■原題:滴滴下架、三大頭部企業被審查,是時候正視網絡安全了
■記者:余快
6月(yue)最(zui)后一天在(zai)大(da)洋(yang)彼岸(an)上(shang)市后,滴(di)滴(di)一直站(zhan)在(zai)了輿論的中心(xin)地帶(dai),盡(jin)管這并非滴(di)滴(di)所愿。
大(da)批(pi)媒(mei)體的(de)跟進后(hou),蟄伏三年、一朝上(shang)市的(de)滴滴在“數據安全(quan)”上(shang)迎來了(le)一記重拳。
7月(yue)4日,國家互(hu)聯網信息(xi)辦公室正式(shi)通報:「滴滴出行」App 存在嚴重違法違規(gui)收集使用個人信息(xi)問題,被(bei)要求在各大應用商(shang)店(dian)下架。緊跟著,網絡安全(quan)審(shen)查辦公室對運滿(man)(man)(man)滿(man)(man)(man)、貨車(che)幫(bang)、BOSS 直聘實(shi)施網絡安全(quan)審(shen)查,審(shen)查期間「運滿(man)(man)(man)滿(man)(man)(man)」「貨車(che)幫(bang)」「BOSS 直聘」停(ting)止(zhi)新用戶注冊(ce)。
國家網(wang)信(xin)辦緊急剎車(che)、行(xing)業頭部遭遇嚴(yan)管,安(an)全(quan)問題沖(chong)上(shang)熱搜。對于"被點(dian)名”的幾家,個(ge)人用戶(hu)討論激烈,行(xing)業人則喜憂參雜(za)。
憂于“數據安(an)全”問題,業(ye)內太過普遍:頭部玩(wan)家尚(shang)未如(ru)此(ci),更何況(kuang)萬千(qian)中(zhong)小企業(ye)。
喜于(yu)今(jin)年(nian)來“數據安(an)全”數次(ci)出圈(quan),也許(xu)能讓這個被人(ren)忽(hu)視(shi)的(de)行業,得到應有的(de)重視(shi)。
在AI逐漸規(gui)模化(hua)落地之時,提(ti)升(sheng)安全(quan)意識,讓數據安全(quan)與網絡安全(quan)的(de)建設成為重中之重。本文(wen),將以視頻數據為切(qie)入點,深入探討智能時代下的(de)這一基(ji)礎命題。
網絡(luo)安全發展為(wei)什么脫節:重建設、輕安全。
首先要明白一點,視頻(pin)安(an)全至關重要。視頻(pin)網絡(luo)(luo)的頭(tou)號威脅,是(shi)網絡(luo)(luo)攻擊(ji)(ji)戰,攻擊(ji)(ji)強(qiang)度、滲透(tou)深度也(ye)會不斷地增(zeng)強(qiang)。受攻擊(ji)(ji)后,視頻(pin)數(shu)據泄露(lu)、拍(pai)攝區(qu)(qu)域成為盲區(qu)(qu)、失去敏感數(shu)據控制權將接踵(zhong)而至。但(dan)一直以來,視頻(pin)的網絡(luo)(luo)安(an)全并未得到應有的重視。
中(zhong)國政府(fu)是有全世(shi)界對新技術最包容的(de)國家政府(fu),先引入,再在(zai)實踐中(zhong)改(gai)進,在(zai)過去70年中(zhong)大體如一。
重建設,輕安(an)全(quan),是十三(san)五建設中的(de)安(an)全(quan)防(fang)護領域面臨的(de)處境。以往(wang)視頻管理建設中,大多應用(yong)先(xian)行、網絡為后(hou)。首先(xian)保障系統的(de)業務可行,其次是系統的(de)安(an)全(quan)性,甚至(zhi)沒有“其次”。
也因(yin)此(ci),缺乏體系化地規劃、部署網絡安全,缺乏系統地培養安全管理(li)人才,缺乏視頻(pin)接入網絡流程和(he)制度。
信(xin)息化和(he)網(wang)絡安全發展(zhan)脫(tuo)節。兩(liang)者的脫(tuo)節,不僅在(zai)技術層面,還(huan)在(zai)體系化、建設思路、戰略性(xing)等層面。
脫節的視頻網絡安全存在哪(na)些風(feng)險?
