报道称，有多家网络安全公司在近期都发现了针对运行着基于ThinkPHP的Web应用程序的服务器的扫描活动。ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架，支持Windows/Unix/Linux等服务器环境，以及MySql、PgSQL、Sqlite多种数据库和PDO插件，在国内 Web 开发领域非常受欢迎。
另外，所有这些扫描活动都是在网络安全公司VulnSpy将一个ThinkPHP漏洞的概念验证代码（PoC）发布到ExploitDB网站上之后开始进行的。这里需要说明的是，ExploitDB是一家提供免费托管漏洞利用代码的热门网站。
VulnSpy公司发布的概念验证代码利用了一个存在于ThinkPHP开发框架invokeFunction 函数中的漏洞，以在底层服务器上执行任意代码。值得注意的是，这个漏洞可以被远程利用，且允许攻击者获得对服务器的完全控制权限。
“PoC是在12月11日发布的，我们在不到24小时之后就看到了相关的互联网扫描。” 网络安全公司Bad Packets LLC的联合创始人Troy Mursch告诉ZDNet。
随后，其他四家安全公司——F5 Labs、GreyNoise、NewSky Security和Trend Micro也报道了类似的扫描。并且，这些扫描在接下来的几天里一直呈上升趋势。
与此同时，开始利用这个ThinkPHP 漏洞来开展攻击活动的黑客组织也在不断增加。到目前为止，被确认的黑客组织至少包括：最初利用该漏洞的攻击者、一个被安全专家命名为“D3c3mb3r”的黑客组织、以及另一个利用该漏洞传播Miori IoT恶意软件的黑客组织。
由Trend Micro检测到的最后一组数据还表明，旨在传播Miori IoT恶意软件的黑客组织似乎想要利用该漏洞来入侵家用路由器和物联网设备的控制面板，因为Miori无法在实际的Linux服务器上正常运行。
此外，从NewSky Security检测到另一组扫描来看，攻击者试图在运行着基于ThinkPHP的Web应用程序的服务器上运行Microsoft Powershell命令。NewSky Security的首席安全研究员Ankit Anubhav告诉ZDNet，“这些Powershell命令看上去有些多余。实际上，攻击者拥有的一些代码完全可以用来检查 *** 作系统的类型，并为不同的Linux服务器运行不同的漏洞利用代码，运行Powershell命令可能只是为了碰碰运气。”
事实上，最大规模扫描的发起者应该是上述被被安全专家命名为“D3c3mb3r”的黑客组织。但这个组织并没有做任何特别的事情。他们没有使用加密货币矿工或其他任何恶意软件来感染服务器。他们只是扫描易受攻击的服务器，然后运行一个基本的“echo hello d3c3mb3r”命令。
Ankit Anubhav告诉ZDNet：“我不确定他们的动机。”
根据Shodan搜索引擎的统计，目前有超过45800台运行着基于ThinkPHP的Web应用程序的服务器可在线访问。其中，有超过40000台托管在中国IP地址上。这主要是由于ThinkPHP的文档仅提供了中文版本，因此不太可能在国外被使用。这也是解释了为什么被认为易遭到攻击的网站大部分都是中文网站。
安全专家认为，随着越来越多的黑客组织了解到这种入侵 Web 服务器的方法，对中文网站的攻击也必然会有所增加。
此外，F5 Labs已经公布了有关这个ThinkPHP 漏洞的技术分析和POC的工作原理，大家可以通过点击这里进行查看。
本文由 黑客视界 综合网络整理，源自网络；转载请注明“转自黑客视界”，并附上链接。
2009年，恶意软件曾 *** 控某核浓缩工厂的离心机，导致所有离心机失控。该恶意软件又称“震网”，通过闪存驱动器入侵独立网络系统，并在各生产网络中自动扩散。通过“震网”事件，我们看到将网络攻击作为武器破坏联网实体工厂的可能。这场战争显然是失衡的：企业必须保护众多的技术，而攻击者只需找到一个最薄弱的环节。
但非常重要的一点是，企业不仅需要关注外部威胁，还需关注真实存在却常被忽略的网络风险，而这些风险正是由企业在创新、转型和现代化过程中越来越多地应用智能互联技术所引致的。否则，企业制定的战略商业决策将可能导致该等风险，企业应管控并降低该等新兴风险。
工业40时代，智能机器之间的互联性不断增强，风险因素也随之增多。工业40开启了一个互联互通、智能制造、响应式供应网络和定制产品与服务的时代。借助智能、自动化技术，工业40旨在结合数字世界与物理 *** 作，推动智能工厂和先进制造业的发展 。但在意图提升整个制造与供应链流程的数字化能力并推动联网设备革命性变革过程中，新产生的网络风险让所有企业都感到措手不及。针对网络风险制定综合战略方案对制造业价值链至关重要，因为这些方案融合了工业40的重要驱动力：运营技术与信息技术。
随着工业40时代的到来，威胁急剧增加，企业应当考虑并解决新产生的风险。简而言之，在工业40时代制定具备安全性、警惕性和韧性的网络风险战略将面临不同的挑战。当供应链、工厂、消费者以及企业运营实现联网，网络威胁带来的风险将达到前所未有的广度和深度。
在战略流程临近结束时才考虑如何解决网络风险可能为时已晚。开始制定联网的工业40计划时，就应将网络安全视为与战略、设计和运营不可分割的一部分。
本文将从现代联网数字供应网络、智能工厂及联网设备三大方面研究各自所面临的网络风险。3在工业40时代，我们将探讨在整个生产生命周期中（图1）——从数字供应网络到智能工厂再到联网物品——运营及信息安全主管可行的对策，以预测并有效应对网络风险，同时主动将网络安全纳入企业战略。
数字化制造企业与工业40
