【数据资产保护】网络空间安全与数据资产保护 李建华

白帽子

2019/08/04 发布于 技术 分类

c3安全峰会2017 

文字内容
1. Cyber Security and Protection for Digital Assets 网络空间安全与数据资产保护 李建华 教授 博导 上海交通大学 网络空间安全学院 信息内容分析技术国家工程实验室 邮箱: junwuhn@sjtu.edu.cn
2. 提纲 • 网络空间安全主要威胁和挑战 • 网络空间安全防御新趋势 • 网络空间数字资产保护
3. Threats and Challenges in Cyber Space 网络空间安全主要威胁和挑战
4. 互联网+时代的信息社会 我们已经跨入以社会信息化、设备数字化、通信网络化的信息社会 我们的信息社会正在不断的演进,互联网、物联网、无线人体局域网(WBANs)、云计算、大数 据、可穿戴设备、智能化技术正在飞速发展,正在推动我们信息社会发生巨大的变化 未来可以展望的是,不仅仅我们可以连接到网络,而且我们的身体(至少是衣服或配饰)会变成物 联网的关键网络结点。
5. 信息安全无处不在  随着我们的信息社会不断深化演进,当移动互联网、物联网和社交网络把所有人、机构 和物连接在一起,信息已经无处不在,同样信息安全也无处不在。在广泛互联化的IT环境 中,大到国家和社会,小到机构和个人都面临着如何保障自身的信息安全的问题。
6. 信息安全危害越来越严峻 信息安全问题影响和危害国家安全和社会稳定 • 斯诺登事件 • 伊朗布什尔核电站“震网”事件 信息安全危害到每个人的生命权、财产权和自由权 • 入侵植入式心脏起搏器 • 入侵ATM取款机 • “心脏出血“安全漏洞
7. 数据资产泄密危害日益严重 泄密事件一再上演,我们 该如何避免泄密事件重演?
8. 攻击从损人不利己向获取利益转变 攻击变得越来越功利,攻击从损人不利己向获取利益转变; 黑客行动的动力转向牟利后,其攻击行为以获取有价值资料作为主要攻击目标,无论机构组 织还是个人用户的危险也被大大加深。 最近刚放生的“勒索软件病毒”事件,涉及全球100多个国家,造成全球恐慌
9. 何为加密勒索软件?  勒索软件是一种恶意软件,其通过邮件或钓鱼网站 等方式,利用主机或应用存在的漏洞,感染用户主 机或重要服务器。  勒索软件侵入电脑后,对文件系统进行遍历和查找, 然后对图片,视频和文档类型的文件进行加密处理, 造成使用者无法访问和使用。  勒索软件通常不会去加密系统文件,保证系统可以 正常启动,显示勒索信息。  受害者若想打开被加密文件,必须通过支付赎金的 方式,下载解密程序并获取解密的密钥,才有可能 将文件解密。
10. 勒索软件的典型入侵过程 1. 用户收到含有勒索软件的邮件,或者点击了钓 鱼链接,导致主机被注入勒索软件。 钓鱼链接 带勒索软 件 的邮件 3 1 主机被注入 勒索软件 2 C&C服务器 勒索软件向C&C主 机 连接下载密钥 文件被加密 2. 勒索软件注入成功后,控制了被感染主机,然 后试图连接C&C主机获取用于加密程序或加密密 钥。 3. 勒索软件在后台查找文件,并进行加密处理。 4 发出勒索信息 4. 攻击者发出勒索信息,通知用户支付赎金换取 解密程序。
11. 电脑的文件被加密后。。。  加密勒索软件的运行和加密的操作都是在后台完成,使用 者常常没有感知。  使用者在文件无法访问时,才发现加密行为已经完成了。  攻击者通过修改桌面,或者其他通知方式,告知使用者需 要支付赎金,获取解密程序和密钥来完成文件解密。 受害者收到的勒索信息  受害者会收到各种形式的勒索金钱的提示  支付赎金并不能确保对加密的文件进行解密
12. 勒索软件在不断演化  采用对称加密方式,加密文件名,隐藏文件夹,影响用户访问文件系统,如PC Cyborg,QiaoZhaz等。  采用非对称加密方式,针对文档、图片、视频等文件加密,如GPCoder,CRYZIP等。  采用强加密算法,利用Trojan-Downloader从C&C主机获取密钥,通过Bitcoin方式支付赎金, 如Cryptolocker, Locky等。  未来可能会以更广泛威胁的蠕虫传播方式,在网络内部有关联的应用系统之间传播,更大范围勒 索金钱。
13. 攻击目标转向企业用户-案例  2016年2月,国外某医院的病人数据被 加密,造成医疗应用系统无法访问病人 资料;攻击者勒索300万美金。  2016年11月,国外某地铁公司的应用 系统被加密,造成售票机无法提供售票 业务,乘客免费乘坐地铁运营两天;攻 击者勒索7.5万美金。
