昏暗的機房內，一名管理員借著微弱的顯示器燈光，與一名女子開始偷歡，卻渾然不覺身后的屏幕已提示系統(tǒng)重啟，而后，一行“未找到操作系統(tǒng)”出現(xiàn)在屏幕之上……

西太平洋上空，一架波音787客機正從美國出發(fā)飛往歐洲，突然間機組人員發(fā)現(xiàn)飛機正在逐漸拉升，在完全計算機操作的客機上機組人員甚至無法手動操控飛機，不得已之下機長不得不選擇重啟計算機……

福特汽車的組裝流水線上，八條機械手臂已取代流水線工人的工作，正有條不紊的組裝著新式越野車的外殼，負責監(jiān)工的一名工人卻突然發(fā)現(xiàn)一條機械手臂停止了工作，正待他上前檢查時機械手臂突然啟動，將其擊倒在流水線上，待工人反應過來，傳送而來的越野車車皮已碾過其脖頸……

美國西部的一臺核電站，三名運維人員正百無聊賴地享受著周末，時不時盯著一臺臺監(jiān)視儀檢查核電站運行狀況，突然間工作人員發(fā)現(xiàn)反應堆溫度正逐漸升高且無法操控其降溫，為避免核電站爆炸，工作人員不得不手動機械式切斷鈾棒與反應堆的接觸……

以上情節(jié)并非現(xiàn)實，而是出自微軟公司windows內核專家馬克.拉希諾維奇的小說《黑客的代碼》，書中以小說的形式描述了一對阿拉伯兄弟與塔利班恐怖組織合作，并雇傭俄羅斯黑客編寫名為“超級癮君子”的超級病毒，在法國通過各類雇傭人群之手散步病毒，以企圖擾亂西方國家社會秩序，擊垮西方民眾精神。在醫(yī)療、電力、交通、航空等多個行業(yè)逐漸推行甚至完全信息化的今天，或許可以從該書中一窺信息安全之要害——水電站泄洪卻無法阻止、醫(yī)院配藥系統(tǒng)紊亂而造成多名病人死亡、律師事務所被病毒攻擊而瀕臨倒閉……看似遙遠的情節(jié)現(xiàn)實中卻并不離我們太遠，比如2010年6月白俄羅斯安全公司VirusBlokAda發(fā)現(xiàn)的“震網”病毒。

工控體系的“木已成舟”

震網(Stuxnet)是2010年6月發(fā)現(xiàn)的一種針對工業(yè)控制系統(tǒng)且基于windows平臺的蠕蟲病毒，它的傳播從2009年6月甚至更早些時候開始，它利用西門子公司控制系統(tǒng)(SIMATIC WinCC/Step7)存在的漏洞感染數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)，能向可編程邏輯控制器(PLCs)寫入并隱藏代碼。震網的目標是工控體系，據(jù)稱已感染伊朗納坦茲的鈾濃縮設施，并導致伊朗布什爾核電站項目推遲啟動。

震網病毒同時利用了包括MS10-046、MS10-061、MS08-067等在內的7個最新漏洞進行攻擊。這7個漏洞中，5個針對Windows系統(tǒng)(其中四個屬于0day漏洞)，2個針對西門子SIMATIC WinCC系統(tǒng)，它最初通過感染USB閃存驅動器傳播，然后攻擊被感染網絡中的其他WinCC計算機。一旦進入系統(tǒng)，它將嘗試使用默認密碼來控制軟件。因為其極大的破壞力、隱蔽性以及針對性，震網病毒也被稱為第一個以關鍵的工業(yè)基礎設施為目標的蠕蟲病毒。

2012年5月，俄羅斯卡巴斯基公司發(fā)現(xiàn)一款名為“火焰(Flame)”的病毒，該病毒的代碼量約為震網病毒的20倍，被稱為史上最復雜的惡意病毒。盡管火焰病毒主要針對的是基于windows平臺的個人電腦，但作為與震網如出一轍的手段，被認為是與震網相輔相成，以政治為目的的惡意代碼。但其長達5年的隱蔽期，以及利用藍牙、加密等多種手段的監(jiān)聽、對抗措施，已然可見工控體系下信息安全之重要，之嚴峻。

也正因為震網與火焰的曝光，才使得一個古老而又新鮮的概念“APT”出現(xiàn)在公眾視野，說其古老，是因APT的概念早在2005年便由美國和英國CERT機構提出，盡管當時未使用APT的名字，說其新鮮，也是因震網與火焰的長期潛伏、巨大威脅以及智能化第一次讓公眾對其有了著實深刻的印象。

