【干货分享】复旦大学陈平博士：网络攻击猖獗，如何应对数据安全与内生安全挑战？

面对网络攻击猖獗的现状，应对数据安全与内生安全挑战需从数据安全管理、自动化漏洞挖掘、拟态防御等多方面入手，构建综合防御体系。一、传统静态防御系统的局限性网络攻击现状：近年来网络攻击愈发猖獗，目标从个人电脑扩展至国家重要网络基础设施。如2017年Wannacry勒索蠕虫攻击，100多个国家和地区上百万电脑设备受影响，造成40亿美元损失；今年5月美国Colonial Pipeline受勒索病毒攻击，导致美国东部沿海各州供油关键燃油网络关闭，美国宣布进入国家紧急状态；2014年“心脏滴血”漏洞导致大量用户名和密码泄露，2017年仍有近20万个服务器和设备受影响；震网病毒Stuxnet感染全球超45000个网络，伊朗60%个人电脑被感染。传统防御方式：安全人员为防御黑客攻击，采取多种安全措施，如设计防火墙阻止恶意连接、设计入侵检测系统捕捉恶意行为、设计反病毒防止系统被恶意软件感染、下载补丁修复漏洞等。局限性原因：传统防御是静态、被动的，针对已知安全漏洞或攻击。一旦遇到未知漏洞攻击，传统方法体系很快会被突破，因此不能抵抗网络攻击。二、化解数据安全管理面临的挑战以合规管理为驱动，数据资产管理为抓手，根据数据安全生命周期进行治理核心抓手数据资产管理面临问题及挑战：需解决敏感数据是什么、在哪里、谁负责以及要与谁共享等问题。其中，“重要敏感数据有哪些”的挑战是用有限人力抓企业最关心的数据资产；“数据在哪里，谁负责，给谁用”的挑战是企业业务发展等导致数据流动性大，人员管理成本高，管理覆盖易遗漏。应对方法：应有一套系统自动化梳理方法，从系统侧和大数据侧进行数据资产识别。系统侧找出敏感数据与接口并落到责任人，从流量中检测敏感数据，发现后端接口流出情况定位后端负责人，再发现前端系统使用情况定位系统负责人；大数据侧找到敏感字段与表，敏感字段变化时保留最初敏感标签，库/表数据通过自动化识别 + 人工打标分级分类管理，衍生表通过大数据血缘管理确保敏感字段计算演化时不丢失敏感标签。重点治理方向是数据分级分类和敏感数据&接口识别，分级分类需各部门共同梳理。数据全生命周期管控管控阶段：在数据分级分类基础上，按数据采集、传输、存储、处理、共享以及销毁进行管理。重点治理方向：权限治理、终端管控、员工行为基线分析以及安全意识培训。权限方面提供系统和方法并增强人员安全意识，需业务部门参与；终端DLP安全牵头落地，各业务部门等帮助持续运营；员工行为分析和基线上主动发现员工敏感数据获取异常行为；安全意识培训指定安全行为标准规范，进行多元化信息安全培训教育。三、发展自动化漏洞挖掘应对未知漏洞威胁检测漏洞的挑战：程序是控制流图，奔溃点是节点，函数调用是连接节点的箭头。程序存在漏洞会在特定条件输入下奔溃并终止于Crash点。自动化测试要考虑所有可能执行路径，而路径数目指数爆炸，挑战在于如何有效构造输入触发程序Crash。漏洞挖掘框架代码适配：给定程序，通过语言适配器转化为中间语言，在此基础上进行插桩，即在程序中插入检测代码。漏洞挖掘：程序插桩后，通过模糊测试工具结合符号执行进行输入构造，触发漏洞。漏洞定位：程序奔溃时，通过漏洞定位分析找到漏洞点。相关技术成果轻量级系统静态插桩工具：发表在JCS、TIFS上，避免插桩引起的额外跳转开销和利用虚拟机化执行的开销。轻量级中间语言：对底层指令封装，支持Address + Link、Definition - Use分析，程序插桩提供路径覆盖计算和程序漏洞检测代码功能。混合测试：构建混合测试，采用符号执行技术指导Fuzzing的输入构造，加快效率，增加覆盖，效率提升44.3%，属于Code Coverage Driven Hybrid testing，在Fuzzer输入探索路径时通过符号执行找到新路径分支。基于Coredump的漏洞定位：自动化过程，较以往人工方法效率从数天提升到数分钟，准确率达100%，漏报率16%，漏洞定位范围平均30行代码以内。基于PT和逆向执行的漏洞定位技术：利用Intel CPU新特性Intel PT技术记录程序动态执行控制流，集成至Core Dump中，采用逆向执行恢复程序数据流，硬件加速方法效率明显提升。四、拟态防御应对内生安全挑战内生安全的概念及问题：邬江兴院士提出内生安全概念，事物具有两面性，有功能就有缺陷，未知漏洞后门不可避免。传统安全包括入侵防御和漏洞挖掘是封门堵路方式，不能从根本上解决网络安全问题。现有热点方法如可信计算、主动防御、零信任等也存在自身漏洞后门问题，大数据、人工智能、5G网络、动态/主动防御等都存在内生安全问题，且所有安全技术难以自证清白，无法在联网条件下避免触发或隔离内生安全共性问题。拟态防御的原理及作用：邬院士提出拟态防御，利用动态异构冗余，通过控制器动态变化系统构造，达到动态异构效果，