工业40技术让数字化制造企业和数字供应网络整合不同来源和出处的数字化信息，推动制造与分销行为。
信息技术与运营技术整合的标志是向实体-数字-实体的联网转变。工业40结合了物联网以及相关的实体和数字技术，包括数据分析、增材制造、机器人技术、高性能计算机、人工智能、认知技术、先进材料以及增强现实，以完善生产生命周期，实现数字化运营。
工业40的概念在物理世界的背景下融合并延伸了物联网的范畴，一定程度上讲，只有制造与供应链/供应网络流程会经历实体-数字和数字-实体的跨越（图2）。从数字回到实体的跨越——从互联的数字技术到创造实体物品的过程——这是工业40的精髓所在，它支撑着数字化制造企业和数字供应网络。
即使在我们 探索 信息创造价值的方式时，从制造价值链的角度去理解价值创造也很重要。在整个制造与分销价值网络中，通过工业40应用程序集成信息和运营技术可能会达到一定的商业成果。
不断演变的供应链和网络风险
有关材料进入生产过程和半成品/成品对外分销的供应链对于任何一家制造企业都非常重要。此外，供应链还与消费者需求联系紧密。很多全球性企业根据需求预测确定所需原料的数量、生产线要求以及分销渠道负荷。由于分析工具也变得更加先进，如今企业已经能够利用数据和分析工具了解并预测消费者的购买模式。
通过向整个生态圈引入智能互联的平台和设备，工业40技术有望推动传统线性供应链结构的进一步发展，并形成能从价值链上获得有用数据的数字供应网络，最终改进管理，加快原料和商品流通，提高资源利用率，并使供应品更合理地满足消费者需求。
尽管工业40能带来这些好处，但数字供应网络的互联性增强将形成网络弱点。为了防止发生重大风险，应从设计到运营的每个阶段，合理规划并详细说明网络弱点。
在数字化供应网络中共享数据的网络风险
随着数字供应网络的发展，未来将出现根据购买者对可用供应品的需求，对原材料或商品进行实时动态定价的新型供应网络。5由于只有供应网络各参与方开放数据共享才可能形成一个响应迅速且灵活的网络，且很难在保证部分数据透明度的同时确保其他信息安全，因此形成新型供应网络并非易事。
因此，企业可能会设法避免信息被未授权网络用户访问。 此外，他们可能还需对所有支撑性流程实施统一的安全措施，如供应商验收、信息共享和系统访问。企业不仅对这些流程拥有专属权利，它们也可以作为获取其他内部信息的接入点。这也许会给第三方风险管理带来更多压力。在分析互联数字供应网络的网络风险时，我们发现不断提升的供应链互联性对数据共享与供应商处理的影响最大（图3）。
为了应对不断增长的网络风险，我们将对上述两大领域和应对战略逐一展开讨论。
数据共享：更多利益相关方将更多渠道获得数据
企业将需要考虑什么数据可以共享，如何保护私人所有或含有隐私风险的系统和基础数据。比 如，数字供应网络中的某些供应商可能在其他领域互为竞争对手，因此不愿意公开某些类型的数据，如定价或专利品信息。此外，供应商可能还须遵守某些限制共享信息类型的法律法规。因此，仅公开部分数据就可能让不良企图的人趁机获得其他信息。
企业应当利用合适的技术，如网络分段和中介系统等，收集、保护和提供信息。此外，企业还应在未来生产的设备中应用可信的平台模块或硬件安全模块等技术，以提供强大的密码逻辑支持、硬件授权和认证（即识别设备的未授权更改）。
将这种方法与强大的访问控制措施结合，关键任务 *** 作技术在应用点和端点的数据和流程安全将能得到保障。
在必须公开部分数据或数据非常敏感时，金融服务等其他行业能为信息保护提供范例。目前，企业纷纷开始对静态和传输中的数据应用加密和标记等工具，以确保数据被截获或系统受损情况下的通信安全。但随着互联性的逐步提升，金融服务企业意识到，不能仅从安全的角度解决数据隐私和保密性风险，而应结合数据管治等其他技术。事实上，企业应该对其所处环境实施风险评估，包括企业、数字供应网络、行业控制系统以及联网产品等，并根据评估结果制定或更新网络风险战略。总而言之，随着互联性的不断增强，上述所有的方法都能找到应实施更高级预防措施的领域。
供应商处理：更广阔市场中供应商验收与付款
由于新伙伴的加入将使供应商体系变得更加复杂，核心供应商群体的扩张将可能扰乱当前的供应商验收流程。因此，追踪第三方验收和风险的管治、风险与合规软件需要更快、更自主地反应。此外，使用这些应用软件的信息安全与风险管理团队还需制定新的方针政策，确保不受虚假供应商、国际制裁的供应商以及不达标产品分销商的影响。消费者市场有不少类似的经历，易贝和亚马逊就曾发生过假冒伪劣商品和虚假店面等事件。
区块链技术已被认为能帮助解决上述担忧并应对可能发生的付款流程变化。尽管比特币是建立货币 历史 记录的经典案例，但其他企业仍在 探索 如何利用这个新工具来决定商品从生产线到各级购买者的流动。7创建团体共享 历史 账簿能建立信任和透明度，通过验证商品真实性保护买方和卖方，追踪商品物流状态，并在处理退换货时用详细的产品分类替代批量分拣。如不能保证产品真实性，制造商可能会在引进产品前，进行产品测试和鉴定，以确保足够的安全性。
信任是数据共享与供应商处理之间的关联因素。企业从事信息或商品交易时，需要不断更新其风险管理措施，确保真实性和安全性；加强监测能力和网络安全运营，保持警惕性；并在无法实施信任验证时保护该等流程。
在这个过程中，数字供应网络成员可参考其他行业的网络风险管理方法。某些金融和能源企业所采用的自动交易模型与响应迅速且灵活的数字供应网络就有诸多相似之处。它包含具有竞争力的知识产权和企业赖以生存的重要资源，所有这些与数字供应网络一样，一旦部署到云端或与第三方建立联系就容易遭到攻击。金融服务行业已经意识到无论在内部或外部算法都面临着这样的风险。因此，为了应对内部风险，包括显性风险（企业间谍活动、蓄意破坏等）和意外风险（自满、无知等），软件编码和内部威胁程序必须具备更高的安全性和警惕性。
