新時期對網(wǎng)絡(luò)信息竊取的安全管理對策研究

楊 育

(北京大學(xué)工學(xué)院，北京 100871)

新時期對網(wǎng)絡(luò)信息竊取的安全管理對策研究

楊 育

(北京大學(xué)工學(xué)院，北京 100871)

網(wǎng)絡(luò)在給人們的日常工作、學(xué)習(xí)和生活帶來極大方便的同時，也帶來了一定的安全威脅，網(wǎng)絡(luò)犯罪相應(yīng)而生。其中竊取型網(wǎng)絡(luò)犯罪是網(wǎng)絡(luò)犯罪中最為常見的表現(xiàn)形式，它給人們的日常生活，乃至經(jīng)濟財產(chǎn)造成了重大損失，越來越受到人們的關(guān)注。本文介紹了網(wǎng)絡(luò)信息竊取的概念、提出了網(wǎng)絡(luò)信息竊取的典型攻擊模型、安全威脅及其表現(xiàn)形式，并提出了新時期云計算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)環(huán)境下網(wǎng)絡(luò)信息竊取行為的新特性，分析了相關(guān)安全事件產(chǎn)生的原因，并在此基礎(chǔ)上提出了防止網(wǎng)絡(luò)信息竊取的幾點安全管理建議。

竊取型網(wǎng)絡(luò)犯罪；安全威脅；安全管理對策

0 引言

隨著信息技術(shù)的飛速發(fā)展，計算機網(wǎng)絡(luò)已經(jīng)與每個人的社會生活息息相關(guān)。它在給社會的政治、經(jīng)濟、文化、教育、科技等領(lǐng)域帶來顯著而深刻變化的同時，也改變了人們的生活方式，于是網(wǎng)上購物、網(wǎng)絡(luò)游戲、免費郵箱等網(wǎng)絡(luò)交流手段隨之興起。過去十年間，互聯(lián)網(wǎng)用戶數(shù)量呈爆炸式增長，截至2014年6月，中國網(wǎng)民規(guī)模達(dá)6.32億，手機網(wǎng)民規(guī)模達(dá)5.27億，互聯(lián)網(wǎng)普及率為46.9%[1]。然而，網(wǎng)絡(luò)是一把雙刃劍，人們在體驗著網(wǎng)絡(luò)帶來的信息資源共享、便捷交流的同時，也面臨著網(wǎng)絡(luò)信息被竊取的困擾。隨著進(jìn)入到互聯(lián)網(wǎng)的主體的增多，互聯(lián)網(wǎng)上能夠被不法分子利用而實施違法活動的功能漏洞也越來越復(fù)雜、繁多。尤其是竊取型網(wǎng)絡(luò)犯罪，給人們的個人信息、經(jīng)濟財產(chǎn)等的安全造成了極大影響，有些甚至已經(jīng)威脅到了部分網(wǎng)民人身安全。新時期，網(wǎng)絡(luò)信息竊取相關(guān)安全問題呈現(xiàn)出了新的特征。

1 相關(guān)概念

網(wǎng)絡(luò)信息安全，是指網(wǎng)絡(luò)系統(tǒng)的軟硬件，以及系統(tǒng)里存儲的數(shù)據(jù)受到保護(hù)，不會因為偶然或是惡意的因素而受到破壞，被竊取、更改或者泄露，可以使網(wǎng)絡(luò)系統(tǒng)能正常可靠連續(xù)地運行而不中斷[2]。

網(wǎng)絡(luò)信息竊取，是指行為人通過計算機技術(shù)，控制和利用帳號、修改程序、竊取密碼，或者冒充合法用戶身份等方式，非法進(jìn)入網(wǎng)絡(luò)交易平臺或計算機系統(tǒng)，獲取用戶賬戶、密碼以及個人隱私信息。采用網(wǎng)絡(luò)信息竊取手段，將不屬于自己的有形或無形的虛擬財物和貨幣據(jù)為己有的竊取行為就是竊取型網(wǎng)絡(luò)犯罪[3]。

