ISC 2017聚焦大安全時(shí)代 全鏈條防御成移動(dòng)安全趨勢(shì)

　　“中國移動(dòng)支付震驚世界”、“歪果仁驚嘆中國手機(jī)支付普及”……一系列標(biāo)題的背后，是中國移動(dòng)互聯(lián)網(wǎng)的高速普及。據(jù)工信部最新數(shù)據(jù)顯示，截至2017年7月末，我國移動(dòng)互聯(lián)網(wǎng)用戶總數(shù)已達(dá)12億戶，位居世界第一。同時(shí)，手機(jī)全民化也帶來了層出不窮的安全問題，360此前發(fā)布的《2017年第二季度中國手機(jī)安全狀況報(bào)告》顯示，惡意程序、釣魚網(wǎng)站、騷擾電話、垃圾短信、網(wǎng)絡(luò)詐騙是威脅手機(jī)安全的五大因素，其中網(wǎng)絡(luò)詐騙發(fā)展最為猖狂，第二季度人均損失金額翻倍，高達(dá)17582元，同比2016年第二季度高出一倍多。

　　如何保護(hù)12億移動(dòng)上網(wǎng)用戶的安全?如何構(gòu)建更健康的移動(dòng)安全生態(tài)?在9月11-13日國家會(huì)議中心召開的中國互聯(lián)網(wǎng)安全大會(huì)(ISC2017)上，移動(dòng)終端安全分論壇成為整個(gè)大會(huì)的焦點(diǎn)。以中國移動(dòng)代表的運(yùn)營商，以華為等代表的手機(jī)廠商，工信部旗下泰爾實(shí)驗(yàn)室、盤古實(shí)驗(yàn)室，以及國內(nèi)領(lǐng)先的安全服務(wù)商360等多家機(jī)構(gòu)，共聚一堂，就新形勢(shì)下的移動(dòng)終端安全問題，進(jìn)行深入探討。與會(huì)專家一致認(rèn)為，移動(dòng)環(huán)境下安全風(fēng)險(xiǎn)更加復(fù)雜、攻擊手段呈現(xiàn)高科技、高智商化，單靠一家廠商或者一款軟件來保護(hù)的時(shí)代已經(jīng)過去了，全鏈條的協(xié)同防御變得非常重要，共建移動(dòng)安全生態(tài)勢(shì)在必行。

　　圖一：ISC2017移動(dòng)終端安全論壇嘉賓合影

　　作為論壇主持人，360集團(tuán)助理總裁姚彤舉了一個(gè)案例故事，某位用戶，接到某電商的客服電話，告知是退款，該用戶按照電話，輸入驗(yàn)證碼，登錄操作，最終莫名奇妙在某網(wǎng)貸平臺(tái)上欠了幾十萬元，方知道自己受騙。在整個(gè)過程中，牽涉到電商平臺(tái)管理、個(gè)人信息隱私和泄露、電話和短信驗(yàn)證碼識(shí)別、網(wǎng)貸平臺(tái)管理等等多個(gè)問題，但卻很難用單一手段徹底解決，這導(dǎo)致今年網(wǎng)貸類詐騙案例頻發(fā)，呈爆發(fā)跡象。

　　手機(jī)安全和個(gè)人財(cái)富息息相關(guān)，安全問題一旦大規(guī)模爆發(fā)，甚至?xí)�讓大批人傾家蕩產(chǎn)，威脅社會(huì)穩(wěn)定。幸運(yùn)的是，運(yùn)營商、手機(jī)廠商、研究機(jī)構(gòu)、安全服務(wù)商已經(jīng)意識(shí)到威脅的嚴(yán)重性，并積極協(xié)同，未雨綢繆。

　　運(yùn)營商主動(dòng)提升開放性，賬號(hào)認(rèn)證安全性更出色

　　此前財(cái)富中文網(wǎng)發(fā)布最新《財(cái)富》中國500強(qiáng)排行榜，中國移動(dòng)位列第6名，持續(xù)領(lǐng)跑運(yùn)營商行業(yè)。中國移動(dòng)作為運(yùn)營商領(lǐng)域最強(qiáng)企業(yè)，多年來不斷推出包括動(dòng)感地帶、神州行等在內(nèi)的多項(xiàng)服務(wù)，滿足了不同類別用戶需求，最終收獲口碑贏得民心。

　　在論壇上中國移動(dòng)代表人提出中移動(dòng)將主動(dòng)開放大網(wǎng)能力，為手機(jī)用戶提供更安全更便捷的賬號(hào)認(rèn)證服務(wù)，屆時(shí)會(huì)給移動(dòng)互聯(lián)網(wǎng)安全帶來全新體驗(yàn)。

　　手機(jī)廠商公開網(wǎng)絡(luò)安全戰(zhàn)略，只為建設(shè)聯(lián)合安全生態(tài)

　　移動(dòng)終端安全問題重大，僅憑運(yùn)營商一己之力并不能解決，因此華為作為手機(jī)廠商代表應(yīng)邀參加移動(dòng)終端安全分論壇，華為首席安全科學(xué)家李雨航出席了此次會(huì)議。

　　圖二：華為首席安全科學(xué)家李雨航

　　在論壇上，李雨航發(fā)表了以《芯端云協(xié)同，消費(fèi)者安全》為主題的演講，他提及手機(jī)用戶面臨著移動(dòng)應(yīng)用方面的威脅，其增長速度極快，部分安卓惡意軟件呈現(xiàn)指數(shù)級(jí)增長。華為公司在應(yīng)對(duì)安全方面，將網(wǎng)絡(luò)安全視作公司最高戰(zhàn)略，置于商業(yè)利益之上。

