西北工業(yè)大學遭受美國國家安全局網(wǎng)絡(luò)攻擊事件，龍笛為安全助力

河北工業(yè)大學

作為國防七子之一的西北工業(yè)大學是中國唯一同時發(fā)展航空、航天、航?！叭龡惫こ探逃涂茖W研究的重點大學。國產(chǎn)殲-10、殲-20、直-20，以及前段時間支援巴基斯坦的運-20等多型號軍機的總設(shè)計師都出自該校。此外，西工大自主研制的無人機還在國慶閱兵時，三次穿越天安門廣場，2022年7月，西工大自主研制的“飛天一號”火箭也成功發(fā)射，顯示了高校在中國軍事科研領(lǐng)域的獨特能力，該校因此也被美國拉入黑名單。

TAO發(fā)起網(wǎng)絡(luò)攻擊

根據(jù)最新通報顯示，美國國家安全局在對西工大進行網(wǎng)絡(luò)攻擊之前，其下屬的特定入侵行動辦公室（TAO），使用了突破計算機系統(tǒng)漏洞類、持久控制計算機網(wǎng)絡(luò)類、嗅探竊密類、隱蔽消除痕跡類等4大類40余種方式對中國國內(nèi)網(wǎng)絡(luò)目標實施了上萬次攻擊，控制了數(shù)以萬計的網(wǎng)絡(luò)設(shè)備，并成功竊取了該校關(guān)鍵網(wǎng)絡(luò)設(shè)備配置、網(wǎng)管數(shù)據(jù)、運維數(shù)據(jù)等核心技術(shù)數(shù)據(jù)。

對此，外交部進行了堅決的反對，但代表國內(nèi)最高軍事科研能力的國防七子受到美國攻擊帶來的嚴重后果不斷在網(wǎng)絡(luò)上發(fā)酵，并一度成為新浪熱搜第一名，顯示了國人對西北工業(yè)大學等高?？蒲袡C構(gòu)信息安全的擔憂。

二．事件背后的思考

1. 西北工業(yè)大學的遭遇僅是美國對華攻擊的一個縮影

西北工業(yè)大學的遭遇，僅是美國對華大肆網(wǎng)絡(luò)攻擊竊密的一個縮影。長期以來，為達到美國政府情報收集目的，美國國家安全局針對全球發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊，我國的高?？蒲袡C構(gòu)正是重點攻擊目標之一。

此前，國內(nèi)某安全公司就曾披露過美國國安局的對包括中國、俄羅斯等全球45個國家和地區(qū)開展長達十幾年的"電幕行動"網(wǎng)絡(luò)攻擊，涉及的機構(gòu)目標包括知名高校、科研機構(gòu)、通信行業(yè)、政府部門等。

TAO組織框架

TAO組織架構(gòu)及參與“阻擊XXXX”行動的TAO子部門

在對高?？蒲蓄I(lǐng)域的網(wǎng)絡(luò)攻擊中，美國國安局特別善于利用其控制的網(wǎng)絡(luò)攻擊武器平臺、"零日漏洞"和網(wǎng)絡(luò)設(shè)備，長期對手機用戶進行無差別的語音監(jiān)聽，非法竊取手機用戶的短信內(nèi)容，并對其進行無線定位。這些被監(jiān)控的渠道有電子郵件、臉譜網(wǎng)消息、谷歌聊天、Skype網(wǎng)絡(luò)通話、普通社交網(wǎng)絡(luò)。3月22日，美國媒體曝光美國國家安全局對世界各國訪問美國社交媒體的互聯(lián)網(wǎng)用戶發(fā)起網(wǎng)絡(luò)攻擊，中國社交軟件也是其攻擊目標。對此，中國外交部發(fā)言人汪文斌形象地指出：“這意味著無論你是誰，無論你在世界的哪個角落，只要你使用網(wǎng)絡(luò)社交平臺，背后就都可能有個‘老大’在盯著你。”