2 新時期網(wǎng)絡(luò)信息竊取相關(guān)安全問題的表現(xiàn)形式及成因分析

隨著信息化建設(shè)不斷深入社會各個行業(yè)，物聯(lián)網(wǎng)、云計算等新技術(shù)的不斷應(yīng)用，廣泛互聯(lián)的實體和應(yīng)用爆發(fā)式增長，信息系統(tǒng)逐步形成了網(wǎng)絡(luò)空間，成為和陸海空天并列的第五維空間，信息化也進(jìn)入了網(wǎng)絡(luò)空間時代。在網(wǎng)絡(luò)空間中，已經(jīng)和正在產(chǎn)生海量信息數(shù)據(jù)，數(shù)據(jù)作為一種戰(zhàn)略資源，成為各方關(guān)注的焦點，誰掌握了數(shù)據(jù)，誰就掌握了未來，在此形勢下，通過網(wǎng)絡(luò)直接竊取國家、企業(yè)和個人的數(shù)據(jù)成為網(wǎng)絡(luò)犯罪的重點。而隨著移動互聯(lián)網(wǎng)時代的降臨，智能手機、平板、可穿戴設(shè)備等各種類型的個人智能終端已經(jīng)成為網(wǎng)絡(luò)信息竊取的主要對象。新時期網(wǎng)絡(luò)信息竊取典型的攻擊模型如圖1所示。

圖1 網(wǎng)絡(luò)信息竊取的典型攻擊模型

2.1 網(wǎng)絡(luò)信息竊取的主要手段和新特性

2.1.1 主要手段

傳統(tǒng)的信息安全時代，網(wǎng)絡(luò)邊界清晰，計算終端功能單一，因此攻擊者主要是通過主動攻擊、被動攻擊、內(nèi)部攻擊、分布式攻擊、物理臨近攻擊等方式，獲取信息。如圖1所示，針對個人用戶的網(wǎng)絡(luò)信息竊取，常見的表現(xiàn)形式是:

1)通過運用木馬程序?qū)W(wǎng)絡(luò)進(jìn)行攻擊而竊取用戶的隱私

·瀏覽用戶本地文件

·監(jiān)測用戶操作行為

2)通過木馬程序向用戶的電腦上種植病毒而竊取用戶資金:

·通過“淘寶客”劫持木馬竊取淘寶客傭金

·通過病毒竊取網(wǎng)銀賬戶資金

·利用遠(yuǎn)程監(jiān)控程序盜取銀行賬戶

3)竊取網(wǎng)絡(luò)虛擬財產(chǎn)

·通過種植木馬程序來對游戲玩家的賬號信息進(jìn)行竊取

·通過木馬病毒來對用戶的QQ帳號以及Q幣進(jìn)行竊取

·竊取虛擬游戲幣等

·利用網(wǎng)絡(luò)對用戶手機中的積分進(jìn)行竊取

4)利用免費Wi－Fi在網(wǎng)民毫不知情的情況下，對使用者的行為進(jìn)行監(jiān)聽，盜取上網(wǎng)記錄、聊天記錄、帳號密碼等相關(guān)內(nèi)容信息。

2.1.2 新特性

在網(wǎng)絡(luò)空間時代，云計算、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)、大數(shù)據(jù)等新技術(shù)、新應(yīng)用開拓了廣泛的實體互聯(lián)和各類信息化、智能化應(yīng)用的爆發(fā)式增長，為人類的生產(chǎn)生活帶來極大便利，同時也為個人和團(tuán)隊網(wǎng)絡(luò)信息竊取等行為提供了更廣闊的空間和豐沃土壤，竊取型網(wǎng)絡(luò)犯罪率和涉案金額也逐年攀升。

在網(wǎng)絡(luò)空間時代，豐富的接入方式，各類實體廣泛的互聯(lián)互通，網(wǎng)絡(luò)邊界模糊，虛擬化的網(wǎng)絡(luò)與計算環(huán)境，類型多樣、功能復(fù)雜的計算終端等等，都為攻擊者提供了便利，為信息系統(tǒng)帶來了更大的信息安全挑戰(zhàn)。攻擊者擁有更多樣化的手段截獲或搜集企業(yè)和個人數(shù)據(jù)，同時更有機會突破模糊的邊界獲取到海量信息，并進(jìn)一步采用大數(shù)據(jù)分析的方式獲得更大的利益。團(tuán)體型攻擊者直接針對系統(tǒng)數(shù)據(jù)庫或大數(shù)據(jù)中心進(jìn)行信息竊取的威脅也越來越嚴(yán)重。

2.2 成因分析

2.2.1 國家立法層面法律法規(guī)還未完善

針對網(wǎng)絡(luò)犯罪的立法相對滯后，缺乏體系化的網(wǎng)絡(luò)犯罪法律法規(guī)，還沒有形成刑法、民法、行政法規(guī)、政策等配套的法律規(guī)章體系，因此造成我國對于網(wǎng)絡(luò)竊密等行為缺乏執(zhí)法依據(jù)。

