安全工信部通报阿里云，未及时上报重大漏洞，国资云建设刻不容缓

中科院云计算中心分布式存储联合实验室特讯： 近期，工信部网络安全管理局通报，暂停阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。此次事件源自阿里云发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患报告不及时， 再次为国家数据安全敲响警钟，国资云建设刻不容缓、势在必行。

近期，工业和信息化部网络安全管理局通报称，阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。

Apache Log4j 史上最大安全漏洞

先梳理一下阿帕奇严重安全漏洞的时间线：

11月24日

阿里云在阿帕奇（Apache）开放基金会下的开源日志组件Log4j2内，发现重大漏洞Log4Shell，然后向总部位于美国的阿帕奇软件基金会报告。

获得消息后，奥地利和新西兰官方计算机应急小组立即对这一漏洞进行预警。新西兰方面声称，该漏洞正在被“积极利用”，并且概念验证代码也已被发布。

12月9日

中国工信部收到有关网络安全专业机构报告，发现阿帕奇Log4j2组件存在严重安全漏洞，立即召集阿里云、网络安全企业、网络安全专业机构等开展研判，并向行业单位进行风险预警。

12月9日

阿帕奇官方发布紧急安全更新以修复远程代码执行漏洞，漏洞利用细节公开，但更新后的Apache Log4j2150-rc1版本被发现仍存在漏洞绕过。

12月10日

中国国家信息安全漏洞共享平台收录Apache Log4j2远程代码执行漏洞；阿帕奇官方再度发布log4j-2150-rc2版本修复漏洞。

12月10日

阿里云在官网公告披露，安全团队发现Apache Log4j2150-rc1版本存在漏洞绕过，要求用户及时更新版本，并向用户介绍该漏洞的具体背景及相应的修复方案。

12月14日

中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》，供相关单位、企业及个人参考。

12月22日

工信部通报，由于阿里云发现阿帕奇严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理，决定暂停该公司作为工信部网络安全威胁信息共享平台合作单位6个月。

在服务器的组件中，日志组件是应用程序中不可缺少的部分。而其中Apache（阿帕奇）的开源项目log4j是一个功能强大的日志组件，被广泛应用。

由于Apache Log4j存在递归解析功能，未取得身份认证的用户，可以从远程发送数据请求输入数据日志，轻松触发漏洞，最终在目标上执行任意代码。即 攻击者只要提交一段代码，就可以进入对方服务器，而且可以获得最高权限，控制对方服务器。通俗说，黑客通过这个普遍存在的漏洞，可以在服务器上做任何事。

有关报道显示，黑客在72小时内利用Log4j2漏洞，向全球发起了超过84万次的攻击。利用这个漏洞，攻击者几乎可以获得无限的权利——比如他们可以 提取敏感数据、将文件上传到服务器、删除数据、安装勒索软件、或进一步散播到其它服务器。

国外网友以漫画说明Log4j2的重要性

该漏洞CVSS评分达到了满分10分，IT 通信（互联网）、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、 游戏 公司、电商平台等都有被影响的风险。 比如苹果、亚马逊、Steam、推特、京东、腾讯、阿里、百度，网易、新浪以及特斯拉等全球大厂，悉数中招，众多媒体将这个漏洞形容成“史诗级”“核d级”漏洞，可以说相当贴切。

据工信部官网消息，今年9月1日，工业和信息化部网络安全威胁和漏洞信息共享平台正式上线运行。其中提到，根据《网络产品安全漏洞管理规定》，网络产品提供者应当及时向平台报送相关漏洞信息，鼓励漏洞收集平台和其他发现漏洞的组织或个人向平台报送漏洞信息。

此次事件中，作为我国云计算服务的头部供应商的阿里云，11月24日发现计算机史上最大的漏洞，是先向国外的Apache基金会报告，而未及时向主管部门报送漏洞信息。工信部得知情况，已经是12月9日，中间已经过了15天。这十五天，中国的互联网简直是在裸奔。这期间已经有黑客掌握了这个漏洞，在利用这个漏洞进行网络攻击。作为新基建重要一环的云计算平台，更加应以谨慎的心态承担起保障网络安全的责任。