14. 勒索软件对行业数据资产的巨大危害  由于企业数据被加密后,造成业务无法正常运营,甚至业务中断,经济损失和社会压力导致 加快了勒索时间,成为勒索软件的下一个主要目标。  医疗行业:医院可能无法访问或丢失重要的病人信息,治疗系统无法正常工作,影响对患者 进行及时的救治。  公共交通:公共交通的关键控制系统无法正常运行,售票系统的瘫痪,造成整个运营系统的 混乱,运营方遭受巨大损失和公众压力。  金融行业:网上银行系统或者柜员系统被控制,导致关键信息泄露,或无法提供正常交易, 带来造成巨大经济损失。  零售行业:影响交易系统的正常工作,消费者无法进行商品买卖,造成巨大经济损失。
15. 攻击从个人英雄向组织犯罪转变 攻击变得越来越有组织性,攻击从个人英雄向组织犯罪转变; 有组织的攻击犯罪攻击资源更多,更加有效,造成的安全威胁更大。
16. 攻击手段体系化 采用体系化攻击手段的APT攻击呈爆发趋势,带来越来越大的安全威胁。 APT攻击以窃取核心资料为目的,会运用各种攻击工具、受感染的各种介质、供应链和社会 工程学等体系化的攻击手段实施先进的、持久的且有效的威胁和攻击。
17. 网络空间安全成为国家战略 • 国家高度重视网络空间安全 没有网络安全,就没有国家安全 没有信息化,就没有现代化 – – – – – – 2013年11月12日,中央国家安全委员会正式成立 2014年02月27日,中央网络安全和信息化领导小组成立 提升到国家战略高度重视网络空间安全保障工作 要有高素质的网络安全和信息化人才队伍 2015年12月,上海交大等5所高校获批成为首批国家级网络空间安全人才培养基地 2016年2月,上海交大等29所高校获批成为首批网络空间安全一级科学博士学位授权点单位
18. New Trends of Cyber Security Defense 网络空间安全防御新趋势
19. 网络安全态势感知定义 在大规模网络环境中,对能够引起网络态势发生变化的安全要素进行获取、理解、显示以及对 未来短期的发展趋势的预测。 网络态势感知(Cyberspace Situation Awareness) 借鉴并对比了“空中交通监管”态势感知的 概念。包含有两层含义:  实时地根据网络安全设备的告警信息及其他信息,进行关联归并、数据融合等操作,实时反映网 络实际的运行状况;  根据历史数据进行一定的离线分析,采用一定手段对潜在可能的威胁进行预测。
20. 网络安全态势感知定义 态势预测 态势感知三 级模型 网络安全 态势感知模型 态势理解 态势要素 获取
21. 网络威胁情报共享服务模式 • 网络威胁情报生态圈建设
22. 威胁采集 互联网采集 厂商报告,安全社区, whois 交大自有数据 全球IP库、黑IP、黑 域名、黑MD5、社 工库、指纹库 第三方合作情报 STIX格式,机器可读, 人可读
23. ATP威胁情报采集 整个APT攻击过程包括以下5大步骤:  定向情报收集  单点攻击突破  控制通道构建  内部多层渗透和数据收集上传
24. ATP威胁情报采集 APT攻击团队和组织名单及搜索
25. ATP威胁情报采集 APT攻击团队和组织名单及搜索
26. 基于域名系统安全及防护系统特色 1 大数据云端综合分析 2 可实现多分布点的协同 3 可实现仅基于DNS采样流的轻量级检测 4 提供僵尸网络受害端及控制端的溯源 大数 据分 析 2,803 个控制端 IP 地址
27. 网络攻防主动防御能力  攻击能力  防御能力  攻防基础设施 – – – – – – – 漏洞的挖掘和应用 Windows安全机制突破和远程管控 Windows Rootkit/Bootkit的研制 隐秘内网的渗透和权限获取 工业控制系统的安全机制研究和漏洞挖掘 iOS系统的安全机制研究和渗透攻击 Web/数据库服务器的渗透攻击 – – – – 网页挂马的自动检测分析 网络蜜罐的主动防御型检测 Windows Bootkit恶意代码检测 iOS系统恶意代码检测 – 攻防教学实验系统 – 网络蜜罐系统
28. 威胁情报系统总体网络拓扑:分布式采集+集中分析 探针部署位置 区域边界 计算节点 ① 分布式部署的探针采 集数据(包括威胁情 报,安全设备日志 等),边界部署 内部计算环境 分析应用区 管理区 威胁情报 堡垒机 1 ② 将采集到的数据进行 数据整理和入库 ③ 系统实时分析数据, 也可以对历史数据进 行分析 分析平台 大数据存储区 处 置 用户管理 采 集 ④ 分析结果送到展示界 面进行数据可视化 权限管理 数据采集区 ⑤ 根据对事件的分析结 果,发送配置到探针 进行阻断操作 5 运维监控 存 储 2 4 展 示 3 分 析
