2014年网络安全大事记

　　有人认为，2014年可以称之为我国的网络安全元年。的确，在即将过去的这一年里，各种安全事件层出不穷。从信息泄露到重大漏洞，从市场变化到国家安全，反映着安全市场的风起云涌、孕育着安全环境的战略机遇，潜伏着对国家社会和经济生活的重大风险。下面安全牛就与大家一起回顾和盘点这一年来的网络安 全大事：

　　一、重大漏洞无法预测

　　2014年是多个严重漏洞集中爆发的一年，心脏滴血、贵宾犬、USBbad、破壳等重大漏洞先后曝光。影响的网站、操作系统、硬件设备范围之广，闻所未闻。

　　心脏滴血漏洞实际存在已经超过两年时间，虽然全世界各地的机构和企业都在“心脏滴血”漏洞公布后第一时间开始修复工作，但在这个漏洞未曝光之前，根本无法统计有多少敏感信息因此而被窃取。

　　安全牛之前报道的微软11月份修复的IE漏洞，自Windows 95以来就存在，它的洞龄（漏洞未被修补的年限）是19年。而可以远程执行拿到系统级权限的破壳漏洞则最年长，已达25岁的高龄。

　　漏洞的问题不仅仅在于系统的日趋庞大复杂，开发人员的疏忽、缺乏安全编码规范等原因，它最可怕的地方在于，也许之前它根本就不是一个漏洞，而是一个功能。但由于时代的发展，使用环境的变化，功能变成了漏洞。人类具备把所有正在使用的旧系统、程序、软件都做一次代码级的安全检测的能力么？也许这是比重新发明计 算机和互联网还要难做的事！

　　宛如被打开的潘多拉魔盒，明年会出现什么样的重大漏洞？我们不知道。

　　二、信息泄露事件层出不穷

　　先来看一下安全牛统计的这些数字：

　　企业名称 泄露内容 信息数量

　　中国高等教育学生网 考生信息 130万

　　美国社区医疗CHS 患者信息 450万

　　韩国三大信用卡公司 信用卡数据 2000万

　　塔吉特 用户信息及信用卡数据 1.1亿

　　家得宝 用户信息及邮件地址 1.1亿条

　　摩根大通 用户及企业信息 1.4亿条

　　韩国三大信用卡公司高管当众道歉

　　实际上还有许多泄露事件，或正在调查，或无法确认，或无法公开具体数字.从这些事件来看，今年网上传出的“俄罗斯黑客集团盗窃12亿用户密码”的消息并不为过。

　　值得一提的是，个人隐私逐渐成为泄露事件的重灾区。2013年爆出的2000万酒店开房记录至今还能在网上查到，今年9月苹果云服务的名人裸照事件更是震惊全球，而11月俄罗斯一家网站上可以观看到256个国家的7.3万个监控摄像头，包括上万个私人摄像头的流媒体视频。

　　可以预见，2015年可能出现更为严重的泄露事件。

　　三、首届网络安全周全民普及

　　今年8月，国务院授权重组国家互联网信息办公室，负责全国互联网信息内容管理工作，并负责监督管理执法。之后，网信办于2014年11月24日至30日，联 合中央编办、公安部、工信部等多八个部门举办首届国家网络安全宣传周活动。中共中央政治局常委、中央书记处书记、中央网络安全和信息化领导小组副组长刘云 山在启动仪式上发表讲话。他指出，网络信息人人共享、网络安全人人有责，要不断增强全民网络安全意识，切实维护网络安全，着力推进网络空间法治化，为建设网络强国提供有力保障。

　　网络安全问题已经成为关系到普通公民切身利益的关键性问题。但大多数人对于网络安全的认识较为遥远和抽象，此次网络安全周的体验展让参观者直观的认识到安全 与个人利益密切相关，跟个人生活密切相关。另外，通过各大媒体、监管部门、金融行业和安全厂商的宣传和互动，从国家层面首次使网络安全意识得到全民性的普 及，实现了网络安全宣传从概念到理念的跨越，使公众更加关注网络安全。

　　四、大数据安全风起云涌

　　早在2011年，工信发布的《物联网“十二五”规划》中，把包括海量数据存储、数据挖掘、图像视频智能分析等信息处理技术作为4项关键技术创新工程之一。3 年过去，随着大数据市场的升温，国内的阿里、腾讯、百度、360等科技巨头，以及大型安全厂商纷纷开始大数据安全的布局。

　　阿里的大数据智能分析定位疑似风险账户和疑似犯罪分子，支付宝风险系统对海量在线交易进行风险扫描和合理管控；百度云安全可以防护包括十多种黑客渗透攻击和 多种DDoS攻击；腾讯免费开放Open Data、云分析、云推送三大产品，把长期积累的丰富安全经验开放给腾讯云服务用户；早在几年就推出云服务的360，今年更是推出了贴近企业真实需求的个 性化云知识库－－“私有云”。

　　绿盟、天融信和启明星辰也于今年或推出大数据安全分析与挖掘平台，或进行对数据安全公司的收购。

　　五、物联网安全山雨欲来

　　以智能和可穿戴设备、自带办公设备代表的移动设备大潮已经到来，相应带来了严重的物联网安全威胁。

　　今年9月，一款可以感染路由器、恒温器、烘干机等许多物联网设备的恶意软件，组成了1.2万至1.5万台的大型僵尸网络，并在亚洲和美国实施了各种形式的DDoS攻击。攻击流量峰值高达215G，每秒1.5亿个数据包。