事实上，警惕性对监测非常重要：由于制造商逐渐在数字供应网络以外的生产过程应用工业40技术，网络风险只会成倍增长。
智能生产时代的新型网络风险
随着互联性的不断提高，数字供应网络将面临新的风险，智能制造同样也无法避免。不仅风险的数量和种类将增加，甚至还可能呈指数增长。不久前，美国国土安全部出版了《物联网安全战略原则》与《生命攸关的嵌入式系统安全原则》，强调应关注当下的问题，检查制造商是否在生产过程中直接或间接地引入与生命攸关的嵌入式系统相关的风险。
“生命攸关的嵌入式系统”广义上指几乎所有的联网设备，无论是车间自动化系统中的设备或是在第三方合约制造商远程控制的设备，都应被视为风险——尽管有些设备几乎与生产过程无关。
考虑到风险不断增长，威胁面急剧扩张，工业40时代中的制造业必须彻底改变对安全的看法。
联网生产带来新型网络挑战
随着生产系统的互联性越来越高，数字供应网络面临的网络威胁不断增长扩大。不难想象，不当或任意使用临时生产线可能造成经济损失、产品质量低下，甚至危及工人安全。此外，联网工厂将难以承受倒闭或其他攻击的后果。有证据表明，制造商仍未准备好应对其联网智能系统可能引发的网络风险： 2016年德勤与美国生产力和创新制造商联盟（MAPI）的研究发现，三分之一的制造商未对工厂车间使用的工业控制系统做过任何网络风险评估。
可以确定的是，自进入机械化生产时代，风险就一直伴随着制造商，而且随着技术的进步，网络风险不断增强，物理威胁也越来越多。但工业40使网络风险实现了迄今为止最大的跨越。各阶段的具体情况请参见图4。
从运营的角度看，在保持高效率和实施资源控制时，工程师可在现代化的工业控制系统环境中部署无人站点。为此，他们使用了一系列联网系统，如企业资源规划、制造执行、监控和数据采集系统等。这些联网系统能够经常优化流程，使业务更加简单高效。并且，随着系统的不断升级，系统的自动化程度和自主性也将不断提高（图5）。
从安全的角度看，鉴于工业控制系统中商业现货产品的互联性和使用率不断提升，大量暴露点将可能遭到威胁。与一般的IT行业关注信息本身不同，工业控制系统安全更多关注工业流程。因此，与传统网络风险一样，智能工厂的主要目标是保证物理流程的可用性和完整性，而非信息的保密性。
但值得注意的是，尽管网络攻击的基本要素未发生改变，但实施攻击方式变得越来越先进（图5）。事实上，由于工业40时代互联性越来越高，并逐渐从数字化领域扩展到物理世界，网络攻击将可能对生产、消费者、制造商以及产品本身产生更广泛、更深远的影响（图6）。
结合信息技术与运营技术：
当数字化遇上实体制造商实施工业40 技术时必须考虑数字化流程和将受影响的机器和物品，我们通常称之为信息技术与运营技术的结合。对于工业或制造流程中包含了信息技术与运营技术的公司，当我们探讨推动重点运营和开发工作的因素时，可以确定多种战略规划、运营价值以及相应的网络安全措施（图7）。
首先，制造商常受以下三项战略规划的影响：
健康 与安全： 员工和环境安全对任何站点都非常重要。随着技术的发展，未来智能安全设备将实现升级。
生产与流程的韧性和效率： 任何时候保证连续生产都很重要。在实际工作中，一旦工厂停工就会损失金钱，但考虑到重建和重新开工所花费的时间，恢复关键流程可能将导致更大的损失。
检测并主动解决问题： 企业品牌与声誉在全球商业市场中扮演着越来越重要的角色。在实际工作中，工厂的故障或生产问题对企业声誉影响很大，因此，应采取措施改善环境，保护企业的品牌与声誉。
第二，企业需要在日常的商业活动中秉持不同的运营价值理念：
系统的可 *** 作性、可靠性与完整性： 为了降低拥有权成本，减缓零部件更换速度，站点应当采购支持多个供应商和软件版本的、可互 *** 作的系统。
效率与成本规避： 站点始终承受着减少运营成本的压力。未来，企业可能增加现货设备投入，加强远程站点诊断和工程建设的灵活性。
监管与合规： 不同的监管机构对工业控制系统环境的安全与网络安全要求不同。未来企业可能需要投入更多，以改变环境，确保流程的可靠性。
工业40时代，网络风险已不仅仅存在于供应网络和制造业，同样也存在于产品本身。 由于产品的互联程度越来越高——包括产品之间，甚至产品与制造商和供应网络之间，因此企业应该明白一旦售出产品，网络风险就不会终止。
风险触及实体物品
预计到2020年，全球将部署超过200亿台物联网设备。15其中很多设备可能会被安装在制造设备和生产线上，而其他的很多设备将有望进入B2B或B2C市场，供消费者购买使用。
2016年德勤与美国生产力和创新制造商联盟（MAPI）的研究结果显示，近一半的制造商在联网产品中采用移动应用软件，四分之三的制造商使用Wi-Fi网络在联网产品间传输数据。16基于上述网络途径的物联通常会形成很多漏洞。物联网设备制造商应思考如何将更强大、更安全的软件开发方法应用到当前的物联网开发中，以应对设备常常遇到的重大网络风险。
尽管这很有挑战性，但事实证明，企业不能期望消费者自己会更新安全设置，采取有效的安全应对措施，更新设备端固件或更改默认设备密码。
比如，2016年10月，一次由Mirai恶意软件引发的物联网分布式拒绝服务攻击，表明攻击者可以利用这些弱点成功实施攻击。在这次攻击中，病毒通过感染消费者端物联网设备如联网的相机和电视，将其变成僵尸网络，并不断冲击服务器直至服务器崩溃，最终导致美国最受欢迎的几家网站瘫痪大半天。17研究者发现，受分布式拒绝服务攻击损害的设备大多使用供应商提供的默认密码，且未获得所需的安全补丁或升级程序。18需要注意的是，部分供应商所提供的密码被硬编码进了设备固件中，且供应商未告知用户如何更改密码。
