新基建安全“首倡者”周鸿祎：新基建需要同步建设安全基建

　　背后复杂的网络场景及风险亦成为不定时炸弹，随时可能摧毁在建的“通天塔”，无疑，网络安全体系建设已被时代赋予了全新意义。

　　风险与红利向来共生共存。2020年伊始的一场疫情以及接踵而至的黑天鹅事件，成为推动国家大力倡导新基建、加速国家数字化转型的“滚石”，得益于政策红利及巨头加码的双重保障，新基建“乘快车”频发利好。

　　但这剂“强心针”背后复杂的网络场景及风险亦成为不定时炸弹，随时可能摧毁在建的“通天塔”，无疑，网络安全体系建设已被时代赋予了全新意义。

　　6月23日，经政府批准，由国家发展和改革委员会、科学技术部、工业和信息化部、国家广播电视总局 、国家互联网信息办公室、中国科学院、中国工程院、中国科学技术协会和天津市人民政府共同举办的第四届世界智能大会(WIC)召开。在云开幕式暨主题峰会上，360董事长兼CEO周鸿祎发表主旨演讲指出：网络安全已从数字化的附庸产业转为新基建的基石产业，因此，要把网络安全当作新基建的“基建”，建设好安全基础设施。

　　                         360董事长兼CEO周鸿祎

　　数字孪生“地基”之上，安全是“底座”

　　从概念变成现象级热词，新基建自带流量。

　　除了拉动短期投资，新基建的核心在于数字化，5G、大数据、人工智能、工业互联网等新一代信息技术的应用，将加速推动国家从信息化阶段走向数字化阶段。

　　数字化在解构旧世界，同时也在建立新的数字孪生世界。进入全面数字化有三大特征，即软件定义世界，万物皆可互联，数据驱动一切。同样，数字化也将带来前所未有的安全风险和挑战，涉及工业生产、金融、能源、医疗，甚至国家和社会的治理，安全基础不牢，新基建和数字化就无法运转，甚至会崩塌。

　　从这个意义上说，新基建是构建数字孪生世界大厦的“地基”，而安全是“底座”。周鸿祎将新基建面临的“大安全”挑战概括成“七个大”，分别是：

　　战场大：

　　漏洞无处不在，一切皆可攻击，未来网络攻击能够贯穿到各个场景，不分国家、企业和个人，所有的领域都将面临来自网络世界的攻击;

　　对手大：

　　玩家升级，网络攻击方从“白开心”“纯小偷”跃升至网络犯罪组织、网络恐怖主义和国家级黑客组织这样的“大玩家”，其组织化程度和技术实力之高相当于“正规军”;

　　目标大：

　　攻击意图更具野心，从伊朗核设施遭受“震网”病毒攻击，到希拉里邮件门事件，再到委内瑞拉电站遭网络攻击陷入崩溃，这些攻击事件主要瞄准企业重要资产、国家关键基础设施、重要政府部门，达到中断工业生产，瘫痪电力、交通、能源等关键基础设施，颠覆政权，甚至影响战局的目的。未来数字基建必然成为“靶心”，一旦被攻击影响巨大;

　　布局大：

　　敌已在我，针对重要目标的攻击往往经过周密准备和复杂的策略，进行长期潜伏、持续渗透。为达目的，在产品中预制后门、利用供应链发起攻击都已经是“常规操作”。御敌人于国门之外已经很难做到，必须假设敌已在我。

　　手法大：

　　无所不用其极，后门、APT攻击、0Day漏洞利用、定制化恶意代码，以及社会工程学等攻击手法越来越高级化和多样化，暗战越来越多，传统的单点检测、碎片化的防护方案越来越无能为力;

　　代价大：

　　损失重大，据埃森哲估算，2019 年全球因网络攻击造成的经济损失约 2.5 万亿 美元，是 2018 年的 1.6 倍;到 2025 年，预计达到 5.2 万亿美元。Gartner 数据也显示 2019 年 66%的企业遭到黑客攻击，54%企业至少被黑客攻击一次或多次。当外部威胁与内部脆弱性叠加共振，一次网络攻击即可造成重大损失;

