供應(yīng)鏈網(wǎng)絡(luò)安全水平亟須提升

　　7月19日，全球多地機(jī)場、銀行、醫(yī)院、酒店、政府網(wǎng)絡(luò)及大量企業(yè)因微軟Windows操作系統(tǒng)CrowdStrike終端安全產(chǎn)品更新導(dǎo)致出現(xiàn)藍(lán)屏死機(jī)（BSOD）現(xiàn)象，造成機(jī)場航班延誤，甚至取消、銀行業(yè)務(wù)停滯、醫(yī)療設(shè)備癱瘓等系列嚴(yán)重問題。由于波及范圍廣，全球部分供應(yīng)鏈?zhǔn)艿酱驌?，且影響到的多為國?jì)民生基礎(chǔ)服務(wù)，此次事件已被稱為“史上最大規(guī)模IT故障”。在數(shù)字全球化時(shí)代，一個(gè)技術(shù)故障竟能迅速地發(fā)酵為席卷全球的安全風(fēng)暴，造成如此嚴(yán)重的損失，凸顯了全球產(chǎn)業(yè)鏈供應(yīng)鏈安全的關(guān)聯(lián)性，也啟示基于供應(yīng)鏈的網(wǎng)絡(luò)安全保障水平亟須進(jìn)一步提升。

　　一次技術(shù)性故障導(dǎo)致的網(wǎng)絡(luò)安全事件

　　總部位于美國的網(wǎng)絡(luò)安全公司眾擊（CrowdStrike）是微軟公司的技術(shù)服務(wù)供應(yīng)商。北京時(shí)間7月19日12時(shí)9分，CrowdStrike的終端安全軟件“獵鷹傳感器”（Falcon Sensor）發(fā)布了一次配置更新，這本是一次例行軟件更新，然而此次更新與微軟公司的Windows系統(tǒng)存在兼容性問題，導(dǎo)致了系統(tǒng)內(nèi)核中的邏輯錯(cuò)誤，從而觸發(fā)了系統(tǒng)的藍(lán)屏崩潰。根據(jù)微軟公司估計(jì)，受影響的終端約為850萬臺(tái)。值得慶幸的是，此次事件并不是一次惡意攻擊事件，眾擊（CrowdStrike）公司在較短的時(shí)間內(nèi)主動(dòng)修復(fù)了漏洞。

　　在此次事件中，中國企業(yè)遭受的沖擊很小，受到影響的主要是外企、外企在華分支機(jī)構(gòu)及合資企業(yè)，例如國內(nèi)希爾頓酒店集團(tuán)旗下的上?？等R德酒店，其入住和退房服務(wù)受到了影響。我國航空業(yè)未受影響，中國國航、東航、南航等三大航司均表示航班未受故障影響，北京首都機(jī)場和大興機(jī)場出發(fā)的國際航班也運(yùn)行正常。

　　眾擊（CrowdStrike）公司在美國屬于頭部的安全企業(yè)，微軟公司是世界500強(qiáng)公司，其客戶包括全球主要航空公司、銀行、醫(yī)療保健和能源公司，而它們也是受此次“微軟藍(lán)屏”事件影響最大的。航空公司在7月19日當(dāng)天取消了5000個(gè)航班，而這一影響一直持續(xù)到了7月22日；部分國家的醫(yī)院和政府服務(wù)受到了限制，甚至在美國一些地區(qū)的急救通信也被迫中斷。與此同時(shí)，經(jīng)濟(jì)損失也逐漸顯露，根據(jù)美國保險(xiǎn)公司Parametrix的初步估計(jì)，美國財(cái)富500強(qiáng)企業(yè)中有1/4（125家公司）的企業(yè)受到影響，直接經(jīng)濟(jì)損失總額約為54億美元（不含微軟）。具體來看，醫(yī)療保健和銀行業(yè)受打擊最大，估計(jì)損失分別為19.4億美元和11.5億美元，美航和美聯(lián)航受到的影響次之，合計(jì)損失總額為8.6億美元。

　　雖然此次事件的源頭是一個(gè)軟件更新的問題，但由于供應(yīng)鏈原因，波及范圍之廣、連鎖反應(yīng)之強(qiáng)，讓人始料未及，暴露出深埋在IT基礎(chǔ)設(shè)施中更廣泛的系統(tǒng)性問題，即互聯(lián)網(wǎng)已經(jīng)成為社會(huì)最重要的基礎(chǔ)設(shè)施之一，其影響深入人類社會(huì)的方方面面，“牽一發(fā)而動(dòng)全身”，一旦出現(xiàn)安全問題，后果難以預(yù)料。在此次事件后，眾擊（CrowdStrike）公司股價(jià)下跌，而其他安全廠商股價(jià)上漲，這也反映了投資者和產(chǎn)業(yè)從業(yè)者對網(wǎng)絡(luò)安全的重視程度有了更清晰的認(rèn)識(shí)。

