近日，明朝萬(wàn)達(dá)高級(jí)副總裁、首席技術(shù)官喻波接受了中國(guó)機(jī)場(chǎng)安防網(wǎng)的采訪，就目前視頻監(jiān)控系統(tǒng)現(xiàn)狀及存在的安全問(wèn)題，發(fā)表了自己的觀點(diǎn)。
安全事件回顧
日前有境外黑客組織聲稱(chēng)將對(duì)我國(guó)發(fā)起網(wǎng)絡(luò)攻擊，該組織稱(chēng)已掌握我境內(nèi)大量攝像頭控制權(quán)限，并公布了其掌握的部分閉路電視系統(tǒng)外圍探測(cè)信息。
經(jīng)分析，我國(guó)視頻監(jiān)控系統(tǒng)存在一定的漏洞安全隱患和數(shù)據(jù)泄漏風(fēng)險(xiǎn)，可能成為境外黑客發(fā)起攻擊的薄弱環(huán)節(jié)。視頻監(jiān)控系統(tǒng)應(yīng)用于各行各業(yè)，萬(wàn)物互聯(lián)之下，一旦遭遇惡意侵入后果不堪設(shè)想。
喻波表示
視頻監(jiān)控系統(tǒng)是信息技術(shù)的一個(gè)分支，那么其理論必然是建立在香農(nóng)的通信數(shù)據(jù)原理、圖靈機(jī)、馮諾依曼系統(tǒng)結(jié)構(gòu)基礎(chǔ)之上，而這三大理論建立之初是缺乏安全設(shè)計(jì)的。所以信息科學(xué)從他誕生的第一天起，就注定與信息安全的對(duì)立統(tǒng)一性，這是視頻監(jiān)控系統(tǒng)信息安全屬性的一般性。
視頻監(jiān)控系統(tǒng)網(wǎng)絡(luò)威脅體現(xiàn)在以下三個(gè)方面：
? 對(duì)于深網(wǎng)視界來(lái)講，他們碰到發(fā)展路上的黑天鵝，此次大規(guī)模數(shù)據(jù)泄漏產(chǎn)生了很壞的社會(huì)影響，可能會(huì)波及公司經(jīng)營(yíng)等其它方面。此次數(shù)據(jù)安全泄漏事件對(duì)于深網(wǎng)視界業(yè)來(lái)講是黑天鵝，而對(duì)于社會(huì)來(lái)講卻是灰犀牛！
? 對(duì)于本次大規(guī)模數(shù)據(jù)泄漏，如果我們從對(duì)安全的認(rèn)知、安全技術(shù)、防護(hù)成本、監(jiān)管要求等方面去分析其本質(zhì)的話(huà)，可以發(fā)現(xiàn)其本質(zhì)是對(duì)數(shù)據(jù)安全的認(rèn)知不到位，我們可以從以下三個(gè)方面去論證：其使用的是MongoDB數(shù)據(jù)庫(kù)對(duì)于權(quán)限、端口等基本安全配置存在嚴(yán)重問(wèn)題；敏感數(shù)據(jù)沒(méi)有分類(lèi)分級(jí)或者加密存儲(chǔ)機(jī)制；對(duì)于安全預(yù)警信息，沒(méi)有及時(shí)處理。因此，在安全認(rèn)識(shí)不到位的前提下，安全技術(shù)、防護(hù)成本、監(jiān)管要求都如空中樓閣一般脆弱。
? 管中窺豹、可見(jiàn)一斑。此次安全事件不是偶然現(xiàn)象，而是隨著信息技術(shù)的發(fā)展，與之相伴的必然現(xiàn)象，是以往發(fā)生在漢庭、攜程身上的安全故事重演。當(dāng)下我國(guó)的數(shù)據(jù)安全形勢(shì)十分嚴(yán)峻，需要我們從監(jiān)管、技術(shù)、認(rèn)知等多個(gè)層面加以保障和完善，其中數(shù)據(jù)安全認(rèn)知薄弱是導(dǎo)致數(shù)據(jù)安全事件不斷重演的根本因素。
建議各地監(jiān)管單位，利用相關(guān)安全監(jiān)測(cè)平臺(tái)、態(tài)勢(shì)感知系統(tǒng)，對(duì)轄區(qū)內(nèi)的相關(guān)重點(diǎn)單位資產(chǎn)進(jìn)行持續(xù)性監(jiān)測(cè)，特別是其中相關(guān)視頻監(jiān)控、網(wǎng)絡(luò)攝像頭的安全監(jiān)測(cè)，一旦發(fā)現(xiàn)有大規(guī)模的攻擊行為，可以直接通過(guò)相關(guān)系統(tǒng)阻斷其惡意流量；
