网络安全意识

国产操作系统成功的羁绊何在

admin

近来，继红旗Linux倒闭、WinXP、Win7停止支持、中国政府拒绝Win8并调查微软垄断、中美贸易战之后，国产操作系统成为网络安全界的一个热门话题。不过，看起来目前最积极的也只是个别专家院士和党政军团体，以及一些利益攸关的国内Linux厂商。

为什么即使十几年来市场对免费的Linux桌面操作系统都不够积极，但是仍然有“左派”屡败屡战呢？昆明亭长朗然科技有限公司信息安全顾问董志军表示：不排除有一些骗国家项目投资的公司，但主要的问题还是市场运作方面。

和移动便携设备如智能手机或平板电脑相比，个人电脑的不可替代性在功能强大和高效率，主要体验在重量级的应用程序和键盘快捷输入方面。

而与Windows相比，基于Linux的国产操作系统主要问题在应用软件缺乏，并且对使用者的技术水平要求较高。不过，如果上升到应用层面和云计算层面看问题，就可以轻松抛开旧的思维，走出认识的怪圈，而不固守在操作系统。在应用层面，最不受限制的当然是基于浏览器的Web服务；最大的问题当然是只能跑在Windows平台下的客户端软件。

让我们想一想，如果应用系统都是基于浏览器的，那操作系统已经无关重要，个人电脑就是一个网络浏览器终端。当我们只需要在个人电脑上使用网络浏览器时，操作系统自然而然就不是问题了。

当个人电脑只是一个网络浏览器终端的时候，终端安全不仅可以轻松解决，更能节省大量对客户端的技术支持。同时，核心的数据集中在服务器或云端，也比分散于各个终端要利用安全控管。让我们试想一下，只要中央政府下令，各地的政府机关应用系统必须在一年内迁到Web平台，这年头儿，啥事儿不能直接通过浏览器来完成？谁还在乎微软的操作系统啊？

对大多数个人及家庭计算来讲，浏览器已经足够满足人们听听歌、看看片、上上网、打游戏等等需求。即使是在商业领域，跑在个人电脑上的关键的应用数量也不太多，而且大的趋势是这些都在逐渐迁移至云计算。包括常用的办公软件、设计软件等等。

在个人电脑领域，WinTel联盟被打破指日可待，终端设备已经不再需要那么强劲的芯片和过于臃肿的操作系统。同时移动计算来势汹汹，移动设备凭借着天生的便利性，在工作中的应用越来越多，时刻冲击着传统的个人电脑的地位。在商业领域，移动设备在工作中的采用已经颇为广泛，只是党政军团体限于特殊的网络信息安全要求，而迟迟不能大批量使用。

产业链、生态链的关键在终端应用，除了操作系统厂商自己，国内其它的大型软件公司和互联网公司才不愿意理会什么操作系统，他们宁愿伴着更有核心技术的国外大厂商，或开发出与操作系统平台无关的云端应用。

说到底，国产操作系统要想活下来，别想着搞什么软件市场。亭长朗然公司信息安全顾问董志军称：在移动设备上人们根本都不需要太多应用软件、也没有真正用到多少，输入法都已经到云端了，还有什么不应该到云上的呢？想着帮助政府机构把服务器/客户端的传统计算模式变成服务器/浏览器的云计算模式，才是更现实的关键步骤。

想当年，中央政府拒绝Win8上采购清单的一个重要原因是网络安全，实话说是Win8和云计算结合太紧密，而微软自家的云计算是中国政府机构不可控的，但云端数据却是美国相关机构可监管和获取的。我们要保护好国家网络安全，在信息化建设方面上台阶，就要让国产操作系统和国内的云计算关联起来。部署私有云、卸载掉客户端软件、换用网络浏览器是国家网络安全的最佳战略。而要让人们了解这些，无疑需要从网络安全意识认知教育开始抓起。欢迎访问我们的在线“网络安全意识课程”，您可以使用和操作系统无关的任何浏览器软件访问哦！

