2019年網絡安全大事記
-
數據時代與數字世界的來臨，信息數據已從資產保護對象成為重要的經濟生產工具。數據安全面臨的威脅前所未有，數據安全與身份安全保護的難度也將面臨巨大挑戰(zhàn)。這也是態(tài)勢感知、零信任等整體性安全架構成為業(yè)界重點關注的核心原因所在。
-
勒索軟件攻擊持續(xù)泛濫，但多集中在地方政府、醫(yī)療、制造業(yè)等網絡安全水平較低的行業(yè)。為了索取更大的經濟利益，勒索軟件會根據目標定制針對性的勒索軟件。從另一個角度看，也會意味著系統(tǒng)與數據備份恢復市場的上升。
-
電子郵件欺詐(BEC)再次創(chuàng)記錄的達到260億美元，這種基于社會工程學的攻擊已經超出傳統(tǒng)網絡安全技術攻防的范疇，再借助于AI偽造技術，預計未來電信欺詐、郵件欺詐、網絡欺詐等基于社會工程學的犯罪還將持續(xù)帶來更大的危害。
-
CPU/GPU/內存及BMC固件等硬件底層漏洞問題已經突顯，這種級別的漏洞隱蔽性高、危害性大、涉及面廣，而且難以快速修復，很有可能成為“殺手級”的網絡攻擊武器。
-
資本寒冬對安全行業(yè)并不適用，2019年國內投融資總額已超百億元。此外，對于安全創(chuàng)業(yè)公司來說，收購的趨勢已經十分明顯。尤其是國內的初創(chuàng)公司，目前為止沒有一家明顯具備IPO的跡象，至少在現階段，收購成為投資方退出與創(chuàng)業(yè)者成功的最佳實踐。
-
國有資本紛紛進入網絡安全市場，是一個明顯的戰(zhàn)略布局信號，也在某種程度上體現出國企民營的混改趨勢。同時，國內整體安全市場規(guī)模亟需擴大，否則專注細分領域的初創(chuàng)企業(yè)極易遭遇發(fā)展瓶頸而停滯增長。
-
2019年堪稱“網絡安全罰款元年“。僅Facebook、Equifax、英國航空和萬豪國際四家企業(yè)，因個人隱私與信息泄露的罰款金額就接近90億美元，超過國內整個網絡安全產業(yè)的市場規(guī)模（據數世咨詢初步統(tǒng)計，2019年國內網絡安全市場規(guī)模約為600億元左右）。
-
委內瑞拉的大停電事件，伊朗導彈發(fā)射控制系統(tǒng)遭攻擊癱瘓。國家支持的黑客行動從冷戰(zhàn)時期進入小規(guī)模沖突時期，大規(guī)模沖突也在若隱若現。數億美元的美國大選網絡安全預算，以及俄羅斯的斷網演習，意味著超級大國對全面網絡戰(zhàn)的警惕和備戰(zhàn)態(tài)度。
-
網絡安全競賽與演練活動極大的提升了企業(yè)對自身防護水平的真實認知，幫助了一批具備優(yōu)秀安全能力的企業(yè)與創(chuàng)新技術的脫穎而出，為網絡安全行業(yè)的整體發(fā)展帶來了強勁推動力。
-
等保2.0相關國家標準的發(fā)布與實施，是繼網絡安全法實施以來，又一件具有里程碑意義的大事。對保障和促進國家信息化發(fā)展，提升國家網絡安全保護能力，具有重要的意義。同時，還將大力拉動整個網絡安全市場的需求。
近幾年來，信息或數據泄露事件連年加劇。據風險數據公司RBS統(tǒng)計，僅在2019年前9個月的時間里，公開泄露事件已發(fā)生5183起（較去年同期增長33.3%），數據泄露條數達79億（較去年同期增長112%）。原因非常簡單，世界正在走向大數據、云和萬物互聯的數字化時代，而數字化的信息泄露程度加劇是常態(tài)。毫無疑問，2019年再次成為大規(guī)模信息泄露的又一年。
?信息泄露事件自2013年開始已經連續(xù)6年突破歷史記錄，根本原因在于全社會對網絡安全的認知和保護能力均落后于網絡與信息技術應用的爆發(fā)式增長，兩者之間出現極大裂痕。
?信息泄露事件不斷攀升，隨著萬物互聯的數字世界的來臨，人們對數字技術的嚴重依賴，這一趨勢會將更加嚴重。
?信息泄露的途徑主要分為內部人員或第三方合作伙伴泄露，信息系統(tǒng)無法杜絕漏洞，機構本身的防護機制不健全，對數據的重要程度不敏感，以及對安全配置的疏忽大意等問題。尤其是2019年，因ES數據庫配置錯誤而造成的泄露事件明顯增多。原因也非常簡單，ES應用的普及。
