隨著數(shù)字經(jīng)濟(jì)時(shí)代的來臨，網(wǎng)絡(luò)安全成為保障社會經(jīng)濟(jì)高質(zhì)量發(fā)展的重要前提。同時(shí)，5G、AI和工業(yè)互聯(lián)網(wǎng)等信息技術(shù)的崛起和應(yīng)用，也讓新型漏洞不斷涌現(xiàn)，網(wǎng)絡(luò)安全壓力越來越大。

據(jù)統(tǒng)計(jì)，2020年我國新增3.5萬條漏洞信息，大量的網(wǎng)絡(luò)失泄密案件和信息安全問題均與漏洞存在息息相關(guān)，而網(wǎng)絡(luò)安全漏洞披露作為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制的中心環(huán)節(jié)，不規(guī)范或非法的網(wǎng)絡(luò)安全漏洞披露嚴(yán)重危害網(wǎng)絡(luò)空間整體安全。

對此，中國信通院安全研究所副所長、教授級高級工程師覃慶玲在接受人民網(wǎng)采訪時(shí)表示，網(wǎng)絡(luò)安全漏洞可能被惡意利用實(shí)施網(wǎng)絡(luò)攻擊，竊取信息或者控制、破壞目標(biāo)系統(tǒng)，甚至影響國家安全、社會穩(wěn)定和民眾生活。當(dāng)前，要規(guī)范漏洞披露行為，嚴(yán)把網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制的中心環(huán)節(jié)。

新型網(wǎng)絡(luò)安全漏洞隱藏深、危害大

伴隨著5G、人工智能、云計(jì)算、大數(shù)據(jù)、區(qū)塊鏈等新技術(shù)發(fā)展，例如5G空口協(xié)議TCP側(cè)信道漏洞、5G網(wǎng)絡(luò)切片架構(gòu)漏洞等新型網(wǎng)絡(luò)安全漏洞出現(xiàn)，通常傾向于藏匿在算法、協(xié)議、技術(shù)框架或新產(chǎn)品中。

同時(shí)，萬物互聯(lián)模糊了網(wǎng)絡(luò)邊界，伴隨大量設(shè)備的智能化和網(wǎng)絡(luò)化，車聯(lián)網(wǎng)設(shè)備、工控系統(tǒng)、智能家居設(shè)備中存在新型漏洞，例如智能門鎖藍(lán)牙漏洞導(dǎo)致門鎖失效、車聯(lián)網(wǎng)設(shè)備存在漏洞導(dǎo)致車輛被控制，這些漏洞分布數(shù)量龐大，傾向于藏匿在終端產(chǎn)品或組件中。

覃慶玲表示，漏洞是信息技術(shù)產(chǎn)品、網(wǎng)絡(luò)和信息系統(tǒng)在設(shè)計(jì)、實(shí)現(xiàn)、使用過程中產(chǎn)生的缺陷或弱點(diǎn)，可被惡意利用實(shí)施網(wǎng)絡(luò)攻擊，竊取信息或者控制、破壞目標(biāo)系統(tǒng)，甚至影響國家安全、社會穩(wěn)定和民眾生活。

“相較之下，新型漏洞可能會造成更大的危害。由于不少新型漏洞藏匿于技術(shù)底層，可能在硬件、軟件、中間件等產(chǎn)品鏈中都存在，易造成全局性影響，完全修復(fù)難度大。另外，大量存在新型漏洞的聯(lián)網(wǎng)設(shè)備，被非法控制后可能成為網(wǎng)絡(luò)攻擊源?！瘪麘c玲介紹說。

及時(shí)發(fā)現(xiàn)修補(bǔ)依法依規(guī)開展漏洞披露

目前，有哪些手段可以有效預(yù)防和管理網(wǎng)絡(luò)安全漏洞帶來的危害？覃慶玲認(rèn)為，要從三方面著手：

一是及時(shí)發(fā)現(xiàn)漏洞，調(diào)動社會各方力量，拓寬漏洞收集渠道，引導(dǎo)和激勵漏洞收集平臺、安全廠商等各方報(bào)送高價(jià)值漏洞。

二是快速修補(bǔ)漏洞，督促產(chǎn)品提供者、基礎(chǔ)電信企業(yè)或互聯(lián)網(wǎng)企業(yè)落實(shí)網(wǎng)絡(luò)安全主體責(zé)任，按照規(guī)定時(shí)限及時(shí)完成自身產(chǎn)品、網(wǎng)絡(luò)或信息系統(tǒng)的漏洞修補(bǔ)。