29. 威胁情报系统架构 监控大屏 展示中 心 子系统 安全威胁监控 行为模型分析引 擎 流量分析引擎 安全分 析研判 子系统 数据储 存 子系统 主机流量分析引 擎 威胁情报匹配引 擎 数据包分析引擎 告警归集引擎 可视化关联分析 引擎 文件样本沙箱分 析引擎 大数据全量检索 引擎 全量数据碰撞分 析引擎 全流 量 存储 网络 安全 事件 库 威胁 情报 库 数据接口 数据采 集预处 理子系 统 采集数 据源 网络元数据 网络性能指 标 网络原始流量 性 能 监 控 子 系 统 WEB访问界面 第三方接口 业务性能监控 态势呈现 流量分析引擎 网络性能分析引擎 应用识别引擎 主机性能分析引擎 数据包分析引擎 应用交易性能分析 引擎 文件 样本 库 IP 域名 库 病毒 木马 库 数据去重 恶意样本 原始数据包 漏洞 库 网络 性能 指标 库 互联网信息 用户管 理 角色管 理 处置建议 权限管 理 防御设置 安全审 计 威胁情报库积累 元数 据库 初始关联 网络安全告 警 系统管理 研判结果 响 应 处 置 子 系 统 多段分析引擎 业务自动感知引擎 系统管 理子系 统 业务 资产 信息 库 网络 流量 基因 库 人员 行为 画像 库 范式处理 威胁情报 全量 日志 防火墙、IDS等 日志 主机日志、防病 毒、IAM等日志 数据接口接口 配置管 理 数据字 典 运维 监控 全局 监控 前端 状态 运维 告警 组织管理 单位管 理 前端管 理
30. Protection for Digital Assets 数据资产保护
31. 数据资产是政府、企业信息安全的核心目标 政府、企业秘密 • • • • • • • • 业绩数据 设计资料 客户资料 财务报告 战略报告 审计报告 重要邮件 会议纪要 合规数据 • • • • • • 客户信息 知识产权 隐私数据 健康数据 信用卡号 …
32. 《中华人民共和国网络安全法》明确数据资产需保护  中国网络安全法是网络安全领域的基本 法,2017年6月1日开始实施  何个人和组织不得从事非法侵入他人网 络、干扰他人网络正常功能、窃取网络 数据等危害网络安全的活动  不得提供专门用于从事侵入网络、干扰 网络正常功能及防护措施、窃取网络数 据等危害网络安全活动的程序、工具
33. 数据资产保护的典型技术路线 1 •1 发现和评估 发现保存在所有位置的敏感数据, 对风险进行评估 2 •2 数据分类 确保安全的数据处理流程正常运转 •3 5 •4 3 4 •5 定义有效的策略 创建策略用于保护数据,并且确保 策略的有效性 实施控制 控制机密数据的授权访问和安全传 输 监控, 报告和审计 通过报警和事件管理来确保成功的 数据安全防护
34. 主流数据资产保护方法 • 全面评估信息风险,包 括网络、端点和存储 • 全面检测数据库、文件、 邮件、文字等泄密通道, 及时报警或阻止 • 统一制定防泄漏策略 • 遵从监管法案法规 • 实施和部署简单,无需 更改流程,无需人工参 与,可在企业范围应用 • 能够有效的与DRM/加 密工具集成使用,使得 后者更有效 • 能够阻止没有权限的人 非法获取信息,即使丢 失也没关系 • 依赖手工进行 • 密钥的管理是个复杂问 题 • 不能解决无意识泄密和 主动泄密 • 仅适用于笔记本或者少 量文件服务器 DLP DRM (数据权限保护) (数据泄漏保护) • DRM可以决定数据的 访问和使用方式,功能 强大 • 仅限于特定的文档类型 • 需要与企业应用紧密集 成,大量依靠人工参与 • 部署实施十分复杂并难 以持续运维 • 仅适用于研发等少数小 组 Data 企业数据 Encryption (加密) Management (管理) • 技术不能解决所有的问 题,仍然需要以下辅助 • 风险教育 • 行政管理 • 物理安全 • 刑事诉讼
35. 数据识别是保护的前提  数据的两种形式  结构化数据:存储在数据库中,包括智能卡、移 动用户资料等关键并且敏感的信息。  非结构化数据:主要存储在文件服务器以及大量 的工作终端。  数据保护的核心思路  定义企业的机密信息  制定对不同等级机密信息的监视和防护策略  部署策略监控阻断信息泄漏
36. 数据全生命周期保护 创建/获取 销毁 使用 传递 存 储 /备 份 数据安全不仅是目的, 更是动态的过程!
