1、 网络空间安全与数据资产保护网络空间安全与数据资产保护提纲提纲 网络空间安全主要威胁和挑战 网络空间安全防御新趋势 网络空间数字资产保护 网网络络空间安全主要威胁和挑战空间安全主要威胁和挑战互联网互联网+时代的信息社会时代的信息社会我们已经跨入以社会信息化、设备数字化、通信网络化的信息社会我们的信息社会正在不断的演进，互联网、物联网、无线人体局域网（WBANs）、云计算、大数据、可穿戴设备、智能化技术正在飞速发展，正在推动我们信息社会发生巨大的变化未来可以展望的是，不仅仅我们可以连接到网络，而且我们的身体（至少是衣服或配饰）会变成物 联网的关键网络结点。信息安全无处不在信息安全无处不在 随着我
2、们的信息社会不断深化演进，当移动互联网、物联网和社交网络把所有人、机构 和物连接在一起，信息信息已已经无经无处处不在不在，同样信息安全也无处不在。在广泛互联化的IT环境 中，大到国家和社会，小到机构和个人都面临着如如何何保障保障自自身的身的信信息安息安全全的问的问题题。信息安全问题影响和危害国家安全和社会稳定 斯诺登事件 伊朗布什尔核电站“震网”事件信息安全危害到每个人的生命权、财产权和自由权 入侵植入式心脏起搏器 入侵ATM取款机 “心脏出血“安全漏洞信息安全危害越来越严峻信息安全危害越来越严峻泄密事件一再上演，我们该如何避免泄密事件重演?数据资产泄密危害日益数据资产泄密危害日益严严重重攻击
3、变得越来越功利，攻击从损人不利己向获取利益转变;黑客行动的动力转向牟利后，其攻击行为以获取有价值资料作为主要攻击目标，无论机构组织还是个人用户的危险也被大大加深。最近刚放生的“勒索软件病毒”事件，涉及全球100多个国家,造成全球恐慌攻击从损人不利己向获攻击从损人不利己向获取取利益利益转转变变何为加密勒索软件？何为加密勒索软件？ 勒索软件是一种恶意软件，其通过邮件或钓鱼网站 等方式，利用主机或应用存在的漏洞，感染用户主 机或重要服务器。 勒索软件侵入电脑后，对文件系统进行遍历和查找， 然后对图片，视频和文档类型的文件进行加密处理， 造成使用者无法访问和使用。 勒索软件通常不会去加密系统文件，保证
4、系统可以 正常启动，显示勒索信息。 受害者若想打开被加密文件，必须通过支付赎金的 方式，下载解密程序并获取解密的密钥，才有可能 将文件解密。勒索软件的典型入侵过程勒索软件的典型入侵过程带勒索软带勒索软 件件的邮件的邮件主机被注主机被注入入 勒索软件勒索软件勒索软件向勒索软件向C&C主主 机机连接下载密钥连接下载密钥C&C服务器服务器 文件被加密文件被加密发出勒索信息发出勒索信息1.用户收到含有勒索软件用户收到含有勒索软件的的邮件邮件，或者或者点点击了钓击了钓 鱼链接，导致主机被注鱼链接，导致主机被注入入勒索勒索软软件。件。2.勒索软件注入成功后，勒索软件注入成功后，控控制了制了被被感染感染主主
5、机，然机，然 后试图连后试图连接接C&C主机获取用于加密主机获取用于加密程程序或序或加加密密密密 钥。钥。3. 勒索软件在后台查找文勒索软件在后台查找文件件，并，并进进行加行加密密处理。处理。4.攻击者发出勒索信息，攻击者发出勒索信息，通通知用知用户户支付支付赎赎金换取金换取 解密程序。解密程序。1234钓鱼链接钓鱼链接电脑的文件被加密后。电脑的文件被加密后。 加密勒索软件的运行和加密的操作都是在后台完成，使用 者常常没有感知。 使用者在文件无法访问时，才发现加密行为已经完成了。 攻击者通过修改桌面，或者其他通知方式，告知使用者需要支付赎金，获取解密程序和密钥来完成文件解密。受害者收到的勒索信
6、息受害者收到的勒索信息 受害者会收到各种形式受害者会收到各种形式的的勒索勒索金金钱的钱的提提示示 支付赎金并不能确保对支付赎金并不能确保对加加密的密的文文件进件进行行解密解密勒索软件在不断演化勒索软件在不断演化采用对称加密方式，加密文件名，隐藏文件夹，影响用户访问文件系统，如PCCyborg,QiaoZhaz等。采用非对称加密方式，针对文档、图片、视频等文件加密，如GPCoder,CRYZIP等。采用强加密算法，利用Trojan-Downloader从C&C主机获取密钥，通过Bitcoin方式支付赎金， 如Cryptolocker, Locky等。未来可能会以更广泛威胁的蠕虫传播方式，在网络内
