电网信息安全应当建立主动防御阵线—2013电力信息化年会

2013-12-23 09:54:36 大云网　点击量：评论 (0)

在11月30日-12月1日举行的电力行业信息化年会上，上海交通大学信息安全学院常务副院长李建华针对信息安全问题做主题讲话，全面介绍了信息安全技术的发展和面临的挑战，并与参会人员热烈互动。以下为文字实录。上

另外我们做安全会戴有色眼镜来看文化和意识形态看，例如IPad，这是将个人休闲方式带到了世界各地，facebook将自己的社交方式推向了全球。我们也看到在80年代时，老一代可能拿过收音机收听，然而从2010年之后美国长达半个世纪美国之音停播。所以这样的特点从新技术发展对信息安全提出非常高的挑战，随着应用越来越复杂，我们需要从应用角度造就一个全网安全管理、安全体系，可评估攻击行为来支持由于新技术发展对安全提出新挑战。但是从信息安全泛在化趋势来讲，对企业来讲，非常敏感一些核心数据，财务数据运营统计等，都是可以利用的，包括通过网络、邮件非法介入、存储、本地硬盘、软盘、、光盘、USB等等都构成对敏感数据的缺失的，而且这种趋势确实存在。

还有内容安全问题，以及病毒攻击，这是常态大家能够看到的。某种程度上这可能是未来的信息安全需求，近期以三星苹果为代表，大部分今天在座的代表都使用了三星和苹果手机，对于移动终端包括移动互联网在内的恶意样本程序有162981个，增值服务越来越多，这方面问题就更加凸显，同时网络攻击手段也更加丰富。

另外还有很多其他的安全问题。我们要做安全技术，这里讲到一些典型案例，比如说木马僵尸，检测这方面肯定做好，还有僵尸网络发送垃圾邮件，所以我们也要看到，在高度关注信息安全的时候，仍有一些问题是很难解决的，包括钓鱼网站，以及网站被篡改的问题等等，还有木马的问题，互联网交织着各种各样的网络形态和各种信息，包括类似于人类的社会的暴力、受局限的、版面意识包括恐怖组织等问题，还有一些不断演进考验执政党执政能力、公共安全事件等。从2009年到现在，躲猫猫、七十码等不断演化的网络舆情事件构成了当今信息安全非常重要的内涵。还有网络诚信等重要问题，蒙牛伊利互相诋毁，郭美美事件等等，这些都是网络诚信方面的问题。整体来看，国家这样一个战略不外乎是通过核心关键技术获得能力上的提升，如果想要在信息安全领域解决所有问题是非常困难的。

因此有一些非常关键技术能力，比如几大关键技术，像丢失密码，PPI等其实是信息对抗，在这些能力中若密码学这一学科有所进展，那么对于前沿性这一方面，主要是支持互联网，包括下一代网络的一些应用和网络研究就会比较多一点。这一块的关键应用技术其实就是密码分析技术，目前是应用得比较多的。从阶级防御角度有相当的核心能力需要提升，特别是漏洞挖掘、智能终端，主要是IOS和安卓，包括苹果的MAC终端分析。从一些关键技术来讲包括系统安全性角度，研究一些共性的关键技术，主要是系统安全，针对操作系统和软件应急的系统安全。

在移动互联网技术高度发达的今天，无线安全高度感知也是大家关心的问题。工控这一部分其实给大家留下了非常宽阔的研究领域，总体来讲要从工控系统的密码、访问控制、身份鉴别、安全审计技术研究等各个角度做一些工作。还有认证与访问控制领域，这里面有一些基础的，但是关于量子认证和量子计算这部分则是很前沿的，一旦这个技术突破之后，可能未来对现有密码体系是一场革命性的变化。另外内容安全这一部分，大家知道社交网络非常复杂，对于社交、社会媒体和移动终端之间的社会关系网络是大家比较关注的问题，包括移动互联网、社交网络的用户行为，网络行为、组织行为分析、预算技术研究。因此基于碎片信息挖掘及聚合的大数据环境下知识发现与情报收集监控等都是非常重要的。

举例来说，比如内容这一方面问题，某一个安全网络舆情事件一直导致你无法应对，对电力企业来讲有一些考虑，因此全面掌握行业舆情也非常重要，还有宣传、信息公开等都是可以用到，这个是从信息角度讲。另外取证，大量网络犯罪系统线上线下取证也是可以应用的，还有网络安全分析取证技术、检测，云概念出现之后包括加固和检测都是比较难做的。

另外就是智慧城市的安全，也是从内容上进行互联网追踪和取证。这是大数据，它的特点主要是几个安全问题，一是采集和分析，第二是应用和感知，大数据一直是和云计算做深度的管理，大概是这样一个特点。

还有标准化问题，这里面有算法标准、产业检测标准，系统安全管理标准，无线网络安全标准等，研究的内容比较多，有几个典型案例都是从欺诈后门发现感染，包括获取等隐蔽撤退，呈现了非常完整的完美攻击形态，另外在安全里面有一个非常艰苦的基础性工作就是漏洞安全，对决议软件系统等，这也是非常基础的一部分。

典型安全涉及具体系统，从应用和数据、主机和系统，网络安全包括物理和环境安全，电力行业在这一方面做得不错，由此来构建一个完整的综合管理控制体系。

另外还有两个观点同各位分享一下。系统安全问题，包括华为产品的安全性问题，大家都希望进入到本土化的认知认可，系统安全不可能保证100%，信息安全风险评估，包括系统安全管理，已经从风险评估、技术转到管理这种安全认证认可，这可能未来的一个趋势，像人保一样支撑。另外还有一个特点，从关键点安全专项面向专业服务安全保障，这也是非常典型一个特征，还有就是服务这一部分需要考虑。

如今国安委成立，将来相当长一段时间我们国家信息安全累计保护仍然在内网、外网两方面一起公安统筹，这是一系列标准。在十二五期间可能国家密码管理还会出台新的管理条例，更加开放国际化商务密码使用，以上是我简要说明的情况，谢谢大家。