解放雙手的自動駕駛汽車、網速超快的5G網絡、智能化的人臉識別安防系統……這些已經來到我們身邊的各種“新基建”成果，正在一步步地改變著大眾的生活，但是在這些“新基建”的背后，除了讓“新基建”行業迎來風口的同時，也同樣面臨網絡安全的挑戰。今年全國兩會期間，多位全國政協委員、院士和安全行業的專家在多個場合提出，數字基建就是“新基建”，安全是發展“新基建”的重中之重，應加強“安全基建”建設，讓數字基建的每一塊磚，從建立之初都安全可溯源。

據南方日報記者從日前舉行的GeekPwn2020新基建安全大賽上了解到，5G、云計算、車聯網、智慧農業、智慧園區等新基建熱點領域都面臨著不同程度的安全威脅，而“安全基建”理念已成為安全行業的共識。

新技術帶來新安全隱患將更加嚴峻

僅憑一個口罩，白帽黑客假扮他人瞞過AI攝像頭。在日前舉辦的GeekPwn2020 CAAD AI變臉口罩挑戰賽上，AFMask戰隊利用AI生成圖像的口罩成功假扮成指定人員，騙過AI攝像頭，最終在30秒內分別完成售貨機掉貨、ATM機吐錢的挑戰任務。據南方日報記者了解到，參賽隊伍利用算法缺陷，分別對自動售貨機和自動ATM機的人臉識別攝像頭展開白盒和黑盒攻擊。而本次大賽還原了AI對抗樣本在真實環境下的挑戰，揭示了人臉識別技術應用的盲點與弱點，可引發隱私泄露、財產損失等后果。

據南方日報記者從大會現場了解到，AI攝像頭面臨的安全威脅僅僅是眾多新基建項目中的其中一個，安全研究人員利用未知安全漏洞以云端接入的方式，對正在作業的植保無人機發起攻擊，成功獲取了植保無人機的最高使用權限，使其偏離原定航道;白帽黑客成功利用特定技術對正在行駛中的低速汽車進行攻擊，使得汽車突然停止;白帽黑客利用自制的雷達干擾槍設備使自動駕駛汽車“致盲”，徑直撞向前方障礙物;騰訊安全玄武實驗室高級研究員李冠成、戴戈利用5G通信協議的設計問題，黑客可以“劫持”同一個基站覆蓋下的任意一臺手機的TCP通信，包括各類短信收發、App和服務端的通信均有可能被劫持。這意味著用戶收到一條顯示為“955**”的銀行短信或者App消息推送有可能來自未知的惡意用戶。黑產團伙可以利用這個漏洞實施多種形式的攻擊，例如偽造銀行向受害者發送短信告知異常交易，引導受害者去點擊一個鏈接，實際上這個鏈接被植入木馬，可以竊取受害者銀行卡信息;也有可能偽造受害者的手機號向其家人發短信，提出轉賬或者其他要求;甚至劫持任意HTTP訪問，造成用戶賬號密碼等敏感信息泄露……

從種種針對新基建的安全演示案例可以看出，相對于傳統概念的網絡安全威脅，“新基建”之下，網絡安全所造成的后果和影響將更為嚴重和深遠，也讓網絡安全擺在了發展“新基建”的首位。

據國家計算機網絡應急技術處理協調中心發布的報告顯示，2019年DDoS攻擊高發頻發且攻擊組織性與目的性更加凸顯，僅某黑客組織對我國300余家政府網站就發起1000多次攻擊;APT攻擊在重大活動和敏感時期更加猖獗;移動惡意應用程序大量出現等。

值得留意的是，在“新基建”風口下，新技術應用帶來新安全隱患將更加嚴峻。中國工程院院士方濱興此前就曾表示，網絡安全取決于新技術帶來的新的安全問題，“新基建”帶來新技術，就必然伴生新的安全問題，數字基建下的網絡安全問題影響范圍將更加廣泛。

安全思維從“事后補”變為“事前防”

“四五十年前的安全問題可以后打補丁，‘新基建’下行不通了。”在今年8月舉辦的“新基建”安全大賽啟動會上，鄔賀銓院士提出了“新基建”安全相比傳統安全的不同，網絡安全不再是事后應對的問題，僅靠原來的賣盒子、防火墻的方法論，顯然無法解決“新基建”帶來的新挑戰，要將網絡安全措施與“新基建”同步部署，而不是出了問題再打補丁。

實際上，數字時代的安全威脅一旦發生，其危害相對于傳統安全是指數級增長，而且具有典型的產業鏈屬性，破壞性極大。

“目前大多數企業對網絡安全的防護習慣于采取‘事后補救’措施，安全廠商也習慣于用‘治病救人’的方法，就是出了事再采取安全措施。‘事后補救’和‘治病救人’的措施，往往是‘頭痛醫頭、腳痛醫腳’的，是局部的、針對單點的，而不是徹底的和全面的，也無法滿足新型工業互聯網的安全需求。”奇安信技術專家在接受南方日報記者采訪時就表示，網絡安全廠商要推動整個行業，主動改變傳統網絡安全思維，變“事后補救”為“事前防控”型建設思路，網絡安全不僅要“治病救人”，還要做到“可防可控”。這一思路的轉變，將對各大重要信息化系統，全面提升安全能力，有效應對網絡安全威脅，奠定堅實的基礎。

全國政協委員、中國科學院信息工程研究所所長孟丹就指出，未來的網絡安全公司也不能僅從攻防的視角來考慮網絡安全問題，需要從甲方視角出發，重新構建新一代安全架構和安全基建標準。

“傳統網絡安全關注的重心大多在安全技術和產品方面，解決單點的問題，而真正的安全能力是在具體業務的場景中千錘百煉成長出來的，會運用多種技術的組合去解決業務問題。”阿里巴巴數字基建新一代安全架構阿里安全首席架構師錢磊在接受采訪時就認為，不同業態和數字技術結合所帶來的全新化學反應，也要求新一代的安全架構要立足甲方視角，以解決不同場景下的實際問題為目標。

據了解，今年3月底，阿里巴巴發布了數字基建新一代安全架構，提出“安全基建”概念，關注各類App和網站等數字經濟實體在搭建過程中建立標準化流程、引入關鍵技術，構建“安全施工標準”，確保數字經濟實體在建設之初就運行在較高安全基線上。“‘安全基建’概念的提出，關注在數字經濟實體的搭建過程中建立標準化流程、引入關鍵技術，解決的就是數字經濟實體搭建的‘安全施工標準’問題。”錢磊介紹說，這一標準涵蓋軟件供應鏈安全、技術和業務漏洞檢測、隱私與內容風險檢測、應用可信等多個維度，要從建設之初就要開始打造免疫力，真正讓每一塊磚頭都安全可溯源。

南方日報記者 葉丹

關鍵詞： 數字經濟 安全基建