騰訊副總裁丁珂：有企業用木馬控制389萬台電腦“挖礦“
文 | 一鳴
8月27日，第四屆互聯網安全領袖峯會(Cyber Security Summit2018，簡稱CSS2018)在北京舉行。
在上午的開幕式致辭中，騰訊高級副總裁丁珂圍繞四個關鍵詞：行業共建、生態共治、政府監管和企業自律，對數字經濟時代的安全趨勢做了研判和解讀。丁珂表示，數字經濟時代信息安全已不只是一種基礎能力，還是產業發展升級的驅動力之一；安全是所有0前面的1，沒有了1，所有0都失去了意義。
丁珂表示，數字安全新生態建設需要在兩大路徑上努力：首先，是安全升維，安全問題未必出現在原有的體系內，因此，企業要以全新視角去理解安全問題；其次，是轉換安全觀，以協作為基礎，推動政府、企業、用户聯動，共同提升防護意識。
丁珂介紹，7月份騰訊協助警方破獲了一起木馬案，涉案的某高新技術企業控制了包含389萬台電腦的“殭屍網絡”，並用這些電腦閒置的CPU資源“挖礦”。“這個案例暴露出了很多企業、個人依舊忽視信息安全保護，沒有做好足夠防禦措施。數字時代，這種漠視，極有可能導致不可挽回的生命、財產損失。”丁珂認為，對於傳統企業而言，安全認知升級，還應該超越現有的業務邊界，以全新視角去理解安全問題，因為，安全問題未必出現在原有的體系內，而是發生在體系外。
“車企當屬所有傳統領域當中最重視安全性的產業之一。但隨着車聯網技術的應用和普及，聯網、上雲也帶來了網關，雲端等各個環節的安全隱患，”丁珂還舉例稱，騰訊安全科恩實驗室針對寶馬和特斯拉提交的漏洞，都可以在非物理接觸的條件下，實現遠程控制車輛。
丁珂認為，協作、聯防，構建整體安全防護，是數字時代安全的必然趨勢。傳統企業進行數字化轉型，需要注意每一個環節的安全隱患。安全也不再是單企業、某個領域企業的事情，需要超越邊界，構建全領域合作模式。
丁珂稱，騰訊將繼續輸出安全能力，並從“一橫一縱”兩大維度，為數字安全新生態建設提供驅動力。
據介紹，在橫向安全能力建設上，騰訊搭建了國內首個安全聯合實驗室矩陣，安全研究覆蓋包括互聯網、物聯網、大數據、雲、AI等各個領域；此外，騰訊安全還建設了“騰訊靈鯤大數據金融安全平台”，致力於通過安全科技，解決金融監管、食品藥品安全追蹤、打擊治理網絡假冒及網絡傳銷等社會問題。接下來，這些安全能力都將開放給政府機構、各領域企業，為構建全方位安全體系建設提供助力。
在縱向安全能力建設上，騰訊不僅聯合16家安全上市公司，發起P16安全企業領袖俱樂部建立，推動安全產業協同發展，還搭建了產學研一體化的安全人才培養體系，通過與廣州大學、西安電子科技大學、武漢學院等多家院校展開深度合作，成立了“騰訊智慧安全創新研究院”與“網絡生態安全聯合實驗室”，從基礎層進行人才培養；同時騰訊還舉辦 TCTF，極棒等安全極客賽事，以半實戰環境選拔網絡安全人才，最終實現企業端輸送，完成安全人才培養的閉環。
翻頁看丁珂發言的全文：
這已經是第四屆“互聯網安全領袖峯會”。過去三年，我們與行業同仁交流、分享了萬物互聯時代，安全到底扮演什麼角色，又該如何去構建安全生態體系的問題。如今，在各行各業轉型擁抱數字化浪潮成為行業趨勢的背景下，我們將以“安全強驅動，數字新生態”為主題，繼續我們的討論和分享。