在2017年物聯網(wang)安全研究報(bao)告(gao)中(zhong),就已經發現物聯網(wang)的(de)設(she)備暴(bao)露(lu)在互聯網(wang)之下,普遍存(cun)在被攻擊、被利(li)用(yong)的(de)風險(xian)。其中(zhong),路由器和(he)安全防護(hu)設(she)備暴(bao)露(lu)的(de)數(shu)量最多。
2019年的物聯網安全事(shi)件中,主要(yao)是三(san)類:漏洞(dong)和(he)弱口令、準入控制乏力、應用(yong)監管不足
宇視安全(quan)&網絡解決(jue)方案(an)總工(gong)王連朝告訴AI掘金志,其中(zhong)有一半(ban)是漏洞(dong)和弱(ruo)密碼造成的(de)。
漏洞和弱(ruo)密碼使得設備很容易被控制、被利用,從(cong)而造成(cheng)信息(xi)泄露,或(huo)引發DDOS攻擊。
而造(zao)成(cheng)產(chan)品本身安全(quan)不足的(de)原因有二:
- 組織管理不足(zu),設計之初(chu)未(wei)曾(ceng)考慮安全設計,未(wei)曾(ceng)建立漏洞發現(xian)、修(xiu)復(fu)、響應(ying)機制等,導致(zhi)后期難以修(xiu)復(fu)。
- 技(ji)術防范手段不足,存在弱(ruo)口(kou)令,預留后門,或者軟(ruan)件開(kai)發本身不規范,缺(que)失認證機制、數據明文(wen)傳輸等。
換句話說(shuo),漏(lou)(lou)洞和(he)弱(ruo)口(kou)令風險(xian)說(shuo)明一(yi)個問題:產品(pin)自(zi)(zi)身(shen)的(de)(de)可靠性(xing)是系統(tong)(tong)安(an)全的(de)(de)根基。如果自(zi)(zi)身(shen)的(de)(de)安(an)全性(xing)得(de)不(bu)到保障(zhang),僅(jin)通過外部(bu)防(fang)護(hu),很難做到完全的(de)(de)安(an)全。除弱(ruo)口(kou)令和(he)漏(lou)(lou)洞的(de)(de)風險(xian)外,在(zai)整(zheng)個系統(tong)(tong)建設中,缺(que)乏設備的(de)(de)準入(ru)控制(zhi)。IT系統(tong)(tong)較成熟,準入(ru)控制(zhi)考(kao)慮(lv)得(de)較周全,業界對(dui)(dui)IT系統(tong)(tong)的(de)(de)黑客攻擊、網(wang)絡風險(xian)的(de)(de)暴露認(ren)識(shi)更深刻。但是行業對(dui)(dui)安(an)全防(fang)護(hu)系統(tong)(tong)中的(de)(de)安(an)全問題普遍(bian)認(ren)識(shi)不(bu)足。
正(zheng)(zheng)如2018年,某地的(de)交警處罰系統被黑客侵(qin)入,造成了非法(fa)銷分,原因(yin)正(zheng)(zheng)是安全防護系統沒有對設備準(zhun)入做控制。
安全是三(san)分技術、七分管理。
應用監管不足,視頻(pin)信息容易被(bei)內(nei)部人員泄露。無(wu)論(lun)是安全(quan)防(fang)護系統(tong)的個人使用者還是主管方,對此(ci)意識(shi)都比較缺乏(fa)。
“安全(quan)(quan)防護(hu)系統從(cong)前端(duan)接入區(qu)到數(shu)據匯聚區(qu)再到核心應用區(qu),從(cong)數(shu)據產生、傳輸、存(cun)儲、應用、管理等(deng),多個維度每一個環節都(dou)存(cun)在非常突(tu)出的安全(quan)(quan)問題。”宇視(shi)網(wang)安總工周欣如強(qiang)調(diao)。