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：[email protected]
  • QQ：1767022898

太阳风供应链攻击：从灾难中学习的安全觉醒之路

admin

数字世界的珍珠港事件

2020年12月，一个震惊全球的网络安全事件悄然发生——太阳风(SolarWinds)供应链攻击。这场攻击被许多专家比作”数字世界的珍珠港事件”，因为它展示了攻击者如何通过供应链渗透，在全球数千家组织中安装后门程序。受影响的组织包括美国政府机构、军方、财富500强企业以及多个关键基础设施运营商。

这场攻击的特别之处在于，它利用了软件开发商的更新机制。攻击者通过渗透太阳风公司的内部网络，在其Orion平台的软件更新中植入恶意代码。当客户下载并安装这些更新时，恶意代码也随之安装，为攻击者提供了持久的访问权限。这种攻击方式被称为”供应链攻击”，因为它利用了组织对供应商的信任。

根本原因分析：安全意识的盲点

技术层面的漏洞

  1. 软件开发生命周期的缺陷：太阳风公司的软件开发和发布流程存在严重缺陷。攻击者能够在开发环境中植入恶意代码，说明公司缺乏严格的代码审查和发布控制机制。

  2. 多因素认证的缺失：许多受影响的系统没有实施多因素认证(MFA)，使得攻击者能够通过窃取的凭据轻松获取访问权限。

  3. 日志记录和监控的不足：许多组织没有实施全面的日志记录和实时监控，导致攻击者能够在系统中长期活动而不被发现。

安全意识的不足

  1. 对供应链风险的忽视：许多组织过于信任其供应商，没有对供应商的安全实践进行充分的审查和监督。这种盲目信任是供应链攻击得逞的重要原因。

  2. 员工安全意识的缺乏：太阳风公司的员工可能没有接受足够的安全意识培训，导致他们没有识别出异常的开发活动或可疑的网络行为。

  3. 管理层的安全意识不足：高层管理人员可能没有充分认识到网络安全的重要性，导致资源投入不足，安全政策执行不力。

组织文化的问题

  1. 安全与业务的脱节：许多组织将网络安全视为IT部门的责任，而不是整个组织的责任。这种思维导致安全措施没有得到全面的支持和执行。

  2. 风险管理的不足：许多组织没有建立全面的风险管理框架，导致它们无法识别和缓解供应链攻击等新兴威胁。

网络安全控制的教训

技术控制

  1. 实施多因素认证：所有关键系统和账户都应实施多因素认证，以防止凭据被窃取后被滥用。

  2. 加强日志记录和监控：组织应实施全面的日志记录和实时监控，以便及时发现和响应异常活动。

  3. 实施软件配置管理：组织应实施严格的软件配置管理，包括代码审查、发布控制和变更管理。

行政控制

  1. 建立供应链风险管理框架：组织应建立全面的供应链风险管理框架，包括供应商安全评估和持续监控。

  2. 制定明确的安全政策和程序：组织应制定明确的安全政策和程序，并确保所有员工都了解和遵守这些政策。

  3. 定期进行安全审计和评估：组织应定期进行安全审计和评估，以识别和缓解安全漏洞。

预防性控制

  1. 实施零信任架构：组织应实施零信任架构，确保所有访问请求都经过严格的验证和授权。

  2. 加强网络分段：组织应加强网络分段，限制攻击者的横向移动能力。

  3. 实施安全开发实践：组织应实施安全开发实践，如安全编码标准、代码审查和渗透测试。

响应控制

  1. 建立应急响应计划：组织应建立全面的应急响应计划，包括攻击检测、隔离和恢复流程。

  2. 定期进行应急演练：组织应定期进行应急演练，以确保响应团队能够有效地应对网络攻击。

  3. 建立威胁情报共享机制：组织应建立威胁情报共享机制，以便及时了解新兴威胁和攻击手法。

安全意识计划的创新解决方案

1. 互动式安全剧场

为了提高员工的安全意识，我们可以创建互动式安全剧场。这种剧场可以模拟各种安全场景，如钓鱼邮件、社会工程攻击和供应链风险。员工可以通过参与这些剧场，学习如何识别和应对这些威胁。这种方法不仅能够提高员工的安全意识，还能够让学习过程更加有趣和有趣。