37. 数据的动态视图 外部行情数据 相关机构系统 彭博资讯 外汇交易 中心银行 间本币交 易系统 深交所综 合协议平 台 上海聚源 数据 万得资讯 上海朝阳 永续数据 营业部 通达 信现 场版 恒 生 柜 台 钱龙 现场 版 核心客户资 讯服务平台 金仕 达期 货柜 台 恒生 直销 系统 开户影像 营业部现场交 易系统(热自助 刷卡小键盘/自 助交割) 大客户直连 恒生 创元 大客 投资 户接 管理 入系 系统 统 上交所固 定收益平 台 钱龙行情 终端 中经网行 情数据 深度行情 路透资讯 互联网 网上营业厅 /flash行情交易 系统/页面交易 恒生 网上 交易 系统 资管CRM系 统 MOT系统 经纪 上交所大 宗交易终 端 大智慧行 情终端 港澳资讯 交易所实 时行情 通神行情 北方之星 资讯 宏汇data feed行情 中信证券系统 深监局远 程监控系 统 电话 核新 网上 交易 系统 通达 信网 上交 易 集中交易系统 根网套利系统 摩旗套利系统 恒生套利系统 网点管理与综 合分析系统 经纪业务管理 平台(BMM) 恒生场外基金 代销系统 创元投资 交易 交易系统 管理 恒生IA系统 恒生 电话 委托 QDII投资咨询和 下单交易系统 资管算 法平台 恒生 手机 证券 恒生FTA系统 天软策略开发平台 移动 手机 证券 债券业务管 理平台 根网自营交 易系统 衡泰衍生品 业务平台 算法交 易平台 衡泰 债券 交易 销售 平台 资管信息披露系统 三方存管系统 内部 网站 短信 平台 投行CRM系 统 渠 道 客 户 证券金融 证券金融算 法交易平台 邮件 系统 投行 融资融 券系统 簿记系统 证券金融业务平台 产 品 投行项目管 理系统 携宁买方投研系统 高频行情数据转换系统 数量化分析数据处理系统 清算核算系统 (估值) 内部 港澳 手机 证券 投资知识管 理系统 债券黑 莓系统 投行黑莓系 统 北方之星投研系统 清算 清算流程管理系统 联通 华建 手机 证券 证券金融业 务管理平台 债销 SunGard投资会计系统 万得投研管理平台 手机 客户 联络 中心 自营 金手指估值系统 估值 研究 中债登招 投标系统 根网QFII 投资交易 系统 擎旗 即时 通讯 系统 研究与股销业 务管理平台 资管 股销投资交易 系统 门 户 网 站 研究 清算统计系统 新意清算法人系统 新一代运营平台 投研平台 研究所数量化分析 指数计算服务 中债登招 投标系统 数 据 ODS 中债登簿 记系统 基础设施 风控合规 移动办公系 统 人力资源招 聘系统 反洗钱系统 公文系统 人事系统 Riskmetrics风险管理系 统 差旅管理系 统 自营风控系统 投行内核系统 融资融券风控系统 稽核项目管理 证券金融客户风险分析系 统 邮件归档系统 银行 客户信息 个人客户基本 资料 IT 资管风控系统 统一身份认证 平台 图例 HR 金仕达经纪业务风控系统 金仕达合规管理信息系统 数字证书系统 交易所 OA 机构客户基本 资料 黑莓系统 客户身份鉴别 信息 客户账户信息 QFII等特殊客 户账户信息 IT预算和资产管 理 Elearning系 统 个人客户资金 与持仓信息 机构客户资金 与持仓信息 客户排队评价系统 IT项目管理 财务核算系统 财务系统 客户资产信息 客户身份鉴别信息 QFII等特殊客 户信息 财务 智能楼宇管 理系统 法律事务管理平台 管理管控基础数据 库 管 理 Barra绩效系统 金石投资管理系统 自有资金头寸管 理系统 QFII等特殊客 户资金与持仓 信息 个人客户交易 信息 客户交易信息 机构客户交易 信息 QFII等特殊客 户交易信息