智能硬件中,具備算力的(de)終端中除了操作系統,還會用到大(da)量的(de)電子(zi)元(yuan)器件,比如(ru)當內存的(de)算法明文保存,黑客就可遠(yuan)程登錄,調式硬件,內存條芯片(pian)接口就能成為被攻擊的(de)入口。
云管端管邊的物聯(lian)(lian)網架構造就(jiu)了萬物互聯(lian)(lian)的美(mei)好設想,但卻忽略了智(zhi)能硬件在與服務器或(huo)云連(lian)接(jie)與傳輸(shu)過(guo)程中,黑客可以(yi)通多(duo)如網絡截取數(shu)據包(bao)(bao)的方式,破解數(shu)據包(bao)(bao)中的所有內容。
在管(guan)理平臺中,黑(hei)客(ke)同樣可以(yi)通過軟(ruan)件(jian)的反編譯(yi)查看到軟(ruan)件(jian)漏洞并侵入。萬物互聯的同時(shi),也拉長了(le)網絡(luo)攻擊的指數(shu)和(he)戰線,單點防護難以(yi)保護整個網絡(luo)。
物聯網(wang)的打(da)通,模糊(hu)了虛擬和(he)現(xian)實(shi)的邊界(jie),虛擬世界(jie)中的漏洞(dong)可能給物理(li)世界(jie)帶來巨大的災難。正如一輛無人駕(jia)駛汽車(che)出現(xian)一個安全漏洞(dong),在高速(su)公路上突(tu)然停車(che),會造成車(che)毀(hui)人亡的慘案。
視圖數據共(gong)享時(shi)安(an)全(quan)不可(ke)控,數據泄密,無法溯源(yuan)。
在大(da)數(shu)據時代,行業(ye)上下致(zhi)力于消(xiao)除數(shu)據孤島,但共享(xiang)數(shu)據時,難以保護所涉人(ren)員隱私、名譽安(an)全,視圖外(wai)泄后更難以溯(su)源、定責(ze)。
安(an)全圍(wei)墻是怎么修起來的?
To G市場(chang)的網(wang)絡安全(quan)中(zhong),安全(quan)防護(hu)企業所占份額極小,玩家(jia)以傳統(tong)信息安全(quan)廠家(jia)為(wei)主。
視頻物(wu)聯的(de)發展,視頻安全需求劇增,唯有深入視頻業(ye)務(wu)的(de)企業(ye)才能做出(chu)更貼(tie)合的(de)視頻保護(hu)方案。
即使養(yang)在深閨無(wu)人知(zhi),深諳安(an)全之要的視覺企(qi)業(ye)們似乎從未放棄過修建視頻安(an)全的圍(wei)墻。
整個(ge)安(an)全防護系統中的風險(xian)來自感知(zhi)層(ceng)(ceng)、傳輸層(ceng)(ceng)、管理層(ceng)(ceng)和(he)應用層(ceng)(ceng)4大(da)方面。
感知層安全防護
感知層(ceng),前端(duan)攝像(xiang)機部署廣泛、數(shu)量(liang)巨多。在物理(li)接(jie)(jie)入(ru)上,首(shou)先需考(kao)慮防(fang)拆設計(ji),防(fang)止(zhi)設備被替換或竊取(qu),其(qi)次是傳統設備的調(diao)試(shi)接(jie)(jie)口(kou)(kou),建(jian)議屏蔽、隱藏或去除(chu),容(rong)易給(gei)非(fei)法人員可乘之機。網絡接(jie)(jie)入(ru)上,宇視(shi)增加(jia)了PON口(kou)(kou)接(jie)(jie)入(ru),這種(zhong)光纖接(jie)(jie)入(ru)和傳輸方(fang)式(shi),可以防(fang)止(zhi)電口(kou)(kou)私接(jie)(jie)、偵(zhen)聽(ting)。
