新闻中心
NEWS CENTER
关键信息基础设施安全十大风险隐患，与日俱增的网络攻击正在带来严重威胁和挑战
本文来源：彼得研究院
习近平总书记指出，“网络安全的本质在对抗，对抗的本质在攻防两端能力较量”。网络战不是我们想不想打的问题，而是必须有效应对的问题。为有效应对敌对势力的网络战威胁，保卫国家安全，公安部近年来组织全国公安机关开展了多次攻防演习。通过演习，发现了关键信息基础设施存在的十大突出风险隐患：
一、互联网暴露点过多，非法外联问题突出；
二、老旧漏洞不修补、弱口令等低级问题仍然存在；
三、内网缺乏分区分域隔离，重要数据保护措施不到位；
四、“神经中枢”类系统防护薄弱，系统和网络访问控制机制不健全；
五、供应链成为防护薄弱点，也成为黑客攻击的桥梁；
六、重要信息、敏感信息在互联网上泄露的问题严重；
七、基层单位网络防守薄弱，可导致“一点突破，全网沦陷”的严重后果；
八、由于网络广泛互连，重点单位难以抵御跨网攻击威胁；
九、数据全生命周期防护不到位，是网络安全的最大短板；
十、网络安全综合防御体系尚未建立完善。
风险隐患具体分析如下：
问题一：大数据、云平台、物联网等安全防护薄弱，成为重点攻击目标
当前，数据集中共享、业务云化融合、万物互联互通已经成为发展趋势，也成为黑客关注的焦点，相关系统被攻击破坏的事件层出不穷。部分重点单位对大数据、云平台、物联网安全的重视程度不够，对其存在的安全风险认识不清，管理措施薄弱，技术防护措施不到位，成为重大风险隐患。许多单位的业务数据在多个部门之间传递、应用，数据在存储、交换、应用过程中防范措施不落实，成为攻击者的重点目标。
问题二：互联网上的暴露点过多，成为攻击者的主要攻击入口
随着重要行业部门的正面防护能力不断提升，攻击者越来越多地使用迂回攻击的手段，通过攻击防护薄弱的下属单位避免正面对抗，往往能取得突出效果。部分重点单位总部防护措施完善，但对全行业网络安全缺乏统筹管理，致使全行业网络暴露面过宽，基层单位防护措施不到位，漏洞大量存在，成为攻击者迂回攻击的突破口。
问题三：内网防护不健全，缺乏纵深防御
一些重要行业单位重边界防护、轻内部防御，缺乏分区分域隔离和域内防护措施，导致防护措施成为“马其诺防线”，被轻易绕过。
问题四；核心系统和设备安全加固手段缺失，缺少精细防护措施，极易被攻击者攻破
“神经中枢”类系统缺乏重点加固，攻击者可直捣网络核心。一些重点单位对域控系统、杀毒管理后台、堡垒机、身份认证系统等“神经中枢”重视不够，没有采取有效的精细化防护措施，可造成“一点被控，全网被控”的严重后果。
问题五：敏感信息泄露严重，成为网络攻击的“情报源”
一些重点单位的大量建设运维方案、网络拓扑、账号密码、系统原始代码等敏感信息被第三方上传到共享网站上。攻击者在境外代码共享平台 GitHub及百度网盘等平台上获取一些单位的系统源代码，通过源代码筛查，挖掘并利用零日漏洞，攻破内网，即可获取重要数据资源。敌对势力一旦窃取以上信息，就可以分析掌握我重要部门的发展动向，直击我关键要害。
问题六：老旧资产、测试系统清理不及时，成为攻击的重要跳板
部分单位网络资产边界不清、责任不明，老旧资产、测试系统未及时清理下线，缺乏安全防护措施，被攻击利用而无法察觉。
问题七：远程办公和移动应用防护能力不强，成为攻击的新渠道