　　須系統(tǒng)性強(qiáng)化供應(yīng)鏈網(wǎng)絡(luò)安全水平

　　在追求發(fā)展進(jìn)步和經(jīng)濟(jì)繁榮的同時(shí)，只有不斷提升技術(shù)安全性和風(fēng)險(xiǎn)管理能力，才能避免災(zāi)難性網(wǎng)絡(luò)安全事件的發(fā)生或重演。

　　從產(chǎn)業(yè)角度來看，一是提升供給側(cè)服務(wù)能力。網(wǎng)絡(luò)安全產(chǎn)業(yè)供給側(cè)需持續(xù)強(qiáng)化安全服務(wù)和保障能力，構(gòu)建最小化的安全邊界，并伴隨先進(jìn)計(jì)算架構(gòu)的發(fā)展、前沿技術(shù)的應(yīng)用，將系統(tǒng)安全和威脅檢測能力深度融合，不斷提升安全防護(hù)技術(shù)水平。二是構(gòu)建良性的產(chǎn)業(yè)結(jié)構(gòu)。在鼓勵(lì)市場競爭、大力發(fā)展龍頭企業(yè)的同時(shí)，也要關(guān)注單一產(chǎn)品服務(wù)占比過高可能帶來的脆弱性問題。尤其對于產(chǎn)業(yè)中的中小企業(yè)，采取必要手段支持其創(chuàng)新，鼓勵(lì)其良性競爭，維護(hù)產(chǎn)業(yè)健康可持續(xù)發(fā)展。三是培養(yǎng)全社會(huì)網(wǎng)絡(luò)安全意識(shí)。此次事件警醒了社會(huì)各界，即使是龍頭企業(yè)和非常成熟的技術(shù)平臺(tái)，也可能遭遇意外故障。當(dāng)下，人人都會(huì)參與到互聯(lián)網(wǎng)生活中，只有提升全社會(huì)群體的網(wǎng)絡(luò)安全意識(shí)，及時(shí)發(fā)現(xiàn)和處理問題，才能盡可能地降低風(fēng)險(xiǎn)事件的發(fā)生。

　　從企業(yè)角度來看，一是關(guān)注軟件更新安全。企業(yè)需要在進(jìn)行軟件更新時(shí)采取有效的安全措施，包括全面的測試和驗(yàn)證，以減少安全風(fēng)險(xiǎn)，這也是此次事件最直接的經(jīng)驗(yàn)和教訓(xùn)。眾擊（CrowdStrike）公司透露未來將計(jì)劃采用交錯(cuò)方式發(fā)布內(nèi)容更新，這樣就不會(huì)讓每個(gè)人都在同一時(shí)間收到相同的更新通知，并讓客戶對更新的安裝時(shí)間有更精細(xì)的控制。二是增強(qiáng)網(wǎng)絡(luò)安全架構(gòu)的彈性。隨著企業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化不斷推進(jìn)，網(wǎng)絡(luò)安全在保障企業(yè)業(yè)務(wù)順利運(yùn)行方面發(fā)揮著越來越重要的作用，企業(yè)必須采取措施增強(qiáng)自身網(wǎng)絡(luò)安全架構(gòu)的彈性，確保在面對網(wǎng)絡(luò)攻擊和意外故障時(shí)，系統(tǒng)能夠快速恢復(fù)運(yùn)行，最大程度減少對業(yè)務(wù)的影響。三是以系統(tǒng)性思維制定應(yīng)急措施。此次事件再次表明了全球供應(yīng)鏈的關(guān)聯(lián)性，業(yè)務(wù)穩(wěn)定和網(wǎng)絡(luò)安全不僅是技術(shù)問題，更是管理和戰(zhàn)略問題，需要系統(tǒng)設(shè)計(jì)、規(guī)劃和運(yùn)營。凡事預(yù)則立不預(yù)則廢，針對可能發(fā)生的安全事件，企業(yè)需要制定健全的應(yīng)急預(yù)案，定期開展應(yīng)急演練，確保在事件發(fā)生時(shí)能快速響應(yīng)和處理，減少事件的影響程度和損失。

　　此外，該事件也啟示我國需持續(xù)推進(jìn)關(guān)鍵基礎(chǔ)設(shè)施安全進(jìn)程。對于關(guān)鍵基礎(chǔ)設(shè)施、運(yùn)行重要服務(wù)的設(shè)備，需要提升自主創(chuàng)新能力，形成自有開放生態(tài)，強(qiáng)化關(guān)鍵基礎(chǔ)信息系統(tǒng)的安全防護(hù)。（中國軟件評(píng)測中心 唐剛 楊曉琪 張璋）

　　轉(zhuǎn)自：中國電子報(bào)

　　【版權(quán)及免責(zé)聲明】凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章及企業(yè)宣傳資訊，僅代表作者個(gè)人觀點(diǎn)，不代表本網(wǎng)觀點(diǎn)和立場。版權(quán)事宜請聯(lián)系：010-65363056。

延伸閱讀