今年 1 月，拼多多因?yàn)槌霈F(xiàn)系統(tǒng) BUG，被黑灰產(chǎn)團(tuán)隊(duì)通過過期優(yōu)惠券漏洞盜取數(shù)千萬元平臺(tái)優(yōu)惠券，進(jìn)行不正當(dāng)牟利。有報(bào)道稱，拼多多因?yàn)榇舜问录p失達(dá)到數(shù)千萬元。
而那次事件還只是近年涌現(xiàn)的黑灰產(chǎn)攻擊的一個(gè)典型案例而已。如今，這些黑灰產(chǎn)團(tuán)隊(duì)已經(jīng)形成了產(chǎn)業(yè)鏈上下游，上游負(fù)責(zé)提供信息和數(shù)據(jù)，下游負(fù)責(zé)利用這些信息和數(shù)據(jù)變現(xiàn)。
圖丨拼多多薅羊毛事件（來源：拼多多）
“他們會(huì)有專業(yè)化的團(tuán)隊(duì)，把傳統(tǒng)分析漏洞的逆向技術(shù)、軟件跟蹤技術(shù)用在分析銀行、金融產(chǎn)業(yè)的軟件，發(fā)現(xiàn)其中漏洞?！痹诮沼谏虾Ｅe辦的騰訊安全國際技術(shù)峰會(huì)上，騰訊安全平臺(tái)負(fù)責(zé)人、騰訊安全學(xué)院副院長楊勇和 DeepTech 分享了近期出現(xiàn)的一種針對(duì)金融領(lǐng)域的新攻擊。
他舉例稱，有一些金融企業(yè)會(huì)將校驗(yàn)邏輯放在手機(jī)本地，犯罪團(tuán)伙發(fā)現(xiàn)后，就可以直接通過改本地?cái)?shù)據(jù)，開出更多貸款的額度，或者使用虛假的賬戶、虛假的身份等。這些黑灰產(chǎn)攻擊團(tuán)隊(duì)已經(jīng)初步具備規(guī)模化的能力，正在擴(kuò)大攻擊面。
“這對(duì)整個(gè)產(chǎn)業(yè)的風(fēng)險(xiǎn)是非常大的，因?yàn)橐郧爸皇情_出一個(gè)幾十元的會(huì)員卡看看電影，但現(xiàn)在可能是成千上萬甚至幾十萬的一筆貸款，這是產(chǎn)業(yè)內(nèi)發(fā)生一個(gè)新的變化”，楊勇說。
（來源：DeepTech）
在過去，傳統(tǒng)意義上的信息安全攻擊，往往表現(xiàn)為一段代碼或者操作系統(tǒng)有漏洞，然后攻擊方研究這個(gè)漏洞后黑進(jìn)去把數(shù)據(jù)偷出來。但到了具體的產(chǎn)業(yè)攻防場(chǎng)景，比如電商，可能攻擊方也利用了相同的漏洞，但他們的目的變成了薅羊毛，把紅包、營銷費(fèi)用全偷走。
根據(jù)第三方監(jiān)測(cè)機(jī)構(gòu)威脅獵人的統(tǒng)計(jì)，國內(nèi)的《網(wǎng)絡(luò)安全法》實(shí)施以來，明顯觸犯法律的黑產(chǎn)工具，如盜號(hào)木馬、遠(yuǎn)控木馬等，做的人越來越少的?，F(xiàn)在他們可以通過各種各樣的方法，比如在互聯(lián)網(wǎng)金融領(lǐng)域通過漏洞、風(fēng)控的缺陷去攻擊，進(jìn)而盜用金融身份去貸款等等。
也正因?yàn)檫@些新的變化的出現(xiàn)，產(chǎn)業(yè)攻防場(chǎng)景，成為 2019 年騰訊安全技術(shù)國際峰會(huì)的關(guān)鍵詞。圖丨黑灰產(chǎn)的產(chǎn)業(yè)鏈（來源：中信建設(shè)證券研究發(fā)展部）信息安全挑戰(zhàn)：攻擊面和危害程度都在擴(kuò)大
去年騰訊宣布進(jìn)軍產(chǎn)業(yè)互聯(lián)網(wǎng)，為配合這一戰(zhàn)略，騰訊還進(jìn)行了一次組織架構(gòu)的大型調(diào)整，宣布成立兩個(gè)新事業(yè)群：云與智慧產(chǎn)業(yè)事業(yè)群（CSIG）、平臺(tái)與內(nèi)容事業(yè)群（PCG）。其中，騰訊量子實(shí)驗(yàn)室、優(yōu)圖實(shí)驗(yàn)室、科恩實(shí)驗(yàn)室等騰訊內(nèi)部探索前沿科技的實(shí)驗(yàn)室，都劃到了 CSIG，這也使得 GSCI 成為騰訊擁有最多 T5 科學(xué)家的事業(yè)群（騰訊要求，T5 科學(xué)家不僅要是各自領(lǐng)域公認(rèn)的資深專家，還要有足夠的戰(zhàn)略眼光）。
