隨著“兩化融合”的推進(jìn)，金融信息化、網(wǎng)游虛擬貨幣的普及化以及政府信息共享的加深，信息安全也成為一個(gè)重要話題。今年3月4日，“兩會”提案首次將信息網(wǎng)絡(luò)應(yīng)急納入全國應(yīng)急體系，將信息網(wǎng)絡(luò)應(yīng)急提升至與國家安全與基礎(chǔ)設(shè)施應(yīng)急同等地位的高度。
10月22日，2009中國計(jì)算機(jī)網(wǎng)絡(luò)安全應(yīng)急年會在湖南長沙召開，當(dāng)天一共有22家企業(yè)共同簽約加入國家網(wǎng)絡(luò)安全漏洞共享平臺，來自管理層、行業(yè)一線人士一致認(rèn)為在打擊灰色網(wǎng)絡(luò)安全產(chǎn)業(yè)鏈方面應(yīng)該建立信息共享的長效機(jī)制。據(jù)會上了解，目前灰色網(wǎng)絡(luò)安全產(chǎn)業(yè)鏈在我國已經(jīng)基本上形成，并已達(dá)到10-20億元的產(chǎn)值。
灰色產(chǎn)業(yè)鏈揭秘
網(wǎng)絡(luò)黑客已經(jīng)成為媒體非常關(guān)注的熱點(diǎn)問題。今年3月央視開始密集關(guān)注黑客產(chǎn)業(yè)：3月11日播放“揭秘黑客產(chǎn)業(yè)鏈”，3月12日播放“威脅，就在前方”。4月8日，有媒體報(bào)道“黑客叫賣網(wǎng)銀木馬可破U盾”，對此，專家表示破解U盾并不太靠譜。
目前灰色網(wǎng)絡(luò)安全產(chǎn)業(yè)鏈主要有黑客培訓(xùn)產(chǎn)業(yè)鏈、網(wǎng)絡(luò)仿冒產(chǎn)業(yè)鏈、敲詐勒索產(chǎn)業(yè)鏈、信息竊取產(chǎn)業(yè)鏈、垃圾郵件產(chǎn)業(yè)鏈等。在這些產(chǎn)業(yè)鏈的背后，都隱藏著一些不為人知的秘密。
最為常見的是黑客培訓(xùn)現(xiàn)象泛濫成災(zāi)。用百度在網(wǎng)上可以搜到很多黑客教程，如黑客基地網(wǎng)站已經(jīng)形成了完整的培訓(xùn)體系，“華夏網(wǎng)絡(luò)安全技術(shù)長期班”教程有兩類黑客技術(shù)體系和網(wǎng)管技術(shù)體系，正在和傳統(tǒng)網(wǎng)絡(luò)技術(shù)相融合。從事黑客培訓(xùn)的不僅有網(wǎng)站，還有黑客論壇，黑客雜志等等，教材賣得也很火，價(jià)格也不便宜。
盡管一些培訓(xùn)機(jī)構(gòu)的負(fù)責(zé)人接受記者采訪的時(shí)候，聲稱自己的培訓(xùn)和黑客沒有關(guān)系，只是培訓(xùn)正規(guī)的防守和攻克網(wǎng)絡(luò)安全技術(shù)，但是大量的機(jī)構(gòu)還是在有意無意地打“擦邊球”，這些培訓(xùn)機(jī)構(gòu)一方面在源源不斷地提供安全領(lǐng)域的人才；另一方面也在為黑客產(chǎn)業(yè)鏈提供培訓(xùn)基礎(chǔ)，源源不斷地培訓(xùn)小黑客、中黑客、大黑客。
知道創(chuàng)宇研發(fā)副總楊冀龍經(jīng)常和惡意軟件打交道，他表示以木馬為代表的惡意軟件大大增加了網(wǎng)民上網(wǎng)的風(fēng)險(xiǎn)。制作者只要制作一個(gè)木馬上傳到網(wǎng)站并攻擊到服務(wù)器上去，普通用戶瀏覽到這個(gè)服務(wù)器，自然就把木馬下載到了用戶的PC里面。據(jù)介紹，制作者還可以直接攻擊網(wǎng)站，還有傳播者利用木馬生成器制作成網(wǎng)絡(luò)木馬，植入惡意鏈接網(wǎng)站。目前惡意軟件已經(jīng)形成制作、銷售、應(yīng)用的“一條龍”產(chǎn)業(yè)鏈，網(wǎng)頁木馬是其主要的傳播渠道，且主要利用漏洞植入，利用社會工程學(xué)傳播。