隨着AI、雲、大數據、物聯網等技術發展，以及各個傳統領域擁抱數字化變革進程的不斷深入，安全問題越來越複雜，且其重要性越來越被凸顯，相關案例不勝枚舉。
2018年以來，勒索病毒GlobeImposter家族最新變種在國內爆發，大批政府、高校、醫院等公共基礎設施中招，導致眾多文件和應用被病毒加密破壞無法打開，影響這些機構正常運行。
除了臭名昭著的勒索病毒，黑客攻擊的不斷升級同樣威脅着關鍵基礎設施，幾個月前，國內多家醫院服務器遭遇黑客入侵。攻擊者暴力破解醫院服務器的遠程登錄服務，之後利用某軟件的分享文件功能下載多種挖礦木馬以謀取利潤。
教育、醫療、政府等社會關鍵基礎設施領域之外，新興的AI領域，同樣暴露出來許多安全隱患。更加諷刺的是，號稱“最安全”的新技術“區塊鏈”，同樣沒能擋住攻擊：2018年1月，日本最大的加密貨幣交易所之一CoinCheck遭遇黑客攻擊，平台全部（5.26億）NEM幣（新經幣）被非法轉移。
這些現象背後，都在傳遞這樣一個訊息：在數字經濟時代，信息安全已經不只是一種基礎能力，還是產業發展、社會正常運轉的驅動力。安全已成為所有0前面的1，沒有了1，所有0都失去了意義。
過去幾年，我們持續呼籲各行各業重視安全、重視安全投入，事實上，轉變在持續發生，各領域對安全的投入在持續加大。Gartner Group 2018年4月的報告顯示：全球安全產業規模穩步增長。2017年規模達990億美元；2018 年預計增長至 1060 億美元。
不過，投入持續加大，並未有效降低信息安全風險。Ponemon Institute的報告顯示，2017年全球企業遭受網絡攻擊總量較去年增長15％，嚴重性增加了23％。而且，在破壞的嚴重性方面，已經不再侷限於傳統意義上的物質、財產損失，而是會影響到運營、製造乃至人的生命安全。
由此也可以看出，安全的重要性。那麼，如何以安全作為核心驅動力推動數字新生態建設呢？我們認為，需要從兩個方向進行努力。
首先，安全認知升維。大數據、雲計算、AI等新技術不斷進入人們的日常生活，安全不僅關涉隱私、財產安全，還可能直接關聯人身、生命安全，安全不只是一種防護、一種責任，還是所有0前面的1。
在上個月，我們協助山東警方破獲了一起木馬案，涉案的某高新技術企業控制了包含389萬台電腦的“殭屍網絡”，並用這些電腦閒置的CPU資源“挖礦”。這個案例暴露出了很多企業、個人依舊忽視信息安全保護，沒有做好足夠防禦措施。
數字時代，這種漠視，極有可能導致不可挽回的生命、財產損失。今年3月，優步（Uber）開發的無人駕駛汽車在美國利亞桑那州撞倒了一位行人，導致其重傷不治身亡。案件發生之後，無人駕駛技術遭遇輿論挑戰，優步也暫停了北美的無人駕駛路測。
如果沒有充分認知，類似的安全問題同樣可能發生在其他汽車廠商身上。在針對特斯拉的安全研究中，2016年、2017年，騰訊安全科恩實驗室持續發現了多個漏洞，基於這些漏洞，黑客可以通過無物理接觸的遠程攻擊方式，在駐車模式、行駛模式下對特斯拉進行任意遠程操控。
對於傳統企業而言，安全認知升級，還應該超越現有的業務邊界，以全新視角去理解安全問題，因為，安全問題未必出現在原有的體系內，而是發生在體系外。例如，傳統汽車廠商都在進行數字化轉型升級，寶馬在汽車IT安全方面一直位列前茅，然而，2017年，騰訊安全科恩實驗室的研究團隊受邀為寶馬提供技術支持，在13個月的時間裏，發現了14個不同的安全問題。
