǒng)的復(fù)雜度更大之外，還有很重要的一點是，我們已經(jīng)進入數(shù)據(jù)經(jīng)濟時代，數(shù)據(jù)越來越價值化，信息安全意識本應(yīng)隨著數(shù)據(jù)經(jīng)濟的發(fā)展而越來越受到重視，但目前這條腿是欠缺的，尤其在中國市場。目前，公開數(shù)據(jù)顯示，在歐美市場，企業(yè)在信息安全上的投入在整體IT投入中的占比是8%～12%，而中國只有1%～3%，目前中國的相關(guān)法規(guī)也在逐步完善中，但其對數(shù)據(jù)安全的規(guī)范與嚴(yán)苛程度，還遠不及歐洲的GDPR數(shù)據(jù)保護法。

　　合力構(gòu)建信息安全城墻

　　我們應(yīng)該如何構(gòu)建更安全的信息體系？

　　周鴻祎表示，從PC時代到移動互聯(lián)網(wǎng)時代，再到IoT時代，線上線下的界限正在逐步消失。過去的很多技術(shù)方法、戰(zhàn)略指導(dǎo)思想都不管用了，新的解決之道是把全球網(wǎng)絡(luò)大數(shù)據(jù)整合起來，用更智能、更整體的思維去觀察和應(yīng)對安全局勢，這就是安全大腦。

　　韓祖利給出幾點建議，首先，AI時代所面臨的安全挑戰(zhàn)，需要企業(yè)以生態(tài)聯(lián)盟的方式共同應(yīng)對；其次，關(guān)系、技術(shù)、數(shù)據(jù)是AI安全生態(tài)共建的三大支點；最后，以BAT為代表的大公司應(yīng)率先做出正向外部性的研究和投入，使得整個生態(tài)獲得更好的安全防護。“安全不是一家公司或者一個人就可以做好的。百度安全希望能和全行業(yè)一起建立一個共贏共生的安全生態(tài)。”韓祖利說。

　　陳家林表示，需要增加對安全的投入，同時要改變原來做安全的思路。對于甲方用戶來說，首先需要有安全意識，企業(yè)做到一定規(guī)模就要把安全納入進來；其次，未來安全的打造一定是生態(tài)聯(lián)手，安全涉及全產(chǎn)業(yè)鏈從芯片、硬件、軟件、云服務(wù)保證每一個環(huán)節(jié)，安全問題往往發(fā)生在木板最短的部分；最后，對于安全公司來說，不要面面俱到，需要專業(yè)分工，還需要有進行生態(tài)整合的公司。未來的安全將從原來的傳統(tǒng)安全進入到無邊界安全，傳統(tǒng)的安全主要是集中數(shù)據(jù)庫、服務(wù)器等后臺，現(xiàn)在需要前端和后端融合。

　　要變被動安全為主動安全，需要生態(tài)協(xié)同和系統(tǒng)的理念。IBM大中華區(qū)安全事業(yè)部總經(jīng)理陳文豐表示，這其中有三個關(guān)鍵，其一是需要有效的威脅情報，其二是要有一個能夠?qū)崿F(xiàn)聯(lián)動和協(xié)同的平臺，其三是要有運營安全中心的理念。威脅情報是做安全的精髓，應(yīng)該有大而全的情報，構(gòu)建快速響應(yīng)情報中心是信息安全的一個關(guān)鍵。

　　安全已經(jīng)從網(wǎng)絡(luò)安全向網(wǎng)絡(luò)空間安全延展，與各個領(lǐng)域的企業(yè)生產(chǎn)、社會民生息息相關(guān)，形成了一個新的大安全概念。面對全新的、更為復(fù)雜且頻發(fā)的安全風(fēng)險問題，需要有風(fēng)控的思路和整體的思路，同時充分利用AI與大數(shù)據(jù)等智能技術(shù)與工具。伍海桑表示，人工智能與大數(shù)據(jù)在保障大規(guī)模信息安全上有更大的優(yōu)勢。比如在身份識別中，利用機器視覺判斷，對人臉識別的準(zhǔn)確性和速度現(xiàn)在已經(jīng)超過了肉眼。物聯(lián)網(wǎng)的發(fā)展，帶來了更多設(shè)備和應(yīng)用的接入，也帶來更復(fù)雜多樣的業(yè)務(wù)應(yīng)用場景、更多的數(shù)據(jù)交互與更多環(huán)節(jié)的協(xié)作。這更催生了新的安全需求和面向這些需求的新技術(shù)與產(chǎn)品的出現(xiàn)，比如物聯(lián)網(wǎng)設(shè)備準(zhǔn)入安全檢測、交互流程檢測、故障檢測與響應(yīng)等，以便從更深層次來杜絕安全問題的產(chǎn)生。（記者 李佳師）

　　轉(zhuǎn)自：中國電子報