国资云建设 安全自主可控为上

互联网时代，国家安全自然延伸到了网络。各个国家，都在想办法堵自己漏洞，找别人家的漏洞，甚至是隐藏的后门。同样的漏洞，那就是看谁率先掌握。国外的开源软件层出不穷的漏洞，隐没难寻的后门，应用于国家重要机构或事关 社会 民生的部门，其潜在危害难以估量。我们除了想方设法被动收集修复漏洞，还要大力发展和利用自主安全可控的技术，才能在互联网领域寻求战略平衡，保障国家安全。

所以说，阿里云的这次行动足以为戒，忽视国家各项数据安全法律法规，国家安全责任意识淡漠，将国家网络安全置于巨大的危机之中。试问这样的第三方云服务商，如何让国家机构、央企国企放心将数据业务托管？

风险就在那里，警告从未缺席。国资云以安全自主可控、平稳可靠运行为上，才能确保国家安全，尽到 社会 责任。第三方云服务商难以超越企业自身的稳健盈利，更不要说将国家安全、公共利益、亿万民众福祉放在首位。国资云的建设将第三方云服务商排除在外，是互联网竞争环境的使然，也是数据安全责任的担当，更是时代赋予的使命。

“国资云”建设 大势所趋

经过深入研究分析，北京交通大学信息管理理论与技术国际研究中心（ICIR）认为， “国资云”建设是大势所趋，原因主要有以下三方面：

一是“国资云”建设是国有资产管理的需要。国企数据资源属于国有资产，应纳入国资监管和统一管理，保护国有数据资产安全是建设国资云的核心目的；

二是“国资云”建设是保障国家重要数据安全的需要。近期，《关键信息基础设施安全保护条例》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》相继颁布实施，将数据安全提升到前所未有的高度，而国有企业的许多数据事关国家关键信息基础设施安全；

三是“国资云”建设是信创工程落地的重要抓手。在“国资云”数据中心逐步加大CPU、 *** 作系统、存储、数据库、中间件等国产信创产品比重，并鼓励国产信创业务系统与“国资云”数据中心基础设施适配应用，从基础到应用全方位推进信创工程步伐。

因此，“国资云”建设的重要意义在业界已达成高度共识。

国资云赋能云上安全 G-Cloud增强国企竞争力

国有企业是中国特色 社会 主义的重要物质基础和政治基础，是我们党执政兴国的重要支柱和依靠力量，国有企业不仅具有鲜明的政治属性，也具有强烈的经济属性和物质属性，坚定不移地将国有企业做强做大做优是党和人民对国有企业的基本要求。因此，国有企业更需要资产不断保值增值，规模不断发展壮大，盈利水平不断提高，这就要求国有企业必需使用最先进的生产工具，创造出最先进的生产力，保持在国际国内市场中的竞争力。

而云计算平台就是当前最先进的生产工具。云计算平台中除了计算、存储、网络、虚拟化等Iaas服务相对比较成熟外，在Paas、Saas层面的技术创新速度非常快，产品迭代周期不断缩短，不同的厂商提供的云平台服务在技术领先性、服务稳定性、用户覆盖面等方面具有非常大的差异。

在激烈的市场竞争中，企业选择了什么类型、什么厂商的云服务，在一定程度上意味着企业使用了什么工具和武器，在很大程度上决定了企业的生产效率、管理效率和市场效率，也就决定了企业的竞争力。

国资云赋能云上安全，打造排除第三方云服务商的行业专属私有云。 中科院云计算中心自主研发的G-Cloud云 *** 作系统，首要胜在安全。 其次G-Cloud在智慧城市、智慧医疗、智慧教育、智慧交通等领域的成功案例，将有助于充分激活国企强劲的竞争力、影响力、带动力。