7、部有关联的应用系统之间传播，更大范围勒索金钱。攻击目标攻击目标转转向企业用户向企业用户-案例案例 2016年2月，国外某医院的病人数据被 加密，造成医疗应用系统无法访问病人 资料；攻击者勒索300万美金。 2016年11月，国外某地铁公司的应用 系统被加密，造成售票机无法提供售票 业务，乘客免费乘坐地铁运营两天；攻 击者勒索7.5万美金。勒索软件对行业勒索软件对行业数据资数据资产产的巨的巨大大危害危害由于企业数据被加密后，造成业务无法正常运营，甚至业务中断，经济损失和社会压力导致加快了勒索时间，成为勒索软件的下一个主要目标。医疗行业：医院可能无法访问或丢失重要的病人信息，治疗系统无法正常工作，
8、影响对患者进行及时的救治。公共交通：公共交通的关键控制系统无法正常运行，售票系统的瘫痪，造成整个运营系统的 混乱，运营方遭受巨大损失和公众压力。金融行业：网上银行系统或者柜员系统被控制，导致关键信息泄露，或无法提供正常交易， 带来造成巨大经济损失。零售行业：影响交易系统的正常工作，消费者无法进行商品买卖，造成巨大经济损失。攻击从个人英雄向组织攻击从个人英雄向组织犯犯罪转变罪转变攻击变得越来越有组织性，攻击从个人英雄向组织犯罪转变;有组织的攻击犯罪攻击资源更多，更加有效，造成的安全威胁更大。攻击手段体系化攻击手段体系化采用体系化攻击手段的APT攻击呈爆发趋势，带来越来越大的安全威胁。APT攻击以
9、窃取核心资料为目的，会运用各种攻击工具、受感染的各种介质、供应链和社会 工程学等体系化的攻击手段实施先进的、持久的且有效的威胁和攻击。 网络空间安全防御新趋势网络空间安全防御新趋势在大规模网络环境中，在大规模网络环境中，对对能够能够引引起网起网络络态势态势发发生变生变化化的安的安全全要素要素进进行获行获取取、理、理解解、显、显示示以及对以及对 未来短期的发展趋势的未来短期的发展趋势的预预测。测。网络态势感网络态势感知知(Cyberspace Situation Awareness) 借鉴并对比了借鉴并对比了“空中交通空中交通监监管管”态态势感势感知知的的概念。包含有两层含义：概念。包含有两层含
10、义：实时地根据网络安全设实时地根据网络安全设备备的告的告警警信息信息及及其他其他信信息，息，进进行关行关联联归并归并、数据数据融融合等合等操操作作，实实时反时反映映网网络实际的运行状况；络实际的运行状况；根据历史数据进行一定根据历史数据进行一定的的离线离线分分析，析，采采用一用一定定手段手段对对潜在潜在可可能的能的威威胁进胁进行行预测。预测。网络安全态势感知定义网络安全态势感知定义态势要素 获取态势理解态势预测态势感知三 级模型网络安全 态势感知模型网络安全态势感知定义网络安全态势感知定义网络威胁情报共网络威胁情报共享服务享服务模模式式 网络威胁情报生态圈建设威胁采集威胁采集互联网采集互联网采
11、集厂商报告，安全社区，whois交大自有数据交大自有数据全球IP库、黑IP、黑 域名、黑MD5、社 工库、指纹库第三方合作情报第三方合作情报STIX格式，机器可读， 人可读ATP威胁情报采集威胁情报采集整整个个APT攻击过攻击过程程包括以包括以下下5大步骤：大步骤： 定定向向情情报报收集收集 单单点点攻攻击击突破突破 控控制制通通道道构建构建 内内部部多层渗透和数据收集多层渗透和数据收集上上传传攻击能力攻击能力 漏洞的挖掘和应用 Windows安全机制突破和远程管控 Windows Rootkit/Bootkit的研制 隐秘内网的渗透和权限获取 工业控制系统的安全机制研究和漏洞挖掘 iOS系统