且不論震網與火焰是否是美國和以色列的“得意之作”，至少就工業(yè)控制行業(yè)，APT攻擊的威脅已然是木已成舟：早在2011年美國伊利諾伊州首府斯普林菲爾德的一處水利系統(tǒng)便曾經遭受過不明黑客的攻擊。#p#

智能汽車的“火燒眉毛”

2012年，英國警方發(fā)現(xiàn)一年之內超過300輛寶馬汽車被盜，被盜的寶馬型號包括1系列到X6系列。通過監(jiān)控錄像方得知竊賊的作案手法(見視頻)：運用一個特殊的設備接通車輛的OBD(On-Board Diagnostics 車載自動診斷系統(tǒng))端口，同時執(zhí)行一個空白的電子鑰匙鏈程序，讓車輛成功驗證密鑰，便可以大搖大擺把車開走。

按照規(guī)定，在歐洲銷售的所有車都必須開放無限制權限的OBD系統(tǒng)的代碼，以便非官方的機器及車間可以讀取OBD的代碼，而BMW只是其中的一家汽車長商。

2011年3月，美國華盛頓大學(University of Washington)與加州大學圣地牙哥分校(University of California-San Diego)的研究團隊，共同發(fā)表了一份《汽車攻擊面的綜合實驗性分析(Comprehensive Experimental Analyses of Automotive Attack Surfaces)》技術論文，其中提到：“我們發(fā)現(xiàn)能通過撥打車用電話號碼，或是播放特制的聲音信號(用iPod編碼)，就能取得汽車的控制權，威脅車內嵌入的車用資通訊系統(tǒng)。”而攻擊智能汽車的手段遠不止這些，還包括藍牙、Wi-Fi等各種短距離無線連結接口，遙控無鑰匙門鎖、RFID門鎖、胎壓監(jiān)測系統(tǒng)，以及手機通訊接口、GPS、衛(wèi)星/數(shù)位收音機系統(tǒng)等。

那些看似遙不可及的汽車黑客，正逐漸出現(xiàn)在公眾視野，相比傳統(tǒng)的軟件行業(yè)、互聯(lián)網行業(yè)的安全補丁，修補汽車安全漏洞的成本要高出一大截，其或關系著汽車召回、硬件更換等市場運作，也意味著周期更為漫長的安全更新。而現(xiàn)實的情況是，多數(shù)汽車制造商面對安全漏洞的態(tài)度均是“眼不見、心不煩”，哪怕對于安全問題已然是心知肚明。

面對汽車智能化的趨勢，安全問題也愈加火燒眉毛，“安全改變未來”對于軟硬兼施的系統(tǒng)/設備顯得愈加可貴和重要：2013年4月，美國加州長灘市警方發(fā)現(xiàn)兩名利用無線設備攔截汽車解鎖信號盜取汽車的嫌犯。#p#

智能家電的“嶄露頭角”

2012年2月，黑客組織GTV Hacker破解了采用Google TV的索尼NSZ-GT1藍光播放器和NSX-GT1系列高清電視，允許用戶播放任意內容，破解后的Google TV設支持修改后的Flash插件，允許用戶瀏覽所有限制內容，如來自Hulu、NBC、CBS、ABC和FOX的內容。

同樣作為家電，電視機相比其他家用電器的智能化要發(fā)展的快的多，關注度也較高，3D電視、機頂盒、互聯(lián)網電視等等產品層出不窮，而黑客的焦點同樣也因這些家電的發(fā)展而逐漸聚焦，比如2012年三星公司推出的一款高清等離子電視，這款電視機內置高清數(shù)碼攝像頭、麥克風和面部、聲音識別軟件，或會被黑客利用獲取個人隱私，好在目前還未曝出這類案件。

物聯(lián)網的發(fā)展，在于家電只是冰山一角，智能手機、智能交通、智能電網、無線網絡、電話線路等等這些終究會與發(fā)展中的智能家電融為一體，而多維聯(lián)網且智能化、信息化的后果便是木桶短板的增多：千里之堤毀于蟻穴。從目前曝光的智能電視安全研究來看，智能家電的信息安全挑戰(zhàn)卻已是嶄露頭角：如果破解只是出于好奇與興趣，那么這篇文章或許可以給予我們關于智能家電安全的更多啟示：《我是如何入侵智能電視的》。#p#

智能交通的“星星之火”

