另外一個重要的信息系統(tǒng)就是我們的工業(yè)。那么針對生產(chǎn)相關(guān)的工業(yè)系統(tǒng)分布如下，一個是電力系統(tǒng)，一共是38個，一個是城市設(shè)施系統(tǒng)，5個，煤礦生產(chǎn)有3個，先進(jìn)制造有2個。剛先面已經(jīng)提到過，也是這幾年出現(xiàn)的事件，它對伊朗核試驗(yàn)影響非常嚴(yán)重。10人以上死亡或者是50人以上重傷，另外一個是恩5000萬以上的直接經(jīng)濟(jì)損失，系統(tǒng)類型主要是數(shù)據(jù)采集與監(jiān)控，一種是分布式控制系統(tǒng)，一種是可編輯操作系統(tǒng)。振動SCADA應(yīng)用層的簡單基線檢查，漏洞怎么樣去補(bǔ)，我研究了這個SCADA，我們跟當(dāng)?shù)氐牟块T做了一些法文之后，讓各地相關(guān)的企業(yè)上到我們這個機(jī)構(gòu)里面來，做了一個統(tǒng)計(jì)，對幾個比較著名的開發(fā)的程序做了一個簡單測試，我們發(fā)現(xiàn)SCADA這種控制系統(tǒng)主要漏洞還是web漏洞，常見的漏洞還是SQL注入，那么它就是一個頁面，通過頁面我們可以進(jìn)行數(shù)據(jù)的輸入，另外一個是后臺的頁面，還有一個是上傳漏洞，因?yàn)檫@類型的SCADA，它通常跟生產(chǎn)系統(tǒng)是相關(guān)的，雖然說SCADA系統(tǒng)有協(xié)議，我們一旦有這個系統(tǒng)，我們就可以通過很多方式控制這個協(xié)議對其他的系統(tǒng)進(jìn)行攻擊。以前我發(fā)布了一個針對某個電力公司系統(tǒng)的一個漏洞的上報(bào)，也是通過上傳漏洞的方式，對整個生產(chǎn)造成嚴(yán)重的影響。另外一個是我們知道在電力里面，存在很多的電站，他的機(jī)房有一個簡單的防御，我們在測試?yán)飳@個進(jìn)行破解和復(fù)制，然后可以毫無阻攔進(jìn)入一個核心的節(jié)點(diǎn)，我們測試過程中主要存在的一些安全問題是無人職守廠戰(zhàn)、中心廠房監(jiān)控盲點(diǎn)、第三方維護(hù)人員、路過的人，這個其實(shí)對我們系統(tǒng)威脅都是很大的。
另外一個是運(yùn)營商，也就是中國電信，中國移動，中國連通，廣電網(wǎng)絡(luò)。那么其實(shí)針對電信的話，對DDOS的這一塊，我們公司的幾個同事研究了一個方式，用ATP的方式，ATP協(xié)議呢，ATP服務(wù)器默認(rèn)保存，最后鏈接它的AT，有一個命令，當(dāng)你向ATP發(fā)送這個命令的時(shí)候，它會發(fā)送一個包，這個包非常大，那么我們往ATP分送這包之后，他會發(fā)送比較大的包會來，這個包大概是原始包的300-500倍。我們可以想想，如果我們在發(fā)包情況下，我們就可以達(dá)到3-5G的流量，我們在做測試的過程中，效果是非常明顯。另外一個是業(yè)務(wù)邏輯問題，有幾個比較重要的平臺，就是CRM、4A的平臺，我們發(fā)現(xiàn)重要的業(yè)務(wù)平臺外網(wǎng)可以直接訪問，這個是一個非常大的隱患，黑客可以利用帳號對某一塊進(jìn)行攻擊，進(jìn)行洗錢，如果我們注意的話，就不會出現(xiàn)這些問題。
另外是政府，國外一個網(wǎng)站系統(tǒng)，叫ZONE-H.ORG，我6月19日簡單查了一下，國外的黑客組織攻擊，政府漏洞的分布截止到6月19日，其中涉及單位，中央直屬機(jī)關(guān)也16個漏洞等。
由于時(shí)間的關(guān)系，我就講到這里。感謝我們的同事，我們公司支持我們，謝謝大家。
(附主持人點(diǎn)評) 其實(shí)政府問題我覺得分析很多，這里我提出來一個小問題，國外對這個鬧的很兇，但是我們國內(nèi)沒有。國內(nèi)真正很多很大的問題媒體并沒有什么報(bào)告，只是把國外的問題進(jìn)行放大，大家國內(nèi)沒有。下面歡迎阿里巴巴的吳瀚清演講，他最近在做云這方面的一些東西，大家歡迎。
推薦閱讀
尚冰出席2012年中國計(jì)算機(jī)網(wǎng)絡(luò)安全年會
2012年7月4日，工業(yè)和信息化部副部長尚冰出席了在陜西省西安市舉辦的2012年中國計(jì)算機(jī)網(wǎng)絡(luò)安全年會，并在年會上致辭。 尚冰指出，隨著兩化融合的深入推進(jìn)和全社會信息化水平的不斷提高，通信網(wǎng)絡(luò)的基礎(chǔ)性和戰(zhàn)略性地位>>>詳細(xì)閱讀
本文標(biāo)題：綠盟科技李陸：重要行業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析
地址：http://www.xglongwei.com/a/11/20120705/73573.html
網(wǎng)友點(diǎn)評
精彩導(dǎo)讀
科技快報(bào)
品牌展示