河北工業(yè)大學

作為國防七子之一的西北工業(yè)大學是中國唯一同時發(fā)展航空、航天、航?！叭龡惫こ探逃涂茖W研究的重點大學。國產殲-10、殲-20、直-20，以及前段時間支援巴基斯坦的運-20等多型號軍機的總設計師都出自該校。此外，西工大自主研制的無人機還在國慶閱兵時，三次穿越天安門廣場，2022年7月，西工大自主研制的“飛天一號”火箭也成功發(fā)射，顯示了高校在中國軍事科研領域的獨特能力，該校因此也被美國拉入黑名單。

TAO發(fā)起網絡攻擊

根據最新通報顯示，美國國家安全局在對西工大進行網絡攻擊之前，其下屬的特定入侵行動辦公室（TAO），使用了突破計算機系統(tǒng)漏洞類、持久控制計算機網絡類、嗅探竊密類、隱蔽消除痕跡類等4大類40余種方式對中國國內網絡目標實施了上萬次攻擊，控制了數以萬計的網絡設備，并成功竊取了該校關鍵網絡設備配置、網管數據、運維數據等核心技術數據。

對此，外交部進行了堅決的反對，但代表國內最高軍事科研能力的國防七子受到美國攻擊帶來的嚴重后果不斷在網絡上發(fā)酵，并一度成為新浪熱搜第一名，顯示了國人對西北工業(yè)大學等高?？蒲袡C構信息安全的擔憂。

二．事件背后的思考

1. 西北工業(yè)大學的遭遇僅是美國對華攻擊的一個縮影

西北工業(yè)大學的遭遇，僅是美國對華大肆網絡攻擊竊密的一個縮影。長期以來，為達到美國政府情報收集目的，美國國家安全局針對全球發(fā)起大規(guī)模網絡攻擊，我國的高?？蒲袡C構正是重點攻擊目標之一。

此前，國內某安全公司就曾披露過美國國安局的對包括中國、俄羅斯等全球45個國家和地區(qū)開展長達十幾年的"電幕行動"網絡攻擊，涉及的機構目標包括知名高校、科研機構、通信行業(yè)、政府部門等。

TAO組織框架

TAO組織架構及參與“阻擊XXXX”行動的TAO子部門

在對高?？蒲蓄I域的網絡攻擊中，美國國安局特別善于利用其控制的網絡攻擊武器平臺、"零日漏洞"和網絡設備，長期對手機用戶進行無差別的語音監(jiān)聽，非法竊取手機用戶的短信內容，并對其進行無線定位。這些被監(jiān)控的渠道有電子郵件、臉譜網消息、谷歌聊天、Skype網絡通話、普通社交網絡。3月22日，美國媒體曝光美國國家安全局對世界各國訪問美國社交媒體的互聯(lián)網用戶發(fā)起網絡攻擊，中國社交軟件也是其攻擊目標。對此，中國外交部發(fā)言人汪文斌形象地指出：“這意味著無論你是誰，無論你在世界的哪個角落，只要你使用網絡社交平臺，背后就都可能有個‘老大’在盯著你?！?/p>

外交部發(fā)言

事實證明，美國等西方國家一直以來對社會主義中國采用了不信任的態(tài)度，多國政要在國情資文中明確提出扼制中國發(fā)展的立場。美國在特朗普政府上臺后，采取了更為激進的扼制中國的策略。作為無聲的網絡戰(zhàn)場，以美國國家安全局為首的政府部門實施了多個針對中國的網絡攻擊和數據竊取行動。曝光的丑聞有著名的有斯諾登事件和今年以來的TAO無差別數據采集事件。

2.高校科研機構是中國網絡安全的重要一環(huán)

高?？蒲袡C構作為構成我國網絡安全的重要一環(huán)，重要科研數據的存儲場所，自然重要受到美國的監(jiān)視。信息安全同樣符合管理學上的木桶原理：最短的那塊木板是信息安全最容易受到攻擊的目標。

信息安全水桶定律

①高?？蒲袉挝簧婷茴悇e多、范圍廣，人員組成復雜、流動性大，對外交流多、信息化程度高。近年來，高校已成為境外間諜機構竊密的重點目標，保密工作難度加大。

②高?？蒲袉挝坏臉I(yè)務骨干安全意識有待提高。由于不了解信息化條件下的保密工作，缺乏應有的防范技能，已成為網絡泄密的高危人群。涉密往往從違規(guī)開始，因此，作為高校科研機構管理者和教職員工，不懂保密、不會保密是十分危險的。如果在互聯(lián)網上存儲、處理涉密信息，就等于把國家秘密直接擺在了境外情報機構的辦公桌上，會給國家?guī)聿豢晒懒康膿p失。