12、的安全机制研究和渗透攻击 Web/数据库服务器的渗透攻击防御能力防御能力 网页挂马的自动检测分析 网络蜜罐的主动防御型检测 Windows Bootkit恶意代码检测 iOS系统恶意代码检测攻防基础设施攻防基础设施 攻防教学实验系统 网络蜜罐系统网络攻防主动防御能力网络攻防主动防御能力威胁情报系统总体网络威胁情报系统总体网络拓拓扑：扑：分分布式布式采采集集+集集中中分析分析分析应用区大数据存储区数据采集区管理区堡垒机用户管理运维监控采 集存 储分 析处 置展 示52权限管理 34分析平台分析平台探探针部针部署署位置位置 区域边界 计算节点 内部计算环境威胁情报1 分布式部署的探针采 集数据（包
13、括威胁情 报，安全设备日志 等），边界部署 将采集到的数据进行 数据整理和入库 系统实时分析数据， 也可以对历史数据进 行分析 分析结果送到展示界 面进行数据可视化 根据对事件的分析结 果，发送配置到探针 进行阻断操作 网络元数据网络性能指网络安全告标警恶意样本原始数据包威胁情报数据采数据采 集预处集预处理子系理子系 统统网络原始流量互联网信息采集数采集数 据源据源主机日志、防病 毒、IAM等日志 防火墙、IDS等 日志数据接口接口全量全量 日志日志全流 量 存储网络 安全 事件 库威胁 情报 库文件 样本 库漏洞 库网络 性能 指标 库元数 据库业务 资产 信息 库IP域名 库网络 流量 基
14、因 库病毒 木马 库人员 行为 画像 库数据接口数据去重初始关联范式处理数据储数据储 存存子系统子系统安全分安全分 析研判析研判 子系统子系统可视化关联分析行为模型分析引 擎威胁情报匹配引告警归集引擎文件样本沙箱分 引擎 析引擎大数据全量检索 引擎流量分析引擎主机流量分析引 擎 擎数据包分析引擎全量数据碰撞分 析引擎应用交易性能分析 引擎业务自动感知引擎多段分析引擎网络性能分析引擎流量分析引擎数据包分析引擎响响 性性 能能应用识别引擎主机性能分析引擎应应监监处处控控 置置 子子子子系系系系统统 统统 处置建议防御设置威胁情报库积累研判结果安全威胁监控业务性能监控态势呈现展示中展示中 心心子系统
15、子系统监控大屏WEB访问界面第三方接口系统管系统管 理子系理子系 统统系统管理用户管 理角色管 理权限管 理安全审 计配置管 理数据字 典运维 监全控局监控前端 状态运维 告警组织管理单位管 理前端管 理威胁情报系统架构威胁情报系统架构 数据资产保护数据资产保护政府、企业秘密合规数据业绩数据设计资料客户信息客户资料知识产权财务报告隐私数据战略报告健康数据审计报告信用卡号重要邮件会议纪要数据资产是政府、企业数据资产是政府、企业信信息安息安全全的核的核心心目标目标中华人民共和国网络中华人民共和国网络安安全全法法明确明确数数据资据资产产需保护需保护中国网络安全法是网络安全领域的基本法，2017年6月
16、1日开始实施何个人和组织不得从事非法侵入他人网 络、干扰他人网络正常功能、窃取网络 数据等危害网络安全的活动不得提供专门用于从事侵入网络、干扰 网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具1234512345发现和评估发现保存在所有位置的敏感数据， 对风险进行评估数据分类确保安全的数据处理流程正常运转定义有效的策略创建策略用于保护数据，并且确保策略的有效性实施控制控制机密数据的授权访问和安全传 输监控, 报告和审计通过报警和事件管理来确保成功的数据安全防护数据资数据资产产保护的典保护的典型型技术路线技术路线DLP(数据泄漏保护数据泄漏保护)DRM(数据权限保护数据权限保护
17、)Encryption(加密加密)Management(管理管理)Data企业数据企业数据 DRM可以决定数据的 访问和使用方式，功能 强大 仅限于特定的文档类型 需要与企业应用紧密集 成，大量依靠人工参与 部署实施十分复杂并难 以持续运维 仅适用于研发等少数小组 技术不能解决所有的问 题，仍然需要以下辅助 风险教育 行政管理 物理安全 刑事诉讼 全面评估信息风险，包括网络、端点和存储 全面检测数据库、文件、邮件、文字等泄密通道，及时报警或阻止 统一制定防泄漏策略 遵从监管法案法规 实施和部署简单，无需 更改流程，无需人工参 与，可在企业范围应用 能够有效的与DRM/加 密工具集成使用，使得