2013年4月的阿姆斯特丹，德國IT咨詢公司N.Runs的安全研究員Hugo Teso表示，名為Aircraft Communications Addressing and Report System(ACARS)的數(shù)據(jù)交換系統(tǒng)存在缺陷，利用這個缺陷以及飛行管理軟件中的bug, 比如Honeywell, Thales, 以及Rockwell Collins, Teso公司的管理軟件。黑客可以通過發(fā)送自己的惡意無線電信號，來接管飛機。

ACARS本身沒有任何保護或者加密的功能，所以飛機本身不能辨別無線信號是來自黑客還是機場地面站的，所以黑客就有機會影響飛行員的行為。TESO在會上演示：用一個Android App可以控制一臺虛擬飛機，而他實驗的硬件就是從eBay上面購買的硬件加上一個FMS仿真訓練軟件。

作為曾經接受過商業(yè)飛行訓練，且擁有12年飛行架勢經驗的Teso來說，挖掘和發(fā)現(xiàn)ACARS缺陷似乎是意料之中。但不可否認，未來的某天不會出現(xiàn)《黑客的代碼》一書中的壞家伙，利用自己的所長受雇發(fā)掘交通領域的信息安全問題。

IBM于2008年提出“智慧地球”的概念，其中便包含智慧城市、智慧交通，但智慧、智能的系統(tǒng)也意味著安全的脆弱，一觸即發(fā)、摧枯拉朽成為這種脆弱性的可以想象的災難性后果?！逗诳偷拇a》一書中美國某水電站遭受病毒攻擊，閘門無法關閉，造成蓄水水位急劇下降，不僅造成下游的生態(tài)災難，同時亦需將近20年時間方能恢復原有蓄水量?？梢灶A見，雖然當前的智能交通已有星星之火，但未來其所面臨的信息安全挑戰(zhàn)卻不容小覷。

以上雖僅列出部分行業(yè)的信息安全之勢，卻也僅僅是眾多行業(yè)信息化進程中的一角，包括銀行系統(tǒng)、醫(yī)療系統(tǒng)在內的行業(yè)應用當前已然出現(xiàn)諸多缺陷與挑戰(zhàn)，如：2013年2月紐約8人小組“紐約幫”通過入侵銀行系統(tǒng)、偽造信用卡在10小時內竊取240萬美金、美國食物與藥品管理局(FDA)今年(2013年)6月稱他們已發(fā)現(xiàn)上百臺醫(yī)療系統(tǒng)遭受惡意軟件感染……#p#

結束語

面對安全成本的越來越高，以往亡羊補牢的安全觀念早已不適用于當下各行業(yè)的信息化發(fā)展，在諸多廠商仍然信奉功能至上、性能至上、市場至上的今天，倘若能緩一緩腳步，將安全自始至終作為產品的至高點，對于用戶、對于企業(yè)豈不善哉?

面對未來信息安全兵臨城下之挑戰(zhàn)，以上也僅僅是行業(yè)挑戰(zhàn)，我們要面臨的還有來自法律、制度、人員、觀念的挑戰(zhàn)，正如本文開頭所介紹的小說情節(jié)：“超級癮君子”病毒的編寫者包括俄羅斯人、巴西人，始作俑者為阿拉伯人，支持者為阿富汗塔利班組織，病毒散發(fā)和傳播者來自法國等歐洲國家，協(xié)從者有美國人，受害企業(yè)/機構包含西方主要國家，化解危機的“英雄主人公”是美國人、俄羅斯人。如此多國籍的人員參與其中，正如小說版的“紐約幫”網絡犯罪案件，該案件的涉案人員牽涉日本、俄羅斯、羅馬尼亞、希臘、哥倫比亞、英國、斯里蘭卡和加拿大等27個國家，網絡犯罪的國際化趨勢也愈加明顯，而面對這樣的挑戰(zhàn)，需要各國執(zhí)法部門的通力合作，但絕非易事(關乎政治blah、blah、blah……)

技術對抗的升級、個人隱私的門檻提高、個人信息的網絡化，也使得社會工程成為信息安全的一大挑戰(zhàn)，比如《敘利亞電子軍攻擊<洋蔥報>啟示錄》，社工之重要源于三點：①單項技術水準越來越高，攻擊相比過去更難;②信息化也意味著依賴與懶惰，人員的脆弱性愈加明顯;③系統(tǒng)互聯(lián)/信息互聯(lián)導致防御維度及難度增加，社工手段愈加豐富、愈加簡單。

總之，面對技術、行業(yè)、法律、制度、人員、觀念的挑戰(zhàn)，信息安全從業(yè)者任重而道遠——安全既需未雨綢繆，何不早日風雨同舟!