当前的工业生产设备常缺乏先进的安全技术和基础设施，一旦外围保护被突破，便难以检测和应对此类攻击。
风险与生产相伴而行
由于生产设施越来越多地与物联网设备结合，因此，考虑这些设备对制造、生产以及企业网络所带来的安全风险变得越来越重要。受损物联网设备所产生的安全影响包括：生产停工、设备或设施受损如灾难性的设备故障，以及极端情况下的人员伤亡。此外，潜在的金钱损失并不仅限于生产停工和事故整改，还可能包括罚款、诉讼费用以及品牌受损所导致的收入减少（可能持续数月甚至数年，远远超过事件实际持续的时间）。下文列出了目前确保联网物品安全的一些方法，但随着物品和相应风险的激增，这些方法可能还不够。
传统漏洞管理
漏洞管理程序可通过扫描和补丁修复有效减少漏洞，但通常仍有多个攻击面。攻击面可以是一个开放式的TCP/IP或UDP端口或一项无保护的技术，虽然目前未发现漏洞，但攻击者以后也许能发现新的漏洞。
减少攻击面
简单来说，减少攻击面即指减少或消除攻击，可以从物联网设备制造商设计、建造并部署只含基础服务的固化设备时便开始着手。安全所有权不应只由物联网设备制造商或用户单独所有；而应与二者同样共享。
更新悖论
生产设施所面临的另一个挑战被称为“更新悖论”。很多工业生产网络很少更新升级，因为对制造商来说，停工升级花费巨大。对于某些连续加工设施来说，关闭和停工都将导致昂贵的生产原材料发生损失。
很多联网设备可能还将使用十年到二十年，这使得更新悖论愈加严重。认为设备无须应用任何软件补丁就能在整个生命周期安全运转的想法完全不切实际。20 对于生产和制造设施，在缩短停工时间的同时，使生产资产利用率达到最高至关重要。物联网设备制造商有责任生产更加安全的固化物联网设备，这些设备只能存在最小的攻击表面，并应利用默认的“开放”或不安全的安全配置规划最安全的设置。
制造设施中联网设备所面临的挑战通常也适用基于物联网的消费产品。智能系统更新换代很快，而且可能使消费型物品更容易遭受网络威胁。对于一件物品来说，威胁可能微不足道，但如果涉及大量的联网设备，影响将不可小觑——Mirai病毒攻击就是一个例子。在应对威胁的过程中，资产管理和技术战略将比以往任何时候都更重要。
人才缺口
2016年德勤与美国生产力和创新制造商联盟（MAPI）的研究表明，75%的受访高管认为他们缺少能够有效实施并维持安全联网生产生态圈的技能型人才资源。21随着攻击的复杂性和先进程度不断提升，将越来越难找到高技能的网络安全人才，来设计和实施具备安全性、警觉性和韧性的网络安全解决方案。
网络威胁不断变化，技术复杂性越来越高。搭载零日攻击的先进恶意软件能够自动找到易受攻击的设备，并在几乎无人为参与的情况下进行扩散，并可能击败已遭受攻击的信息技术/运营技术安全人员。这一趋势令人感到不安，物联网设备制造商需要生产更加安全的固化设备。
多管齐下，保护设备
在工业应用中，承担一些非常重要和敏感任务——包括控制发电与电力配送，水净化、化学品生产和提纯、制造以及自动装配生产线——的物联网设备通常最容易遭受网络攻击。由于生产设施不断减少人为干预，因此仅在网关或网络边界采取保护措施的做法已经没有用（图8）。
从设计流程开始考虑网络安全
制造商也许会觉得越来越有责任部署固化的、接近军用级别的联网设备。很多物联网设备制造商已经表示他们需要采用包含了规划和设计的安全编码方法，并在整个硬件和软件开发生命周期内采用领先的网络安全措施。22这个安全软件开发生命周期在整个开发过程中添加了安全网关（用于评估安全控制措施是否有效），采用领先的安全措施，并用安全的软件代码和软件库生产具备一定功能的安全设备。通过利用安全软件开发生命周期的安全措施，很多物联网产品安全评估所发现的漏洞能够在设计过程中得到解决。但如果可能的话，在传统开发生命周期结束时应用安全修补程序通常会更加费力费钱。
从联网设备端保护数据
物联网设备所产生的大量信息对工业40制造商非常重要。基于工业40的技术如高级分析和机器学习能够处理和分析这些信息，并根据计算分析结果实时或近乎实时地做出关键决策。这些敏感信息并不仅限于传感器与流程信息，还包括制造商的知识产权或者与隐私条例相关的数据。事实上，德勤与美国生产力和创新制造商联盟（MAPI）的调研发现，近70%的制造商使用联网产品传输个人信息，但近55%的制造商会对传输的信息加密。
生产固化设备需要采取可靠的安全措施，在整个数据生命周期间，敏感数据的安全同样也需要得到保护。因此，物联网设备制造商需要制定保护方案：不仅要安全地存放所有设备、本地以及云端存储的数据，还需要快速识别并报告任何可能危害这些数据安全的情况或活动。
保护云端数据存储和动态数据通常需要采用增强式加密、人工智能和机器学习解决方案，以形成强大的、响应迅速的威胁情报、入侵检测以及入侵防护解决方案。
随着越来越多的物联网设备实现联网，潜在威胁面以及受损设备所面临的风险都将增多。现在这些攻击面可能还不足以形成严重的漏洞，但仅数月或数年后就能轻易形成漏洞。因此，设备联网时必须使用补丁。确保设备安全的责任不应仅由消费者或联网设备部署方承担，而应由最适合实施最有效安全措施的设备制造商共同分担。
应用人工智能检测威胁
2016年8月，美国国防高级研究计划局举办了一场网络超级挑战赛，最终排名靠前的七支队伍在这场“全机器”的黑客竞赛中提交了各自的人工智能平台。网络超级挑战赛发起于2013年，旨在找到一种能够扫描网络、识别软件漏洞并在无人为干预的情况下应用补丁的、人工智能网络安全平台或技术。美国国防高级研究计划局希望借助人工智能平台大大缩短人类以实时或接近实时的方式识别漏洞、开发软件安全补丁所用的时间，从而减少网络攻击风险。