　　物联网设备存在诸多因设备制造商急于联网，从而忽略了安全问题的严重风险。包括隐私泄露、弱密码、非加密通讯，以及网页操作等漏洞。而企业网络与员工自带的个人设备又极易发生交叉感染。更糟糕的是，大多数企业管理层对物联网安全的重视程度远远不够。

　　如果没有新的安全模式来应对这一风险，那么未来物联网安全的严重性将超出我们的想像。

　　六、投资收购厉兵秣马

　　启明星辰今年先后收购了四川赛贝卡、书生电子、合众信息；今年年初刚刚上市的绿盟科技则收购和投资敏讯科技、亿赛通、深度deepin和安华金和；北信源北则在昨日公开披露，1亿元收购中软华泰。

　　BAT3方面：

　　阿里收购安全宝部分业务，蚂蚁金服1200万美元领投新加坡移动安全厂商V-Key；百度也投资了安全宝部分业务；腾讯：建立玄武实验室，投资Keen Teem、知道创宇、翰海源；360收购网康，入股网御神州。

　　另外，中国电子科技集团拟投资130亿元，在成都建设国家示范网络信息安全产业园，并成立中国电科网络信息安全有限公司。

　　通过安全牛收集的以上这些信息可以看出，各大安全厂商和网络巨头动作频频的投资、收购、入股，预示着安全市场已经开始走出冷战和布局阶段，明年将迎来更加近身的博弈战局。

　　七、自主可控任重道远

　　今年4月8日，微软停止对WindowsXP系统的服务支持；

　　5月16日，中国政府采购网公布的《中央国家机关政府采购中心重要通知》称，所有计算机类产品不允许安装Windows 8操作系统；

　　7月，公安部科技信息化局下发通知，称赛门铁克的“数据防泄漏”产品存在窃密后门和高危漏洞，要求各级公安机关今后禁止采购；

　　9月，银监会正式发布的《应用安全可控信息技术指导意见》中明确指出，从2015年起，各银行业金融机构对安全可控信息技术的应用以不低于15%的比例逐年增加，直至2019年掌握银行业信息化的核心知识和关键技术，安全可控信息技术在银行业达到不低于75%的总体占比。

　　现实情况是，我国的信息安全基础技术研发能力不足，自主创新的环境也有待优化。目前还没有形成自主可控的计算机技术、软件技术和电路技术体系，重要信息系统、关键基础设施中使用的核心技术产品和关键服务还依赖于国外。因此，信息安全产业的发展也一直饱受国外打压。

　　诸多问题，预示着我国的安全技术及产品的自主可控之路步履艰难，任重道远。

　　八、国家安全兵临城下

　　到今年为止，全球已有40多个国家颁布了网络空间国家安全战略，仅美国就颁布了40多份与网络安全有关的文件。美国还在白宫设立“网络办公室”，并任命首席网络官，直接对总统负责。

　　今年2月，总统奥巴马宣布启动美国《网络安全框架》。德国总理默克尔也于当月与法国总统奥朗德探讨建立欧洲独立互联网，拟从战略层面绕开美国以强化数据安全。欧盟三大领导机构明确，计划在2014年底通过欧洲数据保护改革方案。

　　5月，美国司法部表示，法庭已裁定五名中国军方人员被控对涉及核电、金属和太阳能产品等行业的多家美国企业进行网络间谍活动。

　　6月，美国一名国防高级官员表示，在经过数年的策划后，五角大楼的网络司令部终于开始进入实战，如跟踪、探测海外对手对美国关键计算机网络发动的袭击等。

　　7月，加拿大政府发表声明，指责“中国政府支持的黑客”入侵加拿大国家研究院的计算机系统。

　　9月，爱德华·斯诺登新泄露出的文档显示，包括美国国安局和英国通信情报局的五大情报机构一直在合作建立一个全球互联网映像系统，作为其“藏宝图”监视计划的一部分。藏宝图计划的目标是监视整个互联网，随时随地掌握被监视人的行踪；

　　10月，美国火眼安全公司的研究报告称，俄罗斯国家支持的黑客组织，在过去十年中针对北约、东欧及高加索地区的政府，系统的开展网络间谍活动（APT28）；

　　11月，赛门铁克22页的报告揭示，一款先进隐形的恶意软件（Reign）从2008年起，攻击了欧洲、亚洲、北美洲等10个国家的约100个机构或系统。赛门铁克认为，这是一起由国家支持的间谍行为；

　　12 月，美国安全公司Cylance发布的报告显示，一个伊朗国家支持的黑客团队入侵了16个国家的50多个机构的计算机和网络系统，包括航空公司、国防承包 商、大学、军事设施、医院、机场、电信公司、政府机构，以及石油及天然气等能源企业（Operation Cleaver）。

　　美国海军上将、新任国家安全局局长并兼任美国网络司令部主管的迈克尔·罗杰斯，更是在上个月美国国会的证词陈述中表示，中国有能力通过网络攻击搞垮美国的电力系统和 其他基础设施，“精确的有针对性的关闭我们关键基础设施的每一个组成部分，预先阻止我们提供给公民的服务。”（见安全牛11月21日报道）

　　国家安全问题已是重中之重，面对严峻的网络安全形势，由中共中央总书记、国家主席、中央军委主席习近平亲自担任组长，李克强、刘云山任副组长的中央网络安全 和信息化领导小组，于2014年2月27日成立。该领导小组将“着眼国家安全和长远发展，统筹协调涉及经济、政治、文化、社会及军事等各个领域的网络安全 和信息化重大问题，研究制定网络安全和信息化发展战略、宏观规划和重大政策，推动国家网络安全和信息化法治建设，不断增强安全保障能力。”

　　这就是即将过去的2014，而马上到来的2015将会发生什么、改变什么、扬弃什么，让我们拭目以待！