勒索病毒变身来袭

　　WannaCry2.0攻击已经开始，并且，没有发现可使其停止的“开关”

　　勒索病毒WannaCry在包括中国在内的全球一百五十余个国家及地区疯狂肆虐后，黑客的“自毁开关”网站域名被识别，勒索病毒攻击被阻止。与此同时，各安全厂商根据截获的病毒样本分析升级了各自的特征库，中国也自主研发出防御软件，以阻止已知和未知的勒索病毒破坏文件。

　　一切似乎归于平静。但是，危险真的就此消失了吗？

　　新一波攻击蠢蠢欲动

　　令人遗憾的是，危险并未离去。

　　国际几大知名网络安全实验室的最新监测发现，新一波的WannaCry2.0攻击已经开始，并且，没有发现可使其停止的“开关”。

　　引爆此次勒索病毒危机的黑客组织“影子经纪人”更是宣称：将出售更多病毒代码，用于侵入目前世界上使用最多的计算机、软件和手机。据说，新的病毒连苹果电脑也可以侵入。

　　黑客组织甚至发布了月度计划：从6月份开始，将每月出售浏览器、路由器、手机的攻击武器。

　　中国国家计算机病毒应急处理中心监测发现，一种名为“UIWIX”的勒索病毒新变种已在全球出现。而路透社也援引数据称，勒索病毒的变种正以每小时3600台电脑的感染速度在迅速扩散，提醒用户提高警惕，小心防范。

　　一个令人担忧的现实是：下一波的攻击不但无法避免，还将继续扩散，在接下来的几周内可能会出现更多的变种。

　　虽然此次勒索病毒的散播已经引起了大家对系统漏洞的重视，但是仍然有大量存在漏洞的系统能够轻易地访问，仍然有许多未知的潜在漏洞会被利用。并且，更新的恶意病毒不只针对计算机，还瞄准了手机、智能设备等。

　　黑客攻击的最终目的

　　此次勒索病毒危机，虽然黑客组织主要目标在于钱（比特币），但无法确定的是，以后的恶意病毒是否还有其他目的，比如获取数据。

　　必须相信，入侵者一定有能力将数据窃取走，或者已经窃取了。如果真的如此，那后果将不堪设想。

　　从以往案例来看，窃取数据是绝大多数黑客网络攻击的最终目的。毕竟，在电脑系统中，最宝贵的就是所存储的数据资料，无论是对于个人电脑，还是企业服务器等。

　　数据泄露在日常生活中并不鲜见。

　　数据泄露的途径有很多，按泄露主体来分，主要包括主动泄露及被动泄露两大类。

　　所谓主动泄露，是指数据被内部人员有意泄露，主动泄露事件在许多单位、机构等均存在，主要源于管理不当。2017年3月初，京东协助公安部破获的“50亿条公民信息泄露”案件，就是一起典型的主动泄露事件，京东安全部试用期员工郑某鹏，利用职务之便，监守自盗，以身试法，最终自食其果。

　　被动泄露是最常见的数据泄露方式，主要指用户在不知情的情况下，数据被窃取。常见的病毒、木马、非法入侵者（如间谍）等，都属于被动泄露范畴。在个人家庭使用计算机环境中，主要以被动泄露为主。

　　目前所发现的数据泄露事件，有超过90%是由于数据库引起的。入侵者一旦有机会进入目标机器，首要目标就是数据库（结构化数据），其次则是重要的文件（非结构化数据）。此次勒索病毒攻击发起组织“影子经纪人”所掌控的数据，基本都是通过非法途径窃取所得。

　　黑客关注什么，就重点防护什么

　　数据是网络应用的核心，数据的安全防护，是应对所有网络攻击的最后一道防线，同时，也是信息泄露的最后一道防线。

　　在日常工作生活中，如何确保数据的安全，不被内部人泄露、不被入侵者窃取，确保恶意软件进不来、进来之后拿不走、拿走之后打不开、泄露之后查得到，显得尤为重要。

　　如前所述，有超过90%的数据泄露事件跟数据库有关，因此，如何保护数据库安全是保护数据安全的重中之重。

　　数据库主要存储在服务器中，无论是普通企业还是机关单位的数据库，或存放在单位内部服务器中，或存放在互联网服务器中，或放在云服务器中，作为组织、存储和管理数据的角色，数据库一般都应该放在应用（如网站、App等）之后，对应用提供接口或对管理员提供独立的访问方式，不直接对普通用户开放。

　　入侵者主要从应用、数据库、物理存储设备等三个渠道入手，除此之外，数据也可能由管理员滥用特权账户泄露出去。因此，如要全面地保护数据库安全，就需要从数据库的使用过程入手。

　　事前，要对数据库进行现状评估，包括风险扫描和状态监控，发现问题，及时查漏补缺，起到预防作用，状态监控需要对数据库起到占用及及时报警作用，确保数据库实时正常运作，保证入侵者拿不走。

　　事中，一是设置针对数据库安全防护的专业防火墙，能够及时拦截非法造访，保证非法入侵者进不来；二是根据需要安装专业的数据库加解密设备，确保数据库中关键数据无明文，保证数据丢失后窃取者打不开。

　　事后，需要确保有独立的数据库审计系统，能够追踪溯源，便于分析原因与界定责任。

　　通过以上全过程的安全防护，才能实现入侵者进不来、进来后拿不走、拿走后打不开，丢失后可追溯。

　　保护数据的国家行动

　　要想彻底维护网络与信息安全，更离不开对违法犯罪的震慑和打击。

　　2017年6月1日起，《中华人民共和国网络安全法》《最高人民法院最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》等正式实施。其中，网络安全法涵盖了网络数据安全、网络信息安全、网络运行安全、网络设备设施安全等多方面内容；《解释》对于侵犯公民个人信息罪的定罪量刑标准、严打泄露个人信息“内鬼”等社会关注焦点作了明确规定，对每个公民的个人信息安全保护又增加了一层法律法规的铠甲，力度之大、范围之广前所未有。

　　作为我国网络与信息安全领域的重要法规，它们与《刑法》等法律一起构成了一个相对完善的法律保护体系，对进一步保护网络和个人信息安全具有十分重要的现实意义，注定将成为中国网络与信息安全的一个里程碑。

　　互联网深刻融入和影响着每个人的生活，只有安全的网络、健全的法律，才能让每个人在虚拟世界里有安全感。为此，亟需建立起一套完善的网络与信息安全技术体系和健全的法律体系，为信息安全提供保障，为互联网发展保驾护航。

　　文/杨守福 俞飞