西門子代理商 運(yùn)城西門子代理商 運(yùn)城西門子代理商

IT安全專家Claudia Eckert教授探討網(wǎng)絡(luò)犯罪增長及其危害,。她也談及安全意識,，以及部分高科技企業(yè)如何幫助最大限度地減少源自互聯(lián)網(wǎng)的風(fēng)險(xiǎn),。

Eckert教授,，隨著信息和網(wǎng)絡(luò)技術(shù)的不斷擴(kuò)展,，它們不僅為人們的生活帶來便利,，更助力企業(yè)提高競爭力。但網(wǎng)絡(luò)襲擊構(gòu)成的安全威脅也與日俱增。我們還能不能信任互聯(lián)網(wǎng)和通訊媒介,？

Claudia Eckert教授：從總量上講，網(wǎng)絡(luò)襲擊確實(shí)增長迅猛,。不僅如此,，襲擊重點(diǎn)也有所轉(zhuǎn)變,。不再是相對隨意地選擇目標(biāo),，現(xiàn)在網(wǎng)絡(luò)襲擊更多地瞄準(zhǔn)個(gè)別企業(yè)甚至個(gè)人,。據(jù)德國工程協(xié)會（VDMA）開展的分析，僅德國工程企業(yè)每年因?qū)ｉT知識被竊取或產(chǎn)品被拷貝而招致的損失,，就高達(dá)80億歐元以上,。其他研究估算，諸如身份盜竊,、信息盜竊,、操縱等等網(wǎng)絡(luò)襲擊在全球范圍內(nèi)造成的損失至少為5,750億美元，相信還有很多未報(bào)襲擊。現(xiàn)在,，網(wǎng)絡(luò)犯罪的利潤甚至比國際販毒還要高,。

網(wǎng)絡(luò)罪犯的手法一般是怎么樣的,，他們的目標(biāo)是什么,？*

Eckert：除竊取信息之外,，有組織犯罪的網(wǎng)絡(luò)入侵者，往往試圖敲詐受害者,。譬如，襲擊目的可能是加密,、局部性的公司內(nèi)部數(shù)據(jù)庫,，其解密密鑰需付贖金來換取。另一種常見的襲擊類型是“高級持續(xù)性威脅”或稱APT。APT是專門針對所要襲擊的系統(tǒng)專門定制的惡意軟件,。它通常包含復(fù)雜的惡意軟件特性,，并深深嵌入被危害系統(tǒng)內(nèi)部。APT一般采用已知薄弱點(diǎn)作為其切入點(diǎn),，并由此深入滲透,。它通常能自我隱蔽，不被已知檢測方法發(fā)現(xiàn),。因此,，在惡意代碼被發(fā)現(xiàn)之前，APT往往能在系統(tǒng)內(nèi)部活躍長達(dá)數(shù)月,，甚或數(shù)年時(shí)間,。高級持續(xù)性威脅通常搜尋數(shù)據(jù)但它們也能故意操縱系統(tǒng)。此外,，還有身份盜竊,，即，竊取密碼或其他憑證,。另一個(gè)常見問題是,，企業(yè)員工和公眾的安全意識很弱，甚或*沒有這方面意識,。

企業(yè)怎樣做,，才能最大限度地保護(hù)它們的數(shù)據(jù)？

Eckert：全面的安全管理系統(tǒng),，應(yīng)當(dāng)被納入每家企業(yè)的戰(zhàn)略之中,。譬如，現(xiàn)在服務(wù)提供商可以在合同定義的信托責(zé)任關(guān)系框架內(nèi),，輔以技術(shù)措施,，保護(hù)云端的數(shù)據(jù)，并且還可以進(jìn)行審計(jì),。就聯(lián)網(wǎng)生產(chǎn)設(shè)施內(nèi)部,、關(guān)乎安全的關(guān)鍵應(yīng)用而言，實(shí)現(xiàn)用于可靠識別組件,、服務(wù)和人員的技術(shù),，以及配合以對于各種操作的限制。其他有用措施包括隔離技術(shù),，來限制可能的損害程度,，以及使用基于硬件的安全鑒權(quán)認(rèn)證技術(shù)。使用加密技術(shù)時(shí),，企業(yè)也應(yīng)當(dāng)對密鑰的生成,、分配和存儲給予適當(dāng)注意,。譬如，木馬病毒可以從硬盤讀取未設(shè)保護(hù)的密鑰存儲裝置——安全證書儲存庫,。聯(lián)網(wǎng)系統(tǒng)處于瞬息萬變的環(huán)境中,，因而必須持續(xù)監(jiān)測其安全狀態(tài)。這些系統(tǒng)要求將*的監(jiān)測和控制流程,，集成到整個(gè)安全架構(gòu)中,，確保任何襲擊都逃不過監(jiān)控。它們必須能夠自動監(jiān)測安全狀況,，盡早啟動對策,，如當(dāng)發(fā)現(xiàn)襲擊隱患跡象時(shí),，可根據(jù)需要,，自動重新配置,。已經(jīng)有個(gè)別解決方案可應(yīng)對上述的一些情形，但它們不適用于有數(shù)千甚或數(shù)百萬組件相互通訊的系統(tǒng),。

