图文：中国社会科学软件研究所副研究员连一峰

图为：中国社会科学软件研究所信息安全国家重点实验室副研究员连一峰。

　　2008年4月28日至29日在北京京都信苑举办主题为“构建和谐网络环境，助力绿色科技奥运”的“迎奥运、促和谐，2008年阳光绿色网络研讨会”。会议由工业和信息化部，北京奥组委主办，中国通信学会承办。新浪科技将进行现场直播。

　　图为中国社会科学软件研究所信息安全国家重点实验室副研究员连一峰。

　　以下为实录：

　　下面请中国社会科学软件研究所信息安全国家重点实验室副研究员连一峰，信息安全共性技术国家工程研究中心副总工程师，硕士生导师，从事网络及信息安全方面的研究，负责或参与承担了国家863计划，国家自然科学基金等十余项国家级和部委级的科研项目，主持开发完成四项信息安全产品，目前已在核心学术期刊和国际会议上发表论文20余篇，出版专著三部，译著一部。他的演讲题目是奥运信息安全风险及应对机制探讨。

　　连一峰：

　　各位嘉宾，各位专家，非常荣幸有这个机会参加我们这次网络大会。我是中国科学院软件研究所信息安全国家重点实验室的连一峰。我们实验室在之前的工作当中非常有幸参与北京奥运信息安全相关的工作，信息安全战略规划，安全的风险评估等。我想利用之前为奥运会所做工作的成果以及结合我们在信息安全科研领域所做的工作和各位专家和嘉宾探讨一下关于奥运信息网络的风险以及相关的应对机制。

　　包括四个方面：第29届奥运会信息网络安全背景、奥运会信息网络安全目标、奥运会信息安全风险分析、奥运会信息安全风险应对机制探讨。

　　第29届奥运会将在北京召开，奥运会的召开对我们国家无论是经济发展还是社会进步，以及其他无形资产方面都有非常大的推动作用，随着信息技术的发展，奥运会的淤斑也对信息技术自身的发展提供了非常好的发展契机，电信网络、电视网络、互连网络的推动之下，奥运会吸引全球媒体、组织、机构以及民众的广泛关注。

　　针对奥运会的信息网络有这样几个特点，覆盖面广，包括奥运会的信息系统、网站和网络，以及为奥运会提供服务保障的基础网络和重要信息系统，像政府、新闻媒体涉及到奥运赛事新闻报道的网站以及其他一些涉及奥运信息的系统、网站、网络和上网服务纳入奥运信息网络覆盖范围之内。

　　第二个特点，奥运会信息网络的关注度非常高。根据保守估计，预计奥运会将会吸引全球各国超过2亿互联网用户的关注，网站的日最高访问量将会达到15亿人次，网站资讯数据内容总量将会超过30G，视频资料下载每天可能会达到50万次。

　　第三个特点，奥运会信息网络的应用服务多样化，包括赛事及奥运会相关新闻浏览、实时滚动新闻播报、通过音频、视频、图文进行赛事在线直播，赛事流媒体传输，包括精彩回放，赛事录像等，像成绩、塞矿、运动员相关信息的检索，服务商会提供互动性赛事评论，投票，赛事信息订阅服务，邮件、彩信。覆盖面广，关注度高，提供多样化的应用服务。在这种情况下，我们认为奥运会的信息网络面临着非常严峻的信息安全挑战，这里我也只是列举几个主要的安全的威胁。

　　巨大的访问流量压力，这是非常容易理解的，奥运会一旦召开，肯定会吸引全球注意力，各国的互联网用户以及其他方面的网络用户都会通过各种网络途径访问奥运会的相关信息。第二个就是黑客的恶意攻击和破坏，第三敌对的政府组织和机构的蓄意行为，另外还有其他的物理、环境及未知因素的影响。互联网作为主流的传播渠道，无疑将会是一种受到影响最大的领域之一，最典型针对互联网的安全威胁，包括网络页面的篡改，服务器的恶意操作，拒绝服务攻击以及突发的访问流量，九运会期间，官方网站总数量超过8500万次，网络报道信息总量超过2000万字，所有赛区高速宽带网络连接，竞赛成绩实时发布，网上宽带多媒体播放，并设立官方网站网络安全监控，成功抵御十万次黑客攻击，开幕式当天达到35万次攻击。

　　雅典奥运会期间，搜狐奥运频道的日访问量过亿，相当于平时体育频道点击率的6倍，奥奥运论坛日访问量过千万，这一旦北京奥运会召开，相关的数字大大超过这里的统计数字。

　　统计数据。在这张图当中，蓝色的这条线是2002年盐湖城冬奥会的访问量，黄色这条线是04都灵冬奥会访问量，随着时间的推移，访问量不断增长，而且非常突出的趋势，在奥运会开幕期间，访问量会出现暴涨的趋势。奥运会信息网络面临严重信息安全的挑战，必须建立奥运会信息安全网络体系：

　　保障互联网服务器的安全可靠，监测网络页面的篡改，及时恢复，预测及时应对各类黑客攻击风险，采用主动防护机制维护现有的设备和网络安全。充分做好应对大规模流量的技术和管理措施准备。关于这一点，我想再稍微展开一下。