3.高校科研領域典型案例

①不健全的網絡安全體系：2007年淮南職院學生信息泄露案——對淮南職業(yè)技術學院處以立即整改和行政警告的處罰措施。

②科研機構內部管理不當：2020年鄭州西亞斯2萬學生信息泄露案——對學校、負有領導責任的一名副校長和直接責任人進行了行政處罰。

③受誘惑販賣國家科研秘密：黃宇間諜案——直接責任人判處死刑及有期徒刑，原來就職的單位有29人受到不同程度的處分。

④學生被引誘盜取科研情報：2018雷霆行動——相關學生和老師被追究法律責任。

⑤教職工薄弱的保密意識：2008年教授泄密案——泄密人張教授和網管小劉分別受到了黨紀政紀的嚴肅處理。

三．高?？蒲袉挝蝗绾伪苊庠俅卧馐芄舻乃伎?/p>

針對復雜嚴峻的形勢，中國從頂層設計上查缺補漏，分別制定了《數據安全法》、《個人信息保護法》，2022年《教育部工作要點》中強調強化保密宣傳工作，深化校園安全專項整頓。全國高校掀起了“全民國家網絡安全宣傳教育日活動”。但僅僅從制度上加強和安全意識上加強培訓還是遠遠不夠的，作為信息安全終端龍頭企業(yè)，龍笛提出了自己的思考。

1. 堅持復雜網絡環(huán)境下安全可信的技術路線

現(xiàn)代的網絡安全不只是保證單機機器安全就可以，而是一個復雜網絡系統(tǒng)的概念。作為一個復雜網絡系統(tǒng)，電腦、服務器等硬件，安裝在硬件之上的軟件系統(tǒng)，以及數據傳輸的通道網絡系統(tǒng)，任何一環(huán)的薄弱，都會成為網絡攻擊者的目標。特別是隨著大數據、人工智能、物聯(lián)網等新技術的應用和疫情的持續(xù)存在，給原來封閉的網絡系統(tǒng)增加的復雜性，所以有專家提出了零信任的概念。零信任給網絡安全帶來了新的希望，但無法解決目前復雜網絡環(huán)境下的安全問題，從目前來看，繼續(xù)推廣安全可信，組建國內安全可信生態(tài)體系，讓參與網絡的每一個主體都可信安全從而保證網絡的整體安全是中國加強網絡安全，避免未來大規(guī)模的網絡安全事件發(fā)生的解決之道。

龍笛，一直是可信計算的推動者和實踐者，2021年率先參與加入“關鍵信息基礎設施安全保護風險治理框架體系”，首批受邀入駐國家等級保護2.0與可信計算3.0攻關示范基地。

龍笛積極組織、參與、研究構建主動免疫安全可信的移動互聯(lián)網通信聚合平臺，參與相關標準、案例及課題工作，積極宣傳和實踐可信計算移動互聯(lián)網技術成果和應用轉化，并在有代表性的國家單位中推動、實施安全可信的移動互聯(lián)網應用方案。

龍笛自主研發(fā)、具有完全自主可控的移動安全通信平臺“龍笛”基于可信計算3.0標準研發(fā)，滿足了數字化轉型過程中數據資產的安全，保護了國家秘密、工作秘密、商業(yè)秘密和個人隱私安全，成功服務了國家部委、軍工軍隊、科研單位、大型央企、金融機構等，已經成為國家重要單位、國家重點工程優(yōu)選的即時通訊平臺和底座，深受行業(yè)用戶好評。

在2022年中關村可信計算產業(yè)聯(lián)盟“移動互聯(lián)網專業(yè)委員會”成立大會上，龍笛憑借一如既往在可信計算領域的努力和卓有成效的“龍笛”產品，在高手林立的企業(yè)中，眾望所歸，被選為副主任單位。

龍笛 龍笛

未來，龍笛還將與業(yè)內眾多信創(chuàng)平臺生態(tài)鏈企業(yè)一起，緊跟自主創(chuàng)新的國家戰(zhàn)略方針，合力打造可信創(chuàng)新生態(tài)體系，為行業(yè)客戶提供更為安全、可信、適用的軟硬件一體化解決方案和更加完善、可靠的信息安全保障。