38. 数据保护策略设计 业务开发 与运营 网络及 系统运 营 供应商/合 作伙伴开 发与管理 客户关 系管理 企业 管理 责任 制度 技术 手段 “敏感数据安全”作为其中1“栅”,应引起高度重视  以信息安全管理责任、制度建设、技术手段为“栏”,以与信息安全相关的业务流程为“栅”;  推动业务流程与信息安全管理责任相结合、与业务制度相结合,并配套相关的技术手段,通过不断细化完善 各流程环节的信息安全责任和要求,深化和完善信息安全管理体系。
39. 全面的数据脱敏解决方案 应用程序 DBA 外协人员 允计 日志 报警 替换 阻断 生产数据库防护 (数据库防火墙) 保密信息 敏感信息 公开信息 生产数据库 数据库服务器 允计 日志 报警 替换 阻断 测试\开发环境 防护 SI测试、开发人 员
40. 动态数据遮蔽(脱密) • Gartner公司定义了一个新的类别 - “动态数据屏蔽”,推动实现无法通过身份访问管理 (IAM)、静态数据屏蔽、加密等技术无法单独解决的问题 • 动态数据屏蔽保护敏感数据,是其不呈现在那些不需要访问的终端用户面前 • 动态数据遮蔽确保严格的按照每一个用户的身份、职责、岗位来过滤相应的敏感数据,并且, 这一动作是完全透明的,不会对应用程序或数据库中的数据造成任何的改动。
41. 数据资产保护预警(一)
42. 数据资产保护预警(二) 感知 定位 通告 预案 复查 第一时间感知最新威胁 快速定位影响范围,确认危害 下发整改通告,督促整改 启动在线防护方案、应急方案 复查确认,确保问题根治
43. 大数据带来的安全挑战及对策(一) • 万物互联产生大数据 • 在2006 年,个人用户才刚刚迈 进TB时代,全球一共新产生了 约180EB的数据; • 在2011 年,这个数字达到了 1.8ZB。 • 而有市场研究机构预测: • 到2020 年,整个世界的数据总 量将会增长44 倍,达到35.2ZB (1ZB=10 亿TB)!
44. 大数据带来的安全挑战及对策(二) 1、加密保护技术:保证数据的真实性,可逆 性和无损性,如SMC模型,差分隐私等。但 是该技术的计算开销很大,对大数据的支持 不大适用。 2、文件访问控制技术:通过文件访问控制来 限制呈现对数据的操作,在一定程度解决数据 安全问题
45. 大数据带来的安全挑战及对策(三) 3、匿名化保护技术:适用于各类数据和众多应用,算法通用 性高,能保证发布数据的真实性,实现简单,如聚类、kanonymity,l-diversity等,匿名化过程不可逆,本质上是 损失数据精度和数据隐私的折中。 4、可信计算(Trusted computing)技术:通用于各类数据 和众多应用,在计算和通信系统中广泛使用基于硬件安全模 块(可信根)支持下的可信计算平台,以提高系统整体的安 全性。
46. 总结 网络空间安全面临日趋复杂和范在的威胁 • 高级持续威胁、O-Day • 社会工程学 • 给传统网络以及各类新型网络带来安全挑战 静态的被动防御向动态的主动防御发展 • 构建网络安全态势感知体系 • 构建威胁情报感知与共享体系 • 有效实现协同防御  加强数据资产保护 • 数据资产是政府、企业的信息安全的核心目标 • 网络安全法已经立法对数据资产进行保护 • 从评估、分类、安全策略、有效控制、监测、预警、可信全方位保护数据资产
47. Thank You