另外一個(gè)重要的信息系統(tǒng)就是我們的工業(yè)。那么針對(duì)生產(chǎn)相關(guān)的工業(yè)系統(tǒng)分布如下，一個(gè)是電力系統(tǒng)，一共是38個(gè)，一個(gè)是城市設(shè)施系統(tǒng)，5個(gè)，煤礦生產(chǎn)有3個(gè)，先進(jìn)制造有2個(gè)。剛先面已經(jīng)提到過，也是這幾年出現(xiàn)的事件，它對(duì)伊朗核試驗(yàn)影響非常嚴(yán)重。10人以上死亡或者是50人以上重傷，另外一個(gè)是恩5000萬以上的直接經(jīng)濟(jì)損失，系統(tǒng)類型主要是數(shù)據(jù)采集與監(jiān)控，一種是分布式控制系統(tǒng)，一種是可編輯操作系統(tǒng)。振動(dòng)SCADA應(yīng)用層的簡(jiǎn)單基線檢查，漏洞怎么樣去補(bǔ)，我研究了這個(gè)SCADA，我們跟當(dāng)?shù)氐牟块T做了一些法文之后，讓各地相關(guān)的企業(yè)上到我們這個(gè)機(jī)構(gòu)里面來，做了一個(gè)統(tǒng)計(jì)，對(duì)幾個(gè)比較著名的開發(fā)的程序做了一個(gè)簡(jiǎn)單測(cè)試，我們發(fā)現(xiàn)SCADA這種控制系統(tǒng)主要漏洞還是web漏洞，常見的漏洞還是SQL注入，那么它就是一個(gè)頁(yè)面，通過頁(yè)面我們可以進(jìn)行數(shù)據(jù)的輸入，另外一個(gè)是后臺(tái)的頁(yè)面，還有一個(gè)是上傳漏洞，因?yàn)檫@類型的SCADA，它通常跟生產(chǎn)系統(tǒng)是相關(guān)的，雖然說SCADA系統(tǒng)有協(xié)議，我們一旦有這個(gè)系統(tǒng)，我們就可以通過很多方式控制這個(gè)協(xié)議對(duì)其他的系統(tǒng)進(jìn)行攻擊。以前我發(fā)布了一個(gè)針對(duì)某個(gè)電力公司系統(tǒng)的一個(gè)漏洞的上報(bào)，也是通過上傳漏洞的方式，對(duì)整個(gè)生產(chǎn)造成嚴(yán)重的影響。另外一個(gè)是我們知道在電力里面，存在很多的電站，他的機(jī)房有一個(gè)簡(jiǎn)單的防御，我們?cè)跍y(cè)試?yán)飳?duì)這個(gè)進(jìn)行破解和復(fù)制，然后可以毫無阻攔進(jìn)入一個(gè)核心的節(jié)點(diǎn)，我們測(cè)試過程中主要存在的一些安全問題是無人職守廠戰(zhàn)、中心廠房監(jiān)控盲點(diǎn)、第三方維護(hù)人員、路過的人，這個(gè)其實(shí)對(duì)我們系統(tǒng)威脅都是很大的。
另外一個(gè)是運(yùn)營(yíng)商，也就是中國(guó)電信，中國(guó)移動(dòng)，中國(guó)連通，廣電網(wǎng)絡(luò)。那么其實(shí)針對(duì)電信的話，對(duì)DDOS的這一塊，我們公司的幾個(gè)同事研究了一個(gè)方式，用ATP的方式，ATP協(xié)議呢，ATP服務(wù)器默認(rèn)保存，最后鏈接它的AT，有一個(gè)命令，當(dāng)你向ATP發(fā)送這個(gè)命令的時(shí)候，它會(huì)發(fā)送一個(gè)包，這個(gè)包非常大，那么我們往ATP分送這包之后，他會(huì)發(fā)送比較大的包會(huì)來，這個(gè)包大概是原始包的300-500倍。我們可以想想，如果我們?cè)诎l(fā)包情況下，我們就可以達(dá)到3-5G的流量，我們?cè)谧鰷y(cè)試的過程中，效果是非常明顯。另外一個(gè)是業(yè)務(wù)邏輯問題，有幾個(gè)比較重要的平臺(tái)，就是CRM、4A的平臺(tái)，我們發(fā)現(xiàn)重要的業(yè)務(wù)平臺(tái)外網(wǎng)可以直接訪問，這個(gè)是一個(gè)非常大的隱患，黑客可以利用帳號(hào)對(duì)某一塊進(jìn)行攻擊，進(jìn)行洗錢，如果我們注意的話，就不會(huì)出現(xiàn)這些問題。
另外是政府，國(guó)外一個(gè)網(wǎng)站系統(tǒng)，叫ZONE-H.ORG，我6月19日簡(jiǎn)單查了一下，國(guó)外的黑客組織攻擊，政府漏洞的分布截止到6月19日，其中涉及單位，中央直屬機(jī)關(guān)也16個(gè)漏洞等。
由于時(shí)間的關(guān)系，我就講到這里。感謝我們的同事，我們公司支持我們，謝謝大家。
(附主持人點(diǎn)評(píng)) 其實(shí)政府問題我覺得分析很多，這里我提出來一個(gè)小問題，國(guó)外對(duì)這個(gè)鬧的很兇，但是我們國(guó)內(nèi)沒有。國(guó)內(nèi)真正很多很大的問題媒體并沒有什么報(bào)告，只是把國(guó)外的問題進(jìn)行放大，大家國(guó)內(nèi)沒有。下面歡迎阿里巴巴的吳瀚清演講，他最近在做云這方面的一些東西，大家歡迎。
推薦閱讀
尚冰出席2012年中國(guó)計(jì)算機(jī)網(wǎng)絡(luò)安全年會(huì)
2012年7月4日，工業(yè)和信息化部副部長(zhǎng)尚冰出席了在陜西省西安市舉辦的2012年中國(guó)計(jì)算機(jī)網(wǎng)絡(luò)安全年會(huì)，并在年會(huì)上致辭。 尚冰指出，隨著兩化融合的深入推進(jìn)和全社會(huì)信息化水平的不斷提高，通信網(wǎng)絡(luò)的基礎(chǔ)性和戰(zhàn)略性地位>>>詳細(xì)閱讀
本文標(biāo)題：綠盟科技李陸：重要行業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析
地址：http://www.geekbao.cn/a/11/20120705/73573.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示