许多重要行业部门和政府单位为便于业务开展，在内外网之间部署了大量VPN通道。攻击者可通过信息搜集、资产测绘发现专网的VPN通道，并通过暴力破解、零日漏洞利用等手段，通过VPN进入单位内网；利用目录访问、弱口令、任意文件上传等组合攻击方式，获得重要业务系统控制权。一旦系统被攻击者关停或清空数据，就会造成业务瘫痪，严重影响经济秩序和经济安全。同时，移动App作为信息发布的重要渠道，其安全性未得到广泛关注，极易被逆向、监听。
问题八：供应链安全管控不力，成为迂回攻击的重要通道
长期以来，一些重点单位的网络安全防护工作停留在单点防护、被动防护上，忽视了网络安全的整体性、关联性，使供应链攻击成为屡试不爽的攻击手段。大量提供产品供应、安全服务、域名服务的供应商未落实安全责任和安全措施，在产品供应、安全服务、域名服务等供应链安全方面问题突出；重要行业部门对供应商的管理措施缺失，导致供应链成为攻击的跳板。
问题九：安全责任不落实、漏洞不修补、弱口令等低级问题长期存在
网络安全工作，技术和管理要并重。由于一些单位管理不到位、整改不及时，很多漏洞风险被反复利用，给攻击者带来可乘之机。尽管大部分部委、央企的弱口令、老旧漏洞问题明显改进，但地市级以下等基层单位安全意识薄弱，安全责任落实差，漏洞修补不及时、弱口令、口令复用等问题仍普遍存在。同时，基层单位对网络安全重视不够，防护措施不到位，成为网络攻击的突破口。
问题十：安全意识差，操作不规范，极易遭受社会工程学攻击
除以信息系统为目标外，针对“重点人”的社会工程学攻击手段危害极大，邮件钓鱼、身份伪装、信息套取等方法层出不穷。一些重点单位网络安全管理措施不到位，系统管理员安全意识淡薄，成为黑客的围猎目标，被长期跟踪、重点盯控而毫无察觉，导致“关键人”丢掉了“关键系统”控制权。
另外，黑客组织和不法分子采取多种方式，利用多种手段、工具、技术等进行网络攻击：
一是将互联网上的暴露点作为主要攻击入口，从互联网侧实施攻击；
二是利用老旧漏洞、弱口令、网上泄露的敏感信息等实施攻击；
三是采取旁站攻击、物理设备攻击、跨网攻击、邮箱系统攻击、集权类设备攻击等手段，实施入侵攻击控制；
四是采取零日攻击、供应链攻击、免杀和加密隧道等隐性攻击、钓鱼攻击、水坑攻击，以及目标单位周边WiFi攻击、安全产品和IoT设备漏洞利用攻击、核武器级漏洞利用攻击、域名污染攻击等新型攻击手段，实施网络攻击、入侵控制、窃密等违法犯罪活动，给我国网络安全带来严重威胁和挑战。
杭州中电安科现代科技有限公司
杭州中电安科现代科技有限公司（简称“中电安科”）成立于2016年，是国内领先的工控网络安全产品与解决方案提供商。公司聚焦工控网络安全产品的自主研发，覆盖安全审计、边界防护、安全管理、终端防护、云安全等全域的工业网络安全产品体系，持续深耕电力、石油石化、交通、智能制造、矿业开采、港口码头、军队军工等重要关键信息基础设施行业，为用户提供具有核心竞争力的工控网络安全解决方案及服务，获得了行业用户的广泛认可。自2021年起，公司相继获中国电科、中国中车、国家电网等央企旗下产业基金战略投资，正式进入网络安全“国家队”。
专注工控安全
护航关基民生
www.zd-sec.com
400-606-8226
渠道合作：李经理 18505541506
技术咨询：齐经理 15010390956
品牌合作：赵经理 15010923501
相关新闻
版权所有 © 2021 杭州中电安科现代科技有限公司