真正意义上警觉的威胁检测能力可能需要运用人工智能的力量进行大海捞针。在物联网设备产生海量数据的过程中，当前基于特征的威胁检测技术可能会因为重新收集数据流和实施状态封包检查而被迫达到极限。尽管这些基于特征的检测技术能够应对流量不断攀升，但其检测特征数据库活动的能力仍旧有限。
在工业40时代，结合减少攻击面、安全软件开发生命周期、数据保护、安全和固化设备的硬件与固件以及机器学习，并借助人工智能实时响应威胁，对以具备安全性、警惕性和韧性的方式开发设备至关重要。如果不能应对安全风险，如“震网”和Mirai恶意程序的漏洞攻击，也不能生产固化、安全的物联网设备，则可能导致一种不好的状况：关键基础设施和制造业将经常遭受严重攻击。
攻击不可避免时，保持韧性
恰当利用固化程度很高的目标设备的安全性和警惕性，能够有效震慑绝大部分攻击者。然而，值得注意的是，虽然企业可以减少网络攻击风险，但没有一家企业能够完全避免网络攻击。保持韧性的前提是，接受某一天企业将遭受网络攻击这一事实，而后谨慎行事。
韧性的培养过程包含三个阶段：准备、响应、恢复。
准备。企业应当准备好有效应对各方面事故，明确定义角色、职责与行为。审慎的准备如危机模拟、事故演练和战争演习，能够帮助企业了解差异，并在真实事故发生时采取有效的补救措施。
响应。应仔细规划并对全公司有效告知管理层的响应措施。实施效果不佳的响应方案将扩大事件的影响、延长停产时间、减少收入并损害企业声誉。这些影响所持续的时间将远远长于事故实际持续的时间。
恢复。企业应当认真规划并实施恢复正常运营和限制企业遭受影响所需的措施。应将从事后分析中汲取到的教训用于制定之后的事件响应计划。具备韧性的企业应在迅速恢复运营和安全的同时将事故影响降至最低。在准备应对攻击，了解遭受攻击时的应对之策并快速消除攻击的影响时，企业应全力应对、仔细规划、充分执行。
推动网络公司发展至今日的比特（0和1）让制造业的整个价值链经历了从供应网络到智能工厂再到联网物品的巨大转变。随着联网技术应用的不断普及，网络风险可能增加并发生改变，也有可能在价值链的不同阶段和每一家企业有不同的表现。每家企业应以最能满足其需求的方式适应工业生态圈。
企业不能只用一种简单的解决方法或产品或补丁解决工业40所带来的网络风险和威胁。如今，联网技术为关键商业流程提供支持，但随着这些流程的关联性提高，可能会更容易出现漏洞。因此，企业需要重新思考其业务连续性、灾难恢复力和响应计划，以适应愈加复杂和普遍的网络环境。
法规和行业标准常常是被动的，“合规”通常表示最低安全要求。企业面临着一个特别的挑战——当前所采用的技术并不能完全保证安全，因为干扰者只需找出一个最薄弱的点便能成功入侵企业系统。这项挑战可能还会升级:不断提高的互联性和收集处理实时分析将引入大量需要保护的联网设备和数据。
企业需要采用具备安全性、警惕性和韧性的方法，了解风险，消除威胁：
安全性。采取审慎的、基于风险的方法，明确什么是安全的信息以及如何确保信息安全。贵公司的知识产权是否安全？贵公司的供应链或工业控制系统环境是否容易遭到攻击？
警惕性。持续监控系统、网络、设备、人员和环境，发现可能存在的威胁。需要利用实时威胁情报和人工智能，了解危险行为，并快速识别引进的大量联网设备所带来的威胁。
韧性。随时都可能发生事故。贵公司将会如何应对？多久能恢复正常运营？贵公司将如何快速消除事故影响？
由于企业越来越重视工业40所带来的商业价值，企业将比以往任何时候更需要提出具备安全性、警惕性和韧性的网络风险解决方案。
报告出品方：德勤中国
获取本报告pdf版请登录远瞻智库官网或点击链接：「链接」
中科院云计算中心分布式存储联合实验室特讯： 近期，工信部网络安全管理局通报，暂停阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。此次事件源自阿里云发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患报告不及时， 再次为国家数据安全敲响警钟，国资云建设刻不容缓、势在必行。
近期，工业和信息化部网络安全管理局通报称，阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。
Apache Log4j 史上最大安全漏洞
先梳理一下阿帕奇严重安全漏洞的时间线：
11月24日
阿里云在阿帕奇（Apache）开放基金会下的开源日志组件Log4j2内，发现重大漏洞Log4Shell，然后向总部位于美国的阿帕奇软件基金会报告。
获得消息后，奥地利和新西兰官方计算机应急小组立即对这一漏洞进行预警。新西兰方面声称，该漏洞正在被“积极利用”，并且概念验证代码也已被发布。
12月9日
中国工信部收到有关网络安全专业机构报告，发现阿帕奇Log4j2组件存在严重安全漏洞，立即召集阿里云、网络安全企业、网络安全专业机构等开展研判，并向行业单位进行风险预警。
12月9日
阿帕奇官方发布紧急安全更新以修复远程代码执行漏洞，漏洞利用细节公开，但更新后的Apache Log4j2150-rc1版本被发现仍存在漏洞绕过。
12月10日
中国国家信息安全漏洞共享平台收录Apache Log4j2远程代码执行漏洞；阿帕奇官方再度发布log4j-2150-rc2版本修复漏洞。
12月10日
阿里云在官网公告披露，安全团队发现Apache Log4j2150-rc1版本存在漏洞绕过，要求用户及时更新版本，并向用户介绍该漏洞的具体背景及相应的修复方案。
12月14日
中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》，供相关单位、企业及个人参考。
12月22日