建議各視頻監(jiān)控系統(tǒng)、設(shè)備生產(chǎn)廠商，盡快排查當(dāng)前出售的各類(lèi)軟硬件產(chǎn)品是否存在相關(guān)安全漏洞，如果有發(fā)現(xiàn)請(qǐng)立即修復(fù)，第一時(shí)間內(nèi)在官方渠道發(fā)布安全修復(fù)補(bǔ)丁。同時(shí)排查互聯(lián)網(wǎng)內(nèi)現(xiàn)存安全問(wèn)題的設(shè)備，對(duì)發(fā)現(xiàn)安全問(wèn)題的設(shè)備推出相應(yīng)的安全修復(fù)和升級(jí)更新；
各企事業(yè)單位、個(gè)人用戶(hù)，需要盡快對(duì)所有的相關(guān)視頻監(jiān)控、網(wǎng)絡(luò)攝像頭的設(shè)備及時(shí)進(jìn)行安全加固和系統(tǒng)更新；各企事業(yè)單位也可通過(guò)相關(guān)安全監(jiān)測(cè)平臺(tái)、資產(chǎn)管理設(shè)備，對(duì)相應(yīng)系統(tǒng)進(jìn)行持續(xù)監(jiān)控，一旦發(fā)現(xiàn)有可疑攻擊行為，可以直接通過(guò)相關(guān)系統(tǒng)阻斷其惡意流量。
基于等保安全防護(hù)方案及數(shù)據(jù)安全技術(shù)方面考慮，我們建議如下：
? 采用加密技術(shù)保障通信傳輸安全；
? 采取邊界防護(hù)、訪問(wèn)控制、入侵防范、惡意代碼防護(hù)保護(hù)網(wǎng)絡(luò)邊界安全，尤其應(yīng)重視視頻跨網(wǎng)域傳輸，需要通過(guò)視頻交換系統(tǒng)，將視頻網(wǎng)數(shù)據(jù)通過(guò)隔離交換裝置安全地傳輸?shù)睫k公網(wǎng)，隔離安全威脅。通過(guò)安全接入網(wǎng)關(guān)對(duì)接入到視頻的設(shè)備進(jìn)行認(rèn)證與訪問(wèn)控制，保障視頻網(wǎng)邊界接入安全；
? 采用身份鑒別、訪問(wèn)控制、入侵防范、數(shù)據(jù)加密脫敏備份銷(xiāo)毀保護(hù)計(jì)算環(huán)境安全；
? 通過(guò)以上措施建立縱深防啊御體系，貫徹執(zhí)行最小權(quán)限原則、代碼數(shù)據(jù)分離原則、不可預(yù)測(cè)原則；
?七分管理、三分安全，貫徹落實(shí)信息安全管理制度，實(shí)現(xiàn)技術(shù)、管理雙融合。通過(guò)上述措施，企事業(yè)單位既建立起一套基礎(chǔ)的、可靠的安全防疫體系。
最后，孫子的攻防哲學(xué)思想，無(wú)恃其不來(lái)，恃吾有以待也，無(wú)恃其不攻，恃吾有所不可攻也。所以，與其考慮黑客會(huì)不會(huì)攻擊視頻監(jiān)控系統(tǒng)，黑客會(huì)不會(huì)攻擊機(jī)場(chǎng)的視頻監(jiān)控系統(tǒng)，不如去分析自己弱點(diǎn)，這即是上兵伐謀之道，從意識(shí)層面，打消敵人的念頭。
明朝萬(wàn)達(dá)成立于2005年，是中國(guó)新一代信息安全技術(shù)企業(yè)的代表廠商，專(zhuān)注數(shù)據(jù)安全、公共安全、云安全、大數(shù)據(jù)安全等服務(wù)。于2019年獲得國(guó)家級(jí)投資機(jī)構(gòu)中網(wǎng)投和國(guó)投創(chuàng)合的聯(lián)合投資。
明朝萬(wàn)達(dá)是國(guó)家高新技術(shù)企業(yè)，通過(guò)了信息安全管理體系認(rèn)證、質(zhì)量管理體系認(rèn)證、CMMI3級(jí)國(guó)際體系認(rèn)證。公司總部位于北京，在上海、廣州、成都、西安等地設(shè)有分支機(jī)構(gòu)，憑借產(chǎn)品技術(shù)領(lǐng)先、貼近客戶(hù)需求、成熟度高、大規(guī)模方案部署能力強(qiáng)等優(yōu)勢(shì)，客戶(hù)覆蓋金融、政府、公安、電信運(yùn)營(yíng)商等領(lǐng)域，簽約用戶(hù)超過(guò)2000家。阿