圖丨在騰訊的職級(jí)能力體系中，T3 級(jí)人才就已經(jīng)非常重要（來源：互聯(lián)網(wǎng)）
而在歸屬 CSIG 之后，這些由科學(xué)家主導(dǎo)的實(shí)驗(yàn)室，其使命和任務(wù)有了微妙的變化，主要體現(xiàn)在和產(chǎn)業(yè)互聯(lián)網(wǎng)更深地結(jié)合上。
以騰訊安全科恩實(shí)驗(yàn)室為例，這個(gè)集結(jié)了業(yè)內(nèi)諸多國際信息安全頂尖專家的信息安全團(tuán)隊(duì)，現(xiàn)正在密切關(guān)注新出現(xiàn)的產(chǎn)業(yè)攻防場(chǎng)景。今年 4 月，科恩實(shí)驗(yàn)室就成功攻擊了特斯拉 Autopilot 系統(tǒng)，當(dāng)時(shí)這個(gè)研究工作也獲得了馬斯克點(diǎn)贊?？贫鲗?shí)驗(yàn)室早在 2016 年的時(shí)候就開始研究特斯拉的網(wǎng)聯(lián)安全，2018 年擴(kuò)展到了寶馬車型的安全問題，現(xiàn)在，智能網(wǎng)聯(lián)汽車安全上，科恩實(shí)驗(yàn)室也在和國內(nèi)的幾十個(gè)廠家合作進(jìn)行研究。
圖丨科恩實(shí)驗(yàn)室關(guān)于特斯拉自動(dòng)駕駛系統(tǒng)漏洞的研究（來源：科恩實(shí)驗(yàn)室）
不難看出，萬物互聯(lián)之后，信息安全的攻擊場(chǎng)景不再是簡單的偷數(shù)據(jù)和簡單獲取操作系統(tǒng)的權(quán)限，而是走向多樣化，現(xiàn)在，是時(shí)候從產(chǎn)業(yè)互聯(lián)網(wǎng)的出發(fā)點(diǎn)來重新審視信息安全。
楊勇認(rèn)為，具體到產(chǎn)業(yè)互聯(lián)網(wǎng)背景下，新的信息安全問題和挑戰(zhàn)可以概括為以下兩點(diǎn)：
首先在于不同行業(yè)的交叉帶來的攻擊面的擴(kuò)大。
例如，科恩實(shí)驗(yàn)室關(guān)于網(wǎng)聯(lián)汽車的信息安全，就是互聯(lián)網(wǎng)與汽車行業(yè)、出行安全的交叉結(jié)合。再如手機(jī)最基礎(chǔ)芯片存在一些安全問題，把 4G 或者 5G 的某些芯片應(yīng)用在出行或金融上，也可能會(huì)帶來信息安全的問題，這實(shí)際就是科技滲透帶來的問題。
第二，攻擊面擴(kuò)大帶來不同程度的危害。
之前個(gè)人信息安全不涉及出行場(chǎng)景，風(fēng)險(xiǎn)更多體現(xiàn)在電腦藍(lán)屏或者數(shù)據(jù)丟失等。但當(dāng)產(chǎn)業(yè)互聯(lián)網(wǎng)發(fā)展起來，出行的場(chǎng)景也被覆蓋其中，這就會(huì)造成人身安全問題。金融領(lǐng)域也一樣，可能會(huì)帶來一些重大金融風(fēng)險(xiǎn)。
圖丨楊勇（來源：騰訊）
安全投入難量化成為產(chǎn)業(yè)關(guān)鍵問題
從具體的技術(shù)來看，除了軟件層面的挑戰(zhàn)以外，硬件安全的重要性也在產(chǎn)業(yè)互聯(lián)網(wǎng)凸顯。
新的產(chǎn)業(yè)攻防場(chǎng)景往往會(huì)跟企業(yè)的業(yè)務(wù)場(chǎng)景有著更深的結(jié)合。此前業(yè)內(nèi)的信息安全團(tuán)隊(duì)更多關(guān)注是軟件層、網(wǎng)絡(luò)層的安全。但現(xiàn)在，新的場(chǎng)景下，硬件的安全已經(jīng)不容忽視，甚至還會(huì)有多個(gè)硬件、多個(gè)場(chǎng)景協(xié)同的，跨界的信息安全需求，例如跨攝像頭追蹤物品這樣的安防場(chǎng)景。這些都是新的產(chǎn)業(yè)和新的場(chǎng)景下所帶來新的應(yīng)用。而新的應(yīng)用，也就帶來了新的安全考慮。
