“若非緊急情況，請(qǐng)暫時(shí)不要來(lái)醫(yī)院”
今年 5 月份，位于英國(guó)拉納克郡的多家醫(yī)院紛紛貼出了這樣的告示。
這并非是醫(yī)院人滿為患或有危險(xiǎn)疫情，而是因?yàn)槠湓獾搅撕诳偷娜肭郑糠质中g(shù)由于電腦系統(tǒng)癱瘓被迫延遲，連救護(hù)車也被誤導(dǎo)，很多預(yù)約被取消，耽誤了搶救的最佳時(shí)機(jī)……
拉納克郡醫(yī)院發(fā)出的告示
上面的事件還只是醫(yī)療系統(tǒng)受到攻擊，那如果是一座城市的多個(gè)關(guān)鍵基礎(chǔ)設(shè)施同時(shí)受到攻擊會(huì)產(chǎn)生怎樣的后果？
以“大數(shù)據(jù)”為城市名片的貴陽(yáng)，最近就邀請(qǐng)了來(lái)自知道創(chuàng)宇、天融信、安賽等安全公司的30多支團(tuán)隊(duì)，來(lái)對(duì)整個(gè)城市的實(shí)際網(wǎng)絡(luò)系統(tǒng)進(jìn)行攻防演練。
注意，以下是真實(shí)城市網(wǎng)絡(luò)，真實(shí)城市網(wǎng)絡(luò)，真實(shí)城市網(wǎng)絡(luò)！重要的事情說(shuō)三遍。
不要怕，這次攻防是可控的
如果攻擊目標(biāo)都是真實(shí)的，那會(huì)不會(huì)對(duì)日常生活產(chǎn)生影響？
比如我們24小時(shí)都會(huì)用到的電力網(wǎng)絡(luò)、水務(wù)系統(tǒng)、交通系統(tǒng)、醫(yī)療系統(tǒng)、公交信息系統(tǒng)……如果真的因?yàn)楣シ姥菥毘霈F(xiàn)了停水停電不能看病的后果，整個(gè)城市的日常生活豈不是會(huì)一團(tuán)糟？
但是，如果這些關(guān)鍵系統(tǒng)不參與，又如何能體現(xiàn)出攻防演練的真實(shí)性？
要解決這個(gè)矛盾，其實(shí)挺難的。
作為本次攻防演練的技術(shù)總策劃，知道創(chuàng)宇資深顧問(wèn)陸寶華告訴雷鋒網(wǎng)，這次的演練不能保證“零風(fēng)險(xiǎn)”，因?yàn)楣舻氖钦鎸?shí)的網(wǎng)絡(luò)，但還是盡可能的要達(dá)到可管可控的效果。
“第一，這次的攻防演練是在公安、大數(shù)據(jù)、網(wǎng)信、國(guó)安等部門的指導(dǎo)下開展的，所有的參賽隊(duì)伍都要經(jīng)過(guò)審查，并承諾遵守攻防規(guī)則，才會(huì)發(fā)放授權(quán)書。如果不在公安局備案，我們這就相當(dāng)于犯罪了，刑法第285、286條對(duì)此規(guī)定的很明確。
參賽隊(duì)伍之一的觀數(shù)科技向雷鋒網(wǎng)編輯展示了兩份資料，一份是來(lái)自貴陽(yáng)市公安局的委托書，一份是來(lái)自貴陽(yáng)市政府的邀請(qǐng)函，有了這兩樣?xùn)|西，才能對(duì)選定目標(biāo)實(shí)施漏洞掃描、系統(tǒng)滲透等攻擊。
第二，你看攻防現(xiàn)場(chǎng)所有的隊(duì)伍都使用的是主辦方的網(wǎng)線，我們要對(duì)所有的攻擊流程做鏡像，誰(shuí)來(lái)攻擊的，使用了什么方式進(jìn)行攻擊，我們這邊都要有備案。
在現(xiàn)場(chǎng)，雷鋒網(wǎng)編輯也確實(shí)看到，有幾塊實(shí)時(shí)變化的屏幕，顯示有攻擊目標(biāo)單位、具體攻擊方式、攻擊團(tuán)隊(duì)等。
第三，攻擊隊(duì)伍在開始攻擊前都要提交工作清單，批準(zhǔn)之后才能開始攻擊。針對(duì)攻擊，我們也準(zhǔn)備了應(yīng)急預(yù)案，萬(wàn)一出現(xiàn)問(wèn)題，我們的風(fēng)險(xiǎn)管理平臺(tái)有專人監(jiān)控，發(fā)現(xiàn)違規(guī)行為后會(huì)立即叫停，并有應(yīng)急響應(yīng)隊(duì)伍來(lái)進(jìn)行修復(fù)。有些紅方的隊(duì)伍在攻擊時(shí)，可能出現(xiàn)一門心思想拿下目標(biāo)，下達(dá)毀傷嚴(yán)重的命令。