最近有一個(gè)例子，今年國慶六十周年期間，有很多人收到一封電子郵件，內(nèi)容是上級通知各級網(wǎng)站加強(qiáng)網(wǎng)站防范，后面附了一個(gè)《通知》，在這個(gè)《通知》里面就隱藏了木馬，用戶一不小心就會中招。
目前形成灰色產(chǎn)業(yè)鏈的還有信息竊取產(chǎn)業(yè)鏈、敲詐勒索產(chǎn)業(yè)鏈、網(wǎng)絡(luò)仿冒產(chǎn)業(yè)鏈，這些產(chǎn)業(yè)鏈的集團(tuán)化、專業(yè)化、目標(biāo)化特點(diǎn)比較突出，同時(shí)這些產(chǎn)業(yè)鏈之間是相互關(guān)聯(lián)的，如黑客培訓(xùn)里面的小黑客學(xué)到攻擊知識之后，可能會利用學(xué)到的知識進(jìn)行信息竊取，攻擊別人，然后獲利。
木馬、病毒形成網(wǎng)絡(luò)威脅
據(jù)統(tǒng)計(jì)，2008年我國85%的計(jì)算機(jī)主機(jī)感染過病毒；2008年木馬數(shù)量達(dá)1389萬，新增量是2007年的48倍；2006年黑客地下產(chǎn)業(yè)鏈經(jīng)濟(jì)高達(dá)2.6億，呈指數(shù)增長。黑客產(chǎn)業(yè)鏈主要分為三部分，第一部分是通過木馬、注冊、釣魚的手段獲取號碼；第二部分是通過曬號、選號對號碼進(jìn)行清洗；第三部分是通過盜號盜取用戶的裝備、賣靚號、發(fā)送垃圾消息來獲利。
一位加入國家網(wǎng)絡(luò)安全漏洞共享平臺的企業(yè)代表對記者表示，今年一位網(wǎng)絡(luò)黑客高手利用3個(gè)月的時(shí)間，采取網(wǎng)絡(luò)游戲盜號的方式，共獲利達(dá)到1億元人民幣，這樣的數(shù)字讓記者感到吃驚。實(shí)際上，這個(gè)數(shù)字在安全行業(yè)早已經(jīng)不是什么新聞了，可見灰色網(wǎng)絡(luò)安全產(chǎn)業(yè)鏈已經(jīng)滲透到我們的生活當(dāng)中。
諸如盜號、偷錢、詐騙，還有大量的木馬、病毒、惡意代碼、私服、DDOS等都會帶來巨大安全隱患。比如發(fā)送垃圾消息，據(jù)騰訊安全中心總監(jiān)楊勇介紹，一些人偷竊了QQ之后，對所盜取的QQ好友發(fā)送一些垃圾消息，邀請他們用手機(jī)打電話聽歌，如果有人打了電話，就會被聲訊臺扣費(fèi)。當(dāng)騰訊對垃圾消息打擊后，黑客又引進(jìn)了“邀請”模式，他們在網(wǎng)上發(fā)起一起游戲的邀請，通過讓人打12590賺取話費(fèi)。
為了達(dá)到規(guī)模效應(yīng)，黑客通常采用相當(dāng)多的自動化手段查詢Q幣、密碼、會員等級、積分等用戶信息，竊取號碼之后就可以進(jìn)行批量化的洗錢，如果沒有Q幣，就會用這些號碼來發(fā)垃圾消息。這些自動化工具使用度非常高，它可以使黑客批量、快速地洗錢和發(fā)垃圾消息，一旦形成了規(guī)模效應(yīng)，就會形成一個(gè)灰色的產(chǎn)業(yè)鏈，吸引很多低學(xué)歷的人去從事這個(gè)行業(yè)。