2.2.2 信息產(chǎn)品自主可控程度較低

目前用戶計算終端、手機智能終端上的芯片、操作系統(tǒng)等自主可控程度還很低，關(guān)鍵技術(shù)受制于人的局面仍然沒有根本改變。針對信息系統(tǒng)面臨的安全威脅難以從基礎(chǔ)軟硬件層次進(jìn)行應(yīng)對和防護(hù)，基于通用系統(tǒng)軟硬件漏洞的網(wǎng)絡(luò)信息竊密手段層出不窮。

2.2.3 信息系統(tǒng)安全防護(hù)體系能力還需完善

現(xiàn)有的信息系統(tǒng)沒有從網(wǎng)絡(luò)與邊界層、計算環(huán)境層、應(yīng)用和數(shù)據(jù)層一體化安全考慮，造成攻擊者利用某一層的安全短板和漏洞，攻擊整個系統(tǒng)。尤其在大數(shù)據(jù)時代，數(shù)據(jù)集中存儲，系統(tǒng)基于云平臺運營，網(wǎng)絡(luò)竊密者通過尋找數(shù)據(jù)中心漏洞，可以更方便高效地獲得大量信息。

2.2.4 網(wǎng)絡(luò)信任體系急需建設(shè)

目前國內(nèi)還未建立完善的網(wǎng)絡(luò)信任體系，缺乏統(tǒng)一的網(wǎng)上身份認(rèn)證、資源統(tǒng)一管理、行為責(zé)任認(rèn)定等，個人的網(wǎng)絡(luò)行為還未完全做到做到可信可管，給不法分子造成了可乘之機。

2.2.5 網(wǎng)絡(luò)攻擊由個人行為變?yōu)閳F(tuán)隊行為

在經(jīng)濟利益的驅(qū)使下，網(wǎng)絡(luò)竊密行為由個人行為逐漸變?yōu)閳F(tuán)隊行為，團(tuán)隊的攻擊能力、攻擊方式遠(yuǎn)強于個人行為，特別是國內(nèi)外敵對勢力，越來越頻繁通過網(wǎng)絡(luò)竊密獲取價值更高的信息。

2.2.6 全民信息安全意識還需增強

全民信息安全意識薄弱，根據(jù)關(guān)于網(wǎng)絡(luò)竊取相關(guān)問題調(diào)查報告顯示:有將近70%的網(wǎng)民對于網(wǎng)絡(luò)安全毫不在意，只有不到8%的網(wǎng)民十分關(guān)注網(wǎng)絡(luò)安全[4]。

2.2.7 網(wǎng)絡(luò)監(jiān)管還缺乏技術(shù)支撐

我國在網(wǎng)絡(luò)安全監(jiān)管方面起步較晚，網(wǎng)絡(luò)偵查防御技術(shù)相對滯后，取證、痕跡提取等技術(shù)的開發(fā)和運用還處在初步探索的時期，對網(wǎng)絡(luò)竊密等行為的偵查、取證能力有待加強。

3 加強對網(wǎng)絡(luò)信息竊取的安全管理對策

3.1 健全和完善預(yù)防和打擊竊取型網(wǎng)絡(luò)犯罪的相關(guān)法律法規(guī)

目前構(gòu)建體系化的網(wǎng)絡(luò)安全、網(wǎng)絡(luò)犯罪法規(guī)迫在眉睫。在網(wǎng)絡(luò)安全法規(guī)的構(gòu)建方面，我國可借鑒一些國外的成熟經(jīng)驗，同時結(jié)合我國實際，構(gòu)建適合我國網(wǎng)絡(luò)犯罪的法律體系。同時，應(yīng)該切實增強網(wǎng)絡(luò)安全法規(guī)的執(zhí)法落實力度，加強普法宣貫，切實增強法治意識，做到“有法可依、執(zhí)法必嚴(yán)、違法必糾”。

3.2 提升國民網(wǎng)絡(luò)空間安全意識和素質(zhì)

在建設(shè)網(wǎng)絡(luò)安全人才隊伍方面，要制定人才培養(yǎng)戰(zhàn)略，構(gòu)建全方位的網(wǎng)絡(luò)安全人才培養(yǎng)體系，加強國家網(wǎng)絡(luò)安全技術(shù)力量建設(shè)，打造跨學(xué)科、跨領(lǐng)域的復(fù)合型人才和團(tuán)隊。對個人用戶，則需要通過多種方式，普及網(wǎng)絡(luò)安全常識，從而更好地保護(hù)網(wǎng)絡(luò)安全。