三是規(guī)范發(fā)布漏洞，要求同步發(fā)布漏洞修補(bǔ)或防范措施，不得發(fā)布在用網(wǎng)絡(luò)或信息系統(tǒng)漏洞細(xì)節(jié)，避免漏洞被非法利用實(shí)施網(wǎng)絡(luò)攻擊。

如若不按照標(biāo)準(zhǔn)和規(guī)定進(jìn)行漏洞挖掘和發(fā)布，將帶來什么影響？覃慶玲表示，違規(guī)進(jìn)行漏洞挖掘，可能對網(wǎng)絡(luò)運(yùn)營者的相關(guān)網(wǎng)絡(luò)或信息系統(tǒng)造成破壞；違規(guī)進(jìn)行漏洞發(fā)布，漏洞可能被非法利用實(shí)施網(wǎng)絡(luò)攻擊；以上兩種情況都可能導(dǎo)致網(wǎng)絡(luò)或信息系統(tǒng)被非法控制、業(yè)務(wù)癱瘓、網(wǎng)絡(luò)中斷、數(shù)據(jù)泄露或被篡改等危害。

《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定，開展網(wǎng)絡(luò)安全認(rèn)證、檢測、風(fēng)險(xiǎn)評估等活動，向社會發(fā)布系統(tǒng)漏洞、計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等網(wǎng)絡(luò)安全信息，應(yīng)當(dāng)遵守國家有關(guān)規(guī)定。違反規(guī)定的，由有關(guān)部門責(zé)令改正、給予警告或處罰款。因此，要依法依規(guī)開展漏洞披露，避免因?yàn)檫`規(guī)披露漏洞造成危害，給自己帶來法律風(fēng)險(xiǎn)。

我國網(wǎng)絡(luò)安全漏洞管理正不斷健全完善

當(dāng)前，我國漏洞管理體系正不斷健全，出臺《中華人民共和國網(wǎng)絡(luò)安全法》、《公共互聯(lián)網(wǎng)網(wǎng)絡(luò)安全威脅監(jiān)測與處置辦法》、《網(wǎng)絡(luò)安全漏洞管理規(guī)定（征求意見稿）》等法律、規(guī)章和規(guī)范性文件，明確漏洞修補(bǔ)、報(bào)告、發(fā)布等行為的管理要求。

同時(shí)，漏洞技術(shù)標(biāo)準(zhǔn)不斷完善，制定和修訂《網(wǎng)絡(luò)安全漏洞管理規(guī)范》、《網(wǎng)絡(luò)安全漏洞分類分級指南》、《網(wǎng)絡(luò)安全漏洞標(biāo)識與描述規(guī)范》等標(biāo)準(zhǔn)規(guī)范，進(jìn)一步推動漏洞管理工作的規(guī)范化。

覃慶玲介紹說，在工業(yè)和信息化部指導(dǎo)下，中國信息通信研究院建設(shè)了工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺，統(tǒng)一匯集、存儲、分析、通報(bào)、發(fā)布漏洞在內(nèi)的網(wǎng)絡(luò)安全威脅信息，與國家信息安全漏洞共享平臺、國家信息安全漏洞庫等平臺一道，為漏洞管理提供技術(shù)支撐。

覃慶玲認(rèn)為，下一步，要建立健全漏洞上報(bào)、評估、修補(bǔ)、披露等重要環(huán)節(jié)的工作機(jī)制，督促產(chǎn)品提供者、基礎(chǔ)電信企業(yè)或互聯(lián)網(wǎng)企業(yè)做好漏洞修補(bǔ)；要鼓勵相關(guān)組織和個(gè)人向產(chǎn)品提供者報(bào)送產(chǎn)品漏洞，鼓勵漏洞收集平臺向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺等報(bào)送漏洞。同時(shí)，加強(qiáng)工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺建設(shè)，依托平臺做好漏洞收集、評估和處置工作，并做好與其他漏洞平臺的信息共享。

“在我們享受著網(wǎng)絡(luò)帶來的便利之際，網(wǎng)絡(luò)安全問題也已成為影響社會發(fā)展和國家經(jīng)濟(jì)建設(shè)的隱患。為了避免違規(guī)的漏洞披露行為給用戶或者國家?guī)聿豢赏旎氐亩蝹Γ覈苍诓粩嗤晟坡┒磁肚篮蜋C(jī)制?！瘪麘c玲說。?

來源：人民網(wǎng)孫陽