从“轮渡”和“摆渡”看信息安全文化

对比中外信息安全意识宣教内容,发现一个有意思的现象:关于网络骗局,西方国家有很多专业性的词汇,并且详细解释不同名称的骗局之间的差别。而中国除了“钓鱼”、“诈骗”之外,几乎没有什么对应的专业名称。

反思一下,从计算机病毒的命名方法开始,中国就一直是西方强国的追随者,如同西医一样,西方强国讲科学,为什么在人员安全领域,很多学术方面的新词引进不来呢?分析原因,昆明亭长朗然科技有限公司网络安全分析师董志军说:如同中医中的疾病名称数量远不如西医多一样,万“骗”不离其宗,在国人眼中,反正都是骗,没必要给不同的骗术取名以区分。

这不见得就完全是一种文化落后,举例讲,病人在看病的时候,问医生是什么病,如果被告知一个拗口的疾病名称,那病人的心理负担可能会加重。当然,病人可以花更多时间和精力去各种渠道了解相关疾病的真相。同样,在网络攻击和网络诈骗领域,很多专业新名词也会让一些非专业人士懵逼,不过笔者认为这不应该是在信息安全意识领域止步,不引进西方强国定义的很多名词的理由。就如同一个老师想:这些都是笨孩子,不要给他们新知。

这种“落后”,原因在于保守的传统,化解方法其实很简单,一方面要积极开放,通过引进西方强国的新知,另一方面要果断摈弃落后的传统,也是常说的传统文化中的糟粕。

说到传统文化中的糟粕,不仅仅是愚忠愚孝和封建迷信,更应该注意“语言腐败”,张维迎教授对这点有深刻的阐述。笔者最近看到近几年信息安全保密领域里有一些新词,比如“轮渡”和“摆渡”,这两个词其实是一个意思,正如同一条大河阻隔了河两岸百姓的生活,但老渔民为方便乡亲们的生活,利用渔船在两岸“轮渡”或“摆渡”接送人过河。当然,这是善意的,计算机领域的“轮渡”或“摆渡”攻击却是恶意的,但原理与之类似。

政府机构、军队、银行金融、能源电力等关键部门的信息系统,首要的防护措施便是隔离,内部网络与外部网络之间实行严格的物理隔离。但是泄密事件仍时常发生,这是什么原因呢?就是因为“轮渡”或“摆渡”攻击。这词的发明是多么的生动形象呀!我们不得不叹服造词者深厚的传统文化底蕴。

造词者对“轮渡”或“摆渡”攻击给出了如下案例描述、步骤讲解,以及防范之道:

攻击的实例

张某,某大学知名教授。其白天使用办公电脑工作,晚上使用个人电脑上互联网查阅资料。为了方便工作,其用U盘将互联网资料拷贝到办公电脑,并将办公电脑中未完成的工作拷贝到个人电脑,造成办公电脑内几百份涉密资料泄露到互联网上。事后,张某受到严重的行政和党纪处分。

典型攻击步骤

“轮渡”或“摆渡”攻击利用移动载体比如U盘作为“渡船”,达到间接从内部网络中秘密窃取文件、资料的目的。

  1. 黑客首先攻击该涉密人员连接互联网的私人计算机,在该计算机中植入木马。
  2. 当涉密人员在私人计算机上使用U盘拷贝资料时,木马将自身打包存储到U盘内。
  3. 该涉密人员将U盘插入内网计算机,木马将自身拷贝到内网计算机。
  4. 木马窃取内网计算机中的文件、资料并存储到U盘中。
  5. 当涉密人员再次将U盘插入到私人计算机上时,木马将从内网中窃取的文件、资料拷贝到私人计算机中。
  6. 涉密人员使用私人计算机上网时,涉密文件、资料被发送到互联网上。

这样,通过U盘这个“渡船”,在“轮渡”或“摆渡”木马的控制下,就完成了内部网络与互联网之间的“轮渡”或“摆渡”攻击。

攻击的防范

“轮渡”或“摆渡”木马与正常软件没有本质的区别,杀毒软件也无能为力,普通用户更加难以防范。U盘等移动载体在摆渡攻击中承担重要角色,因此,禁止在两个信息系统之间交叉使用移动载体,已成为最重要的安全保密规定。

关于信息安全保密文化的反思

前述部分看上去比较科学严谨吧?不要高兴太早,因为在两个系统之间有交换数据的需求!接下来,各种奇葩的保密产品、技术和管控制度就出台了,当然,伴随而来的是各种企图突破或超过这些保密控制措施的奇怪招数。比如,不让交叉使用移动存储载体,那我用条网线或无线收发器连接成局域网行不行?不要混合内外网?用个单向数据传输设备行不行?

这些解决问题的方法简单说总是拿一个新东西来补救一个旧东西,真是让人啼笑皆非。董志军说:通过使用似是而非的“新词”来推动信息安全保密“改革”工作,真是在当前环境下的一种无奈之举。不过这正体现了我们很多组织机构信息安全文化的“落后”,不承认落后不行,只有认识到落后了,才能奋起直追向强者学习。那么,请我们仔细分析问题的根源,木马怎么来!电脑本身不安全!涉密人员使用电脑的行为不安全!为什么会这样?公私不分!工作用计算机没有得到必要的安全加固!涉密人员的信息安全意识缺乏,计算机安全操作技术不过关!

