5月8日，綠盟科技主辦了題為“新基建大潮下的漏洞安全觀”的直播論壇，線上解讀新基建背景下隱藏的各類漏洞風(fēng)險，深度剖析“新基建”風(fēng)口下的安全挑戰(zhàn)，邀請多位專家圍繞國家政策支持、技術(shù)創(chuàng)新、生態(tài)建設(shè)和產(chǎn)品升級等層面，分享新基建背景下的漏洞安全發(fā)展趨勢及研究成果，并發(fā)布了基于IC化理念的綠盟遠(yuǎn)程安全評估系統(tǒng)全新版本。
“新基建”所包含的產(chǎn)業(yè)范圍，涵蓋信息基礎(chǔ)設(shè)施、融合基礎(chǔ)設(shè)施、創(chuàng)新基礎(chǔ)設(shè)施三個方面。伴隨5G網(wǎng)絡(luò)、大數(shù)據(jù)中心、工業(yè)互聯(lián)網(wǎng)等新型基礎(chǔ)設(shè)施建設(shè)的推進不斷加快，“新基建”將成為推動消費、保障經(jīng)濟發(fā)展的重要手段之一，但與此同時也為我國的網(wǎng)絡(luò)安全帶來了全新的挑戰(zhàn)。
在“新基建”背景下，漏洞掃描、管理及監(jiān)測技術(shù)如何發(fā)展，如何結(jié)合5G、區(qū)塊鏈、大數(shù)據(jù)、物聯(lián)網(wǎng)等新技術(shù)加強網(wǎng)絡(luò)安全保障體系建設(shè)，成為重中之重。
綠盟科技星云實驗室負(fù)責(zé)人/中國計算機學(xué)會CCF理事劉文懋博士
會議伊始，綠盟科技星云實驗室負(fù)責(zé)人劉文懋博士首先介紹了5G和邊緣計算方面“新基建”的特點，系統(tǒng)總結(jié)了輕量級、編排型和云原生的安全防護要求，進一步介紹了容器和虛擬化相關(guān)的安全防護思路和防護技術(shù)，尤其是面向容器環(huán)境提出的“安全左移”理念，即在開發(fā)階段進行安全加固、代碼審計，保證倉庫安全，從而避免在運營時部署大量高開銷、低收益的運行時檢測和響應(yīng)機制，從而以較小成本得到較大安全收益。他認(rèn)為，新基建環(huán)境下，未來人工智能和自動化能實現(xiàn)大規(guī)模分布式場景下的智能決策和響應(yīng)，這也將是新基建安全的重要支撐技術(shù)。
公安部第三研究所檢測中心工控網(wǎng)絡(luò)安全測評實驗室主任鄒春明
隨后公安三所監(jiān)測中心工控網(wǎng)絡(luò)安全測評實驗室主任鄒春明就“工業(yè)控制設(shè)備漏洞與對策”主題進行了分享。他表示，國家明確要求推動新型基礎(chǔ)設(shè)施建設(shè)，其中軌道交通、工業(yè)互聯(lián)網(wǎng)均涉及工業(yè)控制系統(tǒng)。工控設(shè)備漏洞及脆弱性主要體現(xiàn)在工控設(shè)備固件、工控協(xié)議、上位機軟件、硬件、配置管理等方面，其中存在的安全漏洞類型、產(chǎn)生原因、應(yīng)對措施形態(tài)各異。鄒主任總結(jié)了工控設(shè)備安全漏洞的五大典型特點，并對如何從物理安全、邊界防護、審計監(jiān)控、主機防護、安全管理等方面對工控安全漏洞進行縱深防御給出了建議。
西安交通大學(xué)軟件學(xué)院副教授王晨旭博士
隨著經(jīng)濟全球化的深入發(fā)展，展望未來，新基建將成為國家經(jīng)濟發(fā)展的主要動力，傳統(tǒng)的供應(yīng)鏈數(shù)據(jù)管理系統(tǒng)存在的共享難、征信難和協(xié)同難問題越來越突出，為解決該難題，西安交通大學(xué)軟件學(xué)院副教授王晨旭攜團隊提出了基于物聯(lián)網(wǎng)+區(qū)塊鏈的數(shù)據(jù)管理方案。他指出，基于有向無環(huán)圖結(jié)構(gòu)的區(qū)塊鏈系統(tǒng)具有較高的可并發(fā)性，可以較好地滿足吞吐率的要求，然而其不支持智能合約的屬性，嚴(yán)重制約了其在物聯(lián)網(wǎng)數(shù)據(jù)管理中的應(yīng)用。據(jù)此提出的適用于物聯(lián)網(wǎng)數(shù)據(jù)管理的多區(qū)塊鏈跨鏈解決方案，利用IOTA實現(xiàn)物聯(lián)網(wǎng)數(shù)據(jù)的上鏈，利用Hyperledger Fabric實現(xiàn)對數(shù)據(jù)的管理和訪問控制，并利用技術(shù)手段保護用戶的數(shù)據(jù)隱私?；谒崮Ｐ驮O(shè)計可實現(xiàn)供應(yīng)鏈數(shù)據(jù)管理原型系統(tǒng)。
綠盟科技天機實驗室負(fù)責(zé)人張云海