?信息泄露規(guī)模增長迅速，數世咨詢統(tǒng)計了近50起關注度較高的數據泄露事件，其中信息泄露超過百萬級（包含千萬級和億級）占統(tǒng)計數量的76%。
網絡空間概念的核心在于網絡連接一切，即把所有電子設備通過有線或無線網絡連接在一起，以達到通信與控制的目的，從而形成貫穿陸、海、空、天四大空間的第五空間。由于網絡空間的無處不在，網絡攻擊也無處不在。
?針對加密貨幣的攻擊明顯下降，主要是由于加密貨幣熱潮在全球的降溫導致。勒索軟件繼續(xù)泛濫，網絡安全防護水平較低的醫(yī)療行業(yè)、制造業(yè)、政府成重災區(qū)。
?商業(yè)電子郵件欺詐(BEC)連年加劇。據FBI統(tǒng)計，2013至2016年5月，商業(yè)欺詐郵件造成53億美元的損失，2018年5月上升到了120億美元。而2019年，這一數字達到了260 億美元。
?利用Deepfake之類的音視頻AI軟件，偽造身份并進行詐騙或傳播虛假新聞的現象值得警惕。因為難以檢測和證偽，這種AI工具越來越多地用于網絡釣魚攻擊、BEC 攻擊、聲譽攻擊和公眾輿論攻擊（如干預選舉）中。
?由于遭遇網絡攻擊的不可避免性，網絡安全保險業(yè)務開始明顯提升。據Mordor Intelligence統(tǒng)計，2018年網絡安全保險市場規(guī)模達到54.8億美元，并在5年內保持24.3%的復合增長率，于2024年達到207.2億美元的市場規(guī)模。
(注：詳細信息請關注“數世咨詢”，回復“2019網絡攻擊”下載文檔)
# 國家信息安全漏洞庫(CNNVD)：
CNNVD目前為止公布的漏洞數量為17,524，2018年全年的漏洞總數為24,160個。
# 美國國家漏洞庫(NVD)：
NVD公布的漏洞數量為18,511個，2018年全年的漏洞總數為18,162個。
# 公共漏洞披露平臺(CVE)：
CVEdetails公布的漏洞數量為12,174個，2018年全年的漏洞總數為16,556個。
（注：以上2019年的漏洞數量均為截止到12月28日的統(tǒng)計數字）
?通用型漏洞方面，底層硬/固件漏洞繼續(xù)頻發(fā)，協議漏洞、元老級漏洞、第三方代碼共享漏洞依然是重大隱患。事件型漏洞方面，隨著云的普及和智能設備的激增，亦呈爆發(fā)趨勢。行業(yè)方面，隨著工業(yè)互聯網的日益發(fā)展，工業(yè)控制設備漏洞事件明顯增多。
?谷歌、蘋果、Facebook等科技巨頭紛紛建立漏洞獎勵機制，Hackerone、Burcrowd等眾測平臺發(fā)放的獎金也在不斷攀升。
?漏洞在安全攻防中的關鍵性作用，已經被軍情界、互聯網界所認識，但傳統(tǒng)商業(yè)組織，如關鍵信息基礎設施保護方，認識還不足。
?與2018年相比，中美三大漏洞庫公布的漏洞數量不升反降。其主要原因在于漏洞已經成為商業(yè)價值極高的網絡資源，甚至是網絡武器。各國政府、漏洞平臺無論是在漏洞披露還是共享方面，均有所謹慎和保留，監(jiān)管也更加嚴格。
繼2014年以來，國內網絡安全相關會議活動持續(xù)呈激增態(tài)勢，2019年更是成為最為活躍的一年。監(jiān)管機構、各部委、各地政府、各重點行業(yè)、各研究機構、各大網絡安全企業(yè)，紛紛以宣貫、討論、展覽、競賽、演練等各種形式舉辦活動。
?國家監(jiān)管機構及各部委均在加強對網絡安全產業(yè)的指導和投入，越來越多的地方政府與大型城市舉辦網絡安全活動，以宣貫網安政策、招商引資、提振地方經濟。
?以競技為主的網絡安全大賽，開始轉向注重實戰(zhàn)演練的方向，尤其是監(jiān)管部門主導的重大活動，切實有效的、極大的推動了整個網絡安全產業(yè)的發(fā)展。