2021年11月， 国资云平台中科云（东莞） 科技 有限公司正式成立，由中科院、东莞市政府等多方投资的上市企业国云 科技 控股，国资背景加持，官方认可，国内顶尖 科技 机构技术背书，使用国内首个自主产权、安全可控的G-Cloud云 *** 作系统，建设“国资云”， 赋能千行百业数字化转型升级，最大化优化国有资本布局，提高国有资本运营效能、产业互联和商业创新！

中科云凝聚服务政企信息化、数字化建设的核心团队， 联合产学研用各方力量，融合大数据、云计算、物联网等新一代信息技术，在政府、医疗、教育、交通、智能制造等多行业、多领域提供新型基础设施建设、数据分布式存储服务，助力国资国企规模和实力的持续增长，实现高质量发展。

当前，企业面临的五大IT威胁包括了恶意软件感染、安全漏洞、违规 *** 作，以及针对邮箱帐户的网络钓鱼。而物联网技术的普及也会破坏现有的IT风险管理机制。
在技术公司MetricStream对20个行业的120多家企业展开的全球调查中发现，近一半（44%）的大型企业认为未来三年物联网（IoT）技术在干扰IT风险管理项目方面具有相当大的隐患。
由于可连网设备大量普及，各个网络连接设备的管理程序并不统一，许多管理员在做物联网设备的管理架构时很容易忽视物联网的互通、完整以及安全协作层面的考量。
此外，除了简单的可见性之外，连接设备的软件开发混乱状态可能是最大的具体安全问题，不仅一些设备开始不安全，即使制造商发布补丁的缺陷，也可能难以分发和应用于有组织的方式 许多人根本不修补，因为正在进行的软件开发根本不在特定类型的设备的预算中。
虽然一般来说，IT GRC访问控制解决方案可以通过自动化工作流程，及时提供风险情报来指导决策，来增加网络防护能力。但政策、培训计划和信息治理框架都同样重要。
因此，要防范此前美国信用评级机构Equifax遭受到的网络攻击，显然要企业拥有全面、灵活的IT风险管理策略才能应对。具体可以展开以下策略：
1、对于这些新兴的联网设备，哪些位置需要安全控制，以及如何部署有效地控制。鉴于这些设备的多样性，企业将需要进行自定义风险评估，以发现有哪些风险以及如何控制这些风险。
2、企业必须能够识别IoT设备上的合法和恶意流量模式，并快速了解如何快速修复IoT设备漏洞以及如何优先排序漏洞修复工作。
3、企业还应该隔离IoT设备到vLAN或独立的网段进行有效监管。
以上由物联传媒整理提供，如有侵权联系删除

5g物联网新增的网络安全挑战有：跨境信息传输安全。

网络安全5G建立在前几代无线网络的基础上，目前正在与包含一些遗留漏洞的4G LTE网络集成，例如分布式拒绝服务攻击和SS7/Diameter 挑战。即使有额外的安全增强，这些漏洞也可能影响5G设备和网络。

含义

5G作为一种新型移动通信网络，不仅要解决人与人通信，为用户提供增强现实、虚拟现实、超高清(3D)视频等更加身临其境的极致业务体验，更要解决人与物、物与物通信问题，满足移动医疗、车联网、智能家居、工业控制、环境监测等物联网应用需求。最终，5G将渗透到经济社会的各行业各领域，成为支撑经济社会数字化、网络化、智能化转型的关键新型基础设施。

