2015年,隨著“互聯(lián)網(wǎng)+”戰(zhàn)略的深入推進(jìn)和移動(dòng)互聯(lián)網(wǎng)的爆發(fā)式增長(zhǎng),中國(guó)的網(wǎng)絡(luò)空間與現(xiàn)實(shí)社會(huì)深度融合,互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的規(guī)模與復(fù)雜性達(dá)到了新的高度。作為支撐所有網(wǎng)絡(luò)應(yīng)用與服務(wù)的核心,服務(wù)器的安全狀況直接關(guān)系到國(guó)家經(jīng)濟(jì)運(yùn)行、社會(huì)秩序穩(wěn)定與公民個(gè)人信息安全。本報(bào)告旨在全面梳理2015年度中國(guó)互聯(lián)網(wǎng)服務(wù)器面臨的主要安全威脅、攻擊態(tài)勢(shì)、防護(hù)狀況,并對(duì)未來(lái)趨勢(shì)提出展望與建議。
一、 總體安全態(tài)勢(shì):威脅加劇與防護(hù)升級(jí)并存
2015年,中國(guó)互聯(lián)網(wǎng)服務(wù)器面臨的安全環(huán)境呈現(xiàn)出“威脅總量持續(xù)攀升、攻擊手段快速演進(jìn)、防護(hù)意識(shí)與能力同步提升”的復(fù)雜態(tài)勢(shì)。一方面,服務(wù)器所承載的數(shù)據(jù)價(jià)值日益凸顯,成為黑客組織、網(wǎng)絡(luò)犯罪團(tuán)伙乃至某些高級(jí)持續(xù)性威脅(APT)攻擊的重點(diǎn)目標(biāo)。另一方面,國(guó)家網(wǎng)絡(luò)安全法律法規(guī)逐步完善,企業(yè)安全投入普遍增加,安全防護(hù)技術(shù)不斷迭代,整體防護(hù)水平較往年有所提升。
二、 主要安全威脅分析
- Web應(yīng)用攻擊高居榜首:SQL注入、跨站腳本(XSS)、遠(yuǎn)程文件包含等傳統(tǒng)Web漏洞利用攻擊依然是針對(duì)服務(wù)器的最主要手段。大量存在漏洞的CMS系統(tǒng)、Web框架及老舊應(yīng)用成為攻擊入口,導(dǎo)致數(shù)據(jù)泄露、網(wǎng)頁(yè)篡改甚至服務(wù)器被完全控制。
- 分布式拒絕服務(wù)(DDoS)攻擊規(guī)模與頻率創(chuàng)新高:2015年,DDoS攻擊的峰值流量屢破紀(jì)錄,超過(guò)300Gbps的攻擊已不鮮見(jiàn)。攻擊來(lái)源呈現(xiàn)國(guó)際化、僵尸網(wǎng)絡(luò)規(guī)模化趨勢(shì),攻擊目的也從單純的業(yè)務(wù)癱瘓,擴(kuò)展到敲詐勒索、商業(yè)競(jìng)爭(zhēng)甚至政治目的。金融、游戲、電商等行業(yè)服務(wù)器是重災(zāi)區(qū)。
- 系統(tǒng)與軟件漏洞威脅嚴(yán)峻:全年披露了多個(gè)影響范圍極廣的高危漏洞,如GHOST漏洞、多個(gè)Java框架及服務(wù)器中間件漏洞。這些漏洞一旦被利用,攻擊者可輕易獲取服務(wù)器權(quán)限。漏洞曝出與補(bǔ)丁發(fā)布之間的“空窗期”是服務(wù)器安全的極大挑戰(zhàn)。
- 惡意軟件與后門程序潛伏:針對(duì)Linux/Unix服務(wù)器的惡意軟件家族增多,挖礦木馬、勒索軟件開(kāi)始蔓延。攻擊者在入侵后常植入隱蔽的后門程序,以實(shí)現(xiàn)長(zhǎng)期控制、數(shù)據(jù)竊取或作為下一步攻擊的跳板。
- 弱口令與配置不當(dāng)問(wèn)題普遍:大量服務(wù)器因管理員使用簡(jiǎn)單口令、默認(rèn)口令或服務(wù)配置存在缺陷(如Redis、MongoDB未授權(quán)訪問(wèn))而直接暴露在互聯(lián)網(wǎng)上,導(dǎo)致“低技術(shù)門檻”入侵事件頻發(fā)。
三、 攻擊來(lái)源與目標(biāo)行業(yè)分布
- 攻擊來(lái)源:既有來(lái)自國(guó)際黑客組織的針對(duì)性攻擊,也有國(guó)內(nèi)黑色產(chǎn)業(yè)鏈驅(qū)動(dòng)的自動(dòng)化掃描與批量攻擊。云計(jì)算資源的濫用使得攻擊源更加分散和難以追溯。
- 重點(diǎn)目標(biāo)行業(yè):
- 政府部門及事業(yè)單位:網(wǎng)站和服務(wù)系統(tǒng)是信息展示和政務(wù)服務(wù)窗口,常成為網(wǎng)頁(yè)篡改和政治象征性攻擊的目標(biāo)。
