三网融合下网络和信息安全问题对策

http://www.enet.com.cn 2010年03月10日09：16中国信息产业网【导读】：从简单的单一病毒到各种攻击威胁的复合交织，再到三网融合环境下的综合网络安全，这一变化意味着网络和信息安全的“广域时代”已经来临。　　从简单的单一病毒到各种攻击威胁的复合交织，再到三网融合环境下的综合网络安全，这一变化意味着网络和信息安全的“广域时代”已经来临。有专家指出，80%的安全隐患将来自于终端，面对IP协议自有缺陷、网络开放性带来的攻击、终端的安全隐患、内容监管难度的加大等问题，我们该如何应对？

　　问题

　　三网融合主要是指，三网在技术上趋向一致，网络层上实现互联互通，业务层上互相渗透和交叉，应用层上趋向使用统一的IP协议。随着网络的开放性、交融性和复杂性的不断提高，融合网络将面临巨大的安全考验。

　　IP协议自有缺陷将带来安全隐患。在技术安全方面，未来网络将使用IP协议，而IP协议本身的缺陷将给网络带来安全隐患。IP协议无法提供端到端的服务质量控制和安全机制，在将合法用户接入网络的端口和门户的同时，网络黑客等恶意攻击者也乘虚而入。攻击者可以通过使用IP地址欺骗、拒绝服务攻击、后门入口等工具和技术入侵网络，达到破坏服务、盗用服务和窃取机密信息等目的。这些缺陷在融合网络中继承了下来，必将带来相应的安全问题。即使是IPv6协议，也存在着一定的隐患。IPv6协议中的部分重要协议如ND协议在当前环境下应用也存在漏洞。当网络中存在恶意节点时，就可能遭受利用ND认证缺陷的欺骗性DoS攻击，且受IPv6地址空间扩大的影响，攻击者还有可能利用ND从链路外发起资源消耗型DoS攻击。

　　网络开放性使攻击者有可乘之机。在网络安全方面，三网融合之后，原先封闭的电信网、广电网将不断开放。这种开放性使得外部的攻击者有了可乘之机。流行于互联网的黑客、病毒、木马等将会转移到电信网、广电网，产生巨大的危害。全网爆发的蠕虫病毒、大流量分布式拒绝服务攻击、充斥网络的各种垃圾流量、针对支撑和业务系统的攻击等都将给网络安全提出严峻的挑战。同时，由于传统网络的封闭性，一些安全漏洞被掩盖起来。而在开放的环境下，这些缺陷极有可能显现出来。与此同时，在孤立的网络环境下，病毒或黑客的攻击范围相对有限。而在融合的背景下，一个网络中的安全威胁将延伸到另一个网络中，从而出现全网的安全威胁。在这之中，病毒作为一种传统的网络安全威胁，在三网融合时代仍将是一大挑战。当前，计算机病毒木马呈现隐蔽性强、变种速度快、攻击目标明确、趋利目的明显等特征。而随着网络的发展，手机病毒也呈爆炸式增长。目前已经发现了至少430种手机病毒。专家表示，只需5分钟即可通过智能手机将蠕虫病毒传遍全球。据估计，未来手机病毒年度增长数量有可能超过过去10年的总和。

　　80%的安全隐患将来自于终端。在终端安全方面，三网融合将实现三屏合一，终端的快速发展不可避免地带来相应的安全问题。随着网络的发展，终端接入方式变得多种多样，面临的安全形式错综复杂。曾有专家指出，80%的安全隐患今后会来自于终端。特别是对于移动终端来说，其面临的安全问题将更加复杂。移动终端正逐渐成为个人信息处理中心，受终端自身的屏幕大小、计算能力、电力供应、接入速率等的限制，移动终端自身的防御能力相对较弱。而移动终端越来越智能化、应用更加丰富、联网时间更长，这使得其将面临更多的攻击。 图像信息实时性让监管难度变大。在内容安全方面，三网融合之后，网络信息量将急剧增加，内容安全面临着巨大的考验。垃圾邮件、色情、诈骗、暴力以及危害国家安全的信息充斥在各种网络当中。因此，提高信息的可信性将成为三网融合的重要组成部分。按照相关规划，三网融合后，国有电信企业将可从事相应的广电业务。网络视频、视听等新业务在获得更快发展、丰富广大消费者文化生活的同时，由于图像信息的实时性，将对网络的信息安全带来极大挑战。

　　对策

　　国务院常务会议强调三网融合要做到保障网络信息安全和文化安全。政府部门、研究机构、运营企业以及用户等要在行政监管、法律规范、技术支撑、行业自律等方面下工夫，切实保障三网融合下的网络和信息安全。

　　成立统一的网络和信息安全管理机构。三网融合后面临的安全问题纷繁复杂，因此必须改变目前多头管理的局面，成立专门的安全管理机构。这一机构要加大对网络和信息安全工作的指导规划力度，加强基础性管理工作，推动行业自律；要制定国家级的网络和信息安全预案，协调相关部门、重点行业的网络和信息安全工作；要牵头制定相应的标准和规范，做好基础性工作。

　　健全网络和信息安全法律法规体系。近年来，我国在网络和信息安全立法方面做了大量的工作，但是存在着法阶不高，主要是部门规章的问题。因此，要进一步完善法律法规体系，尤其是要出台一部专门的网络和信息安全基本大法，构建结构严谨、层次分明、功能合理的网络和信息安全法律体系。要通过立法明确政府、运营商、用户等在保障网络和信息安全中的权利和义务，为网络和信息安全工作提供强有力的支撑。同时，要加大执法力度，对破坏网络和信息安全的行为进行严厉惩罚。据了解，《中华人民共和国信息安全条例》制定工作正在紧锣密鼓地进行。我们也期待更高级别的法律早日出台。

　　实行分级、分层、分域的保护机制。根据不同单元在系统中的重要程度、面临的风险威胁、安全需求、安全成本等因素，将网络划为不同的安全保护等级并采取相应的安全保护技术和管理措施。要制定不同级别的安全防护机制、安全监测机制、安全恢复机制。要深入开展网络安全保护和应急体系建设。不同实体要明确责任，完善机制，认真开展安全评测、风险评估、技术手段建设等工作。同时要完善应急预案，及时有效处置安全事件。

　　加大科研力度，做好技术保障。国家要针对三网融合中可能出现的网络和信息安全问题，提前部署，进行有针对性的研究。要加大核心技术研发和攻关力度，努力实现重大设备的国产化，构建具有自主知识产权的网络和信息安全保障体系。要把人才队伍建设作为网络和信息安全管理工作的基础任务之一，加强人才队伍建设，努力锻造一支技术过硬的人才队伍。