2018以色列網(wǎng)絡(luò)周聚焦十大網(wǎng)絡(luò)安全挑戰(zhàn)

2018年6月17日至21日，以色列第八屆網(wǎng)絡(luò)周活動在特拉維夫隆重舉行，來自世界各地的網(wǎng)絡(luò)安全專業(yè)人士與決策者、企業(yè)家、投資者、專家學(xué)者齊聚一堂，共同討論當今國際社會面臨的網(wǎng)絡(luò)安全威脅和網(wǎng)絡(luò)技術(shù)的最新進展。本屆網(wǎng)絡(luò)周活動由Blavatnik跨學(xué)科網(wǎng)絡(luò)研究中心（ICRC）、Yuval Ne’eman科技與安全工作坊、以色列國家網(wǎng)絡(luò)局、特拉維夫大學(xué)（Tel Aviv University）、以色列總理辦公室、以色列外交部聯(lián)合舉辦。作為中東地區(qū)最大型的年度網(wǎng)絡(luò)安全盛會，本屆活動共設(shè)置了圓桌會議、小組會議、研討會、論壇、BSides安全會議和競賽等大小50個活動，吸引了來自60多個國家的8000多名與會者。本屆網(wǎng)絡(luò)周活動的重頭戲之一就是年度網(wǎng)絡(luò)安全國際會議，6月20日，以色列總理內(nèi)塔尼亞胡撥冗出席大會并發(fā)表重要演說。他指出，人類面臨的一個重大挑戰(zhàn)就是要確保各種裝置和設(shè)備的網(wǎng)絡(luò)安全，任何一個新科技領(lǐng)域都會面臨網(wǎng)絡(luò)安全威脅。內(nèi)塔尼亞胡在會議現(xiàn)場大屏幕上播放了模擬遭受網(wǎng)絡(luò)攻擊情景的幻燈片，假設(shè)本次會議剛剛遭到黑客攻擊，會場每個人的銀行賬戶都被凍結(jié)，信息正在發(fā)到敵人手中。他警告說，“這并非理論”，而是各國正在面臨的威脅。

在全球背景下，網(wǎng)絡(luò)攻擊的數(shù)量呈指數(shù)增長，有時導(dǎo)致整個業(yè)務(wù)領(lǐng)域的全面癱瘓，與會者分享了他們對未來幾年網(wǎng)絡(luò)安全帶來的挑戰(zhàn)和機遇的經(jīng)驗和看法。

挑戰(zhàn)1：網(wǎng)絡(luò)安全不是技術(shù)問題

雖然有一系列技術(shù)解決方案可以應(yīng)對網(wǎng)絡(luò)風(fēng)險，但與網(wǎng)絡(luò)安全相關(guān)的問題本身并不具備技術(shù)性。 政治、經(jīng)濟、社會、心理、商業(yè)和道德因素對于理解網(wǎng)絡(luò)風(fēng)險帶來的挑戰(zhàn)至關(guān)重要。此外，在網(wǎng)絡(luò)領(lǐng)域，每一代新技術(shù)的迭代周期平均只有一年——這是一個非常短的周期，也決定了網(wǎng)絡(luò)風(fēng)險預(yù)測的難度。只有采取跨學(xué)科方法，才能更準確地預(yù)測哪些網(wǎng)絡(luò)安全風(fēng)險可能誘發(fā)城市、行業(yè)或商業(yè)混亂。以色列在2014年成立的特拉維夫大學(xué)跨學(xué)科網(wǎng)絡(luò)安全研究中心（IRCR）正是這種跨學(xué)科研究的一個范例，中心擁有約250名研究人員從事硬科學(xué)（計算機科學(xué)、工程、數(shù)學(xué)、生命科學(xué)），以及其他“軟”科學(xué)，如心理學(xué)、社會學(xué)、經(jīng)濟學(xué)等研究。