外交部發(fā)言

事實證明，美國等西方國家一直以來對社會主義中國采用了不信任的態(tài)度，多國政要在國情資文中明確提出扼制中國發(fā)展的立場。美國在特朗普政府上臺后，采取了更為激進的扼制中國的策略。作為無聲的網(wǎng)絡(luò)戰(zhàn)場，以美國國家安全局為首的政府部門實施了多個針對中國的網(wǎng)絡(luò)攻擊和數(shù)據(jù)竊取行動。曝光的丑聞有著名的有斯諾登事件和今年以來的TAO無差別數(shù)據(jù)采集事件。

2.高校科研機構(gòu)是中國網(wǎng)絡(luò)安全的重要一環(huán)

高?？蒲袡C構(gòu)作為構(gòu)成我國網(wǎng)絡(luò)安全的重要一環(huán)，重要科研數(shù)據(jù)的存儲場所，自然重要受到美國的監(jiān)視。信息安全同樣符合管理學上的木桶原理：最短的那塊木板是信息安全最容易受到攻擊的目標。

信息安全水桶定律

①高?？蒲袉挝簧婷茴悇e多、范圍廣，人員組成復(fù)雜、流動性大，對外交流多、信息化程度高。近年來，高校已成為境外間諜機構(gòu)竊密的重點目標，保密工作難度加大。

②高校科研單位的業(yè)務(wù)骨干安全意識有待提高。由于不了解信息化條件下的保密工作，缺乏應(yīng)有的防范技能，已成為網(wǎng)絡(luò)泄密的高危人群。涉密往往從違規(guī)開始，因此，作為高校科研機構(gòu)管理者和教職員工，不懂保密、不會保密是十分危險的。如果在互聯(lián)網(wǎng)上存儲、處理涉密信息，就等于把國家秘密直接擺在了境外情報機構(gòu)的辦公桌上，會給國家?guī)聿豢晒懒康膿p失。

3.高?？蒲蓄I(lǐng)域典型案例

①不健全的網(wǎng)絡(luò)安全體系：2007年淮南職院學生信息泄露案——對淮南職業(yè)技術(shù)學院處以立即整改和行政警告的處罰措施。

②科研機構(gòu)內(nèi)部管理不當：2020年鄭州西亞斯2萬學生信息泄露案——對學校、負有領(lǐng)導責任的一名副校長和直接責任人進行了行政處罰。

③受誘惑販賣國家科研秘密：黃宇間諜案——直接責任人判處死刑及有期徒刑，原來就職的單位有29人受到不同程度的處分。

④學生被引誘盜取科研情報：2018雷霆行動——相關(guān)學生和老師被追究法律責任。

⑤教職工薄弱的保密意識：2008年教授泄密案——泄密人張教授和網(wǎng)管小劉分別受到了黨紀政紀的嚴肅處理。

三．高?？蒲袉挝蝗绾伪苊庠俅卧馐芄舻乃伎?/p>

針對復(fù)雜嚴峻的形勢，中國從頂層設(shè)計上查缺補漏，分別制定了《數(shù)據(jù)安全法》、《個人信息保護法》，2022年《教育部工作要點》中強調(diào)強化保密宣傳工作，深化校園安全專項整頓。全國高校掀起了“全民國家網(wǎng)絡(luò)安全宣傳教育日活動”。但僅僅從制度上加強和安全意識上加強培訓還是遠遠不夠的，作為信息安全終端龍頭企業(yè)，龍笛提出了自己的思考。

1. 堅持復(fù)雜網(wǎng)絡(luò)環(huán)境下安全可信的技術(shù)路線

現(xiàn)代的網(wǎng)絡(luò)安全不只是保證單機機器安全就可以，而是一個復(fù)雜網(wǎng)絡(luò)系統(tǒng)的概念。作為一個復(fù)雜網(wǎng)絡(luò)系統(tǒng)，電腦、服務(wù)器等硬件，安裝在硬件之上的軟件系統(tǒng)，以及數(shù)據(jù)傳輸?shù)耐ǖ谰W(wǎng)絡(luò)系統(tǒng)，任何一環(huán)的薄弱，都會成為網(wǎng)絡(luò)攻擊者的目標。特別是隨著大數(shù)據(jù)、人工智能、物聯(lián)網(wǎng)等新技術(shù)的應(yīng)用和疫情的持續(xù)存在，給原來封閉的網(wǎng)絡(luò)系統(tǒng)增加的復(fù)雜性，所以有專家提出了零信任的概念。零信任給網(wǎng)絡(luò)安全帶來了新的希望，但無法解決目前復(fù)雜網(wǎng)絡(luò)環(huán)境下的安全問題，從目前來看，繼續(xù)推廣安全可信，組建國內(nèi)安全可信生態(tài)體系，讓參與網(wǎng)絡(luò)的每一個主體都可信安全從而保證網(wǎng)絡(luò)的整體安全是中國加強網(wǎng)絡(luò)安全，避免未來大規(guī)模的網(wǎng)絡(luò)安全事件發(fā)生的解決之道。