2. 重點科研院所應該堅持以私有化部署方式搭建在線教育平臺

SaaS是按需付費軟件的簡稱，近年它在企業(yè)服務領域快速增長，并獲得資本垂青。SaaS部署模式具有簡單不需維護、省錢的特點，但在2021年軟件即服務公司DoControl發(fā)布的一份調查報告發(fā)現(xiàn)，所有SaaS數據訪問中有40%是未受管理的，這會造成重大的內部威脅和外部威脅。該報告詳細介紹了未經SaaS廠商檢查和命名的數據訪問所存在的重大威脅，以及這些威脅被忽略的現(xiàn)狀。這項調查的對象是平均規(guī)模在1000人的企業(yè)，SaaS應用中保存了50萬到1000萬條數據存儲資產中?？梢怨_共享的企業(yè)可能有多達20萬項資產被公開共享了。

研究顯示，內部威脅是一個重大問題，平均有400個加密密鑰通過內部共享的方式發(fā)給了任何收到鏈接的人。有1/5的SaaS資產通過內部共享連接被公開，很多員工甚至可以獲取他們沒有權限使用的數據。大約有8%的通過他們的個人賬號對外分享了公司資產，讓很多前員工也可以持續(xù)使用公司的數據。

龍笛

龍笛研發(fā)的龍笛采用私有化部署模式，讓高?？蒲袡C構擁有看得見的安全

在高校科研領域，這樣的威脅無疑更加放大了。高?？蒲袡C構人員復雜，難以管理，一些高校使用SaaS模式部署自己的信息系統(tǒng)，增加了敏感科研信息的暴露機會。比如2021年，阿里云因為機房數據泄露一度引發(fā)廣大網民對公有云產品的單位。高?？蒲袡C構的信息安全事件，即時發(fā)生了也很難被發(fā)現(xiàn)，一些單位領導即使明明知道了也不會告知于人，導致國家秘密泄露的風險大大增加。2016年8月19日，已經被大學錄取的山東臨沂18歲女孩徐玉玉接到一個陌生電話，被騙走了家人東拼西湊的9900元學費。在與家人去派出所報案回來的路上，女孩心臟驟停，兩天后離世。事后發(fā)現(xiàn)，導致徐玉玉致死的源頭是被騙兩天前徐玉玉剛剛申請了大學的助學金。這些個人數據是如何泄露出去的？有多家媒體產生了高校數據泄露的疑問。

一些保存重要科研數據的高校如何規(guī)避這種信息的可能性，在線教育平臺的私有化部署無疑是解決方案之一。私有化部署可以讓高校擁有數據主權，減少數據暴露。私有化部署可以滿足高度保密需求。私有化部署的第一個好處就是企業(yè)信息可以保存企業(yè)本地，讓數據更加嚴密安全。私有化部署還可以個性化定制，開發(fā)專屬功能，企業(yè)自主掌握成員權限管理，自定義綁定賬號和對應席位，避免認為數據泄露風險。

3. 龍笛高?？蒲袉挝唤鉀Q方案

龍笛符合了以上所有特征，能夠最大程度提高信息系統(tǒng)的安全性。

從信息安全而論，單純從法律和人員培訓上加強重視還是不夠的?，F(xiàn)代的信息系統(tǒng)是一個復雜系統(tǒng)，任何一環(huán)被攻破都會造成整個系統(tǒng)的崩潰。信息安全終端安全企業(yè)龍笛自2013年開始，就投入了資金，用來解決信息安全問題。所研發(fā)的“龍笛”經過黨政軍和金融、政府、科研事業(yè)單位10多萬終端的驗證，證明可以給中國乃至海外任何用戶提供信息安全保障。

龍笛框架

龍笛以移動辦公中即時通訊為核心場景，整合了各種移動辦公應用。特別是低代碼開發(fā)平臺可以實現(xiàn)企業(yè)的快速維護，大大減少了普通技術人員使用產品的難度。

龍笛強調數據流轉全程保護。高?？蒲袡C構的重要科研數據從產生到存儲到分析，消亡，大部分以數字形式存儲與高校的信息基礎設施中。系統(tǒng)的安全與數據安全同等重要。龍笛開發(fā)的龍笛基于可信、可控的技術路線開發(fā)，能給整個高?？蒲袉挝惶峁┮惶淄暾囊苿影踩k公解決方案，從而保證了高?？蒲袉挝恢匾獢祿鞒痰陌踩?/p>

龍笛高校應用

網絡無邊，安全有界。在全民網絡安全深入人心的當下，我們要認清網絡信息安全隱患的存在，并且不斷地提高防范意識，保護網絡信息的安全。