陸寶華向雷鋒網(wǎng)強(qiáng)調(diào)，只有在做好了各項(xiàng)攻防規(guī)則和應(yīng)急響應(yīng)的工作后，才能把攻擊造成的破壞限定在一定范圍內(nèi)，就像去醫(yī)院體檢是為了找出毛病，而不是以傷害你為目的。
如何攻城
首先來(lái)讓我們看看這些來(lái)自安全企業(yè)的紅藍(lán)方的數(shù)量對(duì)比。
紅方（檢測(cè)隊(duì)伍）：21支，作為攻擊方。
藍(lán)方（應(yīng)急隊(duì)伍）：14支，作為防守方。
在紅方中，依照具體的攻擊目標(biāo)和取得權(quán)限的程度來(lái)進(jìn)行得分，比如，取得管理員權(quán)限的得分會(huì)更高。
而在藍(lán)方中，則根據(jù)為防護(hù)目標(biāo)的安全漏洞打補(bǔ)丁，以及提供有針對(duì)性的防護(hù)方案來(lái)給予分?jǐn)?shù)。
獲得本次“攻防演練安全成果獎(jiǎng)”的冠軍團(tuán)隊(duì)是“中科院信工所”，其領(lǐng)隊(duì)汪秋云告訴雷鋒網(wǎng)，與參加 CTF 這種奪旗大賽不同，這次的攻防演練更注重的是協(xié)作，合作的意義要大于競(jìng)爭(zhēng)。
如果是 CTF 這種比賽，競(jìng)爭(zhēng)非常激烈，各個(gè)團(tuán)隊(duì)私下不見面，但這次攻防演練給我感覺更多的是協(xié)作，我們有共同的目標(biāo)，就是找到城市各個(gè)網(wǎng)絡(luò)系統(tǒng)的漏洞。
每天晚上我們各個(gè)領(lǐng)隊(duì)都會(huì)湊在一起開個(gè)會(huì)，討論一下漏洞，畢竟這種攻擊真實(shí)網(wǎng)絡(luò)的機(jī)會(huì)太少了，大家都很珍惜這次機(jī)會(huì)，也是個(gè)互相學(xué)習(xí)的過(guò)程。
汪秋云坦言，這次參加攻防演練的有“未然實(shí)驗(yàn)室”“永信至誠(chéng) Nothing”“懸鏡安全”等很厲害的團(tuán)隊(duì)，他們這次找到了50個(gè)左右的中高危漏洞獲得一等獎(jiǎng)，除了技術(shù)上過(guò)硬，還有一點(diǎn)就是工作量可能更大一些。
在一周多的時(shí)間里，每天早晨9點(diǎn)到，晚上10點(diǎn)走，基本上除了吃飯睡覺上廁所都在電腦旁。
除了攻擊方，雷鋒網(wǎng)還采訪了一支擔(dān)任防守任務(wù)的團(tuán)隊(duì)“觀數(shù)科技”。相比于21支的攻擊團(tuán)隊(duì)，防守團(tuán)隊(duì)中只有14支。
為什么防守團(tuán)隊(duì)的數(shù)量相對(duì)少一些？這就要提到由測(cè)試目標(biāo)單位安全運(yùn)維機(jī)構(gòu)組成的36支防護(hù)隊(duì)伍了。
作為本次攻防演練的藍(lán)方之一，觀數(shù)科技向雷鋒網(wǎng)介紹，在演練中，如果紅方攻擊成功，平臺(tái)上會(huì)實(shí)時(shí)顯示，這時(shí)他們的人就會(huì)先通知被攻破的單位進(jìn)行防守修復(fù)。如果修復(fù)中遇到困難，他們則會(huì)作為技術(shù)顧問(wèn)來(lái)提出一些建議進(jìn)行修復(fù)。
為什么要這么做？對(duì)于安全企業(yè)來(lái)說(shuō)，其實(shí)很少能有機(jī)會(huì)來(lái)對(duì)一個(gè)城市的真實(shí)目標(biāo)進(jìn)行攻擊和防守，這對(duì)于他們的安全人員而言，是一個(gè)了解城市各個(gè)內(nèi)部系統(tǒng)非常好的契機(jī)。
而對(duì)于成為“靶子”的各家單位來(lái)說(shuō)，其安全運(yùn)維人員，正好可以借機(jī)向這些安全團(tuán)隊(duì)進(jìn)行切磋學(xué)習(xí)，把暴露出來(lái)的問(wèn)題一一解決。于此同時(shí)，也正好檢測(cè)一下，之前購(gòu)買的安全產(chǎn)品是否真的適合自己，安全性是否真的經(jīng)得起考驗(yàn)。
據(jù)雷鋒網(wǎng)了解，這次攻防演練的檢測(cè)對(duì)象達(dá)到了10150個(gè)，雖然數(shù)量與去年的相差不多，但“攻擊目標(biāo)”卻變化很大。重點(diǎn)對(duì)城市的關(guān)鍵基礎(chǔ)設(shè)施進(jìn)行了測(cè)試。
