开发者社区> 轩墨> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

2014 值得关注的信息安全发展趋势

简介:
+关注继续查看
2014年,随着国内外信息安全形势的不断升温,信息安全再次被提高到国家战略的高度上。那么,在信息安全领域,有哪些是值得我们关注的热点趋势?在第一届启明星辰ADLab(积极防御实验室)长老会上,安全研究人员2014年的信息安全形势及未来发展趋势做了深入分析。

大数据安全

云的概念已被炒了几年,亚马逊、微软、百度、阿里等具备主机集群的企业已经将虚无缥缈的概念落实成切实可用的服务。国内外云同步、云播放、云查杀的服务已经开始服务于普通消费群体。存储和计算资源的廉价化和互联网企业的成功案例引来了更多的中小企业参与到云建设和消费当中。出于安全考虑,更多企业倾向于建立自己的私有云。计算和存储能力的激增也使得用户可以着手处理以往无法处理的、大规模的数据。互联网公司通过不同途径采集用户的行为及数据喜好,带来更具像化的身份刻画和广告定制投放。大数据可以作为安全问题的热点区域,反过来也可以作为安全问题分析的有效工具。大数据安全正在向模块化、平台化及易用化的方向发展,量变产生质变的过程在悄悄进行中。

 源码安全

无论是工业界还是学术界,自动化的源码审计一直是块难啃的蛋糕。想深入研究,其门槛极高,从事该领域的研究员经常面临无法让非专业人员听懂自己报告的窘境。国外有Coverity、Fortify等知名厂商的源码审计产品,而国内还是一片空白。斯诺登事件发生之后,安全产品国产化的思想已呈星火燎原之势。国产化的源码审计工具也悄然出现,其可以充分照顾国内软件的开发现状,如代码中中文字符的支持,以及国人编写代码的编程习惯。源码审计目前还局限于发现已知类型的缺陷,对于那些违反逻辑约束或需要繁杂配置规则的缺陷,现今商业化的方法还难以做到自动化地有效检测。未来的发展中,还需要引入统计的思想,从检测对象中推导出规则,进而发现未知类型的缺陷。

 系统安全

系统安全一直是漏洞挖掘和分析人员最为关注的研究领域。微软作为被挖掘和逆向最多的研究对象,多年的防范积累也让他们在安全领域有了发言权。今年Blackhat大会对如今流行的Sandbox技术实现进行了详细讨论,并有针对性地阐述了IE浏览器内的Sandbox原理和绕过思路。Windows平台下,0day利用大部分都依托于IE的运行环境,SandBox相当于漏洞利用成功时最后的一道门槛。

伴随XP的停止更新,内存补丁技术被炒热。微软出于软件兼容性考虑,很早就推出了内存补丁概念。对于安全研究人员,一方面可以利用内存补丁简捷的配置文档快速定位漏洞所在代码;另一方面内存补丁作为操作系统的一部分也可能成为新的攻击面,如木马的自启动。

操作系统的防护策略随时间积累变得复杂,但杂乱中难免有疏漏。未来系统安全研究需要更广泛深入的逆向分析。另外,自主而不是模仿也是未来需要考量的方向。比如,国内如火如荼的APT攻击检测未见得覆盖的全面,单纯的效仿并不能有效防范针对中国的攻击,现今关于APT攻击检测的讨论都还比较局限于国内的攻击手段。未来的系统安全和防范应该更多考虑自主性的方案,脱离被牵着鼻子走的困境。

工业控制系统安全

工业控制系统的安全与工业控制系统自身的特点和发展是分不开的。工业控制系统与传统的IT系统不同,它强调可用性,保密性和完整性排在其次。最早,工业控制系统是封闭的专用系统,所以安全问题没有暴露出来。随着信息技术和自动化控制的融合,以及企业管理的需求,越来越多的控制系统开始联入企业的内部网,而企业的内网又由于商务的需求和互联网连在了一起,于是提供了黑客入侵控制系统去远程控制生产的可能。2010年发生在伊朗核电站的“震网”病毒为工业生产控制系统安全敲响了警钟。随着下一代工业控制系统与Internet互联、互通的发展趋势,工业控制的安全问题将更加严重。

美国作为信息化和工业自动化最发达的国家,拥有信息技术和工业自动化技术的主导权和话语权,在工业控制系统的信息安全研究都居世界领先水平。美国的“网络风暴”演习模拟了一些关键基础设施遭受大型网络攻击的情景。美国国土安全部、能源部、国家实验室共同推动了美国工业控制系统信息安全工作的开展。我国政府也高度重视工业控制系统的安全,中央国家安全委员会、中央网络安全与信息化领导小组的成立也预示着工业控制系统的安全将受到更大的关注。

目前致力于工业控制系统的安全解决方案可分为两类:一种是以自动化控制厂商为代表,提出在自动化控制产品上增加安全功能;另一种以传统的网络安全厂商为代表,借鉴已有的安全防护方案,并将其应用于工业控制系统中。

多层安全架构

当前各种新型攻击方法层出不穷,为了达到目的,各种攻击技术也是呈现“组合”趋势。面对这种情况,单一厂商提供的解决方案无法应对所有威胁并做出实时反应。因此,为了及时有效的防护,各厂商需要将竞争关系转变为合作关系,分享威胁情报。多方合作在构架解决方案时也应逐渐摒弃以前传统的通过单层安全架构或者单点安全方案达到防御目的的模式,进而采用多层安全架构,整合必要安全元素,构建多方位、立体、纵深防御体系以应对新型安全威胁。

原文发布时间为:2014年5月26日
本文来自云栖社区合作伙伴至顶网,了解相关信息可以关注至顶网。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
PHP的发展趋势
PHP运行速度快,开发成本低,后期维护费用低, 开源产品丰富,这些都是很多语言无法比拟的。而随 着移动互联网技术的兴起,越来越多的Web应用,也 选择了PHP作为主流的开发语言。 W3Techs网站提供了服务器端脚本语言的市场占 有率,截止到2016年12月12日PHP在所有服务器端语 言市场的占有率高达82.4%,遥遥领先于其他编程语言。
38 0
2016年中国数据安全五大发展趋势
本文讲的是2016年中国数据安全五大发展趋势,中国信息安全在2015年处于极度兴奋状态,会议、联盟及沙龙应接不暇,而数据安全作为新的信息安全焦点,几乎在所有相关场合都必然会被提及。
1344 0
信息安全
什么是信息安全   信息安全是指为数据处理系统而采取的技术的和管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。这里面既包含了层面的概念,其中计算机硬件可以看作是物理层面,软件可以看做是运行层面,再就是数据层面;又包含了属性的概念,其中破坏涉及的是可用性,更改涉及的是完整性,显露涉及的是机密性。
2252 0
+关注
2350
文章
701
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载