其次，轉換安全觀。
傳統安全觀以攻防為主體，面對新的數字生態，應該跳出攻防概念，以協作為基礎，推動政府、企業、用户聯動，共同提升防護意識，避免鏈條中某一環節被攻破導致整個生態體系的安全防護毀於一旦。
企業用户正在，面臨釣魚郵件APT攻擊、DNS劫持、軟件供應鏈攻擊三大安全威脅。其中，APT是一種高級持續性威脅攻擊，利用先進的攻擊手段對特定高價值目標進行長期持續性網絡攻擊的攻擊形式，隱蔽性強、危害大。
今年初，國內曾發生過“黑鳳梨”(BlackTech)和“人面馬”組織針對企業的APT攻擊行動。6月27日和7月4日，新加坡遭遇嚴重APT攻擊，黑客利用被惡意軟件感染的計算機,竊取了150萬新加坡人的健康記錄數據, 其中包括新加坡總理李顯龍。
車企當屬所有傳統領域當中最重視安全性的產業之一。但隨着車聯網技術的應用和普及，聯網、上雲也帶來了網關，雲端等各個環節的安全隱患。騰訊安全科恩實驗室針對寶馬和特斯拉提交的漏洞，都可以在非物理接觸的條件下，實現遠程控制車輛。
不僅企業，如果不轉變安全思維，產業鏈的安全威脅有可能隨時爆發。年初，騰訊安全玄武實驗室首次發現的“應用克隆”攻擊模型，用户只要點擊鏈接，攻擊者即可克隆賬户權限盜取賬號和資金。而這種“克隆病毒”就是基於一系列漏洞耦合在一起而產生的風險，並不是某一個APP的個案問題，而是移動APP面臨的普遍問題。
可見，協作、聯防，構建整體安全防護，是數字時代安全的必然趨勢。傳統企業進行數字化轉型，需要注意每一個環節的安全隱患。安全也不再是單企業、某個領域企業的事情，需要超越邊界，構建全領域合作模式。
這也是我們在去年P13共識基礎上，推動構建P16安全領袖俱樂部的原因所在。只有從根本上轉變安全觀念，提升安全認知維度，才能真正地以安全為驅動力，構建真正意義上的數字安全新生態。
多年來，騰訊安全將始終秉持開放心態，為所有合作伙伴、各領域企業提供安全助力。未來，在全行業擁抱數字變革、進行數字化轉型的背景下，騰訊將繼續輸出安全能力，並從“一橫一縱”兩大維度，為數字安全新生態建設提供驅動力。
在橫向安全能力建設上，騰訊搭建了國內首個安全聯合實驗室矩陣，安全研究覆蓋包括互聯網、物聯網、大數據、雲、AI等各個領域，其中，針對傳統領域的數字化轉型，騰訊安全構建了雲、管、端一體的安全產品和安全引擎，讓安全能力保障數據生產、傳輸和存儲全鏈路；此外，騰訊安全還建設了“騰訊靈鯤大數據金融安全平台”，致力於通過安全科技，解決金融監管、食品藥品安全追蹤、打擊治理網絡假冒及網絡傳銷等社會問題。接下來，這些安全能力都將開放給政府機構、各領域企業，為構建全方位安全體系建設提供助力。
在縱向安全能力建設上，騰訊不僅聯合16家安全上市公司，發起P16安全企業領袖俱樂部建立，推動安全產業協同發展，還搭建了產學研一體化的安全人才培養體系，通過與廣州大學、西安電子科技大學、武漢學院等多家院校展開深度合作，成立了“騰訊智慧安全創新研究院”與“網絡生態安全聯合實驗室”，從基礎層進行人才培養；同時，我們舉辦了TCTF，極棒等安全極客賽事，以半實戰環境選拔網絡安全人才，最終實現企業端輸送，完成安全人才培養的閉環。
期待，透過“一橫一縱”體系的建設，可以連接、攜手更多合作伙伴，完善安全驅動力，推進數字安全新生態建設，為“數字中國”提供助力。