龍笛，一直是可信計算的推動者和實踐者，2021年率先參與加入“關(guān)鍵信息基礎(chǔ)設(shè)施安全保護風險治理框架體系”，首批受邀入駐國家等級保護2.0與可信計算3.0攻關(guān)示范基地。

龍笛積極組織、參與、研究構(gòu)建主動免疫安全可信的移動互聯(lián)網(wǎng)通信聚合平臺，參與相關(guān)標準、案例及課題工作，積極宣傳和實踐可信計算移動互聯(lián)網(wǎng)技術(shù)成果和應(yīng)用轉(zhuǎn)化，并在有代表性的國家單位中推動、實施安全可信的移動互聯(lián)網(wǎng)應(yīng)用方案。

龍笛自主研發(fā)、具有完全自主可控的移動安全通信平臺“龍笛”基于可信計算3.0標準研發(fā)，滿足了數(shù)字化轉(zhuǎn)型過程中數(shù)據(jù)資產(chǎn)的安全，保護了國家秘密、工作秘密、商業(yè)秘密和個人隱私安全，成功服務(wù)了國家部委、軍工軍隊、科研單位、大型央企、金融機構(gòu)等，已經(jīng)成為國家重要單位、國家重點工程優(yōu)選的即時通訊平臺和底座，深受行業(yè)用戶好評。

在2022年中關(guān)村可信計算產(chǎn)業(yè)聯(lián)盟“移動互聯(lián)網(wǎng)專業(yè)委員會”成立大會上，龍笛憑借一如既往在可信計算領(lǐng)域的努力和卓有成效的“龍笛”產(chǎn)品，在高手林立的企業(yè)中，眾望所歸，被選為副主任單位。

龍笛 龍笛

未來，龍笛還將與業(yè)內(nèi)眾多信創(chuàng)平臺生態(tài)鏈企業(yè)一起，緊跟自主創(chuàng)新的國家戰(zhàn)略方針，合力打造可信創(chuàng)新生態(tài)體系，為行業(yè)客戶提供更為安全、可信、適用的軟硬件一體化解決方案和更加完善、可靠的信息安全保障。

2. 重點科研院所應(yīng)該堅持以私有化部署方式搭建在線教育平臺

SaaS是按需付費軟件的簡稱，近年它在企業(yè)服務(wù)領(lǐng)域快速增長，并獲得資本垂青。SaaS部署模式具有簡單不需維護、省錢的特點，但在2021年軟件即服務(wù)公司DoControl發(fā)布的一份調(diào)查報告發(fā)現(xiàn)，所有SaaS數(shù)據(jù)訪問中有40%是未受管理的，這會造成重大的內(nèi)部威脅和外部威脅。該報告詳細介紹了未經(jīng)SaaS廠商檢查和命名的數(shù)據(jù)訪問所存在的重大威脅，以及這些威脅被忽略的現(xiàn)狀。這項調(diào)查的對象是平均規(guī)模在1000人的企業(yè)，SaaS應(yīng)用中保存了50萬到1000萬條數(shù)據(jù)存儲資產(chǎn)中?？梢怨_共享的企業(yè)可能有多達20萬項資產(chǎn)被公開共享了。

研究顯示，內(nèi)部威脅是一個重大問題，平均有400個加密密鑰通過內(nèi)部共享的方式發(fā)給了任何收到鏈接的人。有1/5的SaaS資產(chǎn)通過內(nèi)部共享連接被公開，很多員工甚至可以獲取他們沒有權(quán)限使用的數(shù)據(jù)。大約有8%的通過他們的個人賬號對外分享了公司資產(chǎn)，讓很多前員工也可以持續(xù)使用公司的數(shù)據(jù)。

