供应链网络安全水平亟须提升

　　7月19日，全球多地机场、银行、医院、酒店、政府网络及大量企业因微软Windows操作系统CrowdStrike终端安全产品更新导致出现蓝屏死机（BSOD）现象，造成机场航班延误，甚至取消、银行业务停滞、医疗设备瘫痪等系列严重问题。由于波及范围广，全球部分供应链受到打击，且影响到的多为国计民生基础服务，此次事件已被称为“史上最大规模IT故障”。在数字全球化时代，一个技术故障竟能迅速地发酵为席卷全球的安全风暴，造成如此严重的损失，凸显了全球产业链供应链安全的关联性，也启示基于供应链的网络安全保障水平亟须进一步提升。

　　一次技术性故障导致的网络安全事件

　　总部位于美国的网络安全公司众击（CrowdStrike）是微软公司的技术服务供应商。北京时间7月19日12时9分，CrowdStrike的终端安全软件“猎鹰传感器”（Falcon Sensor）发布了一次配置更新，这本是一次例行软件更新，然而此次更新与微软公司的Windows系统存在兼容性问题，导致了系统内核中的逻辑错误，从而触发了系统的蓝屏崩溃。根据微软公司估计，受影响的终端约为850万台。值得庆幸的是，此次事件并不是一次恶意攻击事件，众击（CrowdStrike）公司在较短的时间内主动修复了漏洞。

　　在此次事件中，中国企业遭受的冲击很小，受到影响的主要是外企、外企在华分支机构及合资企业，例如国内希尔顿酒店集团旗下的上海康莱德酒店，其入住和退房服务受到了影响。我国航空业未受影响，中国国航、东航、南航等三大航司均表示航班未受故障影响，北京首都机场和大兴机场出发的国际航班也运行正常。

　　众击（CrowdStrike）公司在美国属于头部的安全企业，微软公司是世界500强公司，其客户包括全球主要航空公司、银行、医疗保健和能源公司，而它们也是受此次“微软蓝屏”事件影响最大的。航空公司在7月19日当天取消了5000个航班，而这一影响一直持续到了7月22日；部分国家的医院和政府服务受到了限制，甚至在美国一些地区的急救通信也被迫中断。与此同时，经济损失也逐渐显露，根据美国保险公司Parametrix的初步估计，美国财富500强企业中有1/4（125家公司）的企业受到影响，直接经济损失总额约为54亿美元（不含微软）。具体来看，医疗保健和银行业受打击最大，估计损失分别为19.4亿美元和11.5亿美元，美航和美联航受到的影响次之，合计损失总额为8.6亿美元。

　　虽然此次事件的源头是一个软件更新的问题，但由于供应链原因，波及范围之广、连锁反应之强，让人始料未及，暴露出深埋在IT基础设施中更广泛的系统性问题，即互联网已经成为社会最重要的基础设施之一，其影响深入人类社会的方方面面，“牵一发而动全身”，一旦出现安全问题，后果难以预料。在此次事件后，众击（CrowdStrike）公司股价下跌，而其他安全厂商股价上涨，这也反映了投资者和产业从业者对网络安全的重视程度有了更清晰的认识。

　　须系统性强化供应链网络安全水平

　　在追求发展进步和经济繁荣的同时，只有不断提升技术安全性和风险管理能力，才能避免灾难性网络安全事件的发生或重演。

　　从产业角度来看，一是提升供给侧服务能力。网络安全产业供给侧需持续强化安全服务和保障能力，构建最小化的安全边界，并伴随先进计算架构的发展、前沿技术的应用，将系统安全和威胁检测能力深度融合，不断提升安全防护技术水平。二是构建良性的产业结构。在鼓励市场竞争、大力发展龙头企业的同时，也要关注单一产品服务占比过高可能带来的脆弱性问题。尤其对于产业中的中小企业，采取必要手段支持其创新，鼓励其良性竞争，维护产业健康可持续发展。三是培养全社会网络安全意识。此次事件警醒了社会各界，即使是龙头企业和非常成熟的技术平台，也可能遭遇意外故障。当下，人人都会参与到互联网生活中，只有提升全社会群体的网络安全意识，及时发现和处理问题，才能尽可能地降低风险事件的发生。

　　从企业角度来看，一是关注软件更新安全。企业需要在进行软件更新时采取有效的安全措施，包括全面的测试和验证，以减少安全风险，这也是此次事件最直接的经验和教训。众击（CrowdStrike）公司透露未来将计划采用交错方式发布内容更新，这样就不会让每个人都在同一时间收到相同的更新通知，并让客户对更新的安装时间有更精细的控制。二是增强网络安全架构的弹性。随着企业数字化、网络化、智能化不断推进，网络安全在保障企业业务顺利运行方面发挥着越来越重要的作用，企业必须采取措施增强自身网络安全架构的弹性，确保在面对网络攻击和意外故障时，系统能够快速恢复运行，最大程度减少对业务的影响。三是以系统性思维制定应急措施。此次事件再次表明了全球供应链的关联性，业务稳定和网络安全不仅是技术问题，更是管理和战略问题，需要系统设计、规划和运营。凡事预则立不预则废，针对可能发生的安全事件，企业需要制定健全的应急预案，定期开展应急演练，确保在事件发生时能快速响应和处理，减少事件的影响程度和损失。

　　此外，该事件也启示我国需持续推进关键基础设施安全进程。对于关键基础设施、运行重要服务的设备，需要提升自主创新能力，形成自有开放生态，强化关键基础信息系统的安全防护。（中国软件评测中心 唐刚 杨晓琪 张璋）

　　 转自：中国电子报