SSL互聯(lián)網(wǎng)訪問技術(shù)曾被認(rèn)為是安全的,，但Heartbleed漏洞表明,，網(wǎng)絡(luò)的安全性非常脆弱,。怎樣才能打造出安全軟件,？

Eckert：首先，永遠(yuǎn)沒有哪一個(gè)軟件或解決方案能夠全面防御所有網(wǎng)絡(luò)犯罪,，Heartbleed漏洞說明了這一點(diǎn),。但我們正在竭盡全力最大限度地降低風(fēng)險(xiǎn)。譬如,，弗勞恩霍夫應(yīng)用與集成安全研究所（AISEC）正在研發(fā)自動軟件檢查程序,，用以測試代碼的潛在安全薄弱點(diǎn)。為了盡力確保軟件本身沒有薄弱點(diǎn),，軟件開發(fā)人員需要借助工具在他們編程過程中及時(shí)了解所編寫的代碼是否違反任何安全準(zhǔn)則,。這一點(diǎn)對于在工業(yè)界工作的程序員尤為重要,，因?yàn)樗麄冊絹碓蕉嗟乇灰鬄榍度胧较到y(tǒng)開發(fā)軟件，如物聯(lián)網(wǎng),。AISEC也研發(fā)特殊工具和流程,，以便在數(shù)字業(yè)務(wù)流程開發(fā)和實(shí)施過程中，從始至終將安全納入考慮,。這樣一來,，安全從一開始就被集成到系統(tǒng)和業(yè)務(wù)流程中，從設(shè)計(jì)上滿足對安全的需求,。

要提供安全保障,，包括為智能系統(tǒng)互聯(lián)網(wǎng)提供安全保障，還需要實(shí)現(xiàn)哪些研究目標(biāo),？

Eckert：一個(gè)重要的安全支柱,，是可靠識別和驗(yàn)證所涉及的實(shí)體，不論其是人,、物體還是服務(wù),。物聯(lián)網(wǎng)帶來的一個(gè)挑戰(zhàn)，是提供切實(shí)可行而又可靈活擴(kuò)展的身份識別流程,，以便物聯(lián)網(wǎng)中連接至網(wǎng)絡(luò)的成千上萬物體,，能明確地相互表明各自身份，而不必事先彼此交換和保存密鑰素材,，因?yàn)樵谖锫?lián)網(wǎng)的許多應(yīng)用場合都做不到這一點(diǎn),。AISEC正在努力研究可以根據(jù)物體材質(zhì)的*物理屬性，來識別物體身份的技術(shù),。就像諸如指紋等生物特征是人的身份標(biāo)識,，物體也有某種生物特征。我們正在研究如何開發(fā)所謂的“物理不可克隆功能”或稱PUF,，根據(jù)不可復(fù)制的物理屬性來標(biāo)明身份,。譬如，我們制作的一個(gè)PUF,，打造了一個(gè)特殊的電路系統(tǒng),，在其導(dǎo)體路徑上，信號傳輸?shù)臅r(shí)間由生產(chǎn)過程隨機(jī)決定,。

施加電壓時(shí)——我們稱之為“質(zhì)詢”——信號將通過導(dǎo)體路徑,，并以或快或慢的速度到達(dá)輸出端。因此,，總是有一個(gè)*的身份標(biāo)識,。PUF的另一個(gè)重要屬性，是能夠從材料本身衍生出加密密鑰。這樣便無需密鑰存儲裝置,，因?yàn)椴牧媳旧砭褪敲荑€,，所以密鑰不會失竊。我們已經(jīng)制作出適用于多種不同應(yīng)用的PUF原型,，特別是,，我們已研發(fā)出一種基于PUF屬性的新型物體保護(hù)膜,。我們希望能在兩三年內(nèi)將之發(fā)展成熟投入商用,。除此之外，研究人員也在研發(fā)能夠抵御量子計(jì)算機(jī)襲擊的新的加密流程,。

Claudia Eckert教授,，是位于慕尼黑的弗勞恩霍夫應(yīng)用與集成安全研究所（AISEC）所長，同時(shí)也是慕尼黑工業(yè)大學(xué)計(jì)算機(jī)科學(xué)系IT安全教授,。

作為各種全國和國際行業(yè),、科學(xué)顧問委員會成員，她就IT安全的方方面面向企業(yè),、貿(mào)易協(xié)會和政府當(dāng)局提供建議,。作為一系列專家委員會成員，她參與塑造德國的技術(shù)和科學(xué)環(huán)境,，以及設(shè)計(jì)在全歐盟范圍內(nèi)開展的科學(xué)計(jì)劃,。