政策:保护伞与雷霆之击
电视广告中“没有买卖就没有杀害”的口号,其实也同样可以套用在黑产现状上。正因为利益的驱逐,才滋生了网络黑产如此猖獗的队伍。专家建议从三个方面进行,既为被攻击的客户撑开保护伞,又对黑产的非法获得予以雷霆之击:
首先应从渠道销售端严格追溯非法数据倒卖,并从长远规划数据的安全存放和流通规则,保护公民信息隐私,妥善处理数据安全。
某公司院士邬贺铨表示,安全是我国大数据产业的短板,存在技术与管理的双重风险。居民个人隐私被公开贩卖,正反映了这两大风险,应从源头上追溯非法数据倒卖案例,打击“黑产”。
其次要加强源头端数据权限管理。对各行业涉及数据信息的领域加强管理要求,针对“内鬼”大量存在的学校、政府机关、快递公司、电商等泄露案例频发的领域,可要求建立数据管理机制,将系统权限和数据获取记录集中管理,并增加预警机制。
再次应夯实数据管理的法律基础。有专家表示,新的网络安全法将于2017年6月1日起施行,其中对信息泄露、个人数据的保护措施更为具体,将从法律法规角度对非法窃取数据予以严厉的打击。
最后专家还建议从数据权属、个人数据隐私保护、政府数据公开等关键环节,明确专门的监管部门,充分管理和利用好数据战略资源。
对抗黑产需产业上下游合力
正如专家一针见血的言论,单独个案打击黑产是远远不够的,安全企业、互联网企业、政务部门需要整体联动起来,打击黑产也要“产业化”。既然黑产以产业链共同协作为立身根本,那么回击的方式也以上下游结成一股绳才会更有力量。
2016年4月,习近平总书记在网络安全和信息化工作座谈会上指出:“维护网络安全是全社会共同责任,需要政府、企业、社会组织、广大网民共同参与,共筑网络安全防线。”
记者在采访中发现,无论是从国家政策的指引,还是安全企业、互联网企业、政府相关职责部门,对“形成合力”已经达成共识。
以百度安全为例,百度安全从2016年开始呼吁打造以数据驱动安全为核心的安全生态,形成智能化、立体型的防御体系,号召对黑产进行实时检查与防御。记者了解到,百度安全积极与上下游安全厂商展开合作,同时将自身的安全能力打包,形成行业性的安全解决方案,输出到金融、电商、游戏等行业。甚至百度安全还与全国200多家某公司门建立了合作,以基站检测和定位等技术手段有效帮助公安机关打击网络黑产,联合破获电信诈骗上百起,为用户筑起了一道网络防线。
记者认为,目前产业内的合作已经非常多,但是合作的深度仍然不够,对信息的共享程度不够深,对合作的开放程度也不够深,与工信部、某公司、终端厂商、运营商的联动还有很多可以更完善的地方。未来整个社会的安全生态建设,还有很长的路要走。
企业如何从黑产套路中“解套”
面对黑产无处不在的攻击,被攻击的行业客户、企业客户损失惨重。《百度安全打击网络黑白皮书》中显示,仅2016年上半年,DDoS攻击造成61%的公司无法访问其关键业务信息,38%的公司无法访问关键业务,33%的受害者因此有商业合同上的损失。可以说,网络黑产对企业用户的攻击,不管从规模上还是经济损失上,都对社会造成了更大的危害。
事实上,就连政府网站也不能幸免。一些政府网站由于缺乏防范意识经常被爬虫工具入侵,轻者恶意篡改文章和图片,重者则直接被宕机、资料被窃走。对于那些有大量用户信息的公共部门网站而言,被攻击之后的后果就更加严重,例如12306海量用户数据泄露。
其实剥丝抽茧,如此频繁的攻击,黑客所仰仗的,也不过是利用自动化程序罢了。自动化程序产生成千上万的合法连接来攻击网站应用程序的弱点,由于此种攻击看起来完全合法,唯一的差异是用自动化程序产生连接,而不是人为操作,使得传统的特征码与规则库扫描完全无法辨识,因为这些攻击看起来就像正常的使用者连接,即使网站有WAF保护,在遭受此种攻击也会完全失效。
|