网络安全攻防“志愿军”

在国家网络安全攻防体系中,除了国家组建的正规军外,来自民间的网络安全公司,已经成为大国博弈的“马前卒”.

2014年5月至今,美国对中国网络空间主权数次发难,从美国司法部起诉中国5名军人,到之后指责所谓的“中国”,均始于美国“火眼”、“曼迪昂特”等网络安全公司所发布的针对性报告.

与美国等西方国家政府与民间力量娴熟的配合相比,中国对网络安全产业民间力量的重视程度和运用水平,远远不够.游离于国家和社会之间的中国网络安全公司们,更像是一支“志愿军”.

在众多安全业界人士看来,一旦这支“志愿军”发展壮大,将成为维护国家网络安全的中坚力量,在实现中国与美国等国家的网络空间安全“对位攻防”中发挥巨大作用.

国际网络对抗“马前卒”

近年来,以美国“赛门铁克”、“火眼”、“曼迪昂特”,俄罗斯“卡巴斯基”为代表的网络安全公司快速兴起,成为国家间网络攻防的重要力量.专家认为,名义上独立的网络安全公司,已经成为大国博弈的重要工具.

2013年初,美国网络安全公司“曼迪昂特”公司发布报告《APT1：揭露中国网络间谍单位》.报告发出后,中国企业在海外备受质疑,华为遭质疑被排挤出美国市场,并在欧盟、澳大利亚、韩国受阻,一些走出海外的中国安全企业也纷纷退回国内.

启明星辰首席战略官潘柱廷认为,类似《APT1》的做法,实质是由网络安全公司充当“马前卒”,替美国政府实现丑化中国形象、驱逐中国公司,既让美国产业界直接获益,又为美国赢得了可进可退的空间.

另一个典型是俄罗斯网络安全公司卡巴斯基.俄罗斯并不算信息强国,但是借助卡巴斯基公司,俄罗斯占据了从攻防能力到分析能力的战略高地.

知名网络安全专家杜跃进说,2010年末,伊朗核电站遭“震网病毒”攻击而瘫痪,卡巴斯基通过技术研究断定此病毒为美国和以色列所开发；2012年,能够避过100种杀毒软件、具有强大窃密能力的“火焰病毒”在伊朗大肆传播,也被卡巴斯基率先发现.卡巴斯基通过分析证实此病毒与“震网病毒”存在技术关联,并从技术层面指出美国是幕后主使.

“卡巴斯基对‘震网’、‘火焰’等病毒的快速跟进,将美国的攻击行为完整展示于世界面前,为俄罗斯在网络安全和外交层面都争取了主动.”安天实验室首席技术架构师肖新光说,技术实力强大的网络安全公司,在国家网络安全博弈层面,也是一种战略威慑.

民间力量利用不足

反观中国,经过近几年的发展,虽有了以瀚海源、绿盟、安天实验室为代表的大量网络安全公司,但在整体实力上仍与国外巨头不在一个量级,难以实现“攻防对位”.

网络安全专家认为,美国通过安全企业的技术能力,能有效发现、长期跟踪、深度分析其所谓“来自中国的攻击”,并能自圆其说地提供证据链和推理过程.但如果不是斯诺登的出现,证明美国在监控全世界,美国还会继续掌握舆论主导权.

肖新光说,由于奥运安防的带动,中国的网络攻防能力在2008年已大体接近美国.奥运会过后的20082013年,受重视程度下降,企业发展明显趋缓,成为中国网络安全行业“失去的5年”.

相反,美国以“火眼”为代表的网络安全公司却在过去5年里快速崛起,将中国网络安全行业远远甩在后面.以前美国的“火眼”公司还购写安天的病毒搜索引擎,而现在“火眼”在这方面的能力已远远超过国内企业.

“没有足够大的产业规模,就难有足够强的安全技术实力.”奇虎360首席技术官谭晓生向《财经国家周刊》记者展示了一组对比鲜明的数字：2013年中国信息安全市场的规模约200亿元,还不如美国赛门铁克一家公司大.美国安全产业规模约占其整个IT产业规模的10%,而这个比例在中国只有2%左右.

重发展而轻安全的普遍现状,使得中国网络安全行业规模小、利润薄,员工待遇不好,难以招到顶尖人才,大量国内顶尖人才被美国网络安全公司重金挖走.

一位网络安全厂商人士告诉《财经国家周刊》记者,美国“火眼”、“曼迪昂特”等网络安全公司核心技术团队的负责人,不乏原来国内公司的顶尖技术人才.

如何引导民间网安力量

如何引导民间网络安全公司作为维护国家网络安全的新抓手,尽快实现与美国等西方国家之间的“攻防对位”,已经成为一个迫切的命题.

奇虎360董事长周鸿指出,美国国防部、海军、空军每年都有大笔订单投入到民营网络安全公司,这种做法值得中国借鉴.

杜跃进认为,目前中国信息安全行业整体赢利能力偏弱,没有足够的利润投入深层次的技术研发.可借鉴印度对软件行业的扶持政策,推出诸如“免税10年”这样积极的、导向性明显的产业政策.

上海安言信息科技有限公司董事长张耀疆告诉记者,目前政府和国企是网络安全公司最大采购方,但往往“重硬件、轻怎么写作”,经常是写了一堆“盒子”,安全怎么写作却跟不上,网络安全公司也难从本职的安全怎么写作中获利.

另一方面,网络安全行业采用“低价优先”的招标机制.

绿盟首席战略官赵粮说,要利用好政府采购的杠杆作用,整合并盘活整个网络安全产业,就应建立合理的评级、评估机制,充分认可优秀产品的价值,使好产品有溢价空间,才能形成竞争质量而非竞争的良性循环.

三零卫士总工程师李成斌认为,要壮大中国网络安全攻防的民间力量,从根本上看还有一个问题必须解决,即网络和信息安全立法.比如,一旦企业出现重大、危害公共利益的公民隐私泄露事件,企业责任人应承担相应民事甚至刑事责任.