18、后者更有效 能够阻止没有权限的人非法获取信息，即使丢失也没关系 依赖手工进行 密钥的管理是个复杂问 题 不能解决无意识泄密和 主动泄密 仅适用于笔记本或者少量文件服务器主主流流数据资产保数据资产保护护方法方法数据识别是保护的前提数据识别是保护的前提数据的两种形式 结构化数据：存储在数据库中，包括智能卡、移 动用户资料等关键并且敏感的信息。 非结构化数据：主要存储在文件服务器以及大量的工作终端。数据保护的核心思路 定义企业的机密信息 制定对不同等级机密信息的监视和防护策略 部署策略监控阻断信息泄漏创建/获取传递销毁存 储 /备使用份数据安全不仅是目的， 更是动态的过程！数据全生命周期保护数据全生
19、命周期保护相关机构系统深监局远 程监控系 统外汇交易中心银行 间本币交 易系统深交所综 合协议平 台上交所大 宗交易终 端上交所固 定收益平 台中债登招 投标系统中债登招 投标系统中债登簿 记系统交易所银行彭博资讯万得资讯上海聚源 数据上海朝阳 永续数据大智慧行 情终端钱龙行情 终端中经网行 情数据深度行情路透资讯港澳资讯通神行情交易所实 时行情北方之星 资讯宏汇data feed行情外部行情数据大客户直连互联网电话手机中信证券系统内部渠 道客 户产 品数 据管 理通达 信现 场版钱龙 现场 版恒 生 柜 台金仕 达期 货柜 台恒生 直销 系统营业部现场交 易系统(热自助 刷卡小键盘/自 助交
20、割)恒生大 客 户 接 入 系 统创 元 投 资 管 理 系统恒 生 电 话 委托客户 联络 中心恒生 手机 证券移动 手机 证券联通 华建 手机 证券港澳 手机 证券短信 平台内部 网站邮件 系统核心客户资 讯服务平台开户影像MOT系统资管CRM系 统研究与股销业 务管理平台债券业务管 理平台证券金融业 务管理平台投行CRM系 统经纪集中交易系统根网套利系统恒生套利系统经纪业务管理 平台（BMM）股销投资交易 系统摩旗套利系统网点管理与综 合分析系统资管营业部金手指估值系统恒生IA系统系统创元投资 根 网 QFII 资管算QDII投资咨询和 下单交易系统SunGard投资会计系统恒生FTA系
21、统资管信息披露系统天软策略开发平台 高频行情数据转换系统自营投行根网自营交 衡泰衍生品 易系统 业务平台携宁买方投研系统北方之星投研系统衡泰债 券 交 易 销售平台 债券黑 莓系统债销证券金融算法交 证券金融算 融资融 易平台 法交易平台 券系统证券金融业务平台簿记系统投资知识管 理系统投行项目管 理系统投行黑莓系 统交 易 交易系统 投 资 交 易 法平台估值管理研 究 万得投研管理平台 数量化分析数据处理系统清算清算流程管理系统三方存管系统清算核算系统（估值）清算统计系统 新意清算法人系统 新一代运营平台投研平台 研究所数量化分析 指数计算服务研究ODS基础设施数字证书系统风控合规OAHR
22、IT财务统一身份认证 平台邮件归档系统金仕达合规管理信息系统证券金融客户风险分析系统金仕达经纪业务风控系统反洗钱系统资管风控系统Riskmetrics风险管理系统自营风控系统投行内核系统融资融券风控系统稽核项目管理移动办公系统公文系统差旅管理系统黑莓系统人力资源招聘系统人事系统Elearning系统IT项目管理智能楼宇管理系统理财务核算系统财务系统Barra绩效系统自有资金头寸管理系统IT预算和资产管客户排队评价系统法律事务管理平台金石投资管理系统图例个人客户基本 机构客户基本 QFII等特殊客 客户身份鉴别信息资料资料 户信息 信息 客 户 账 户 信 息 户账户信息 与持仓信息 与持仓信息
23、 户 资 金 与 持 仓QFII等特殊客 个人客户资金 机构客户资金 QFII等 特 殊 客 个人客户交易 机 构 客 户 交 易 QFII等特殊客信息信息 户交易信息客户资产信息客户交易信息客户信息客户身份鉴别信息恒生场外基金 代销系统管理管控基础数据 库网上营业厅/flash行情交易 系统/页面交易恒生 网上 交易 系统核新 网上 交易 系统通达 信网 上交 易门 户 网 站擎旗 即时 通讯 系统数据的动态视图数据的动态视图客户关客户关 系管理系管理业务开发业务开发与运营与运营网络及网络及系统运系统运营营供应商供应商/合合作伙伴开作伙伴开发与管理发与管理企业企业 管理管理责任责任制度制度技