以色列總理內(nèi)塔尼亞胡出席大會并發(fā)表重要演說

挑戰(zhàn)2：網(wǎng)絡(luò)安全的概念很難界定

幾乎所有公司都在追求數(shù)字化，因此網(wǎng)絡(luò)攻擊的數(shù)量呈指數(shù)級增長。 據(jù)估計， 2018年全球網(wǎng)絡(luò)犯罪經(jīng)濟成本為5000億美元，單次網(wǎng)絡(luò)攻擊的平均成本接近400萬美元。 此類攻擊經(jīng)常是媒體頭條新聞，也是公司董事會目前面臨的主要問題之一，但究竟什么是網(wǎng)絡(luò)安全？特拉維夫大學(xué)跨學(xué)科網(wǎng)絡(luò)安全研究中心主任艾薩克·本·以色列教授給出了這樣的定義： “網(wǎng)絡(luò)威脅是與‘IT的黑暗面’有關(guān)的一切事物”。網(wǎng)絡(luò)安全主要包括五個方面：內(nèi)部和外部欺詐;IT系統(tǒng)及其彈性; 數(shù)據(jù)安全; 第三方風(fēng)險; 以及威脅情報——即通過收集開放數(shù)據(jù)、來自在線社區(qū)和“黑暗網(wǎng)絡(luò)”的數(shù)據(jù)，以及濫用和/或惡意使用人工智能、區(qū)塊鏈等新興技 術(shù)來檢測外部威脅。

挑戰(zhàn)3：網(wǎng)絡(luò)安全是一種開放式創(chuàng)新挑戰(zhàn)

開放式創(chuàng)新是將企業(yè)傳統(tǒng)封閉式的創(chuàng)新模式開放,引入外部的創(chuàng)新能力。它意味著公司與政府合作，以及更廣泛的公共和私營部門參與者之間的合作。以色列的網(wǎng)絡(luò)安全生態(tài)系統(tǒng)是一個三相的系統(tǒng)，包括軍隊、學(xué)術(shù)界和工業(yè)界。雖然三個領(lǐng)域之間的界限相當模糊，但三者之間確實存在著連續(xù)區(qū)，有效保證了網(wǎng)絡(luò)人才的培訓(xùn)和網(wǎng)絡(luò)技術(shù)的開發(fā)。軍隊培訓(xùn)一般側(cè)重于廣義的安全領(lǐng)域和更具體的網(wǎng)絡(luò)安全，特拉維夫大學(xué)則通過參與軍隊相關(guān)項目，精進學(xué)術(shù)能力。在法國-以色列主題為“法國企業(yè)在以色列網(wǎng)絡(luò)領(lǐng)域要尋找的東西”的雙邊圓桌討論活動中，空客、奧蘭治、雷 諾 -日 產(chǎn)，Aster，Trusted Labs和L'Atelier BNP Paribas代表分享了各自見解。L'Atelier BNP Paribas代表分享了他對網(wǎng)絡(luò)安全領(lǐng)域的創(chuàng)新速度來自“研究員-企業(yè)家”的看法?；灸繕耸?，當依托現(xiàn)有市場或初創(chuàng)公司無法找到某些重大挑戰(zhàn)的解決方案時，可通過吸引高級“研究員-企業(yè)家”，探索業(yè)務(wù)和技術(shù)挑戰(zhàn)的解決方案。