　　难度大：

　　攻防不对称急剧加大，攻防资源向供给方倾斜，要发现、阻断和溯源网络攻击难度骤增，“谁进来了不知道、是敌是友不知道、干了什么不知道”的被动局面成常态。

　　在各国激烈角逐制网权的网络空间新变局下，来自大对手针对新基建发起的大布局、大烈度、防护难度大的网络攻击，让传统安全防护体系似乎都成了“摆设”。

　　旧防护体系成摆设 360同步打造“安全基建”

　　过去一年，针对关键基础设施的攻击此起彼伏：

　　3月，铝业巨头Norsk Hydro全球IT网络遭恶意攻击，自动化生产线无奈关闭;

　　6月，伊朗石油、金融乃至军事导弹发射控制系统，遭不明来源网络攻击，多次陷入瘫痪状态;

　　7月，委内瑞拉水电站遭网络攻击，首都及10余州水电网崩溃，全境陷入至暗时刻;

　　10月，印度最大库丹库拉姆核电站计算机网络遭受外来攻击，危及印度南部供电;

　　12月，美国航空公司RavnAir计算机网络，遭受恶意攻击，航班取消系统被迫停摆。

　　在新基建浪潮之下，针对关键基础设施的网络攻击必然只增不减。过去“头疼医头、脚疼医脚”的传统安全体系局限性进一步凸显，周鸿祎将其概括为七“缺”：缺“能力导向”的正确意识、缺“体系化”的顶层设计、缺有效运营、缺能力积累、缺全局情报、缺“一体化作战”的协同联防、缺实战检验。

　　七“缺”之下，亟需补位。应对未来网络安全问题，需放弃碎片化或单点防御的思路，构建持续进化的安全能力体系。基于此，360在十多年的网络攻防对抗中，不断抽象、沉淀出一套面向新基建的“6个1”网络安全框架体系。

　　第一个“1”是一套网络安全互联标准

　　，新的框架体系不是要推翻传统的安全体系，而是升级传统的安全体系，首先要建立1套安全互联标准，包括安全知识库标准、威胁情报标准、实网靶场标准等等，解决目前各安全节点间互不相通的问题，起到“润滑油”效果;

　　第二个“1”是规划一套安全基础设施

　　，整合现有安全节点的能力，构造出一系列的从应对威胁视角出发的能力中心，包括漏洞管理中心、情报运营中心、安全运营中心、实战评测中心等等，作为安全体系的能力载体;

　　第三个“1”是作为“体系中枢”的安全大脑

　　，其核心组成是安全大数据中台+全视检测分析引擎+全景安全知识库，它的作用相当于网络空间的预警机和反导系统，能够为安全基础设施进行情报、知识、漏洞、专家赋能;

　　第四个“1”是一套安全运营战法

　　，指导网络安全整体规划，以及网络安全风险识别、防御、响应、恢复、预测的全生命周期;

　　第五个“1”是一套安全专家团队

　　，网络安全的本质是对抗，对抗的根本在人。通过安全专家团队为客户提供咨询规划、建设运营、应急响应、实网攻防、持续评估、教育培训等专业定制服务，形成安全生产力;

　　第六个“1”是一套实战检验机制

　　，网络安全讲百遍不如打一遍，实战才是检验安全能力的唯一标准，利用实战攻防积累经验教训，持续迭代能力。

　　“新基建”东风已来，在一片叫好声中周鸿祎率先做了安全“吹哨人”，提出面向未来的网络安全框架护体系，给新基建安全建设明确方向，不再是“摸石头过河”。

　　当然，仅有一家安全公司摇旗呐喊并不足够，需要整个安全行业一起做新基建下安全生态建设的主要参与者、推动者。演讲最后周鸿祎诚恳说道，“未来，360将继续深耕安全运营和安全能力服务，成为各个城市、政府和企业的安全合作伙伴，为大家守护安全。