24、术技术 手段手段“敏感数据安全敏感数据安全”作为作为其其中中1“栅栅”，应应引起引起高高度重视度重视以信息安全管理责任、以信息安全管理责任、制制度建度建设设、技、技术术手段手段为为“栏栏”，以以与与信息信息安安全相全相关关的业的业务务流程流程为为“栅栅”;推动业务流程与信息安推动业务流程与信息安全全管理管理责责任相任相结结合合、与与业业务务制制度度相相结结合合，并并配配套套相相关关的的技技术术手手段段，通通过过不不断断细细化化完完善善各流程环节的信息安全各流程环节的信息安全责责任和任和要要求，求，深深化和化和完完善信善信息息安全安全管管理体理体系系。数据保护策略设计数据保护策略设计保密信息保密
25、信息 敏感信息敏感信息 公开信息公开信息应用程序应用程序DBA外协人员外协人员允计允计 日志日志 报警报警 替换替换 阻断阻断生产数据库防护生产数据库防护(数据库防火墙数据库防火墙)生产数据库生产数据库数据库服务器数据库服务器测试测试开发环境开发环境 防护防护允计允计 日志日志 报警报警 替换替换 阻断阻断SI测试、开发人测试、开发人 员员全面的数据脱敏解决方案全面的数据脱敏解决方案 Gartner公司定义了一个新的类别 - “动态数据屏蔽”，推动实现无法通过身份访问管理（IAM）、静态数据屏蔽、加密等技术无法单独解决的问题 动态数据屏蔽保护敏感数据，是其不呈现在那些不需要访问的终端用户面前
26、动态数据遮蔽确保严格的按照每一个用户的身份、职责、岗位来过滤相应的敏感数据，并且， 这一动作是完全透明的，不会对应用程序或数据库中的数据造成任何的改动。动态数据遮动态数据遮蔽蔽(脱脱密密)数据资产保护预数据资产保护预警警(一一)感知感知 定位定位通告通告预案预案复查复查数据资产保护预数据资产保护预警警(二二)快速定位影响范围，确认危害害 下发整改通告，督促整改启动在线防护方案、应急方案启动在线防护方案、应急方案复查确认，确保问题根治复查确认，确保问题根治第一时间感知最新威胁大数据带来的安全大数据带来的安全挑挑战战及及对对策策(一一) 万物互联产生大数据 在2006 年，个人用户才刚刚迈 进TB
27、时代，全球一共新产生了 约180EB的数据； 在2011 年，这个数字达到了1.8ZB。 而有市场研究机构预测： 到2020 年，整个世界的数据总 量将会增长44 倍，达到35.2ZB（1ZB=10 亿TB）！）！大数据带来的安全大数据带来的安全挑挑战及对战及对策策(二二)1、加密保护技术：保证数据的真实性，可逆 性和无损性，如SMC模型，差分隐私等。但 是该技术的计算开销很大，对大数据的支持 不大适用。2、文件访问控制技术：通过文件访问控制来 限制呈现对数据的操作，在一定程度解决数据 安全问题大数据带来的安全大数据带来的安全挑挑战及对战及对策策(三三)3、匿名化保护技术：适用于各类数据和众多
28、应用，算法通用 性高，能保证发布数据的真实性，实现简单，如聚类、k- anonymity，l-diversity等，匿名化过程不可逆，本质上是 损失数据精度和数据隐私的折中。4、可信计算（Trusted computing）技术：通用于各类数据 和众多应用，在计算和通信系统中广泛使用基于硬件安全模 块（可信根）支持下的可信计算平台，以提高系统整体的安 全性。总结总结网络空间安全面临日趋网络空间安全面临日趋复复杂和杂和范范在的在的威威胁胁 高级持续威胁、O-Day 社会工程学 给传统网络以及各类新型网络带来安全挑战静态的被动防御向动态静态的被动防御向动态的的主动主动防防御发展御发展 构建网络安全态势感知体系 构建威胁情报感知与共享体系 有效实现协同防御加强数据资产保护加强数据资产保护 数据资产是政府、企业的信息安全的核心目标 网络安全法已经立法对数据资产进行保护 从评估、分类、安全策略、有效控制、监测、预警、可信全方位保护字数资产谢谢谢谢