在最后的總結(jié)會(huì)中，本次攻防演練現(xiàn)場(chǎng)技術(shù)總指揮錢曉斌就對(duì)重點(diǎn)測(cè)試的這部分系統(tǒng)作了介紹。
·今年重點(diǎn)開展的對(duì)大數(shù)據(jù)系統(tǒng)、重要在線系統(tǒng)、關(guān)鍵信息基礎(chǔ)設(shè)施的檢測(cè)中，14個(gè)重要在線系統(tǒng)中除2個(gè)外，其余12個(gè)系統(tǒng)均發(fā)現(xiàn)不同程度的安全漏洞，部分系統(tǒng)被拿到控制權(quán)限。
·部分系統(tǒng)的漏洞可被黑客利用，對(duì)關(guān)系民眾生命財(cái)產(chǎn)安全的基礎(chǔ)設(shè)施進(jìn)行破壞，威脅社會(huì)安全和穩(wěn)定。
·同時(shí)，也有部分單位配合意識(shí)不強(qiáng)，在檢測(cè)中惡意封堵檢測(cè)IP，造成檢測(cè)阻斷，反映出對(duì)安全的重視不夠。
寫在最后
雖然在今年的攻防演練中，重點(diǎn)測(cè)試對(duì)象漏洞很多，但這也從側(cè)面說(shuō)明，這是一次實(shí)打?qū)嵉难菥?，貴陽(yáng)敢于把城市的真實(shí)網(wǎng)絡(luò)系統(tǒng)拿出來(lái)接受黑客的攻擊，這種開放的態(tài)度本就值得贊賞。
如果你連問(wèn)題都發(fā)現(xiàn)不了，何談解決問(wèn)題？
其實(shí)，今年的攻防演練的重要環(huán)節(jié)之一，就是對(duì)去年被打的“千瘡百孔”各個(gè)網(wǎng)絡(luò)系統(tǒng)再進(jìn)行一次復(fù)查。
在最后的總結(jié)會(huì)中，錢曉斌介紹，在對(duì)去年10000個(gè)掃描目標(biāo)復(fù)查后顯示，依然存在中高危漏洞730個(gè)，但相比去年的1312個(gè)，幾乎減少了一半，尤其是在對(duì)一些關(guān)鍵設(shè)施的檢測(cè)中發(fā)現(xiàn)， 中、高危漏洞的目標(biāo)占比由去年68%下降至24%，多數(shù)網(wǎng)站部署了去年整改提供的“藥方”，如云防護(hù)、WAF、終端安全等，當(dāng)受到攻擊時(shí)，可快速反應(yīng)，實(shí)施動(dòng)態(tài)阻斷。
在攻擊清單中，雷鋒網(wǎng)編輯還發(fā)現(xiàn)，除了貴陽(yáng)本地的網(wǎng)絡(luò)系統(tǒng)，還有來(lái)自合肥、綿陽(yáng)、六盤水等地區(qū)的遠(yuǎn)程掃描和滲透檢測(cè)。
在隨后對(duì)陸寶華的采訪中，他對(duì)雷鋒網(wǎng)編輯說(shuō)，未來(lái)，他希望這種攻防演練不再是一年一次，而是建設(shè)成為線上的、常態(tài)化的“體檢中心”，目標(biāo)也不僅限定在貴陽(yáng)，而是面向全國(guó)，讓這種安全可控的檢測(cè)可復(fù)制、可推廣。
最后，雷鋒網(wǎng)為大家整理一下貴陽(yáng)政府授獎(jiǎng)的黑客團(tuán)隊(duì)：
“安全成果獎(jiǎng)”
一等獎(jiǎng)的團(tuán)隊(duì)是：“中科院信工所”；
二等獎(jiǎng)的團(tuán)隊(duì)是：“無(wú)聲雙螺旋”、“北京知道創(chuàng)宇”；
三等獎(jiǎng)的團(tuán)隊(duì)是：“華為未然實(shí)驗(yàn)室”、“懸鏡安全”、“貴州大學(xué)黔鋒”。
“安全創(chuàng)新獎(jiǎng)”
一等獎(jiǎng)的團(tuán)隊(duì)是：“永信至誠(chéng)Nothing”；
二等獎(jiǎng)的團(tuán)隊(duì)是：“貴州國(guó)衛(wèi)信安”、“威努特”；
三等獎(jiǎng)的團(tuán)隊(duì)是：“不鳴信息科技”、“眾英團(tuán)隊(duì)”、“亨達(dá)科技”。
“安全防衛(wèi)獎(jiǎng)”
“金睛云華”、“觀數(shù)科技”、“昂楷科技”、“安賽科技”、“宏圖科技”、“愛立示”、“天盾”、“綠衫軍”、“深信服科技”、“貴州師范大學(xué)重明鳥”、“亨達(dá)科技”、“啟明星辰”、“360企業(yè)安全”、“天融信”。