今年的騰訊數(shù)字生態(tài)大會(huì)上，騰訊副總裁丁珂就提到，“安全已成為制約企業(yè)發(fā)展的天花板”。
但是，回到企業(yè)的角度，如何量化其應(yīng)該在安全上有多大的投入是一個(gè)關(guān)鍵的問題。所有人都知道安全很重要，但是永遠(yuǎn)不可能達(dá)到足夠的安全。種種不安全又意味著多大的風(fēng)險(xiǎn)？企業(yè)又要投入多少？
這需要行業(yè)內(nèi)的各方都理解這些風(fēng)險(xiǎn)的場(chǎng)景，特別是產(chǎn)業(yè)攻防場(chǎng)景，在對(duì)這些場(chǎng)景的了解不那么清晰的時(shí)候，對(duì)于安全的投入不好量化。
過去，行業(yè)內(nèi)的一個(gè)說法是安全唯成本中心論。有數(shù)據(jù)調(diào)查顯示，目前中國企業(yè)信息安全投入占整體 IT 投入僅為 2.3% 左右，該比例只有北美市場(chǎng)的一半。但這一情況現(xiàn)在也正在改變，尤其是在安全生產(chǎn)力的價(jià)值愈發(fā)被印證的情況下，傳統(tǒng)企業(yè)擁抱互聯(lián)網(wǎng)，漸漸意識(shí)到安全是一個(gè)投資問題。
圖丨呂一平（來源：騰訊）
“2014 年，我們?cè)谄囆袠I(yè)呼吁大家關(guān)注智能網(wǎng)聯(lián)汽車的安全問題，那個(gè)時(shí)候大家認(rèn)為這很重要，但不會(huì)投入資源來做這個(gè)事?，F(xiàn)在，到了 2019 年，上市的汽車可能 80% 以上都帶聯(lián)網(wǎng)功能，網(wǎng)聯(lián)車的保有量上來了，信息安全問題的關(guān)注度也一并上來了。其他領(lǐng)域也一樣，比如智能電梯，其實(shí)也是行業(yè)的發(fā)展在推著我們走”，騰訊安全科恩實(shí)驗(yàn)室總監(jiān)呂一平對(duì) DeepTech 表示。
智能網(wǎng)聯(lián)汽車就是科恩實(shí)驗(yàn)室探索出來的一個(gè)產(chǎn)業(yè)方向?，F(xiàn)在，配合騰訊整體的戰(zhàn)略，兩支信息安全技術(shù)隊(duì)伍也在逐步尋找其他行業(yè)的機(jī)會(huì)。
楊勇所在的騰訊安全平臺(tái)團(tuán)隊(duì)，在此前支撐騰訊的消費(fèi)互聯(lián)網(wǎng)保護(hù)了以億計(jì)使用騰訊各種各樣在線服務(wù)和在線產(chǎn)品的安全，這支團(tuán)隊(duì)的很多經(jīng)驗(yàn)和能力現(xiàn)在也在向產(chǎn)業(yè)互聯(lián)網(wǎng)輸出。
他們目前在做的一件事情也是與更多的行業(yè)內(nèi)的客戶接觸，了解行業(yè)在安全上的需求，并根據(jù)這些需求，探索把團(tuán)隊(duì)以往積累的核心能力工具化、產(chǎn)品化，尋求商業(yè)機(jī)會(huì)將能力賦給產(chǎn)業(yè)客戶，雙方共同探討其中的價(jià)值。
呂一平則透露，騰訊合作的行業(yè)中，對(duì)他們認(rèn)知度最高的是那些自己有比較強(qiáng)的安全團(tuán)隊(duì)的企業(yè)。
AI所帶來的改變
未來，在解決產(chǎn)業(yè)攻防場(chǎng)景的問題上，一個(gè)重要的技術(shù)趨勢(shì)是，這些問題的解決愈發(fā)需要不同領(lǐng)域知識(shí)的結(jié)合。
“信息安全的研究和應(yīng)用，要求知識(shí)翻新速度，要對(duì)新技術(shù)的敏感度和接受度非常高”，呂一平說。人工智能的出現(xiàn)和應(yīng)用就是一個(gè)典型的例子。
據(jù)介紹，目前科恩實(shí)驗(yàn)室正在從兩個(gè)不同方向考量人工智能對(duì)信息安全產(chǎn)業(yè)的價(jià)值：AI 算法本身的安全以及怎么樣用 AI 來輔助安全研究。
（來源：麻省理工科技評(píng)論）
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
