ISC 2017聚焦大安全時代 全鏈條防御成移動安全趨勢

　　“中國移動支付震驚世界”、“歪果仁驚嘆中國手機支付普及”……一系列標(biāo)題的背后，是中國移動互聯(lián)網(wǎng)的高速普及。據(jù)工信部最新數(shù)據(jù)顯示，截至2017年7月末，我國移動互聯(lián)網(wǎng)用戶總數(shù)已達(dá)12億戶，位居世界第一。同時，手機全民化也帶來了層出不窮的安全問題，360此前發(fā)布的《2017年第二季度中國手機安全狀況報告》顯示，惡意程序、釣魚網(wǎng)站、騷擾電話、垃圾短信、網(wǎng)絡(luò)詐騙是威脅手機安全的五大因素，其中網(wǎng)絡(luò)詐騙發(fā)展最為猖狂，第二季度人均損失金額翻倍，高達(dá)17582元，同比2016年第二季度高出一倍多。

　　如何保護12億移動上網(wǎng)用戶的安全?如何構(gòu)建更健康的移動安全生態(tài)?在9月11-13日國家會議中心召開的中國互聯(lián)網(wǎng)安全大會(ISC2017)上，移動終端安全分論壇成為整個大會的焦點。以中國移動代表的運營商，以華為等代表的手機廠商，工信部旗下泰爾實驗室、盤古實驗室，以及國內(nèi)領(lǐng)先的安全服務(wù)商360等多家機構(gòu)，共聚一堂，就新形勢下的移動終端安全問題，進行深入探討。與會專家一致認(rèn)為，移動環(huán)境下安全風(fēng)險更加復(fù)雜、攻擊手段呈現(xiàn)高科技、高智商化，單靠一家廠商或者一款軟件來保護的時代已經(jīng)過去了，全鏈條的協(xié)同防御變得非常重要，共建移動安全生態(tài)勢在必行。

　　圖一：ISC2017移動終端安全論壇嘉賓合影

　　作為論壇主持人，360集團助理總裁姚彤舉了一個案例故事，某位用戶，接到某電商的客服電話，告知是退款，該用戶按照電話，輸入驗證碼，登錄操作，最終莫名奇妙在某網(wǎng)貸平臺上欠了幾十萬元，方知道自己受騙。在整個過程中，牽涉到電商平臺管理、個人信息隱私和泄露、電話和短信驗證碼識別、網(wǎng)貸平臺管理等等多個問題，但卻很難用單一手段徹底解決，這導(dǎo)致今年網(wǎng)貸類詐騙案例頻發(fā)，呈爆發(fā)跡象。

　　手機安全和個人財富息息相關(guān)，安全問題一旦大規(guī)模爆發(fā)，甚至?xí)�讓大批人傾家蕩產(chǎn)，威脅社會穩(wěn)定。幸運的是，運營商、手機廠商、研究機構(gòu)、安全服務(wù)商已經(jīng)意識到威脅的嚴(yán)重性，并積極協(xié)同，未雨綢繆。

　　運營商主動提升開放性，賬號認(rèn)證安全性更出色

　　此前財富中文網(wǎng)發(fā)布最新《財富》中國500強排行榜，中國移動位列第6名，持續(xù)領(lǐng)跑運營商行業(yè)。中國移動作為運營商領(lǐng)域最強企業(yè)，多年來不斷推出包括動感地帶、神州行等在內(nèi)的多項服務(wù)，滿足了不同類別用戶需求，最終收獲口碑贏得民心。

　　在論壇上中國移動代表人提出中移動將主動開放大網(wǎng)能力，為手機用戶提供更安全更便捷的賬號認(rèn)證服務(wù)，屆時會給移動互聯(lián)網(wǎng)安全帶來全新體驗。

　　手機廠商公開網(wǎng)絡(luò)安全戰(zhàn)略，只為建設(shè)聯(lián)合安全生態(tài)

　　移動終端安全問題重大，僅憑運營商一己之力并不能解決，因此華為作為手機廠商代表應(yīng)邀參加移動終端安全分論壇，華為首席安全科學(xué)家李雨航出席了此次會議。

　　圖二：華為首席安全科學(xué)家李雨航

　　在論壇上，李雨航發(fā)表了以《芯端云協(xié)同，消費者安全》為主題的演講，他提及手機用戶面臨著移動應(yīng)用方面的威脅，其增長速度極快，部分安卓惡意軟件呈現(xiàn)指數(shù)級增長。華為公司在應(yīng)對安全方面，將網(wǎng)絡(luò)安全視作公司最高戰(zhàn)略，置于商業(yè)利益之上。

