站長資訊網5月12日至14日，作為石油石化行業數字化、智能化領域，覆蓋全產業鏈兩化深度融合最權威、最具影響力、最高品質的交流合作平臺，“2021年中國石油石化企業信息技術交流大會暨油氣產業數字化轉型高峰論壇”在北京盛大開幕!
作為油氣行業數字化技術的年度盛筵，本次大會匯聚了來自中國石油天然氣集團有限公司數字和信息化管理部、中國石油化工集團有限公司信息和數字化管理部、中國海洋石油集團有限公司科技信息部、國家石油天然氣管網集團有限公司科技數字本部、國家能源投資集團有限責任公司信息化管理部、中國中化集團有限公司信息技術中心、陜西延長石油(集團)有限責任公司科技與信息化管理部、中國石油學會等領域的頂級專家和行業代表，超過4000位嘉賓齊聚一堂，圍繞石油石化企業數字化轉型、智能化發展需求，結合信息技術發展趨勢和“十四五”信息化戰略規劃，共同探討新一代數字化技術與石油石化行業融合創新的解決方案，分享數字化應用的先進經驗。
在會上，瑞數信息技術高級安全顧問張凡發表了題為“從人防到技防 從已知到未知”的演講，介紹了油氣行業面臨的web安全新挑戰，并展示如何通過瑞數信息“動態安全技術”，助力油氣企業構建真正的主動防護體系。
一、網絡攻擊手段升級 油氣行業面臨三大挑戰
隨著全球數字化、智能化程度的日益提高，石油石化等能源類企業的網絡安全問題已到了無法回避的關頭。據德勤發布的報告稱，能源行業已成為全球第二大易受網絡犯罪攻擊的行業，且其中近半數企業在2016年年內至少普遍遭遇過一次重大網絡事故。
由于石油石化企業關系到國計民生，一旦被黑客攻破重要基礎設施，將導致意想不到的嚴重后果，甚至會影響國家安全。近年來，很多石油石化企業已經開始增強網絡風險防范意識，將網絡安全提高到集團戰略高度。
但對于石油石化企業內部的安全運營人員而言，面對日益升級的網絡攻擊，依然會有一種“攻易守難、亡羊補牢、疲于奔命”的感受。在瑞數信息技術高級安全顧問張凡看來，主要來自三個方面的挑戰：
一是，網絡攻擊手段日益升級，攻擊效率大幅提升。目前，網絡攻擊中有90%為自動化攻擊，自動化的黑客工具不僅攻擊成本低，且攻擊效率遠超過手動攻擊，堪稱“網絡攻擊的工業化革命”。在自動化工具快速傳播的情況下，零日漏洞攻擊成為常態，幾乎所有漏洞利用會在1天內就被廣泛傳播利用，企業很難進行及時有效的防御。
二是，高級定制化工具泛濫，傳統防護手段失效。此前，哥斯拉、冰蝎等高級定制化工具的出現，震驚了整個安全圈。這些Webshell采用動態加密方式，碾壓市面上所有基于簽名和規則匹配的傳統WAF。同時，高級定制化工具還會集成多種0day/Nday漏洞利用工具，全家桶式打擊，掃描、利用一步完成。
而在傳統防護思路中，封IP是最主要的防護手段之一。當封IP地址達到上限時，企業會出現業務無法正常運行的情況。不僅如此，自動化攻擊還會通過多源低頻的方式，繞過封IP、限頻等傳統防護手段，讓傳統防護工具徹底失效。
三是，安全運維成本與日俱增，安全人員緊缺。面對網絡攻擊在數量和效率上的成倍增長，企業安全運維成本也在相應增長，而企業安全人員僅憑有限的人力和傳統安全防護工具，很難維持常態化的安全防護。
二、從人防到技防 瑞數信息“動態安全”構建主動防護體系
日益猖獗的新型網絡攻擊，使得沿用傳統WAF防護的企業普遍響應滯后。那么，企業應該如何應對新的網絡安全挑戰?