?數量繁多的會議活動雖然可以提升網絡安全對社會的影響力、加強全社會的關注與重視，但高昂成本的投入，也成為網絡安全企業(yè)較大的負擔，期待今后出現更多真正給企業(yè)和社會帶來更多價值的活動。
投融資領域普遍認為的資本寒冬，在網絡安全行業(yè)并不適用。融資融連續(xù)四年攀升，除了網絡安全產業(yè)本身被業(yè)界看好之外，另一個關鍵原因是科創(chuàng)板的推出，極大提升了網絡安全企業(yè)和資本方的信心。
?2019年的海外融資并購總金額為287.94億美元。其中，收并購事件50起 ，23家收購總金額為241.69億美元，27家未公布收購金額。4家公司IPO總金額為9.99億美元，88起融資事件，融資額為36.26億美元。
?2019年國內融資并購總金額達108.3億人民幣，創(chuàng)歷史之最。其中，4家企業(yè)IPO（安恒信息、山石網科、安博通、迪普科技）30.15億元。收并購金額23.60億元，投融資金額54.55億元。
?從海外初創(chuàng)公司的融資方向來看，已經覆蓋了從合規(guī)到新興技術，再到災備和網絡安全保險等幾乎所有網絡安全的細分領域，標志著網絡安全產業(yè)在發(fā)達國家的成熟。
?國內初創(chuàng)企業(yè)的融資方向，主要集中在新興與熱門技術領域，如工控安全、仿真模擬、自動化攻防、身份管理、數據安全等。
?個人隱私、貿易保護、數據安全與國家安全為2019年全球各國家網絡安全相關政策法規(guī)的關注重點。網絡安全已經深入到個人、企業(yè)、社會、政府等各個層面。
?自2018年5月25日GDPR生效以來至2019年5月，歐洲經濟區(qū)各國家監(jiān)管機構共上報了206,326例案件，其中64,684件涉及數據泄露通知，共判處了約5600萬歐元的行政罰款。但這些罰款，對于年收入動輒上億美元的科技公司來說，尚不足以引起足夠的重視。如何確定數據的權屬，如何合理的跨境流動，又如何在保護個人隱私的前提下，充分發(fā)揮數據的價值，仍將是擺在全球各國家、各政府與各企業(yè)面前的難題。
?不管是安全可控還是安全可靠，其本質上都反映著“沒有網絡安全就沒有國家安全”這一安全最高理念。而國家安全是有國界的，是有主權的。因此，網絡的界限與主權必定是一個繞不開的話題，俄羅斯的《主權互聯網法》就為典型例證。
2019年，“爆發(fā)“是個關鍵詞。信息泄露、網絡攻擊，會議競賽活動，融資并購事件，網絡安全處罰以及政策法規(guī)的發(fā)布等，無論是在數量上還是在影響范圍上，均達到以往前所未有的程度。
縱觀我國網絡安全行業(yè)的發(fā)展歷程，1994年《計算機信息系統(tǒng)安全保護條例》開啟了計算機安全時代，2003年《國家信息化領導小組關于加強信息安全保障工作的意見》（27號文）意味著信息安全時代的到來，2014年中央網絡安全和信息化領導小組的成立，宣告了網絡空間安全時代的來臨。2017年《中華人民共和國網絡安全法》的實施，極大的推動了相關配套法規(guī)的起草與發(fā)布。從檢查評估到產業(yè)促進，從刑法修訂到行業(yè)監(jiān)管，從個人隱私到數據保護，從網絡安全等級保護到關鍵信息基礎設施保護，各項法規(guī)紛紛起草、制定、出臺發(fā)布。伴隨著這些重磅法規(guī)的發(fā)布和數字經濟的大潮，我國網絡安全產業(yè)進入快速發(fā)展期。
網絡安全產業(yè)是一個紛繁復雜、不斷需要深耕的領域，不僅需要強大的國家隊、資深的專家隊，還需要各細分專業(yè)領域的優(yōu)秀能力提供者，中立的第三方調研咨詢機構，以及各行業(yè)、各領域的聯合助力，才能聚合成良好的生態(tài)，才能發(fā)揮更大的力量，才能更加健康的發(fā)展。
隨著5G、人工智能技術和萬物互聯、數字世界的臨近，網絡空間安全時代也將邁向數字安全時代。這是一個充滿挑戰(zhàn)與機遇的時代，網絡安全將成為一切數字化企業(yè)得以良性發(fā)展的必要條件，并將成為數字經濟、數字社會、數字世界的基本保障！