物理層外,整個終(zhong)端設備(bei)安全也應考慮。攝像機(ji)其實(shi)是弱功(gong)能系統,需要(yao)檢查它是否存在弱口(kou)(kou)令、端口(kou)(kou)信(xin)息、協議(yi)信(xin)息、CPU占用情況(kuang)等(deng),實(shi)時記錄(lu)并(bing)上傳(chuan),及時發現(xian)終(zhong)端設備(bei)的安全狀態。
終端的(de)另(ling)一(yi)個關鍵,就是視(shi)頻數據安全(quan)(quan)(quan)。攝像頭系統中的(de)標準協議(yi),對視(shi)頻的(de)保(bao)護規定不(bu)足(zu),完全(quan)(quan)(quan)以(yi)明文狀態在網絡中傳輸(shu),數據容易(yi)被截取。而(er)一(yi)般的(de)視(shi)頻數據安全(quan)(quan)(quan)保(bao)護方(fang)案有兩種。
一(yi)是對數(shu)據(ju)(ju)全(quan)部(bu)進行(xing)加(jia)(jia)密(mi)(mi),信令、數(shu)據(ju)(ju)、傳輸協(xie)議,經(jing)過加(jia)(jia)解(jie)密(mi)(mi)設備直接(jie)進行(xing)加(jia)(jia)密(mi)(mi)。但必須(xu)要成對地配(pei)置加(jia)(jia)解(jie)密(mi)(mi)設備,另外(wai)它導致(zhi)數(shu)據(ju)(ju)很(hen)難識別(bie),成本(ben)相(xiang)對較(jiao)高。
二是通道加密(mi),但因數據都封裝(zhuang)在(zai)通道內,導致通用的網絡流量(liang)分(fen)析工具難做到安全的分(fen)析,無法(fa)準確的判斷實際網絡中的真實狀態(tai)。
宇視(shi)(shi)采用的視(shi)(shi)頻(pin)加密(mi)方案,可以(yi)正(zheng)常的信令交互(hu)(hu),在交互(hu)(hu)的情況下不影響(xiang)系統的兼容(rong)性,即使視(shi)(shi)頻(pin)數(shu)據被非法獲(huo)取(qu),只有在合法的解碼端才(cai)可正(zheng)常觀看,仍(reng)然可以(yi)保證(zheng)其安全。
傳輸層安全防護
市場上有(you)多(duo)(duo)種傳(chuan)輸層方案,各有(you)優劣,完全(quan)適合的方案并不多(duo)(duo)。
比如信息系統(tong)相(xiang)對成熟,但物理(li)網或安全防護(hu)系統(tong)中,攝像頭(tou)與(yu)PC機等終(zhong)端設備(bei)不同(tong),不能主動連接(jie)、配置密(mi)碼,攝像頭(tou)相(xiang)當于啞終(zhong)端。
再(zai)比如掃描檢(jian)測方案,需要先掃描再(zai)人工判定合法(fa)性與非法(fa)性,效(xiao)率(lv)和安(an)全(quan)性較(jiao)弱。
宇視認為,物聯網(wang)的安全準(zhun)入(ru)方(fang)案更(geng)加適(shi)合安全防護系統(tong)。
除了(le)實(shi)現防(fang)火(huo)墻方案中對IP、MAC及端口(kou)綁(bang)定之外,還(huan)可進行應用的感知(zhi),識別(bie)安全防(fang)護的接(jie)入協(xie)議,感知(zhi)設備(bei)的狀態,且與(yu)檢測(ce)異(yi)常(chang)等信息相配合,實(shi)時防(fang)控(kong)得以實(shi)現,且支持旁掛、串接(jie),防(fang)護手段更加豐(feng)富。