近年來防御技術(shù)的逐漸完善，攻擊者也在持續(xù)尋找新的攻擊手段，漏洞無疑是其中的重要一環(huán)。對漏洞的歷史數(shù)據(jù)進行統(tǒng)計分析，可以揭示漏洞與威脅的發(fā)展趨勢。掌控漏洞數(shù)量的增長情況，分布情況及變化，可以得出易受威脅的廠商與產(chǎn)品類型，預(yù)見可能成為新的漏洞增長點的技術(shù)方向，剖析漏洞與實際威脅的深層關(guān)系。綠盟科技天機實驗室負(fù)責(zé)人張云海從漏洞統(tǒng)計結(jié)果角度深入分析了漏洞與威脅的發(fā)展趨勢，同時他帶領(lǐng)的天機實驗室也常年為綠盟科技漏洞挖掘技術(shù)及產(chǎn)品、解決方案研發(fā)賦能。
綠盟科技企業(yè)安全管理產(chǎn)品線總監(jiān)李靜
5G網(wǎng)絡(luò)和云數(shù)據(jù)中心的虛擬化模糊了網(wǎng)絡(luò)的物理邊界，大量采用開源軟件，AI領(lǐng)域?qū)Φ谌介_源基礎(chǔ)庫過度依賴，加大了引入安全漏洞的風(fēng)險。企業(yè)的漏洞管理問題也隨著業(yè)務(wù)范圍的擴展越發(fā)困難。綠盟科技企業(yè)安全管理產(chǎn)品線總監(jiān)李靜指出，想做好漏洞管理首先要考慮安全前置工作，明確管理范圍，根據(jù)范圍設(shè)置相應(yīng)的角色和職能要求，選擇好評估工具，根據(jù)范圍精煉對應(yīng)的策略和SLA，方能讓后面的漏洞管理流程更順暢。在漏洞管理的過程中，基于風(fēng)險級別完成漏洞的分片，分段管理，能高效、快速修復(fù)漏洞，將風(fēng)險降低?；粍訛橹鲃拥脑贫寺┒错憫?yīng)自動化，通過對已有開發(fā)、運維工具的集成與整合，實現(xiàn)對突發(fā)安全漏洞的快速響應(yīng)，將企業(yè)受到安全威脅的時間窗口從數(shù)周、數(shù)月縮短到小時級。
綠盟威脅和漏洞管理方案就是以威脅為中心的風(fēng)險自適應(yīng)管理解決方案，整合多源脆弱性數(shù)據(jù)，聚焦關(guān)鍵風(fēng)險，量化分析風(fēng)險管理指標(biāo)，建立快速漏洞預(yù)警響應(yīng)機制，提供漏洞管理的過程支撐，及時有效的建立和完善漏洞管理補償體系。
綠盟科技風(fēng)險和合規(guī)產(chǎn)品線總監(jiān)尹航
從2020年開始，國家加快了推進新基建的步伐，“新基建”的發(fā)展歷程中會普遍應(yīng)用到5G、虛擬化云/容器云、大數(shù)據(jù)、工控/物聯(lián)網(wǎng)裝備等底層技術(shù)，在新基建大潮下，這些技術(shù)之間的嵌入關(guān)系越來越強，給漏洞掃描工作也帶來了新的挑戰(zhàn)。論壇最后綠盟科技風(fēng)險和合規(guī)管理產(chǎn)品線總監(jiān)尹航從安全產(chǎn)品角度進行分析，介紹了綠盟科技漏洞掃描產(chǎn)品團隊面對變化進行的深入思考，并提出綠盟遠(yuǎn)程安全評估系統(tǒng)面對新基建新技術(shù)應(yīng)用的兩點變化，即技術(shù)嵌入、安全升維，發(fā)布了基于IC化理念的綠盟遠(yuǎn)程安全評估系統(tǒng)的新版本。
在新基建這樣復(fù)雜的應(yīng)用場景下，漏洞評估產(chǎn)品需要嵌入到新的漏洞管理體系，以及用戶的安全運維體系下，才能發(fā)揮應(yīng)有的作用，同時對于集成化能力的需求也越來越強，綠盟遠(yuǎn)程安全評估系統(tǒng)在掃描能力集成化方面進行了一系列實踐，已演化成為能夠提供容器化、大數(shù)據(jù)、工業(yè)控制設(shè)備、物聯(lián)網(wǎng)設(shè)備這些集成掃描的能力，支持超過16萬漏洞數(shù)量的掃描器產(chǎn)品。
“新基建”的發(fā)展將促使接入網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)量的高速增長，這給漏洞安全防護及網(wǎng)絡(luò)安全保障體系建設(shè)提出了更高的要求。“新基建”發(fā)展大潮已至，風(fēng)口下的網(wǎng)絡(luò)安全如何與時俱進創(chuàng)新發(fā)展是接下來網(wǎng)絡(luò)安全行業(yè)聚焦的課題，綠盟科技也將以漏洞安全技術(shù)研發(fā)為起點，順勢乘風(fēng)為更多的用戶業(yè)務(wù)順暢運行提供強有力的技術(shù)支撐。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