龍笛

龍笛研發(fā)的龍笛采用私有化部署模式，讓高校科研機構(gòu)擁有看得見的安全

在高?？蒲蓄I(lǐng)域，這樣的威脅無疑更加放大了。高校科研機構(gòu)人員復(fù)雜，難以管理，一些高校使用SaaS模式部署自己的信息系統(tǒng)，增加了敏感科研信息的暴露機會。比如2021年，阿里云因為機房數(shù)據(jù)泄露一度引發(fā)廣大網(wǎng)民對公有云產(chǎn)品的單位。高校科研機構(gòu)的信息安全事件，即時發(fā)生了也很難被發(fā)現(xiàn)，一些單位領(lǐng)導即使明明知道了也不會告知于人，導致國家秘密泄露的風險大大增加。2016年8月19日，已經(jīng)被大學錄取的山東臨沂18歲女孩徐玉玉接到一個陌生電話，被騙走了家人東拼西湊的9900元學費。在與家人去派出所報案回來的路上，女孩心臟驟停，兩天后離世。事后發(fā)現(xiàn)，導致徐玉玉致死的源頭是被騙兩天前徐玉玉剛剛申請了大學的助學金。這些個人數(shù)據(jù)是如何泄露出去的？有多家媒體產(chǎn)生了高校數(shù)據(jù)泄露的疑問。

一些保存重要科研數(shù)據(jù)的高校如何規(guī)避這種信息的可能性，在線教育平臺的私有化部署無疑是解決方案之一。私有化部署可以讓高校擁有數(shù)據(jù)主權(quán)，減少數(shù)據(jù)暴露。私有化部署可以滿足高度保密需求。私有化部署的第一個好處就是企業(yè)信息可以保存企業(yè)本地，讓數(shù)據(jù)更加嚴密安全。私有化部署還可以個性化定制，開發(fā)專屬功能，企業(yè)自主掌握成員權(quán)限管理，自定義綁定賬號和對應(yīng)席位，避免認為數(shù)據(jù)泄露風險。

3. 龍笛高?？蒲袉挝唤鉀Q方案

龍笛符合了以上所有特征，能夠最大程度提高信息系統(tǒng)的安全性。

從信息安全而論，單純從法律和人員培訓上加強重視還是不夠的。現(xiàn)代的信息系統(tǒng)是一個復(fù)雜系統(tǒng)，任何一環(huán)被攻破都會造成整個系統(tǒng)的崩潰。信息安全終端安全企業(yè)龍笛自2013年開始，就投入了資金，用來解決信息安全問題。所研發(fā)的“龍笛”經(jīng)過黨政軍和金融、政府、科研事業(yè)單位10多萬終端的驗證，證明可以給中國乃至海外任何用戶提供信息安全保障。

龍笛框架

龍笛以移動辦公中即時通訊為核心場景，整合了各種移動辦公應(yīng)用。特別是低代碼開發(fā)平臺可以實現(xiàn)企業(yè)的快速維護，大大減少了普通技術(shù)人員使用產(chǎn)品的難度。

龍笛強調(diào)數(shù)據(jù)流轉(zhuǎn)全程保護。高?？蒲袡C構(gòu)的重要科研數(shù)據(jù)從產(chǎn)生到存儲到分析，消亡，大部分以數(shù)字形式存儲與高校的信息基礎(chǔ)設(shè)施中。系統(tǒng)的安全與數(shù)據(jù)安全同等重要。龍笛開發(fā)的龍笛基于可信、可控的技術(shù)路線開發(fā)，能給整個高?？蒲袉挝惶峁┮惶淄暾囊苿影踩k公解決方案，從而保證了高?？蒲袉挝恢匾獢?shù)據(jù)全流程的安全。

龍笛高校應(yīng)用

網(wǎng)絡(luò)無邊，安全有界。在全民網(wǎng)絡(luò)安全深入人心的當下，我們要認清網(wǎng)絡(luò)信息安全隱患的存在，并且不斷地提高防范意識，保護網(wǎng)絡(luò)信息的安全。