　　而在應(yīng)急生態(tài)和安全建設(shè)方面，李雨航表示：各個廠商可能也是需要政產(chǎn)學(xué)研來協(xié)同，一起共建生態(tài)。

　　由此可見，華為已經(jīng)意識到協(xié)同合作共筑移動互聯(lián)網(wǎng)安全防線的重要性，相信在不久的將來，華為將為建設(shè)聯(lián)合安全應(yīng)急響應(yīng)和安全生態(tài)提供更大助力，用戶在使用手機時也能減少安全威脅困擾。

　　多家安全實驗室共揭重大安全漏洞

　　移動互聯(lián)網(wǎng)的安全問題日益嚴(yán)重，并呈現(xiàn)高科技、高智商、社會工程學(xué)、詐騙產(chǎn)業(yè)化、損失巨額化等愈加復(fù)雜的趨勢特點。從個人信息泄漏、網(wǎng)絡(luò)電信詐騙，到金融支付騙局，再到勒索病毒，可以看到每一類移動安全事件的背后，都牽涉到移動終端的多方面漏洞和不同環(huán)節(jié)的安全生態(tài)。

　　基于此，盤古實驗室、工信部泰爾終端實驗室、阿里系螞蟻金服巴斯光年實驗室、360烽火實驗室、360阿爾法團隊等多家安全機構(gòu)均出席了移動終端安全分論壇，共同向大眾揭露重大安全漏洞，并分享精彩干貨。

　　論壇現(xiàn)場，阿里系安全實驗室從手機集成的第三方服務(wù)入手，向論壇嘉賓及觀眾介紹了第三方服務(wù)的攻擊面及攻擊方法。并以之前發(fā)現(xiàn)的某個FOTA服務(wù)漏洞為例，現(xiàn)場演示如何根據(jù)方法尋找到相關(guān)攻擊面進而發(fā)現(xiàn)漏洞。

　　360 Alpha Team安全研究員楊文林從N-Day安全威脅出發(fā)，在論壇上向大眾揭秘了現(xiàn)實中安卓系統(tǒng)的安全狀態(tài)。在演講中，他提及安卓系統(tǒng)缺乏高效的升級功能并且碎片化嚴(yán)重，并且據(jù)安卓上市的0day漏洞披露統(tǒng)計：2015年谷歌官方公布了64個漏洞，2016年則公布了498個，截至2017年上半年谷歌官方已披露了1000個，由此可見安卓安全漏洞數(shù)量呈迅猛上漲趨勢。2017年下半年，甚至2018年漏洞可能數(shù)以千計爆發(fā)出來。

　　隨后楊文林還通過研究N-Day在各設(shè)備上的影響情況，統(tǒng)計各種維度上的安全狀態(tài)的差異，并分析出不同設(shè)備、系統(tǒng)的安全狀態(tài)，最終描繪出了一個清晰的安卓系統(tǒng)安全狀態(tài)圖。

　　圖三：360 Alpha Team安全研究員楊文林

　　360烽火實驗室技術(shù)經(jīng)理陳宏偉則以今年臭名昭著的勒索蠕蟲病毒W(wǎng)annaCry為切入點，講述未來手機勒索軟件的發(fā)展及變化。還揭破了手機勒索軟件背后的黑色產(chǎn)業(yè)鏈以及特有的傳播方式。最后還針對各類手機勒索軟件提出了具體可行的解決方案。

　　對于手機勒索軟件，陳宏偉強調(diào)手機勒索軟件是指利用一種或多種技術(shù)手段，造成的后果包含但不限于鎖住用戶移動設(shè)備、加密設(shè)備中的數(shù)據(jù)文件、設(shè)備無法正常使用，并以此威脅用戶，要求用戶支付一定的費用來恢復(fù)移動設(shè)備正常的惡意程序。

　　而如何應(yīng)對手機勒索軟件，陳宏偉建議手機用戶首先要提高安全意識。并及時安裝手機系統(tǒng)更新，另外還需安裝安全軟件，并保持病毒庫的實時更新，保持病毒庫在一個最新的狀態(tài)。

　　圖四：360烽火實驗室技術(shù)經(jīng)理陳宏偉

　　本次分論壇最后，各方機構(gòu)還聯(lián)合發(fā)布了《2017年中國手機安全生態(tài)報告》，共同發(fā)出倡議書，形成了以手機廠商、安全廠商、科研機構(gòu)等為一體的多方位、全鏈接移動網(wǎng)絡(luò)安全防護體系。為了能夠更加有效的解決移動安全問題，對此我們呼吁更多企業(yè)和機構(gòu)能協(xié)同聯(lián)動，共筑移動互聯(lián)網(wǎng)安全防線。