跨互(hu)聯網或廣域網接入,主(zhu)要(yao)是保證傳(chuan)輸的安全性,且需要(yao)對整體的網絡、系統和結構適配(pei)。
基(ji)于此,行業內以VPN方案和ALG網(wang)關為主(zhu)。前者可實現安全傳輸,但(dan)涉及到IP地址沖(chong)突或(huo)系統的(de)改造,靈(ling)活度低,后者兼容性差(cha),且明文(wen)傳輸,安全性差(cha)。
宇視推出了(le)UNP方(fang)案,同時(shi)滿足了(le)方(fang)便部署、安(an)(an)全(quan)性(xing)高和視頻跨網設計的需求,且針對(dui)安(an)(an)全(quan)防護系統里(li)的協議做了(le)適配,保(bao)證了(le)一定的安(an)(an)全(quan)性(xing)。
管理平臺安全防護
在主機(ji)(ji)層,宇視通過多機(ji)(ji)備(bei)份,比(bi)如雙機(ji)(ji)或(huo)一對多備(bei)份的快速切換,保證應(ying)用服(fu)務安全。
在數據存儲(chu)上,則使用多(duo)級備份、多(duo)陣列存儲(chu)等,另外(wai)支持流量(liang)中斷的及時備份,另外(wai)使用了安全塊(kuai)存儲(chu)。
“安全塊存(cun)儲(chu)(chu)是(shi)(shi)我們的(de)創新,它是(shi)(shi)基于視頻流(liu)/塊的(de)存(cun)儲(chu)(chu)技術,因為它的(de)關鍵(jian)信息是(shi)(shi)獨立存(cun)放的(de),即使獲取到硬(ying)盤(pan)也無法直接拷貝出數據。”王連朝表(biao)示(shi)。
用戶管理安全
許多(duo)重要信息泄漏于用戶側,宇視在(zai)用戶側做事前、事中、事后(hou)三(san)個階段的安全管理。
事(shi)前(qian)防御(yu),在用戶終端(duan)接入(ru)(ru)系統前(qian)做(zuo)(zuo)準(zhun)入(ru)(ru)判斷;事(shi)中控制,定義授(shou)權范圍(wei),即對用戶的一些操(cao)作做(zuo)(zuo)授(shou)權或者管控;事(shi)后審計,對所有操(cao)作做(zuo)(zuo)日志審計。
“重建設(she),輕安全的現(xian)象會在2021年開始完全改善。”周欣(xin)如語氣里帶著喜悅。
發改委、中央綜治辦(ban)等九部委聯合下發996號文,要求加強公共(gong)(gong)安全(quan)視頻聯網建(jian)設(she)和(he)應用,提出到2020年,實現“全(quan)域(yu)覆蓋、全(quan)網共(gong)(gong)享、全(quan)時可用、全(quan)程可控”的(de)公共(gong)(gong)安全(quan)視頻建(jian)設(she)聯網應用。
十四五規(gui)劃中,網絡(luo)安(an)全(quan)高(gao)頻出(chu)現,多個安(an)全(quan)法(fa)規(gui)以及視頻相關的安(an)全(quan)法(fa)律法(fa)規(gui)將相繼落地執行(xing)。
顯(xian)而易見,公(gong)共安全(quan)領域的(de)網絡安全(quan)已得到空前(qian)高度(du)的(de)重(zhong)視。
不(bu)管世界對安全(quan)重(zhong)視與否(fou),依賴(lai)與否(fou),安全(quan)的本質使命(ming)未曾(ceng)改變(bian)。
[出處] 余(yu)快. 滴(di)滴(di)下架、三(san)大頭部企(qi)業被審(shen)查(cha),是時候正(zheng)視網絡安(an)全了. 雷鋒網, 2022-07-06 本文有刪節