国内企业信息安全现状堪忧

    “企业自恃身处内网环境中，黑客难以入侵。但实际上，无线网络、众多智能设备（如手机、Pad等）为黑客提供了更多便利，而企业所信任的防火墙在黑客面前形同虚设。”知名信息安全顾问、国家信息安全最高认证（CISP）金牌讲师张胜生在近日一场讲座中，对目前国内企业普遍缺乏信息安全专业团队，漠视信息安全的现状表示担忧。

    微软宣布停服XP、OpenSSL漏洞，近期诸多网络事件让信息安全成为热点话题。近日，北京市信息安全专家委员会与北京职业技术协会举办了“黑客揭秘与企业防御实践”讲座。

    张胜生把信息安全防御喻为“一场无言的持久战”，交战双方是“安全管理员”与“黑客”，“黑客是利用漏洞发起攻击，破坏系统获取相关数据从而达到某种利益的人。这场对抗正是从黑客展开周密踩点开始，这种踩点就如同一场精心策划的跟踪，有时甚至会持续瞄准一个企业数年之久。你攻我守，反反复复，双方将开展长期的拉锯战。因此，企业需要做好人才储备、技术储备，打一场没有硝烟的信息安全持久战。”

    在这场旷日持久的攻防战中，黑客往往会对企业穷追不舍，造成企业巨大经济损失。当然企业会重新构建新的防御系统，在XSS (跨站)、CSRF（跨站请求伪造）、自定义脚本等日益多元化的攻击手段下，黑客能在短时间内发现新的漏洞，进而利用漏洞给企业造成新的损失。还会有黑客直接投递简历，应聘为企业的信息化管理人员，作为商业间谍长期潜伏其中，给企业带来致命打击。张胜生提醒，“内部攻击的威力更甚于外部，企业要进一步增强防御力。而黑客的入侵手段在不断进化，安全管理员更要时刻保持警惕。” 

    张胜生介绍说：“1998年OpenSSL诞生后，从第一个漏洞（CVE-2014-0160）到新近刚爆出的‘心血漏洞（CVE-2014-0160）’，历经16年，共发现漏洞153个，信息安全界一直在奋斗，企业对信息安全管理的投入也越来越多。”但是目前很多企业还没有专职的安全管理人员，企业网站和应用系统中存在大量漏洞，一旦漏洞被利用，企业数据库将外泄造成巨大经济与名誉损失。

    在讲座现场，张胜生为大家演示了自主研发的“红黑演义攻防演练”平台，重现了黑客入侵与安全管理员的对抗过程，他呼吁企业需要建立起自有的信息安全专业团队，定期开展信息安全应急演练，做到未雨绸缪。

    张胜生认为，企业要想赢得信息安全持久战，不仅要熟悉黑客入侵的手段与心理，达到“知己知彼”，同时还要不断加强企业技术人员的攻防实战培训和演练，训练出一批专业化、职业化的攻防技术能手。他还提到，防御黑客需要各方专业人士达成共识，通力合作，共同致力于构建和谐安全的网络信息环境。