工信部通报，由于阿里云发现阿帕奇严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理，决定暂停该公司作为工信部网络安全威胁信息共享平台合作单位6个月。
在服务器的组件中，日志组件是应用程序中不可缺少的部分。而其中Apache（阿帕奇）的开源项目log4j是一个功能强大的日志组件，被广泛应用。
由于Apache Log4j存在递归解析功能，未取得身份认证的用户，可以从远程发送数据请求输入数据日志，轻松触发漏洞，最终在目标上执行任意代码。即 攻击者只要提交一段代码，就可以进入对方服务器，而且可以获得最高权限，控制对方服务器。通俗说，黑客通过这个普遍存在的漏洞，可以在服务器上做任何事。
有关报道显示，黑客在72小时内利用Log4j2漏洞，向全球发起了超过84万次的攻击。利用这个漏洞，攻击者几乎可以获得无限的权利——比如他们可以 提取敏感数据、将文件上传到服务器、删除数据、安装勒索软件、或进一步散播到其它服务器。
国外网友以漫画说明Log4j2的重要性
该漏洞CVSS评分达到了满分10分，IT 通信（互联网）、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、 游戏 公司、电商平台等都有被影响的风险。 比如苹果、亚马逊、Steam、推特、京东、腾讯、阿里、百度，网易、新浪以及特斯拉等全球大厂，悉数中招，众多媒体将这个漏洞形容成“史诗级”“核d级”漏洞，可以说相当贴切。
据工信部官网消息，今年9月1日，工业和信息化部网络安全威胁和漏洞信息共享平台正式上线运行。其中提到，根据《网络产品安全漏洞管理规定》，网络产品提供者应当及时向平台报送相关漏洞信息，鼓励漏洞收集平台和其他发现漏洞的组织或个人向平台报送漏洞信息。
此次事件中，作为我国云计算服务的头部供应商的阿里云，11月24日发现计算机史上最大的漏洞，是先向国外的Apache基金会报告，而未及时向主管部门报送漏洞信息。工信部得知情况，已经是12月9日，中间已经过了15天。这十五天，中国的互联网简直是在裸奔。这期间已经有黑客掌握了这个漏洞，在利用这个漏洞进行网络攻击。作为新基建重要一环的云计算平台，更加应以谨慎的心态承担起保障网络安全的责任。
国资云建设 安全自主可控为上
互联网时代，国家安全自然延伸到了网络。各个国家，都在想办法堵自己漏洞，找别人家的漏洞，甚至是隐藏的后门。同样的漏洞，那就是看谁率先掌握。国外的开源软件层出不穷的漏洞，隐没难寻的后门，应用于国家重要机构或事关 社会 民生的部门，其潜在危害难以估量。我们除了想方设法被动收集修复漏洞，还要大力发展和利用自主安全可控的技术，才能在互联网领域寻求战略平衡，保障国家安全。
所以说，阿里云的这次行动足以为戒，忽视国家各项数据安全法律法规，国家安全责任意识淡漠，将国家网络安全置于巨大的危机之中。试问这样的第三方云服务商，如何让国家机构、央企国企放心将数据业务托管？
风险就在那里，警告从未缺席。国资云以安全自主可控、平稳可靠运行为上，才能确保国家安全，尽到 社会 责任。第三方云服务商难以超越企业自身的稳健盈利，更不要说将国家安全、公共利益、亿万民众福祉放在首位。国资云的建设将第三方云服务商排除在外，是互联网竞争环境的使然，也是数据安全责任的担当，更是时代赋予的使命。
“国资云”建设 大势所趋
经过深入研究分析，北京交通大学信息管理理论与技术国际研究中心（ICIR）认为， “国资云”建设是大势所趋，原因主要有以下三方面：
一是“国资云”建设是国有资产管理的需要。国企数据资源属于国有资产，应纳入国资监管和统一管理，保护国有数据资产安全是建设国资云的核心目的；
二是“国资云”建设是保障国家重要数据安全的需要。近期，《关键信息基础设施安全保护条例》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》相继颁布实施，将数据安全提升到前所未有的高度，而国有企业的许多数据事关国家关键信息基础设施安全；
三是“国资云”建设是信创工程落地的重要抓手。在“国资云”数据中心逐步加大CPU、 *** 作系统、存储、数据库、中间件等国产信创产品比重，并鼓励国产信创业务系统与“国资云”数据中心基础设施适配应用，从基础到应用全方位推进信创工程步伐。
因此，“国资云”建设的重要意义在业界已达成高度共识。
国资云赋能云上安全 G-Cloud增强国企竞争力
国有企业是中国特色 社会 主义的重要物质基础和政治基础，是我们党执政兴国的重要支柱和依靠力量，国有企业不仅具有鲜明的政治属性，也具有强烈的经济属性和物质属性，坚定不移地将国有企业做强做大做优是党和人民对国有企业的基本要求。因此，国有企业更需要资产不断保值增值，规模不断发展壮大，盈利水平不断提高，这就要求国有企业必需使用最先进的生产工具，创造出最先进的生产力，保持在国际国内市场中的竞争力。
而云计算平台就是当前最先进的生产工具。云计算平台中除了计算、存储、网络、虚拟化等Iaas服务相对比较成熟外，在Paas、Saas层面的技术创新速度非常快，产品迭代周期不断缩短，不同的厂商提供的云平台服务在技术领先性、服务稳定性、用户覆盖面等方面具有非常大的差异。
在激烈的市场竞争中，企业选择了什么类型、什么厂商的云服务，在一定程度上意味着企业使用了什么工具和武器，在很大程度上决定了企业的生产效率、管理效率和市场效率，也就决定了企业的竞争力。
国资云赋能云上安全，打造排除第三方云服务商的行业专属私有云。 中科院云计算中心自主研发的G-Cloud云 *** 作系统，首要胜在安全。 其次G-Cloud在智慧城市、智慧医疗、智慧教育、智慧交通等领域的成功案例，将有助于充分激活国企强劲的竞争力、影响力、带动力。