　　大规模流量应对，访问流量预估和流量的应对两个方面开展相应的工作。在预估方面，我们可以重点参考一些历届奥运会的参考数据，大型活动参考数据，互联网发展态势，国内国际访问习惯，利用数学模型访问手段，在北京奥运会召开期间，访问流量进行大致的评估。

　　在此基础上，采取一些访问流量应对措施，保障访问流量的安全稳定，保障互联网服务的稳定性、连续性，建立突发流量的应对机制。

　　风险分析。我们知道在信息安全里面，我们有一个非常通用的做法，针对奥运会信息网络而言，可用性威胁是非常大的，可用性一旦遭到破坏，将会极大的影响奥运会信息系统的正常运行，而且最关键的一点是，可用性安全威胁实施难度比较低，攻击可能性非常高，可用性发生的概率比较高。

　　针对完整性威胁而言，完整性遭到破坏后，对奥运会信息系统的影响会比较大，但是相对来说，完整性保护措施的有效性比较高，因此在一定程度上降低了此类威胁的可能性，我们也并不能忽视这种安全威胁。

　　针对机密性而言，对于奥运会信息系统来说多数资产是公开的，对信息安全造成的影响比较低。

　　从安全风险的角度对目前几种典型的风险应对机制做一个说明。第一个机制就是页面防篡改，很多安全业的同仁会对这个技术非常了解。页面防篡改针对完整性保护，外挂轮询技术、核心内嵌、事件触发，应该说补签受到推崇技术是核心内嵌技术，防范的性能方面比其他的技术有一定的优势。

　　第一个方面公众是否可以访问被篡改的网页，对外挂轮询技术，篡改一段时间发现并进行恢复，恢复之前这个时间段里面公众有可能访问到被篡改网页的。对核心内嵌技术来说，对网页流出进行最终的检查，可以做到有效的防范，事件触发技术对网页流出进行实时检查，服务器负载方面，外挂轮询采用外部扫描方式，对Web服务器形成相当的负载，核心内嵌技术把检测模块内嵌服务器的软件当中，占用CPU计算时间，事件触发技术在网页发布进行安全检查，占用负载相对来说比较少。从带宽占用角度来说，外挂轮询技术是外部独立检测网页，占用访问的网络带宽，核心内嵌以及事件触发技术在服务器本机进行安全检查，所以不会额外占用网络带宽。

　　外挂轮询和核心内嵌这两种技术不太容易绕过检测机制，事件触发技术对抓也工作者来说是有可能绕过的。对攻击者对一个网页进行连续的篡改和攻击，外挂轮询技术反复的篡改过程利用程序自动进行，所以防范效果相对来说弱一些，核心内嵌技术每次在输出网页完成检查，防范效果比较好，核心内嵌和事件触发比外挂轮询有一定的优势。动态网页脚本核心内嵌和事件触发有一定的优势。

　　第二种DDOS攻击防范机制，针对可用性的保护方面。DDOS是互联网上常见的攻击方式，目前主流的防范手段主要从协议级或者网络级对DDOS进行防范，针对应用级的DDOS攻击，目前来势没有非常好的防范手段，DDOS攻击防范的技术也在不断地发展，发展到最后，目前应该说主要呈现资源比拼的态势，攻防双方谁占用的资源更多，会赢得最后的DDOS攻防的胜利。所以对我们防范方而言，我们能做的事情，在最大程度上缓解攻击所造成的影响。

　　在DDOS攻击防范方面，主要技术趋势，采用IP来源追查、协作检测，针对攻击型的检测。另外一方面采用流量的限制，黑洞技术、冗余备份应对。

　　IP来源追查，主要是利用网络设备，对网络数据包进行标记，最常见的就是PPM技术，这种技术也是目前学术界比较推崇的技术，这种技术需要对整个网络当中网络设备进行改造，我需要对路由器进行改造，使得数据包在经过路由器的时候可以打上标记，这样的话就提高了设备在进行部署时的难度。

　　在协作检测方面，目前主流的方法通过检测网络当中异常的数据流检测协作的攻击行为，或者利用路由器判断异常的地址，ISP设置流量感应器发现大规模DDOS攻击的迹象。

　　流量限制方面，采取的方式是利用防火墙或者其他的设备，针对已知特征的流量进行过滤，或者利用网络流量的检测、统计和过滤对异常流量进行过滤。再一种方式通过主机或者网络连接数量限制以及发送或者接送数据包的流量限制进行流量的控制。利用另外一种DDOS防范技术称为黑洞技术，主要是通过调整网络当中的路由表，把可疑的流量或者攻击流量引导到虚拟设备上，从而减轻关键服务器或者关键网络的压力，这是黑洞技术的大致的示意图。

　　冗余辈分，建立关键设备和子系统的冗余系统，设计数据备份系统和动态切换模式，实现自动或半自动的业务迁移。

　　数据层次、设备层次、系统及应用层次三个层次开展。

　　访问流量监控。采用SNMP、Netflow检测、网络流量全镜像检测。

　　访问流量应对：内容分发网络CDN，主要的技术优势是能够实现流量的负载均衡，实现动态的网页内容分发和复制，实现Web缓存，有效提高用户在访问Web页面的效率，也存在实时性问题，远程服务器和复本服务其和缓存服务器同步问题，很可能需要一定的时间才能够实现同步。我主要从三个方面介绍网络风险的应对机制。

　　我的报告，就到这里谢谢各位。