中科院辦公廳信息化處陳明奇處長表示：灰色產(chǎn)業(yè)鏈成因主要有四個(gè)：一是行業(yè)缺乏自律，互聯(lián)網(wǎng)行業(yè)在中國是高速發(fā)展的行業(yè)，網(wǎng)民也缺乏自律；二是網(wǎng)絡(luò)攻擊門檻越來越低，很多攻擊者采用的都是自動化攻擊工具，也有很多培訓(xùn)班幫助攻擊者提高攻擊技能；三是低風(fēng)險(xiǎn)?，F(xiàn)在雖然修改了刑法，但是真正能夠打擊違法行為的法律還是少之又少，加上有很多是灰色行為，很難具體地判定黑客的行為違反了哪些法律法規(guī)；四是高回報(bào)。如惡意廣告軟件捆綁產(chǎn)業(yè)鏈，低成本就能獲得高回報(bào)。
建立長效共享機(jī)制
灰色經(jīng)濟(jì)英文是Gray Economy，也可以稱為影子經(jīng)濟(jì)，代表自給自足經(jīng)濟(jì)和地下經(jīng)濟(jì)，非法典型是黑客、黑市、走私等等。如何打擊灰色產(chǎn)業(yè)鏈，可以說是每家企業(yè)都有自己的體會。
據(jù)騰訊安全中心總監(jiān)楊勇表示，騰訊除了采用桌面對抗之外，還采用了大量的后臺對抗手段。如采用后臺保護(hù)，實(shí)時(shí)發(fā)現(xiàn)并限制黑客的非法行為，如“防曬號”就是其中一種防護(hù)措施。目前騰訊共有四大后臺保護(hù)措施，對QQ用戶登錄、發(fā)送消息、虛擬財(cái)產(chǎn)、用戶密碼進(jìn)行保護(hù)，并且通過對網(wǎng)絡(luò)黑客“曬號”行為進(jìn)行區(qū)別，以降低用戶的損失，加大非法攻擊的成本。
當(dāng)然，黑客的行為防不勝防，只有大家聯(lián)合起來，才是解決網(wǎng)絡(luò)安全的最終方案。10月22日，國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、國家信息技術(shù)安全研究中心與神州綠盟、啟明星辰、騰訊等國內(nèi)近二十家安全公司、軟件廠商、互聯(lián)網(wǎng)企業(yè)就共同建設(shè)國家信息安全漏洞共享平臺的合作事宜在湖南長沙舉行了簽約儀式。目前綠盟、啟明星辰、東軟等公司建立了有數(shù)萬條目的企業(yè)級安全漏洞庫，在漏洞發(fā)現(xiàn)和分析上積累了一定的經(jīng)驗(yàn)。在充分發(fā)揮這些安全公司、軟件廠商、互聯(lián)網(wǎng)企業(yè)以及科研高校在漏洞發(fā)現(xiàn)、分析、驗(yàn)證的優(yōu)勢，廣泛吸收民間安全研究力量的基礎(chǔ)上，通過資源整合、信息共享、相互協(xié)作的方式，共同建立公益的、開放的信息安全漏洞庫及漏洞收集、發(fā)布機(jī)制，對打擊灰色產(chǎn)業(yè)鏈?zhǔn)且粋€(gè)有益的嘗試。
國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心有關(guān)負(fù)責(zé)人表示，平臺將在開放、中立、非營利性的原則下，共建中國信息安全漏洞庫（又稱CNVD），并逐步建立起我國漏洞發(fā)現(xiàn)、上報(bào)、分析、驗(yàn)證、發(fā)布、應(yīng)急處置和共享體系。目前世界上一些發(fā)達(dá)國家紛紛建立了漏洞集中收集和發(fā)布機(jī)制，如美國由國土安全部（DHS）和美國應(yīng)急響應(yīng)組織（US-CERT），日本由其本國應(yīng)急響應(yīng)組織（JPCERT/CC）統(tǒng)一收集各類信息系統(tǒng)的安全漏洞信息。