2. 游戏化学习平台

我们可以开发一个游戏化学习平台，让员工通过完成各种安全任务和挑战来赚取积分和奖励。这个平台可以包括各种安全主题，如密码管理、社会工程攻击和供应链风险。通过游戏化学习，我们可以让员工在轻松愉快的环境中学习网络安全知识。

3. 安全意识社区

我们可以建立一个安全意识社区，让员工可以分享安全经验和知识。这个社区可以包括论坛、博客和社交媒体平台。通过这个社区，员工可以互相学习，分享最佳实践，并提高整体的安全意识。

4. 定制化安全培训

我们可以为不同的员工群体提供定制化的安全培训。例如，IT部门的员工可能需要更深入的技术培训，而非技术员工可能需要更基础的安全意识培训。通过定制化培训，我们可以确保每个员工都能够获得适合他们的安全知识。

5. 安全意识挑战赛

我们可以定期举办安全意识挑战赛，让员工通过完成各种安全任务和挑战来赢取奖励。这些挑战可以包括识别钓鱼邮件、发现网络漏洞和应对社会工程攻击。通过挑战赛，我们可以让员工在竞争环境中提高安全意识。

6. 安全意识故事会

我们可以创作和分享安全意识故事，这些故事可以基于真实的网络安全事件或虚构的安全场景。通过故事，我们可以让员工更好地理解网络安全的重要性，并学习如何应对各种威胁。

7. 安全意识黑客马拉松

我们可以组织安全意识黑客马拉松，让员工和安全专家一起合作，开发创新的安全解决方案。这些解决方案可以包括新的安全工具、技术和流程。通过黑客马拉松，我们可以鼓励创新，并提高整体的安全意识。

8. 安全意识实验室

我们可以建立安全意识实验室，让员工可以在安全的环境中进行各种安全实验和测试。这个实验室可以包括各种安全工具和技术，如渗透测试工具、安全扫描工具和漏洞利用工具。通过实验室，我们可以让员工更好地理解网络安全技术，并提高他们的技能。

9. 安全意识沙盘演练

我们可以组织安全意识沙盘演练，让员工可以在模拟的网络攻击环境中进行决策和响应。这些演练可以包括各种攻击场景，如钓鱼攻击、恶意软件感染和供应链攻击。通过沙盘演练，我们可以让员工更好地理解网络攻击的过程，并提高他们的响应能力。

10. 安全意识奖励计划

我们可以建立安全意识奖励计划，奖励那些在安全意识方面表现突出的员工。这些奖励可以包括金钱奖励、奖品和认可证书。通过奖励计划，我们可以鼓励员工积极参与安全意识活动，并提高整体的安全意识。

结论：从灾难中学习，构建更安全的未来

太阳风供应链攻击为我们敲响了警钟，提醒我们网络安全不仅仅是技术问题，更是组织文化和员工意识的问题。通过加强技术控制、行政控制、预防性控制和响应控制，我们可以显著提高组织的安全水平。同时，通过创新的安全意识计划，我们可以让员工成为组织安全的第一道防线。

让我们记住，网络安全不是一场比赛，而是一场马拉松。我们需要持续不断地努力，不断适应新的威胁和挑战。只有通过不断的学习和改进，我们才能构建一个更安全的数字世界。

昆明亭长朗然科技有限公司是国内定制信息安全培训课程的领先提供商，这一点让我们与众不同。我们通过提供多种灵活的设计、制作与技术服务，来为帮助客户成功地发起安全意识宣教活动，进而为工作人员做好安全知识和能力的准备，以便保护组织机构的成功。

如果您有相关的兴趣或需求，欢迎不要客气地联系我们，预览我们的作品，试用我们的平台，以及洽谈采购及合作事宜。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898