2021年11月， 国资云平台中科云（东莞） 科技 有限公司正式成立，由中科院、东莞市政府等多方投资的上市企业国云 科技 控股，国资背景加持，官方认可，国内顶尖 科技 机构技术背书，使用国内首个自主产权、安全可控的G-Cloud云 *** 作系统，建设“国资云”， 赋能千行百业数字化转型升级，最大化优化国有资本布局，提高国有资本运营效能、产业互联和商业创新！
中科云凝聚服务政企信息化、数字化建设的核心团队， 联合产学研用各方力量，融合大数据、云计算、物联网等新一代信息技术，在政府、医疗、教育、交通、智能制造等多行业、多领域提供新型基础设施建设、数据分布式存储服务，助力国资国企规模和实力的持续增长，实现高质量发展。
是如何确保设备本身安全。某些设备或设施可能无人值守地运行，因此不受频繁的安全性影响。报告称，使这些设备防篡改可能是有利的，因为这种类型的端点强化可以帮助阻止潜在的入侵者获取数据。它也可能抵御黑客或其他网络犯罪分子的攻击。
作为一种最佳实践，安全端点强化可能意味着部署一种分层方法，要求攻击者绕过多重障碍，旨在保护设备及其数据免遭未经授权的访问和使用。企业应该保护已知的漏洞，如开放的TCP/UDP端口，开放的串行端口，开放的密码提示，Web服务器、未加密的通信、无线连接等注入代码的位置。
另一个保护设备的办法是根据需要升级或部署安全补丁。但请记住，许多设备供应商在构建和销售设备时并不关注安全性。正如调查报告指出的那样，许多物联网设备被破坏后是不可修补的，因此无法保证安全。在投资的设备采用工业物联网之前，需要评估设备的安全功能，并确保供应商对设备进行彻底的安全测试。
当物联网设备试图连接到网络或服务时，要小心地管理物联网设备的身份验证，以确保信任是非常重要的。公钥基础设施(PKI)和数字证书为物联网设备身份和信任提供了安全基础。
如何保障物联网的安全？
物联网安全解决方案
近日，外媒报道称，物联网安全公司Armis在蓝牙协议中发现了8个漏洞，这些漏洞将影响53亿设备——从Android、iOS、Windows以及Linux系统设备、到使用短距离无线通信技术的物联网设备，无一幸免。
蓝牙耳机、键盘、智能家居设备，Bluetooth技术产品为大家生活提供了便利，让办公家居环境摆脱多种电缆缠绕的困扰。突如其来的安全隐患让蓝牙使用者不得不捏起一把汗。
Armis的安全研究人员通过发现的Android信息泄露漏洞、Android蓝牙网络封装协议服务中的远程执行代码漏洞等8个安全漏洞，设计了一个名为“BlueBorne”的攻击场景，攻击者完全可以控制用户的蓝牙设备。在“BlueBorne”攻击形式下，黑客甚至可以建立一个“中间人”(MITM)连接，在无需与受害者进行任何交互的情况下，轻松获取设备关键数据和网络的访问权。
(图：外媒报道，蓝牙协议被曝存严重的安全漏洞)
更令人担忧的情况是，BlueBorne攻击可能会像今年5月爆发的WannaCry蠕虫勒索病毒一样迅速蔓延，对全球大型公司和组织造成难以估量的损害。
Armis实验室研究团队防护方法
他们成功构建了一个僵尸网络，并使用BlueBorne攻击顺利安装了勒索软件。从理论上讲，BlueBorne可以服务于任何恶意目的，例如网络间谍、数据窃取、勒索攻击，甚至利用物联网设备创建大型僵尸网络。
那么，蓝牙安全漏洞会给用户带来什么样的“灾难”呢？
以Android平台为例，在用户开启蓝牙功能并且没有打补丁的情况下，黑客就可以远程发起攻击，并不断尝试直至攻击成功，因为Android的蓝牙服务崩溃后，系统会自动重启该服务，用户感知不到。
黑客攻击成功后，能够获取非常高的权限，譬如：可控制摄像头、拍照、截屏、启动应用、唤醒手机;读取通信录、照片、文档;可控制手机键盘;可模拟用户点击;对用户网络相关服务有完整控制权限，可监控用户网络流量、可发起MITM攻击。
黑客可以利用该漏洞，在被攻击手机上下载恶意应用，然后模拟用户确认，进行安装。
腾讯手机管家安全专家杨启波建议
用户在不使用手机等设备时先暂时“关闭”蓝牙设置，可以有效抵御攻击风险;同时，Android、iOS等系统设备的用户，及时更新安全补丁，可以极大地防范漏洞风险。
如今，手机已成为现代人的第二器官，其安全性也越来越重要。各位小伙伴们在使用手机及其配件时一定要注意安全，谨防个人信息泄露！
尽管IPv4中常见的攻击方式将在IPv6网络中失效，使来自网络层的一些安全攻击得以抑制，但采用IPv6并不意味着关紧了安全的大门，来自应用层的威胁将以新的方式出现。 总有人误认为“网络改成IPv6，安全问题就全面解决了”。诚然，IPv4中常见的一些攻击方式将在IPv6网络中失效，例如网络侦察、报头攻击、碎片攻击、假冒地址及蠕虫病毒等，但IPv6不仅不可能彻底解决所有安全问题，反而还会产生新的安全问题。虽然与IPv4相比，IPv6在网络保密性、完整性方面做了更好的改进，在可控性和抗否认性方面有了新的保证，但目前多数网络攻击和威胁来自应用层而非网络层。因此，保护网络安全与信息安全，只靠一两项技术并不能实现，还需配合多种手段，诸如认证体系、加密体系、密钥分发体系、可信计算体系等。
安全新问题如影随形
IPv6是新的协议，在其发展过程中必定会产生一些新的安全问题，主要包括:
● 针对IPv6的网管设备和网管软件都不太成熟。
IPv6的管理可借鉴IPv4。但对于一些网管技术，如SNMP（简单网络管理）等，不管是移植还是重建，其安全性都必须从本质上有所提高。由于目前针对IPv6的网管都不太成熟，因此缺乏对IPv6网络进行监测和管理的手段，对大范围的网络故障定位和性能分析的能力还有待提高。
● IPv6中同样需要防火墙、***、IDS（入侵检测系统）、漏洞扫描、网络过滤、防病毒网关等网络安全设备。
