供應鏈網(wǎng)絡安全水平亟須提升

　　7月19日，全球多地機場、銀行、醫(yī)院、酒店、政府網(wǎng)絡及大量企業(yè)因微軟Windows操作系統(tǒng)CrowdStrike終端安全產品更新導致出現(xiàn)藍屏死機（BSOD）現(xiàn)象，造成機場航班延誤，甚至取消、銀行業(yè)務停滯、醫(yī)療設備癱瘓等系列嚴重問題。由于波及范圍廣，全球部分供應鏈受到打擊，且影響到的多為國計民生基礎服務，此次事件已被稱為“史上最大規(guī)模IT故障”。在數(shù)字全球化時代，一個技術故障竟能迅速地發(fā)酵為席卷全球的安全風暴，造成如此嚴重的損失，凸顯了全球產業(yè)鏈供應鏈安全的關聯(lián)性，也啟示基于供應鏈的網(wǎng)絡安全保障水平亟須進一步提升。

　　一次技術性故障導致的網(wǎng)絡安全事件

　　總部位于美國的網(wǎng)絡安全公司眾擊（CrowdStrike）是微軟公司的技術服務供應商。北京時間7月19日12時9分，CrowdStrike的終端安全軟件“獵鷹傳感器”（Falcon Sensor）發(fā)布了一次配置更新，這本是一次例行軟件更新，然而此次更新與微軟公司的Windows系統(tǒng)存在兼容性問題，導致了系統(tǒng)內核中的邏輯錯誤，從而觸發(fā)了系統(tǒng)的藍屏崩潰。根據(jù)微軟公司估計，受影響的終端約為850萬臺。值得慶幸的是，此次事件并不是一次惡意攻擊事件，眾擊（CrowdStrike）公司在較短的時間內主動修復了漏洞。

　　在此次事件中，中國企業(yè)遭受的沖擊很小，受到影響的主要是外企、外企在華分支機構及合資企業(yè)，例如國內希爾頓酒店集團旗下的上海康萊德酒店，其入住和退房服務受到了影響。我國航空業(yè)未受影響，中國國航、東航、南航等三大航司均表示航班未受故障影響，北京首都機場和大興機場出發(fā)的國際航班也運行正常。

　　眾擊（CrowdStrike）公司在美國屬于頭部的安全企業(yè)，微軟公司是世界500強公司，其客戶包括全球主要航空公司、銀行、醫(yī)療保健和能源公司，而它們也是受此次“微軟藍屏”事件影響最大的。航空公司在7月19日當天取消了5000個航班，而這一影響一直持續(xù)到了7月22日；部分國家的醫(yī)院和政府服務受到了限制，甚至在美國一些地區(qū)的急救通信也被迫中斷。與此同時，經濟損失也逐漸顯露，根據(jù)美國保險公司Parametrix的初步估計，美國財富500強企業(yè)中有1/4（125家公司）的企業(yè)受到影響，直接經濟損失總額約為54億美元（不含微軟）。具體來看，醫(yī)療保健和銀行業(yè)受打擊最大，估計損失分別為19.4億美元和11.5億美元，美航和美聯(lián)航受到的影響次之，合計損失總額為8.6億美元。

　　雖然此次事件的源頭是一個軟件更新的問題，但由于供應鏈原因，波及范圍之廣、連鎖反應之強，讓人始料未及，暴露出深埋在IT基礎設施中更廣泛的系統(tǒng)性問題，即互聯(lián)網(wǎng)已經成為社會最重要的基礎設施之一，其影響深入人類社會的方方面面，“牽一發(fā)而動全身”，一旦出現(xiàn)安全問題，后果難以預料。在此次事件后，眾擊（CrowdStrike）公司股價下跌，而其他安全廠商股價上漲，這也反映了投資者和產業(yè)從業(yè)者對網(wǎng)絡安全的重視程度有了更清晰的認識。

　　須系統(tǒng)性強化供應鏈網(wǎng)絡安全水平

　　在追求發(fā)展進步和經濟繁榮的同時，只有不斷提升技術安全性和風險管理能力，才能避免災難性網(wǎng)絡安全事件的發(fā)生或重演。

　　從產業(yè)角度來看，一是提升供給側服務能力。網(wǎng)絡安全產業(yè)供給側需持續(xù)強化安全服務和保障能力，構建最小化的安全邊界，并伴隨先進計算架構的發(fā)展、前沿技術的應用，將系統(tǒng)安全和威脅檢測能力深度融合，不斷提升安全防護技術水平。二是構建良性的產業(yè)結構。在鼓勵市場競爭、大力發(fā)展龍頭企業(yè)的同時，也要關注單一產品服務占比過高可能帶來的脆弱性問題。尤其對于產業(yè)中的中小企業(yè)，采取必要手段支持其創(chuàng)新，鼓勵其良性競爭，維護產業(yè)健康可持續(xù)發(fā)展。三是培養(yǎng)全社會網(wǎng)絡安全意識。此次事件警醒了社會各界，即使是龍頭企業(yè)和非常成熟的技術平臺，也可能遭遇意外故障。當下，人人都會參與到互聯(lián)網(wǎng)生活中，只有提升全社會群體的網(wǎng)絡安全意識，及時發(fā)現(xiàn)和處理問題，才能盡可能地降低風險事件的發(fā)生。

　　從企業(yè)角度來看，一是關注軟件更新安全。企業(yè)需要在進行軟件更新時采取有效的安全措施，包括全面的測試和驗證，以減少安全風險，這也是此次事件最直接的經驗和教訓。眾擊（CrowdStrike）公司透露未來將計劃采用交錯方式發(fā)布內容更新，這樣就不會讓每個人都在同一時間收到相同的更新通知，并讓客戶對更新的安裝時間有更精細的控制。二是增強網(wǎng)絡安全架構的彈性。隨著企業(yè)數(shù)字化、網(wǎng)絡化、智能化不斷推進，網(wǎng)絡安全在保障企業(yè)業(yè)務順利運行方面發(fā)揮著越來越重要的作用，企業(yè)必須采取措施增強自身網(wǎng)絡安全架構的彈性，確保在面對網(wǎng)絡攻擊和意外故障時，系統(tǒng)能夠快速恢復運行，最大程度減少對業(yè)務的影響。三是以系統(tǒng)性思維制定應急措施。此次事件再次表明了全球供應鏈的關聯(lián)性，業(yè)務穩(wěn)定和網(wǎng)絡安全不僅是技術問題，更是管理和戰(zhàn)略問題，需要系統(tǒng)設計、規(guī)劃和運營。凡事預則立不預則廢，針對可能發(fā)生的安全事件，企業(yè)需要制定健全的應急預案，定期開展應急演練，確保在事件發(fā)生時能快速響應和處理，減少事件的影響程度和損失。

　　此外，該事件也啟示我國需持續(xù)推進關鍵基礎設施安全進程。對于關鍵基礎設施、運行重要服務的設備，需要提升自主創(chuàng)新能力，形成自有開放生態(tài)，強化關鍵基礎信息系統(tǒng)的安全防護。（中國軟件評測中心 唐剛 楊曉琪 張璋）

　　轉自：中國電子報

　　【版權及免責聲明】凡本網(wǎng)所屬版權作品，轉載時須獲得授權并注明來源“中國產業(yè)經濟信息網(wǎng)”，違者本網(wǎng)將保留追究其相關法律責任的權力。凡轉載文章及企業(yè)宣傳資訊，僅代表作者個人觀點，不代表本網(wǎng)觀點和立場。版權事宜請聯(lián)系：010-65363056。

延伸閱讀