“攻防演练”下的XP安全危机

关注科技杂谈，洞析科技大事

中国通信行业影响力最大的自媒体

订阅请直接搜索公众号：keji_zatan

文 / 南婷、程士华

　　微软的XP操作系统2014年4月8日即将退役，腾讯、360、金山等国内安全厂商争相推出防护产品，为XP保驾护航。

　　然而，这些防护产品能否抗住黑客们“真枪实弹”的攻击？

　　一场由民间安全厂商发起的攻防较量在4月5日上演，来自四面八方的黑客从网上发起攻击。
　　然而，部分防护产品几分钟内便被攻破，凸显出我国“后XP”时代安全防护的严峻态势。

部分产品遭“秒杀”

　　4月8日，微软公司将正式对Windows XP操作系统停止服务支持。“后XP”时代的信息安全谁来保护？已经有多家国内安全厂商推出了防护软件，但究竟是骡子是马，还要拉出来遛遛。

　　据主办方介绍，此次挑战赛以Windows XP SP3无补丁环境作为目标机，模拟微软停止服务后漏洞百出的XP系统，防护产品选择腾讯、360、金山宣称可以保护XP的三款安全软件，以此考验安全软件能否抵挡黑客攻击，保护好目标机上的重要文件。攻破任意一款防护产品保护的目标机，前十名可获得3000元至5万元不等的奖金。

　　4月5日8时，网络安全攻击赛“XP挑战赛”正式开赛。以往“神龙见首不见尾”的黑客各就各位，比赛一“开闸”，近百名黑客瞬间发起攻击。

　　57秒，腾讯电脑管家（XP专属版本）被攻破。

　　1分53秒，金山毒霸（XP防护盾）被攻破。

　　10分钟过去了，已有8人攻克腾讯、6人攻克金山。

　　截至记者5日晚20点，360的防护软件尚未被攻破。

　　对此，360首席隐私官谭晓生表示，不管是多高安全级别的系统，如果把时间设定为无限长，那么这个系统迟早会被攻破。“360XP盾甲”是4日刚出来的新版本，而攻擂者只有20个小时对其做研究，所以挑战成功的难度比较高。

　　有趣的是，不仅有黑客演练对三家防护产品的攻击，更有一些黑客直接对此次比赛平台发起DDos攻击，导致官网出现错误。

现实防护更不堪？

　　网络安全领域业内人士表示，此次竞赛环境增加了诸多限制，用户实际使用的过程中是不存在这些约束的，安全问题可能会更突出。仅在比赛中，三款防护产品就有两款都未能撑过3分钟，反映出我国互联网安全产品技术上仍存在很大改进空间。

　　南京翰海源信息技术有限公司创始人方兴分析指出，比赛环境和真实环境是差别很大的。比赛的挑战平台中充当靶作用的目标机规定不允许访问外网，这与用户的实际使用情况并不相符。

　　专家认为，此次的场景仍待改进，需放在实用环境里进行演练。“为攻防而设，不符合实用环境。”需做更接近实际应用环境的“靶场”。

　　北京邮电大学互联网治理与法律研究中心主任李欲晓对胜负则看得很淡。他认为，无论是否被攻破，敢拿出来练就是好汉，中国IT界必须有心、有胆、有为。

　　业内人士表示，期待更加客观、真实、中立、准备充分的测试，安全攻防的传播应该是一个持续科普的过程，结果不是第一，过程（包括制订游戏规则的过程）最重要，要相信本土厂商的能力。

人才掣肘成痛点

　　率先推出杀毒免费的360被业界视为“搅局者”，打破了国内安全界的“一湖静水”，曾经盛极一时的卡巴斯基、赛门铁克纷纷被替代，其他一些安全厂商更是直接面临生存危机。

　　与此同时，颠覆也带来格局的变化。以360为代表的本土派网络安全厂商逐渐羽翼丰满，连以即时通讯起家的腾讯、以搜索为主业的百度，也纷纷进军网络安全领域。尽管腾讯、百度进军安全领域被视为为自家产品构筑“护城河”，但360、腾讯、百度长久以来相互制衡、相互竞争激发出更多市场活力。

　　2013年微软发布的一份报告指出，中国是全世界恶意软件感染率最低的国家。

　　本土安全厂商的崛起，是我国互联网产业从大到强必不可少的一部分。但是，安全人才缺乏的掣肘，已经让业内人士倍感焦灼。记者走访的多名国内网络安全人士都指出，国内对于网络安全一直倡导只学防御，即使是专业的信息安全人才，在学习过程中也只能学防、不能学攻，“只有攻防兼备，才能保卫网络安全。”

　　方兴说，在攻击技术方面，国内仅有几名人士算得上世界前列，但缺乏产业环境，低端领域同质化竞争，而人才薪酬低、凋零很快，新一代的攻击型人才又青黄不接，十分遗憾。国内还有一些顶尖人才，被FireEye等安全厂商挖去美国。

　　“类似的比赛应该持续搞下去，不能搞一次就拉倒。”国家安全应急技术工程实验室主任杜跃进呼声强烈。他说，从细节上看，此次大赛虽然有一些需要改进和完善的地方，但是总体上还是很好的，希望今后这样的比赛越来越多。今后，如果由第三方来办赛，或者有中立的第三方机构能发挥监督作用，那么比赛的公信力和权威性将会得到进一步提升。

　　中国计算机学会信息安全专业委员会主任严明认为，这类网络攻防比赛的出现，是一个好的开始，将来如果能以攻促防、攻防互动，将会大大加速我国网络安全相关产业技术水平的提升。

　　业内人士普遍表示，希望这次大赛能起到科普的作用，让难以接近、略显神秘的网络安全领域，逐步走向大众化。攻防演习应从企业、行业、产业等微观层面开始，逐渐形成良性互动的机制，推动国家层面安全水平的提升。

　　欢迎大家加入群组，参与讨论，交流思想、分享信息。仅限行业商端人士参与，参与方式：回复“申请入群”+所在单位+职务+真实姓名+联系方式（微信号码+手机号码），科技杂谈通过审核后，会添加入群。
‍　　也欢迎大家投稿或推荐优秀文章（推荐方法：1、直接发给本公众号；2、邮箱：[e-mail]）

　　当前话题：运营商责任

　　一边是关于垄断、资费、服务的汹汹指责;一边是在农村、山区和南海岛屿的信号覆盖受称赞——在民众眼中，运营商的形象已成双子的两面。对此，你怎么看？

本文仅代表作者观点，科技杂谈授权刊登。

转载必须注明作者与科技杂谈，侵权必究。

科技杂谈文章，均同步发布于犀牛财经网。

已入驻搜狐新闻客户端，网易阅读客户端。

点击下方“阅读原文”直达犀牛财经网