事实上，IPv6环境下的病毒已经出现。例如，有研究人员在IPv6中发现了一处安全漏洞,可能导致用户遭受拒绝服务攻击。据悉,该漏洞存在于IPv6的type 0路由头(RH0)特征中。某些系统在处理IPv6 type 0路由头时存在拒绝服务漏洞。
● IPv6协议仍需在实践中完善。
IPv6组播功能仅仅规定了简单的认证功能，所以还难以实现严格的用户限制功能。移动IPv6(Mobile IPv6)也存在很多新的安全挑战，目前移动IPv6可能遭受的攻击主要包括拒绝服务攻击、重放攻击以及信息窃取攻击。另外，DHCP（ Dynamic Host Configuration Protocol,动态主机配置协议）必须经过升级才可以支持IPv6地址，DHCPv6仍然处于研究、制订之中。
●向IPv6迁移过程中可能出现漏洞。
目前安全人员已经发现从IPv4向 IPv6转移时出现的一些安全漏洞，例如黑客可以非法访问采用了IPv4和IPv6两种协议的LAN网络资源，攻击者可以通过安装了双栈的IPv6主机建立由IPv6到IPv4的隧道，从而绕过防火墙对IPv4进行攻击。
IPv6协议在网络安全上的改进
● IP安全协议(IPSec)技术
IP安全协议(IPSec)是IPv4的一个可选扩展协议，而在IPv6中则是一个必备的组成部分。IPSec协议可以“无缝”地为IP提供安全特性，如提供访问控制、数据源的身份验证、数据完整性检查、机密性保证，以及抗重播(Replay)攻击等。
IPSec通过三种不同的形式来保护通过公有或私有IP网络来传送的私有数据。
(1)验证:通过认证可以确定所接受的数据与所发送的数据是否一致，同时可以确定申请发送者在实际上是真实发送者，而不是伪装的。
(2)数据完整验证:通过验证保证数据从原发地到目的地的传送过程中没有任何不可检测的数据丢失与改变。
(3)保密:使相应的接收者能获取发送的真正内容，而无关的接收者无法获知数据的真正内容。
需要指出的是，虽然IPSec能够防止多种攻击，但无法抵御Sniffer、DoS攻击、洪水(Flood)攻击和应用层攻击。IPSec作为一个网络层协议，只能负责其下层的网络安全，不能对其上层如Web、E-mail及FTP等应用的安全负责。
●灵活的扩展报头
一个完整的IPv6数据包包括多种扩展报头，例如逐个路程段选项报头、目的选项报头、路由报头、分段报头、身份认证报头、有效载荷安全封装报头、最终目的报头等。这些扩展报头不仅为IPv6扩展应用领域奠定了基础，同时也为安全性提供了保障。
比较IPv4和Ipv6的报头可以发现，IPv6报头采用基本报头+扩展报头链组成的形式，这种设计可以更方便地增添选项，以达到改善网络性能、增强安全性或添加新功能的目的。
IPv6基本报头被固定为40bit，使路由器可以加快对数据包的处理速度，网络转发效率得以提高，从而改善网络的整体吞吐量，使信息传输更加快速。
IPv6基本报头中去掉了IPv4报头中的部分字段，其中段偏移选项和填充字段被放到IPv6扩展报头中进行处理。
去掉报头校验(Header Checksum，中间路由器不再进行数据包校验)的原因有三: 一是因为大部分链路层已经对数据包进行了校验和纠错控制，链路层的可靠保证使得网络层不必再进行报头校验; 二是端到端的传输层协议也有校验功能以发现错包; 三是报头校验需随着TTL值的变化在每一跳重新进行计算，增加包传送的时延。
●地址分配与源地址检查
地址分配与源地址检查在IPv6的地址概念中，有了本地子网(Link-local)地址和本地网络(Site-local)地址的概念。从安全角度来说，这样的地址分配为网络管理员强化网络安全管理提供了方便。若某主机仅需要和一个子网内的其他主机建立联系，网络管理员可以只给该主机分配一个本地子网地址;若某服务器只为内部网用户提供访问服务，那么就可以只给这台服务器分配一个本地网络地址，而企业网外部的任何人都无法访问这些主机。
由于IPv6地址构造是可会聚的(aggregate-able)、层次化的地址结构，因此，IPv6接入路由器对用户进入时进行源地址检查，使得ISP可以验证其客户地址的合法性。
源路由检查出于安全性和多业务的考虑，允许核心路由器根据需要，开启反向路由检测功能，防止源路由篡改和攻击。
IPv6固有的对身份验证的支持，以及对数据完整性和数据机密性的支持和改进，使得IPv6增强了防止未授权访问的能力，更加适合于那些对敏感信息和资源有特别处理要求的应用。
通过端到端的安全保证，网络可以满足用户对安全性和移动性的要求。IPv6限制使用NAT（Network Address Translation，网络地址转换），允许所有的网络节点使用全球惟一的地址进行通信。每当建立一个IPv6的连接，系统都会在两端主机上对数据包进行 IPSec封装，中间路由器对有IPSec扩展头的IPv6数据包进行透明传输。通过对通信端的验证和对数据的加密保护，使得敏感数据可以在IPv6 网络上安全地传递，因此，无需针对特别的网络应用部署ALG(应用层网关)，就可保证端到端的网络透明性，有利于提高网络服务速度。
●域名系统DNS
基于IPv6的DNS系统作为公共密钥基础设施(PKI)系统的基础，有助于抵御网上的身份伪装与偷窃。当采用可以提供认证和完整性安全特性的DNS安全扩展 (DNS Security Extensions)协议时，能进一步增强对DNS新的攻击方式的防护，例如网络钓鱼(Phishing)攻击、DNS中毒(DNS poisoning)攻击等，这些攻击会控制DNS服务器，将合法网站的IP地址篡改为假冒、恶意网站的IP地址。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）