- 金融行業(yè):網(wǎng)上銀行、第三方支付、證券交易等平臺(tái)的服務(wù)器承載海量資金與敏感信息,面臨最精密的APT攻擊和DDoS攻擊。
- 電子商務(wù)與互聯(lián)網(wǎng)服務(wù):用戶數(shù)據(jù)庫(kù)、交易系統(tǒng)是數(shù)據(jù)竊取和欺詐犯罪的主要目標(biāo),業(yè)務(wù)連續(xù)性要求使其對(duì)DDoS攻擊尤為脆弱。
- 游戲與娛樂(lè)行業(yè):私服競(jìng)爭(zhēng)、玩家報(bào)復(fù)、敲詐勒索是其主要攻擊動(dòng)機(jī),DDoS攻擊尤為頻繁。
四、 互聯(lián)網(wǎng)安全服務(wù)發(fā)展?fàn)顩r
面對(duì)嚴(yán)峻挑戰(zhàn),以云防護(hù)、安全托管、威脅情報(bào)為核心的專業(yè)互聯(lián)網(wǎng)安全服務(wù)市場(chǎng)在2015年快速發(fā)展:
- 云安全防護(hù)服務(wù)普及:基于云的DDoS高防、Web應(yīng)用防火墻(WAF)因其彈性、高效和低成本的優(yōu)勢(shì),被廣大中小企業(yè)及大型互聯(lián)網(wǎng)公司廣泛采用,成為抵御大規(guī)模流量攻擊和常見(jiàn)Web攻擊的首選方案。
- 安全監(jiān)測(cè)與應(yīng)急響應(yīng)服務(wù)(MDR/SOC)需求增長(zhǎng):越來(lái)越多的企業(yè),特別是自身技術(shù)能力不足的單位,開(kāi)始購(gòu)買7x24小時(shí)的安全監(jiān)控、漏洞掃描、入侵檢測(cè)和應(yīng)急響應(yīng)服務(wù),以實(shí)現(xiàn)風(fēng)險(xiǎn)的早發(fā)現(xiàn)、早處置。
- 威脅情報(bào)初露頭角:部分領(lǐng)先的安全廠商開(kāi)始提供基于大數(shù)據(jù)分析的威脅情報(bào)服務(wù),幫助客戶提前感知攻擊趨勢(shì)、定位攻擊源和識(shí)別惡意IP,實(shí)現(xiàn)主動(dòng)防御。
- 合規(guī)驅(qū)動(dòng)安全服務(wù)采購(gòu):隨著行業(yè)監(jiān)管要求的明確,滿足等級(jí)保護(hù)、PCI DSS等合規(guī)性要求成為許多企業(yè)采購(gòu)安全服務(wù)的重要驅(qū)動(dòng)力。
五、 展望與建議
服務(wù)器安全將面臨物聯(lián)網(wǎng)(IoT)設(shè)備成為新攻擊源、針對(duì)云環(huán)境的新型攻擊、人工智能在攻防兩端的應(yīng)用等新挑戰(zhàn)。為此,我們建議:
- 強(qiáng)化主體責(zé)任,落實(shí)基礎(chǔ)安全:服務(wù)器運(yùn)營(yíng)者需切實(shí)履行安全主體責(zé)任,嚴(yán)格落實(shí)系統(tǒng)加固、最小權(quán)限、強(qiáng)密碼策略、定期漏洞修補(bǔ)等基礎(chǔ)安全工作,杜絕低級(jí)錯(cuò)誤。
- 擁抱專業(yè)服務(wù),構(gòu)建縱深防御:積極利用專業(yè)的云安全服務(wù)、托管安全服務(wù),構(gòu)建從網(wǎng)絡(luò)邊界、主機(jī)、應(yīng)用到數(shù)據(jù)層的縱深防御體系,彌補(bǔ)自身安全能力的不足。
- 加強(qiáng)威脅感知與應(yīng)急能力:建立或引入安全監(jiān)控與威脅情報(bào)能力,變被動(dòng)響應(yīng)為主動(dòng)預(yù)警。制定并定期演練安全應(yīng)急響應(yīng)預(yù)案,確保在遭受攻擊時(shí)能快速恢復(fù)業(yè)務(wù)。
- 關(guān)注新技術(shù)風(fēng)險(xiǎn),持續(xù)投入學(xué)習(xí):密切關(guān)注云計(jì)算、容器化、微服務(wù)等新技術(shù)架構(gòu)帶來(lái)的安全模式變化,持續(xù)進(jìn)行安全投入與人員培訓(xùn),適應(yīng)快速演變的安全威脅環(huán)境。
2015年是中國(guó)互聯(lián)網(wǎng)服務(wù)器安全攻防對(duì)抗激烈演進(jìn)的一年。安全威脅的升級(jí)與安全服務(wù)的創(chuàng)新并行發(fā)展。只有將可靠的安全技術(shù)、有效的管理措施與專業(yè)的服務(wù)支持相結(jié)合,才能為數(shù)字化轉(zhuǎn)型中的中國(guó)構(gòu)筑起堅(jiān)實(shí)可靠的服務(wù)器安全防線。