说到底,很多涉密机构的信息安全保密管理人员不懂基本的计算机安全原理、技术和方法,即使有一些懂的,也没能让涉密人员掌握必要的信息安全保密知识和技能。

人太傻,只好使用技术控管措施、更多的保密产品和更多的保密检查,花钱事小,效果不佳,泄密失密频发,违纪人员被一波一波整肃,信息安全保密工作岗也受到牵连才真正事大。当然,事后也还要来点模板式的总结,比如“此事泄密事件暴露了部分涉密人员保密观念淡薄、信息技术知识特别是网络安全防范知识欠缺、单位网络管理不规范等问题。”

国内很多机构保密人员“人浮于事”,其实那些信息安全保密人员都是聪明人,只是聪明才智得不到发挥。为什么呢?表面上看是事儿太多,忙不过来,只有拆东墙补西墙般救火。其实是信息安全保密文化的落后使然,您一个人再能干,在那个环境下,也是不足够的。因为信息安全保密工作是全员性的,至少要让所有涉密人员都变强大。

当所有涉密人员都在信息安全保密意识方面强大了,信息安全文化便真正建立起来,失密泄密事件即使发生,局势也会在控制之下,失泄密责任清晰明了,信息安全保密工作人员自然不会因工作不到位而受影响。

如何把信息安全保密从业人员的知识理念和安全技能传输给其他涉密人员呢?昆明亭长朗然科技有限公司创作了数百部信息安全保密教育视频课程以及宣传图片,数百万学员通过我们的作品提升了安全防范意识、信息保密意识及合规守法意识,不仅保护好了自己,也给所在工作单位带来了安全收益,形成了一道强有力的安全人员防线,对建立良好的信息安全保密文化进到了良好的促进作用。欢迎有类似需求的领导们及信息安全产品厂商、服务商、合作伙伴们与我们联系,洽谈业务合作。

昆明亭长朗然科技有限公司

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

为什么要保密?

我们身边有很多人严重缺乏保密相关的意识、责任与知识。即使在职场,也经常听到员工们讲说单位的保密规矩太多,要求太高,不准讲这不准讲那的,好像在干什么见不得人的勾当。

这种情形相信您不会陌生,特别对于新入职人员来讲这种报怨简直是家常便饭。对此,昆明亭长朗然科技有限公司保密宣教主任董志军说:不管您是政府机关公务员、事业单位工作人员,还是国企私企职工,您是否警惕过自己可能会无意间泄露单位的秘密?近年来,大量的失密泄露事故无不为我们敲响警钟,保守秘密除了受法律约束之外,也是一种职业道德与社会行为规范。

为什么这样讲呢?首先,工作保密的要求,是有法律支持的,不论是《保密法》还是《保密工作条例》,都有对保密的明确规定,这是强制性的,违反保密要求,就等着受处罚吧!切记:保密法律之剑时刻高悬于您的头顶。

其次,保密是一种职业道德的要求,职业道德是指从业人员在职业活动中应遵循的、体现一定职业特征的、调整一定职业关系的职业行为准则和规范。进入职场的人几乎都会签一份保密协议,外企简称它为NDA,这是因为工作单位有很多不宜被公开披露的内容,包括技术秘密、产品机密、生产配料、制作流程、核心战略等机密,这些机密的外泄往往会给该单位造成巨大的损害。自然而然,职场人士会或多或少接触到这些工作机密,因此工作单位不得不让相关工作人员保护它们。随意泄露工作机密,是在危害雇主的关键利益,不仅不道德,简单就是在违法偷窥呢,当然是职场人士的忌讳。

最后,保密也是一项社会行为规范,是指人们在社会行为中需要遵守的规矩和活动准则。它是人类为了社会共同生活的需要,在社会互动过程中衍生出来,相习成风,约定俗成,或者由人们共同制定并明确施行的。作为一个“社会人”,不是深山老林里面的“孤狼”,就需要与他人建立信任,与要与他人互动,要了解他人的机密,以及与他人分享自己的机密。如果您随意对其他人的隐私进行“告密”或“揭密”,他人将无法再信任您。如果人与人之间都这样,那这个社会将陷入一个可怕的境地。

总之,法律与道德犹如车之两轮、鸟之双翼,不可分离。通俗地说,道德约束人的心,法律约束人的行,道德催人向上,法律防人向下。道德评价是一种巨大的社会力量和人们内在的意志力量,道德是人以评价来把握现实的一种方式,它是通过把周围社会现象判断为“善”与“恶”而实现的。

综上所述,为啥要保密,很多人不知道,正是由于这种无知而导致大量的窃密和泄密事故,当然,也导致了大量的利益损害和惩戒。因此,教育人们“懂保密”,是一项重要的工作。保密事关国家安全和利益。中国特色社会主义进入新时代,安全保密形势日益严峻,反窃密防泄密斗争尖锐复杂。政府机关公务员、事业单位工作人员要常敲保密警钟,时刻绷紧保密弦,才能增强保密意识、规范保密管理、严守保密纪律,筑牢党和国家秘密安全防线。国企私企职工亦要注意保守工作秘密,因为保密是在保护所在工作单位的利益,也就是在保自己的“饭碗”。

昆明亭长朗然科技有限公司创作了数百部信息安全保密教育视频课程以及宣传图片,数百万学员通过我们的作品提升了安全防范意识、信息保密意识及合规守法意识,不仅保护好了自己,也给所在工作单位带来了安全收益。欢迎有类似需求的领导们及信息安全保密产品厂商、服务商、合作伙伴们与我们联系,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898