百度百科-5G

所有智能化技术的核心都是设备间的网络互联，而这正是我们耳熟能详的物联网(IoT)。据预测，到2020年，将有500亿个“事物”实现互相通信或是通过互联网进行沟通。面对如此迅速的普及和发展，一些新的挑战也随之而来：如何才能使物联网易于使用并且具有较高的性价比和效率呢？对此，德州仪器(TI)众多物联网专家经过深入交流，指出了物联网发展所面临的六大主要挑战，并给出了解决这些挑战的关键，尤其强调了针对消费类、工业和汽车领域的物联网应用。
挑战一：低功耗是重中之重
物联网从一个利基市场(小众市场)不断发展成为一个几乎将我们生活各个方面都连接在一起的庞大网络，面对如此广泛的应用，功耗是至关重要的。在物联网领域中，许多联网器件都是配备有采集数据节点的微控制器(MCU)、传感器、无线设备和制动器。在通常情况下，这些节点将由电池供电运行，或者根本就没有电池，而是通过能量采集来获得电能。特别是在工业装置中，这些节点往往被放置在很难接近或者无法接近的区域。这意味着它们必须在单个纽扣电池供电的情况下实现长达数年的运作和数据传输。
“电池的安装、养护和维修不仅难度很高，同时也会带来高昂的开销。而在某些车间或厂房内，这些 *** 作甚至非常危险。”关注无线和低功耗充电领域的Harsha表示，“我们的目标就是让用户在器件的使用寿命内无需更换电池。”基于此，Harsha和他的团队正在研究尽可能延长微型电池供电时间的方法。例如，借助太阳能来供电，无论是室内或是户外光源，即使是只从光源中采集很少的能量，其影响也是巨大的。同时，通过工厂中某一物件的内外环境温差，也能够实现能量的采集，例如温度高于外部空气的高温液体管道。此外，在工业装置中，车间内机器所产生的振动也能被用于能量采集。通过住所内来自WiFi的无线电波，也可以为支持物联网节点的电池生成一个小电荷。
以上种种方法的目标是将电池的使用寿命延长10%或20%。虽然消费类电子元器件更新换代的速度越来越快，但是工业应用中的物联网技术可以持续很长的时间。通过使用能量采集来延长电池的使用寿命，一块电池可以持续供电20年到30年，直到所有的节点需要更换。在某些情况下，由于能量采集的使用，这些节点甚至可以实现无电池运行。
挑战二：感测必不可少
如果没有感测，那么物联网也将不复存在。传感器、微型器件和节点是构成整个物联网系统的基石，它们能够测量、生成数据并将数据发送给其他节点或云端设备。无论是感测住宅的房门是否关闭，还是汽车的机油是否需要更换，抑或是生产线上的某个设备会不会出现故障，传感器采集到的数据都是关键信息。
“感测在需要作出决策的时候便会发挥作用，这一过程不一定需要人工干预。”专注电流感测领域的Jason表示，“如果传送带正在传输某个物体，传感器能够帮助确定这个物体是什么、重量为多少以及传送带是否过热等。例如，分析电机内的电流能够让人们了解电机的健康状况、是不是出现了故障。这些都是在进行工厂控制时需要了解的内容，而传感器使这一切变为可能。当提供实时数据时，这些重要数据的结合将影响到方方面面。”
因为传感器采集了海量的数据，特别是在工业物联网(IIoT)中更是如此，所以传感器软件的创新与传感器硬件的创新同样重要。当获得了海量的信息时，如何确定信息是不是过多？如何判定所掌握的数据是不是有用？其中极为重要的一环就是算法。一旦有了合适的算法并且得以充分利用，它们将改变制造业。工厂会变得越来越小，效率却越来越高。
挑战三：连通性选择由繁化简至关重要
一旦传感器数据被低功耗节点采集，这些数据必须被传送到某个地方。在大多数情况下，它会被传送至一个网关，这是物联网系统中互联网与云或其他节点之间的中间点。目前，根据独特的使用情况和不同的需求，我们可以选择多种有线或无线的方式来连接设备。各项不同连通性标准和技术都有其特殊的价值与用途，不过将WiFi、Bluetooth、Sub-1 GHz和以太网中的所有这些标准都整合起来却是一项巨大的工程。鉴于产品的多样性以及需要将连通性添加到很多标准与技术并不相同且大多数此前并不具备互联网连通性的产品中，这就需要采用复杂的技术，并使其变得更加简单。
挑战四：管理云端连通性是关键
一旦数据通过一个网关，它在大多数情况下会直接进入云端。在这里，数据被分析、检查，然后付诸实施。物联网的价值源自云端服务上运行的数据。正如连通性一样，云端服务的选择也有很多，这也是物联网发展中另一个复杂点。
“目前，云端供应商的种类繁多，数量也不尽相同，并且没有针对云端设备连接和管理方式的标准。”专注物联网市场发展领域的Gil表示。为了满足那些使用多个云端服务的用户的需求，必须开发物联网云端生态系统，提供集成的TI技术解决方案。可喜的是，由于云端技术已经实现了良好的成本效益，物联网目前正以极快的步伐飞速发展。不过，为了实现物联网的进一步增长，在复杂度简化方面还有很多工作要做。
挑战五：安全性是广泛采用的关键
整个系统的安全性是制约物联网被广泛采用的最大障碍之一。随着越来越多的设备变得“智能化”，越来越多的潜在安全性漏洞将出现。这需要业界研究构建先进的硬件安全机制，同时将安全机制成本和功耗保持在较低的水平上。这需要相关厂商在集成安全协议和安全性软件方面投入大量的人力物力，努力减少把高级安全性功能添加到物联网产品中所遇到的障碍，以确保在保障安全性方面降低门槛。
挑战六：为经验不足的开发人员提供简易物联网解决方案
虽然物联网技术曾经主要由技术公司使用，但是从目前来看甚至在未来一段时间里，物联网技术将在有着一定技术背景限制的行业中被广泛应用。以一个生产龙头公司为例。直到目前，由于没有任何需求，电气工程师也许从未在龙头制造公司工作过。但是如果这家公司打算生产接入互联网的花洒，那么其在人力和时间方面的投入将是巨大的。因此，物联网技术必须能够轻松地添加到其现有和未来的产品中，而无须网络和安全工程师参与其中。这些公司不需要像一家互联网技术公司那样，在技术学习方面投入，他们现在可以从相关企业获得现成可用的技术。对于相关技术公司来说，如何为这些经验不足的开发人员提供简易且立即见效的物联网解决方案，既是挑战更是机遇。
由于我们生活中越来越多的事物正在与网络建立互联，并且随着物联网应用的不断普及与拓展，还有大量的工作需要去完成。以物联网为代表的信息化应用是对我们未来方方面面高品质生活的巨大展望，包括我们的住所、汽车和高效工厂内的用户便利性与生活方式等，而这一切将最终使我们的世界变得更加美好。

