產經 | 新安全 共擔當

要建設一個良好的網路生態環境，其目的是對網路社會每個領域發展提供有效保障，需要各方多元化協同治理，共同打造互聯網的安全新局面。

文│本刊記者 錢玉娟

6月28日，全球再次出現大規模網路攻擊事件，新一輪超強電腦病毒在俄羅斯、英國等歐洲多個國家迅速蔓延，俄羅斯最大的石油公司、烏克蘭銀行和一些跨國企業被報告感染病毒。而僅在一個月內，勒索病毒席捲全球，短短一周時間裡，上百個國家和地區受到影響，至少30萬台電腦被病毒感染。

如此連續且強烈肆虐的病毒，為人們的網路安全意識敲響了警鐘。而今，全球化和信息技術的廣泛應用已然「連接」一切，同時也讓威脅不斷升級。如何維護網路世界安全，共建網路生態環境已成為當前不可迴避的重要議題。正是在此背景下，2017年網路安全生態峰會（簡稱ISS）如期在北京舉行。

《經濟信息》記者了解到，始於2014年的ISS致力於網路安全生態領域建設，由中央網信辦網安局指導，互聯網協會、網路空間協會、阿里巴巴集團、螞蟻金服集團聯合主辦。在今年主題為「新安全，共擔當」的峰會上，彙集了眾多互聯網行業領軍企業和人物，他們就如何維護網路安全、建設生態網路環境，推動互聯網事業的安全發展展開討論。

嚴厲打擊「黑灰產」

阿里巴巴集團秘書長、風險委員會主席 邵曉鋒

「這是最好的時代，但也是最壞的時代。」邵曉鋒認為，以互聯網大數據為代表的信息技術革命，對人類社會產生著極大的推進作用。然而像不久前爆發的勒索病毒一樣，各種利用互聯網技術偷盜、詐騙、敲詐等案件不斷發生，各種圍繞互聯網的黑灰產業正以極快的速度蔓延。

從各個主要國家的統計數據看，每年涉及互聯網的犯罪以超過30%的增速在增長。「國內各種系統攻擊、竊取信息、利用互聯網平台進行敲詐、偷盜、勒索、欺詐等犯罪行為，也在迅速增長。」邵曉鋒指出，據測算，僅「網路黑產」從業人員就已超過150萬，市場規模也已高達千億級別。「互聯網黑灰產對國家、企業和公民個人都造成了巨大的威脅。」

基於互聯網大數據而產生的一些新行業在迅速發展中，伴隨產生了大量的「黑灰產」。「黑灰產」是指黑色、灰色兩條產業鏈。國家互聯網應急中心對「黑產」的範圍進行了界定，包括三類：一是發動涉嫌拒絕服務式攻擊的黑客團伙，二是盜取個人信息和財產賬號的盜號團伙，三是針對金融、政府類網站的仿冒製作團伙。灰產則是指「惡意註冊和虛假認證」，由於其行為本身沒有直接產生危害後果，系遊走在法律邊緣，因而得名，是黑產的上游產業鏈。

邵曉鋒指出，當下時代不僅給予業內同仁以責任，更給予了機遇。在他的理解中，「『新安全』就是基於互聯網大數據這一信息技術革命背景下，我們的能力提升、機制提升、技術提升，把所有單點防禦、被動防禦更多變成聯合防禦、聯合打擊、主動防禦。」更為理想的狀態是，或將形成一個集企業政府、公民個人、專業機構等立體聯動的構建體系，以保衛互聯網的生態安全，真正把互聯網大數據帶來的新時代變成一個最好的時代。

安全需要「生態聯動」

螞蟻金服CEO 井賢棟

早在2005年，為了「天下無賊」，支付寶就曾在業內率先推出「你敢付、我敢賠」的承諾，用戶資金被盜后全額獲得賠付。面對全新的網路安全形勢，井賢棟在會上宣布升級保障計劃，正式推出「你敢掃，我敢賠」服務，對用戶的安全保障範圍從線上延伸到線下，用戶在線下掃碼導致被盜，商家的二維碼被調換、被覆蓋造成資損的，都將獲得賠付。

在井賢棟看來，安全是新金融發展的基石，沒有強大的安全做保障，就沒有新金融的未來。隨著新金融的發展，網路安全也出現了一些新挑戰。「只有運用技術驅動，採取生態共建的方式，加上企業勇於擔當，才能共同推動網路安全升級，護航新金融。」

另外，新金融要以用戶為中心，使安全將更注重與用戶體驗的平衡。在線上線下一體化的趨勢下，一端的風險可能來源於另一端，安全的內涵在不斷延伸。「以前用戶更關注的是資金安全，現在，數據安全、隱私保護也是用戶十分關心的安全問題。」不僅網路灰黑產業鏈的作案手段不斷翻新，甚至網路安全事件也呈現出了生態環節交叉傳導的情形，一個環節上出現漏洞可能影響到其他環節。