挑戰(zhàn)4：設(shè)計隱私和安全

隱私和保密問題自然是網(wǎng)絡(luò)周議程之一：在研的任何產(chǎn)品或服務(wù)在設(shè)計階段都必須考慮數(shù)據(jù)保密性。 這就需要對設(shè)計師進行數(shù)據(jù)安全和保密培訓(xùn)。一些研究人員還指出，技術(shù)人員要么不理解，要么根本不想理解隱私問題，或者他們是將隱私與網(wǎng)絡(luò)安全混為一談。 考慮到現(xiàn)在經(jīng)常使用國外設(shè)計的服務(wù)和產(chǎn)品，有關(guān)隱私的考慮是絕對必要的。但在持續(xù)變化的監(jiān)管環(huán)境以及不斷蔓延的網(wǎng)絡(luò)犯罪威脅下，提供包含“隱私和安全設(shè)計”的解決方案和服務(wù)已經(jīng)構(gòu)成了一個巨大挑戰(zhàn)。在數(shù)據(jù)方面，與會代表注意到兩個關(guān)鍵點：第一點是公司在尋求外部數(shù)據(jù)之前首先應(yīng)盡可能使用自身擁有的數(shù)據(jù)。今天的公司都擁有大量的可用數(shù)據(jù)，在尋求外部數(shù)據(jù)（如從社交網(wǎng)絡(luò)中提取的非結(jié)構(gòu)化數(shù)據(jù)）之前，應(yīng)首先做好自身數(shù)據(jù)的處理和利用。第二點與零知識證明 （ZKP）方法有關(guān)，這是一種新興方法，應(yīng)用前景很廣泛。其工作原理是，A（可能是計算機系統(tǒng)）證明他/她知道或掌握了某一信息，而B不需要接收任何信息，就可以驗證A陳述的正確性。該協(xié)議能夠在不給予各方玩家真實數(shù)據(jù)的前提下，證明來自既定生態(tài)系統(tǒng)中各方玩家的數(shù)據(jù)的準確性。在基于區(qū)塊鏈的交易中，交易詳細信息對網(wǎng)絡(luò)中的其他方是可見的。 相反，在基于ZKP協(xié)議的交易中，玩家僅知道發(fā)生了有效交易，而關(guān)于發(fā)送者和接收者身份，所涉及資產(chǎn)和數(shù)量等信息都是匿名的。

挑戰(zhàn)5：公司需要“友好的黑客”

“如果我們能像友好的黑客一樣思考，我們就可以在網(wǎng)絡(luò)犯罪分子自己的游戲中擊敗他們”，網(wǎng)絡(luò)安全研究員和友好黑客Keren Elazari告訴與會者。 鑒于當今網(wǎng)絡(luò)攻擊的復(fù)雜程度，潛在的經(jīng)濟影響以及網(wǎng)絡(luò)風(fēng)險的長期性，企業(yè)已經(jīng)開始意識到網(wǎng)絡(luò)安全的戰(zhàn)略影響。 僅靠技術(shù)無法解決網(wǎng)絡(luò)安全挑戰(zhàn)。 尤其是，如果不對員工進行有效培訓(xùn)并使客戶和合作伙伴生態(tài)系統(tǒng)對問題形成正確認識，哪怕是對技術(shù)解決方案進行再多投資，都注定要失敗。企業(yè)比以往任何時候都更需要合作和招募友好的黑客——行話說就是“白帽黑客”，這些人可以在預(yù)測或模擬網(wǎng)絡(luò)風(fēng)險情景方面發(fā)揮關(guān)鍵作用。應(yīng)對網(wǎng)絡(luò)攻擊，必須變守為攻。一個重要的例子就是2016年美國國防部啟動的Bug Bounty計劃 。該計劃旨在動員超過一千名“白帽黑客”來識別和解決網(wǎng)絡(luò)安全問題。事實上，越來越多的公司開始引進“白帽黑客”、安全專家和紅隊（外部安全團隊，其目標是通過資產(chǎn)測試來評估公司的整體安全水平）來發(fā)動黑客式入侵并解決暴露出的安全問題。

挑戰(zhàn)6：加密犯罪，區(qū)塊鏈的黑暗面

顯然區(qū)塊鏈的聲譽正在受到影響，部分原因是它總是被公眾與新型網(wǎng)絡(luò)攻擊——加密犯罪的出現(xiàn)聯(lián)系在一起。匿名、投機、價格操縱和旺盛的需求，加密貨幣的這些特性正在被網(wǎng)絡(luò)犯罪分子所利用。 加密劫持也可能成為一些政府繞過國際制裁的武器，就像被指控通過對加密貨幣市場平臺Youbit發(fā)動網(wǎng)絡(luò)攻擊從韓國公民竊取4,000多比特幣（相當于500萬美元）的朝鮮犯罪分子一樣。專家在“網(wǎng)絡(luò)周”上強調(diào)，有必要制定監(jiān)管條例大綱。 學(xué)術(shù)界也可以就相關(guān)主題，如區(qū)塊鏈應(yīng)用程序的信任問題，對當前法規(guī)的調(diào)整建議以及商業(yè)運作模式等展開研究。

