◎ 本刊記者 星竹

在2007年上映的一部末世科幻電影《我是傳奇》中，有這樣的開場：人類醫(yī)學(xué)發(fā)明了一種新的病毒，它可以治愈癌癥，不料病毒變異后將受感染的人類變成活僵尸。一場大面積的病毒突然爆發(fā)，傳播速度之快幾乎無人能夠阻止，沒有人知道可怕的病毒之源開始于何處，只知道它是沒辦法停止的、不可逆轉(zhuǎn)的、無法治愈的。死亡籠罩了人間。相信看到這部影片的人都為里面如行尸走肉般的病毒感染者感到驚恐。如今在網(wǎng)絡(luò)世界，也正在上演著一場悄無聲息的戰(zhàn)爭，那就是與網(wǎng)絡(luò)病毒、黑客入侵等的惡意行為對抗的信息安全保衛(wèi)戰(zhàn)。各行各業(yè)的先覺者已經(jīng)開始躬行實踐。

信息安全保衛(wèi)戰(zhàn)

信息安全有這樣一組數(shù)據(jù)：2010年，最大的僵尸網(wǎng)絡(luò)控制了超過100萬臺的僵尸計算機，2011年，中國新增的釣魚網(wǎng)站超過150萬個，波及4411萬人次，損失超過200億元，遭受網(wǎng)絡(luò)攻擊次數(shù)排名前四位的國家是中國、俄羅斯、印度和美國。惡意代碼服務(wù)器數(shù)量排名前4的國家分別是美國、俄羅斯、中國和德國。此前，韓國最大的金融系統(tǒng)，遭受黑客攻擊，近半數(shù)服務(wù)器被破壞，客戶資料丟失，系統(tǒng)癱瘓長達3天，造成較大經(jīng)濟損失。

事實表明，攻擊者控制的能力和范圍越來越大，受利益驅(qū)使，造成的目標的破壞性更強。從伊朗核電站遭受病毒襲擊事件可以看出，攻擊從個人的層面上升到國家的層面。由于網(wǎng)絡(luò)戰(zhàn)役具有投入小、破壞力強、不見硝煙的性質(zhì)，因而會成為未來戰(zhàn)爭的另一種模式。2011年7月14日，美國國防部發(fā)布網(wǎng)絡(luò)空間行動戰(zhàn)略重要文件，把網(wǎng)絡(luò)空間和陸、海、空、太空一并作為美國行動領(lǐng)域。

我國是網(wǎng)絡(luò)攻擊的主要受害國。從國家層面來看要強調(diào)自主可控，從計算機芯片、核心系統(tǒng)到頂層應(yīng)用，要最大限度地實現(xiàn)自主研發(fā)，做到信息安全系統(tǒng)要素操之在我，而不是受制于人。“任何一個國家都不可能把涉及國家利益的信息安全建立在別國控制的產(chǎn)品和技術(shù)上面。”一位信息安全專家如是說。因此，建立自主可控的信息安全關(guān)鍵技術(shù)顯得非常必要。信息安全產(chǎn)品的自主研發(fā)也對信息安全從業(yè)人員提出了要求，這是整個信息安全鏈條關(guān)鍵的一環(huán)。

從企業(yè)現(xiàn)狀來看，隨著建筑施工企業(yè)的擴張發(fā)展和管理轉(zhuǎn)型，企業(yè)比以往任何時候都更加依賴信息化。有信息的地方就要有安全。信息安全之間的對抗就如同政治經(jīng)濟領(lǐng)域一樣廣泛存在。施工企業(yè)不管是從產(chǎn)品上、自主研發(fā)上，還是在設(shè)計、研發(fā)、制造的過程中，都要保證產(chǎn)品自身的安全，實現(xiàn)對管理對象可管理、可操控。

把握策略 合理投入

雖然在醫(yī)藥、金融等行業(yè)都有相關(guān)的法規(guī)，目前我國施工行業(yè)并沒有安全規(guī)范軟件的法規(guī)，整個行業(yè)在信息安全系統(tǒng)應(yīng)用部署上并沒有明確的要求。目前唯一能執(zhí)行的措施是網(wǎng)絡(luò)監(jiān)控，通過查看上網(wǎng)行為，記錄到訪網(wǎng)站等來消除危險。但這些都是從事后審查的角度來實施的。信息產(chǎn)品用戶在部署安全設(shè)備上大概都比較類似，把很多設(shè)備放在具體的某一些位置上，放在沒有產(chǎn)生安全威脅的階段。每一個CSO是否能夠知道目前網(wǎng)絡(luò)狀態(tài)到底如何？很多系統(tǒng)都缺少了這樣的數(shù)據(jù)和監(jiān)管。

在信息安全產(chǎn)品和技術(shù)的應(yīng)用中，企業(yè)必然要遇到安全的威脅，每一個企業(yè)都會面臨很大的問題。如果對基本系統(tǒng)漏洞采取合理的安全保護措施，就可能阻止危險的發(fā)生。比如，在日常工作中，當電腦桌面受到感染的時候，病毒通過侵占一臺主機，再利用這臺主機主動探測其他主機是否有漏洞并主動發(fā)起系統(tǒng)漏洞攻擊。從應(yīng)用安全的角度來分析，企業(yè)需要對網(wǎng)絡(luò)具有安全上的可視性。平時部署安全系統(tǒng)后，看一看日常網(wǎng)絡(luò)是否有異常的IT流量。如果感染了病毒，網(wǎng)絡(luò)流量一定有異常反應(yīng)。據(jù)有關(guān)專家稱，病毒攻擊網(wǎng)絡(luò)時選擇的時間很單一，比如在晚上的8點35分會采取密集行動。因此，在攻擊效果展現(xiàn)、網(wǎng)絡(luò)災(zāi)難爆發(fā)之前的幾個月就可以感覺到攻擊行為。通過網(wǎng)絡(luò)可視化工具來檢測并及時把危機扼殺在搖籃里，就可以有效避免上述案例的發(fā)生。

信息安全治理的效果與企業(yè)的投入和策略是分不開的。安全投入和企業(yè)的發(fā)展是正比例關(guān)系，當今很多企業(yè)IT建設(shè)的重點在于安全結(jié)構(gòu)。企業(yè)的安全防護分為被動型、合規(guī)型、主動型和優(yōu)化型4個階段。在被動型，企業(yè)的安全效率比較低，風(fēng)險比較大。一般來說企業(yè)網(wǎng)絡(luò)架構(gòu)大概有基礎(chǔ)網(wǎng)絡(luò)、桌面集成安全、服務(wù)器和后臺數(shù)據(jù)庫，只要基于這4個元素對網(wǎng)絡(luò)安全進行配置，就可以基本滿足信息安全的需要。企業(yè)在選擇安全產(chǎn)品部署網(wǎng)絡(luò)的時候，既要根據(jù)自身的特點選準產(chǎn)品和技術(shù)，也要將這些技術(shù)實實在在地應(yīng)用起來，從而守衛(wèi)信息化建設(shè)成果，在可持續(xù)發(fā)展的道路上走得更遠。

在《我是傳奇》影片中，病毒戰(zhàn)役中的幸存者羅伯特·奈維爾上校，憑借大量的體能訓(xùn)練，敏銳的警覺和強大的防護在末世中生存了下來。他憑借科學(xué)知識，依然沒有放棄對病人的救治，在不斷試驗著可以挽回同胞生命的化學(xué)藥物。故事中，他是人類的希望。信息安全的希望，就握在行業(yè)中每一家企業(yè)每一個信息化人的手中。