對此，瑞數信息技術高級安全顧問張凡認為，網絡攻防雙方的對抗是永不停歇的，新的技術、規則、漏洞會層出不窮，如果一直采用圍繞對手的傳統視角，通過“挖掘漏洞、匹配特征、設置規則”進行防護，永遠會被黑客牽著鼻子走。
“攻防雙方對抗的本質，其實是成本的對抗，用自己最低的成本，增加黑客最高的成本”，張凡表示，企業在安全防護中應采用創新視角，徹底改變“游戲規則”，即圍繞自身，通過“隱藏漏洞、變換自身、驗證真偽”等方式提高黑客的攻擊成本，倒逼黑客放棄攻擊，從而降低企業管理負擔，加快防護響應速度。
正是基于這種創新的主動防護理念，瑞數信息徹底轉換了傳統防護的思路，推出了一項顛覆性技術 – 動態安全技術，即不再依靠攻擊特征庫、異常特征庫的匹配來進行攻擊的識別，同時也無需依賴攻擊頻度和工具類別來識別，實現更加主動和有效的主動防護。
據悉，瑞數信息的動態安全架構由四大核心技術構成：
- 動態封裝，對網頁底層代碼做動態封裝，隱藏攻擊入口，升攻擊難度;
- 動態驗證，運行環境驗證，有效甄別“人”還是“自動化”攻擊，打擊自動化攻擊的有效工具;
- 動態混淆，對客戶端敏感數據進行混淆，保護數據傳輸安全，保護終端請求內容及交易內容;
- 動態令牌，一次性動態令牌，確保執行正確的業務邏輯，保障業務安全運行。
例如，瑞數信息的動態封裝技術，采取將網頁原始代碼動態變形的技術，增加目標系統行為的“不可預測性”，使黑客無法找到入侵網頁的入口與漏洞。由于攻擊者無法預知目標系統行為，必須通過大量人工分析找尋被保護目標系統可能的突破口，但即使找到突破口，最多也只能使用一次，因此大幅提升攻擊難度與成本，從而迫使攻擊者放棄攻擊，將攻擊抑制在源頭。
在企業頗為頭疼的零日漏洞防護方面，通過瑞數信息獨有的動態驗證、封裝、混淆、令牌四大動態安全技術，從0day漏洞利用工具請求的固有屬性出發，只要識別到是工具行為，就可以直接對0day攻擊進行阻斷，從而實現對業務的動態保護。
除了零日漏洞，瑞數信息動態安全技術能夠有效應對各類自動化攻擊，如：漏洞掃描、撞庫、爬蟲、應用DDOS、高級定制工具、多源低頻等等，直擊黑產最底層，讓自動化工具無法使用。
隨著對抗的升級，基于規則和特征的傳統安全設備防護效率將越來越低。對于人工攻擊，不妨換個思路，從干擾攻擊行為的角度出發進行防護。作為動態安全技術的代表廠商，瑞數信息擁有多種動態干擾功能：web代碼混淆、JS混淆、前端反調試、Cookie混淆、中間人檢測等，能夠不基于任何特征、規則的方式進行有效防護。
總體而言，瑞數信息徹底轉換了傳統防護的思路，通過獨特的動態安全技術，以多維度“分級分層”的對抗策略，讓攻擊者無法輕易發現攻擊入口，大幅提升攻擊難度與成本。同時，通過對終端環境和設備指紋的多維度畫像，可以有效識別各類惡意訪問行為，并能實時追蹤通過大量跳板隱藏攻擊來源的惡意終端。
據張凡介紹，作為國內前沿的互聯網應用安全防護企業，瑞數信息首創的“動態安全”主動防護技術，已保護了上萬億企業客戶資產和5億多賬戶，為企業客戶阻擋了99%的自動化攻擊，將安全運營效率提升了81%，節省了54%的系統資源。
自成立以來，瑞數信息獲得了政府相關主管機構、大型企業、媒體及社會團體的廣泛認可，無論是中國的三大運營商、排名前五位的大型銀行、最頂級的十大電商以及中國前三大在線支付公司中都可以找到瑞數信息的客戶身影。經過多年在國內各行業標桿用戶中的持續應用和推廣，瑞數信息的動態安全技術正逐漸成為網站/APP/H5等應用安全建設的標配。
對于石油石化企業而言，基于瑞數信息的動態安全技術，能夠有效抵御各類自動化攻擊，實現防護能力升級、運維成本降級、防御更主動、對抗更智慧、追蹤溯源的更精準，真正做到從“人防”到“技防”，構建真正意義上的主動防護體系。