挑戰(zhàn)7：行為分析是機器人生成的欺詐攻擊的解藥

常見的用戶身份認證方式有三種：我們最熟悉的就是口令登錄; 另一種是通過Token（令 牌）或SMS短信來認證；第三種就是生物識別技術(shù)。行為生物識別技術(shù)基于用戶執(zhí)行操作的方式：用戶握住設(shè)備的方式、翻閱智能手機頁面的方式或?qū)懽鞣绞?。該技術(shù)主要用于身份認證和惡意軟件檢測。 網(wǎng)絡(luò)周期間提出的一個案例研究就是關(guān)于如何檢測來自“模擬器”的攻擊。所謂的“模擬器”就是用于模擬可能被犯罪分子加以利用的物理設(shè)備的軟件。 詐騙分子可以在同一款移動應(yīng)用程序上啟動多個模擬器，并使用被盜信息入侵銀行賬戶。與會者指出，40%到60%的金融機構(gòu)的網(wǎng)絡(luò)流量是由機器人（聚合器、抓取器和爬蟲）產(chǎn)生的。行為生物識別技術(shù)通過組合數(shù)千個生理、認知和行為參數(shù)，可以創(chuàng)建獨特的用戶簡檔，從而增加詐騙分子作案難度。

挑戰(zhàn)8：忘記數(shù)據(jù)被盜，向影響力爭奪戰(zhàn)（war of influence）問好

傳統(tǒng)網(wǎng)絡(luò)攻擊的目標通常是劫持數(shù)據(jù)，然而，近期出現(xiàn)的一個不常見卻值得業(yè)界密切關(guān)注的信號是影響力爭奪戰(zhàn)，其目的是影響公眾輿論和破壞民主進程。例如，在歐洲電視網(wǎng)歌曲比賽期間， 分布式拒絕服務(wù) （DDoS）攻擊接管了對聲音的控制并在歌手表演時加密圖像，這就有可能對一些國家及其公民帶來心理和經(jīng)濟上的影響。 此外，社交網(wǎng)絡(luò)已成為對此類影響力爭奪戰(zhàn)樂此不彼的政府機構(gòu)的沃土。

挑戰(zhàn)9：網(wǎng)絡(luò)安全是一項巨大挑戰(zhàn)

研究人員在網(wǎng)絡(luò)周上一致認為，網(wǎng)絡(luò)安全在未來十年仍將是一項挑戰(zhàn)。鑒于網(wǎng)絡(luò)威脅的不斷演變，我們需要不斷從錯誤中吸取教訓(xùn)并分析正在發(fā)生的事情。解決網(wǎng)絡(luò)挑戰(zhàn)的時間尺度是十年：需要三個步驟才能達到網(wǎng)絡(luò)安全的成熟階段，專家稱之為“網(wǎng)絡(luò)戰(zhàn)備”：首先，趕上; 第二，與主要市場趨勢一致;第三，為一個客戶創(chuàng)建安全層，并基本上成為一家Cybertech公司。 目前，來自美國、歐洲和亞洲的數(shù)字巨頭均尚未聲稱自己是Cybertech公司，但是這樣的雄心壯志已經(jīng)在生根發(fā)芽：許多制造公司和金融機構(gòu)已經(jīng)開始調(diào)整自己，以便與以色列生態(tài)系統(tǒng)內(nèi)的網(wǎng)絡(luò)安全專家合作開發(fā)“安全設(shè)計”解決方案，這種方案的主要特征之一就是成為一個網(wǎng)絡(luò)安全中心，攻防并舉。

挑戰(zhàn)10：教育的挑戰(zhàn)

在Bsides TLV會議上，“白帽黑客”和DEFCON（Defense Readiness Condition，美國武裝部隊使用的警戒狀態(tài)）大使Jayson Street提出了一項建議，用一個詞概括就是教育?！皬慕逃脩糸_始，讓他們承擔(dān)責(zé)任?！迸嘤?xùn)用戶——員工、客戶、合作伙伴至關(guān)重要，因為人是任何組織中最薄弱的環(huán)節(jié)。一些網(wǎng)絡(luò)安全專家和以色列高級軍官強調(diào)，需要從很小的時候就對公民進行網(wǎng)絡(luò)風(fēng)險教育。