利用信息系统漏洞牟利_从哪些路径解决信息系统安全漏洞问题

电子爱好者网讯(文/李)智慧城市是将新一代信息技术应用于城市各行各业，实现信息化、工业化、城镇化的深度融合。这些新技术包括云计算、大数据、物联网、互联网、人工智能、区块链等。所有这些发展都给安防行业带来了新的挑战和机遇。

大量信息系统的建设必然会带来信息安全问题，这是安全从业者必须考虑的问题。在12月26日的博览会论坛上，郑州大学网络空间安全学院院长、中原网络安全研究院院长胡教授分享了近期对信息安全的一些思考。

他表示，自主国产化不代表安全，芯片和操作系统的设计存在漏洞，购买的商业IP也存在漏洞。而我们缺乏审计、技术手段和监控体系，包括行政体系、法律体系和技术体系，国内和世界范围内的相关研究基本处于空白状态。

胡教授指出，从信息系统基础设施的角度来看，如上图所示，我国建立的安全体系主要是指应用程序的上述部分，对各种应用、各种访问、各种数据交换建立了安全规则。而后面的部分，包括编译、操作系统、基本库、指令集、逻辑门的安全架构几乎是空白。

那么我们可以采取什么途径来解决这些安全漏洞呢？胡教授分享了几种可实现的方法，这也是他的团队研究的重点。

首先，基于CPU设计的安全实现方法。主要有几点1、商业IP要进行安全审计；2、我们国家或行业应该制定预防芯片设计漏洞的设计准则，即设计一个安全的芯片应该遵循什么准则。3、设计验证和仿真，通过仿真可以发现一些高级的漏洞，所以这里有很多工作要做。

其次，基于指令集的安全实现方法。1、安全专用指令的设计方法包括：指令集和编译器共同实现动态和静态边界检查，防止二进制代码漏洞导致的非法越界，即使越界，也在运行时非法检测指针，检测代码的恶意重用，动态防范恶意行为；2、安全专用指令与应用层安全感知系统的匹配技术；3、安全专用指令与CPU软硬件安全架构之间的协调与交互，包括底层硬件安全架构的安全能力在CPU架构层面的映射与维护，以及指令集层面构建的安全模型在CPU架构层面的映射。

No三、基于基本库的安全实现路径。基本库是系统运行中的重要角色，所有的指令都需要加载到基本库中，基本库也可以帮助我们做很多安全的事情。

否四、基于编译器的安全路径。一个系统要想在一个环境中运行，必须要有一个生态，而这个生态的建立对编译器来说是不可或缺的。通过编译，可以很好的连接各种系统和程序。而编译器的安全编译也可以帮助我们达到安全的目的。

No五、基于芯片多核技术的安全实现路径。多核芯片可以用来帮助实现安全性，例如，多核的一个核心或几个核心的组合可以帮助实现安全性目标。再比如多核多线程，现在很难做到。它的漏洞设计非常先进，在静态条件下是发现不了的。但是当它是多核多线程的时候，某个状态出现错误，那就可以了。这些问题必须通过模拟来发现。

六、号：安防系统集成技术。这一点非常重要。如前所述，研究系统信息技术的安全性，要建立安全体系，建立安全体系的目标是建立系统的整体安全性。包括城市大脑，这是一个系统。要实现系统安全目标，必须自上而下连接。几十年来用大量的人力、物力、财力建成的安防系统是完全可以用的。我们应该将这一套要构建的安全与现有的安全体系进行整合，最终达到整体的安全目标。

胡教授说，这项工作是比较新的，很少有人注意到它。但通过这几年的努力，已经有了很大的进步，得到了国家的支持，获得了专项资金，组建了专业团队。

在胡教授看来，信息系统的安全是不可忽视的。如果现在不重视，我们会发现，即使用尽了所有的安全措施，也很难实现安全。最后，建设城市大脑并不安全。为什么安全目标达不到？因为只关注上面，不关注下面，不关注整体。我们应该对这项工作给予足够的重视。目前研究非常复杂，技术手段基本空白。建立这些问题的技术手段还是很困难的，需要大家共同努力，任重而道远。

原标题：智慧城市建设带来挑战，信息系统基础设施安全不容忽视。

文章来源：【微信微信官方账号：电子爱好者网】欢迎添加关注！请注明文章出处。

审计彭静