「在這一新形勢下，網路安全的參與方需要升級技術、生態和責任。」技術將成為安全的核心驅動力。井賢棟披露，目前支付寶的資損率已長期小於百萬分之一，而運用「人臉+眼紋」等生物識別技術後用戶身份識別率則達到99.99，超過人眼的97%。在井賢棟看來，網路安全需充分運用創新技術，變「人防」為「技防」。

安全需要從「單維治理」變「生態聯動」。井賢棟倡議，行業各方、科研部門、執法部門等不同主體之間開展全面合作。螞蟻金服作為一家科技公司，已對外開放了部分安全技術，幫助金融機構、商戶提升安全能力。「未來將有更多的安全技術和能力開放，攜手各方，創造更安全的數字金融環境。」

人性化服務「三準則」

「網路黑產技術發展『迅速』，以往技術一刀切的應對方法，已經不能滿足實際需要，急需建立網路安全人性化服務。」丁珂指出，針對當前嚴峻的網路黑產形勢，騰訊安全基於以往18年的黑產打擊經驗，從實際需求出發，首次提出了網路安全人性化服務的「三條準則」。

一個不容忽視的事實是，安全技術的最終目的是保護好人，打擊壞人。但為何在某些階段卻反倒讓很多好人受到困擾。「這是一個很複雜的問題。」恰恰為了解決這一困擾，騰訊安全形成了一套以「技術升級、人性服務、可信保障」三個維度為準則的人性化服務體系。

「技術升級是人性化服務的基礎保障。」丁珂說，作為全球最大的安全雲庫，騰訊安全雲庫積累了包括詐騙電話、銀行賬號、木馬病毒、釣魚網址等在內的數億反詐騙大數據，通過大數據演算法進行機器學習和批量處理可智能識別惡意網址，每天識別惡意網址百萬級，有效打擊黑產，避免技術誤判。

「第二是建立面向站長人性化服務標準體系。」據丁珂介紹，騰訊安全與站長合作建立了Notice協議，通過制定標準化通知協議，建立站長和安全廠商的聯繫通道，確保第一時間幫助站長定位並解決問題。與此同時，騰訊安全還推出了站長服務平台，協助站長更好地推送網站漏洞、被利用的鏈接，更好地降低安全問題對用戶和站點帶來的影響。

「更重要的是，騰訊安全還面向監管機構、行業開放合作建立起可信保障體系。」丁珂說到，在與政府權威部門合作打擊黑產的實踐中，騰訊成立的守護者計劃以大數據構建反詐騙閉環，通過串聯起公安、銀行、互聯網企業、運營商、網民五大閉環，形成事前預防、事中提醒、事後挽救的反詐騙全產業鏈生態共治體系，既有效保護了網民財產安全，還在信任的基礎上共同構築起綠色的網路空間環境。

安全攻防也有新趨勢

360助理總裁、首席安全工程師 鄭文彬

作為國際知名的安全專家，鄭文彬曾帶領360安全戰隊在今年Pwn2Own世界黑客大賽上成功加冕「Master of Pwn」（世界破解大師）總冠軍。他指出，勒索病毒在今年出現兩次大規模爆發，全球多國企事業單位、政府系統、銀行系統、高校網路受到感染，更為值得警惕的是，自去年起，微軟和 Adobe 的零日漏洞被攻擊的案例也頻頻出現。「政府、安全廠商以及公眾都應該意識到網路武器庫、漏洞庫泄露帶來的惡劣影響，安全廠商應在基礎安全設施以及漏洞對抗技術、虛擬化安全、安全的虛擬化方面做出努力。」

面對不斷升級的黑客攻擊，安全廠商應該如何提高戰鬥武力值？360作為國內最大的網路安全企業，不僅在事件公開后緊急推出了「NSA武器庫免疫工具」，能夠一鍵檢測修復NSA黑客武器攻擊的漏洞，對XP、2003等已經停止更新的系統，免疫工具可以關閉漏洞利用的埠，防止用戶計算機被病毒入侵。鄭文彬說，「通過攻破最新操作系統、手機、最新的瀏覽器、應用、最新的虛擬機，可以告訴公眾真實世界的威脅和可能性，也告訴軟體廠商和安全廠商，真實攻擊的向量和防禦方向。」

鄭文彬還建議，應對不斷升級的公共安全威脅，軟體廠商和安全廠商要注重基礎安全設施建設，同時在漏洞對抗技術、虛擬化安全以及安全的虛擬化方面加強研究，不斷推出更優質的解決方案。另外，公眾、企業也需要提高安全意識，了解最新的網路攻擊方法，確保個人信息安全。同時，當前的網路攻擊往往呈現出全球化、異地攻擊的趨勢，國家安全層面也需要建立完善的應急處理機制，確保網民使用安全。

當前，已經成為名副其實的網路大國，網民人數全球第一，但繁榮之下也暴露出諸多安全隱患和問題。數據顯示，截止目前國內有近3億人曾遇網路詐騙。第一部全面規範網路空間安全管理方面問題的基礎性法律《網路安全法》也應聲落地。

但獨行快，眾行遠，維護網路安全推動網路治理和秩序構建，既要求各方加強合作，更亟需各方創新技術，用科技賦能社會治理，助力互聯網生態健康發展。