物联网的日益普及给人们带来了诸多便利，但随着大量的物联网应用落地随之也带来了很多安全风险。
提起物联网设备，我们就能想到智能化，智慧城市，智慧家居，智慧医疗，智慧养殖等等，都给生活带来了便利，但是物联网设备也有一个极其引人担心的一个问题，就是安全问题。当一切都智能后，伴随的危机风险将更大。安全漏洞一旦遭受到恶意攻击，会引发严重问题，导致一系列设备都罢工宕机。
物联网安全与之紧密联系的就是物联网设备的支出和回报问题，这是个永恒的议题。
使用物联网设备带来的优势是不言而喻的，它在无形中简化了很多业务以及人工成本，从采集数据到数据分析再到价值挖掘和提高运营效率，作用是巨大的。但是同时也存在着风险，就是物联网的安全漏洞，对于很多企业来说，使用物联网设备都有一定的担忧，也造成了物联网应用落地化并没有特别快速的普及。
出现这种冷热交替化的情况原因就很简单了，企业一方面想要拥抱物联网，走上风口，另一方面就是新的东西出来，就总不是那么成熟，有一些时间需要走，物联网攻击事件也有爆出。其实只要有了安全意识，做长期的潜在回报准备，在物联网实施过程中，从一开始就应该注重安全性，并将其作为规划布局中的关键任务之一。从初始阶段就在系统中加入安全设计，比在开发周期接近尾声时或者在漏洞已经出现或公开之后再采取措施，更加经济有效。
此外，物联网安全，挑战无处不在物联网的迅速增长和商用普及，导致物联网市场出现碎片化困局，缺乏明确、统一的标准。而定义物联网设备的标准和架构，要通过数十项持续、不同的举措来进行，企业自然会疲于应对眼前出现的挑战。

---