4月24日，中国工程院院士沈昌祥莅临上海控安视察，上海控安总经理蒲戈光、首席运营官刘毅、技术总监刘虹陪同接待。沈院士在指导平台工作的同时，更为上海控安的小伙伴进行了一场网络安全培训，让我们受益匪浅。
沈院士听取平台发展情况
绝对的安全并不存在，
传统防御思路对整体安全非常不利
沈院士的培训从近年频繁发生的Mirai、WannaCry等网络安全事件谈起，强调网络威胁是永远的主题，对网络空间产生着极大的威胁；由于设计IT系统不能穷尽所有的逻辑组合，必定会存在逻辑不全的缺陷，因此绝对的安全不存在，也没有所谓“刀枪不入”的体系。
“目前我们还没有能力面对强大的攻击源，从计算科学问题来看，图灵计算模型仍缺少攻防理念；从体系结构问题来看，冯诺依曼架构还缺少防护部件；从计算模式问题来看，目前重大工程应用又没有安全服务；杀病毒、防火墙、入侵检测这些传统“老三样”防御方式早已过时，难以应对人为攻击，而且容易被攻击者利用，找漏洞、打补丁的传统思路对整体安全非常不利。”
离开“封堵查杀”，
以“主动免疫”保障网络安全
传统的防御方式并不提倡，沈院士提出企业需要有“主动免疫”意识，建立“主动免疫”安全目标，来确保计算任务能够正确完成，逻辑组合不被篡改和破坏。
“建立主动免疫的计算架构，就相当于人体自身的免疫系统，以密码为基因，实施身份识别、状态度量、保密存储等功能，及时识别“自己”和“非己”的成分，从而破坏与排斥进入机体的有害物质，相当于为网络信息系统培育了免疫能力。”
沈院士表示，安全要讲体系，应当构建可信安全管理中心支持下的主动免疫三重防护体系。首先，一个单位要保障对外部的安全，现在计算机已经代替了手工作业，搭建可信的计算环境就很关键，计算环境相当于工作环境，安全保密是第一位需要考量的因素；其次是构建可信边界，相当于“警卫室”，只有被批准的才允许进入和离开；第三是搭建可信网络通信，类似“安全快递”，确保内容不会被人偷看，也不会被人篡改掉包。
“主动免疫安全防护的效果体现在：让攻击者“进不去”、非授权者重要信息“拿不到”、窃取保密信息“看不懂”、系统和信息“改不了”、系统工作“瘫不成”、攻击行为“赖不掉”。”
中国可信计算的革命：网络安全主动防御时代
谈到可信计算的发展，沈院士介绍到，可信计算是源于1992年所立项的可信计算综合安全防护系统，并于1995年通过测评和鉴定，经过长期军民融合攻关应用，形成了自主创新安全可信体系。
“从面向主机的可信1.0时代，到面向PC机的可信2.0时代，再发展至面向网络的可信3.0时代，已经翻开了以中国为代表的可信计算创新篇章，也奠定了计算科学、体系结构发展的里程碑。”
当前，可信计算3.0产业链已经形成，自主可信计算平台产品设备有三种形态：系统重构可信主机、主板标配PCI可信控制卡和配接USB可信控制模块。也就是说，可以方便地通过可信网络支撑平台把现有设备升级为可信计算机系统，而应用系统不用改动，便于新老设备融为一体，构成系统的安全可信。
基于可信计算的工控系统安全
沈院士强调，要以科学的网络安全观，保障工控系统安全。云计算、大数据、工业控制、物联网等，都是通过网络以服务的方式提供给用户的计算模式，组成新的计算环境和信息系统，都必须用等级保护制度进行安全防护体系建设。
工业控制系统的安全架构需要从监控与数据采集、分布式控制系统、过程控制系统、可编程逻辑控制器、应急管理系统等方面进行考量，在可信保障的安全管理中心支持下搭建计算环境、区域边界、通信网络三重防御多级技术的防御体系。
沈院士感慨，面临日益严峻的国际网络空间形式，我们要以创新驱动，解决受制于人的问题，要坚持纵深防御，用可信计算3.0构建网络空间安全主动免疫保障体系，筑牢网络安全防线。同时，沈院士也对平台发展提出殷切希望，希望平台公司能够抓住时代的机遇，以可信计算为基础的，以创新精神开创工控安全保护新时代。
沈昌祥院士与上海控安团队合影
来源：freebuf.com 2019-04-25 15:50:02 by: shanghaikongan
请登录后发表评论
注册