　　而在應(yīng)急生態(tài)和安全建設(shè)方面，李雨航表示：各個(gè)廠商可能也是需要政產(chǎn)學(xué)研來協(xié)同，一起共建生態(tài)。

　　由此可見，華為已經(jīng)意識(shí)到協(xié)同合作共筑移動(dòng)互聯(lián)網(wǎng)安全防線的重要性，相信在不久的將來，華為將為建設(shè)聯(lián)合安全應(yīng)急響應(yīng)和安全生態(tài)提供更大助力，用戶在使用手機(jī)時(shí)也能減少安全威脅困擾。

　　多家安全實(shí)驗(yàn)室共揭重大安全漏洞

　　移動(dòng)互聯(lián)網(wǎng)的安全問題日益嚴(yán)重，并呈現(xiàn)高科技、高智商、社會(huì)工程學(xué)、詐騙產(chǎn)業(yè)化、損失巨額化等愈加復(fù)雜的趨勢(shì)特點(diǎn)。從個(gè)人信息泄漏、網(wǎng)絡(luò)電信詐騙，到金融支付騙局，再到勒索病毒，可以看到每一類移動(dòng)安全事件的背后，都牽涉到移動(dòng)終端的多方面漏洞和不同環(huán)節(jié)的安全生態(tài)。

　　基于此，盤古實(shí)驗(yàn)室、工信部泰爾終端實(shí)驗(yàn)室、阿里系螞蟻金服巴斯光年實(shí)驗(yàn)室、360烽火實(shí)驗(yàn)室、360阿爾法團(tuán)隊(duì)等多家安全機(jī)構(gòu)均出席了移動(dòng)終端安全分論壇，共同向大眾揭露重大安全漏洞，并分享精彩干貨。

　　論壇現(xiàn)場(chǎng)，阿里系安全實(shí)驗(yàn)室從手機(jī)集成的第三方服務(wù)入手，向論壇嘉賓及觀眾介紹了第三方服務(wù)的攻擊面及攻擊方法。并以之前發(fā)現(xiàn)的某個(gè)FOTA服務(wù)漏洞為例，現(xiàn)場(chǎng)演示如何根據(jù)方法尋找到相關(guān)攻擊面進(jìn)而發(fā)現(xiàn)漏洞。

　　360 Alpha Team安全研究員楊文林從N-Day安全威脅出發(fā)，在論壇上向大眾揭秘了現(xiàn)實(shí)中安卓系統(tǒng)的安全狀態(tài)。在演講中，他提及安卓系統(tǒng)缺乏高效的升級(jí)功能并且碎片化嚴(yán)重，并且據(jù)安卓上市的0day漏洞披露統(tǒng)計(jì)：2015年谷歌官方公布了64個(gè)漏洞，2016年則公布了498個(gè)，截至2017年上半年谷歌官方已披露了1000個(gè)，由此可見安卓安全漏洞數(shù)量呈迅猛上漲趨勢(shì)。2017年下半年，甚至2018年漏洞可能數(shù)以千計(jì)爆發(fā)出來。

　　隨后楊文林還通過研究N-Day在各設(shè)備上的影響情況，統(tǒng)計(jì)各種維度上的安全狀態(tài)的差異，并分析出不同設(shè)備、系統(tǒng)的安全狀態(tài)，最終描繪出了一個(gè)清晰的安卓系統(tǒng)安全狀態(tài)圖。

　　圖三：360 Alpha Team安全研究員楊文林

　　360烽火實(shí)驗(yàn)室技術(shù)經(jīng)理陳宏偉則以今年臭名昭著的勒索蠕蟲病毒W(wǎng)annaCry為切入點(diǎn)，講述未來手機(jī)勒索軟件的發(fā)展及變化。還揭破了手機(jī)勒索軟件背后的黑色產(chǎn)業(yè)鏈以及特有的傳播方式。最后還針對(duì)各類手機(jī)勒索軟件提出了具體可行的解決方案。

　　對(duì)于手機(jī)勒索軟件，陳宏偉強(qiáng)調(diào)手機(jī)勒索軟件是指利用一種或多種技術(shù)手段，造成的后果包含但不限于鎖住用戶移動(dòng)設(shè)備、加密設(shè)備中的數(shù)據(jù)文件、設(shè)備無法正常使用，并以此威脅用戶，要求用戶支付一定的費(fèi)用來恢復(fù)移動(dòng)設(shè)備正常的惡意程序。

　　而如何應(yīng)對(duì)手機(jī)勒索軟件，陳宏偉建議手機(jī)用戶首先要提高安全意識(shí)。并及時(shí)安裝手機(jī)系統(tǒng)更新，另外還需安裝安全軟件，并保持病毒庫的實(shí)時(shí)更新，保持病毒庫在一個(gè)最新的狀態(tài)。

　　圖四：360烽火實(shí)驗(yàn)室技術(shù)經(jīng)理陳宏偉

　　本次分論壇最后，各方機(jī)構(gòu)還聯(lián)合發(fā)布了《2017年中國手機(jī)安全生態(tài)報(bào)告》，共同發(fā)出倡議書，形成了以手機(jī)廠商、安全廠商、科研機(jī)構(gòu)等為一體的多方位、全鏈接移動(dòng)網(wǎng)絡(luò)安全防護(hù)體系。為了能夠更加有效的解決移動(dòng)安全問題，對(duì)此我們呼吁更多企業(yè)和機(jī)構(gòu)能協(xié)同聯(lián)動(dòng)，共筑移動(dòng)互聯(lián)網(wǎng)安全防線。