3.3 建立由國家主導(dǎo)的網(wǎng)絡(luò)信任體系

由國家主導(dǎo)，加強我國網(wǎng)絡(luò)空間信任體系建設(shè)的頂層設(shè)計，基于現(xiàn)有電子認(rèn)證基礎(chǔ)設(shè)施，建設(shè)網(wǎng)絡(luò)信任體系，推廣網(wǎng)絡(luò)身份證，確保網(wǎng)上行為安全。探索針對不同應(yīng)用領(lǐng)域，尤其是面向個人信息的公眾網(wǎng)絡(luò)網(wǎng)絡(luò)信任服務(wù)支撐模式，通過網(wǎng)絡(luò)信任體系促進(jìn)信息化健康發(fā)展。

3.4 構(gòu)建以自主密碼為核心的信息安全保障體系

密碼是信息安全的核心，在國內(nèi)高性能芯片、基礎(chǔ)軟件自主化程度較低的情況下，迫切需要基于自主密碼構(gòu)建信息安全保障體系，以數(shù)據(jù)安全為核心，保障數(shù)據(jù)全生命周期安全，大力加強自主密碼在企業(yè)商業(yè)秘密和個人重要信息保護(hù)方面的應(yīng)用，從信息源頭的保護(hù)實現(xiàn)對抗網(wǎng)絡(luò)信息竊密的能力提升。

3.5 建立各職能部門共同參與的聯(lián)動聯(lián)防機制體制

預(yù)防和打擊竊取型網(wǎng)絡(luò)犯罪，不單單是公安機關(guān)單方面的責(zé)任，同時也需要電信部門、信息化部門等全社會各行業(yè)的通力合作，建立聯(lián)防聯(lián)動體制機制，提高不同部門信息資源共享，形成合力，共同應(yīng)對網(wǎng)絡(luò)犯罪。

4 結(jié)語

隨著信息化的不斷深入，新信息技術(shù)的不斷應(yīng)用，網(wǎng)絡(luò)空間中的數(shù)據(jù)成為重要的戰(zhàn)略資源，因此網(wǎng)絡(luò)竊密行為成為新時期網(wǎng)絡(luò)犯罪的重點之一。有效預(yù)防網(wǎng)絡(luò)竊密行為，需要從相關(guān)法律法規(guī)、國民網(wǎng)絡(luò)空間安全意識和素質(zhì)、建立網(wǎng)絡(luò)信任體系、構(gòu)建以自主密碼為核心的信息安全保障體系和建立各職能部門共同參與的聯(lián)動聯(lián)防機制體制等方面共同應(yīng)對，從而最大限度地防止竊取型網(wǎng)絡(luò)犯罪的發(fā)生，為國家信息化健康發(fā)展、國民經(jīng)濟穩(wěn)定運行以及國民信息安全保駕護(hù)航。

[1] 中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC).2014年第34次中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告[EB/OL].2014(2014－7－21) [2014－12－22].http://www.199it.com/archives/257572. html.

[2] 劉永華.網(wǎng)絡(luò)信息安全技術(shù)[M].中國鐵道出版社，2011.

[3] 徐湧捷.網(wǎng)絡(luò)竊取犯罪研究[D].華東政法大學(xué)，2007.

[4] 葉青等.關(guān)于信息安全宣傳教育的幾點思考[J].信息安全與通信保密，2014(12):67－69.

Security M anagement Strategy for Network Information Stealing in New Era

YANG Yu
(Institute of Technology，Peking University，Beijing 100871，China)

Internet brings great convenience to people′s daily work，study and life，and however，also including some security threats，thus cybercrimes emerge consequentially.And among these，the theft－type cybercrime，as the most common manifestation，would usually lead to a heavy loss to the people′s daily lives and even their economic property，and thus，itattractsmore andmore attention from the people.This paper describes the concept，typical attack model，security threats aswell as theirmanifestations of network information stealing.Then，the new features of network information stealing in cloud－computing，big－data and mobile internet environment are presented，the causes for production of related security issues analyzed.Finally，in light of this，some securitymanagement suggestions on preventing network information stealing are also proposed.

theft－type cybercrime；security threat；security management strategy

TP393.08

A

1009－8054(2015)05－0099－03

楊 育(1975－)，女，本科，高級工程師，主要研究方向為管理科學(xué)與工程。■

2014－12－22