我国网络安全现状怎么样？如何应对网络安全风险？

谢邀，我是中国工程院院士、国家数字交换系统工程技术研究中心主任邬江兴。现在跟各位网友交流一下网络安全相关的话题。

我想通过一些数字来告诉大家。首先，从国家网络安全层面来看，我国是数字化程度最深的国家。据中国信息通信研究院

发布的最新数据显示，2021年中国数字经济规模达到7.1万亿美元（约45.5万亿元人民币），仅次于美国的15.3万亿美元，位居世界第二。我们在众多的数字化应用领域规模也是世界第一，截止2021年12月，我国网民规模已达到了10.32亿，其中即时通信用户规模达10.07亿，网络购物

用户规模达8.42亿，网络支付用户规模达9.04亿。

其次，我们也存在一些网络安全危机问题。比如，我国的信息基础设施核心软硬件大都依赖进口，或者是开源的软硬件，沙滩建楼的现象严重存在。我国90%以上信息基础设施的重要部件，比如服务器、存储、交换、路由器等关键芯片，大都是国外芯片；大量的云平台、数据中心、智慧城市大脑所使用的操作系统和数据库，也多采用的是国外产品，或者基于国外开源技术平台构建的产品。

第三，我国也是世界上遭受网络攻击最严重的国家。据国家互联网应急中心披露，我国是世界上遭受网络攻击最严重的国家，攻击的重要源头主要来自于美国。从2018年至2020年，位于美国的控制服务器数量（就是它的攻击服务器的数量）和控制我们中国境内主机（又称为“肉机” ）的数量，均已连续三年呈增长态势。在所有来源于境外的恶意程序

样本中，有53.1%来自于美国，日均传播次数超过了190万次。

第四，我国网络安全整体投入不高。网络安全建设方面，国内网络安全投入占信息化的投入比例大概不到百分之3%，而欧美等发达国家均在10%以上，甚至有的超过了15%。我们无论是在投资规模，应对网络安全的认知等方面，我们与国外差距非常大。这与我们数字化依赖程度相比，还是一个非常大的反差。

网络安全风险时刻存在。据美国国际战略研究中心的报告显示，2021年网络犯罪使全球经济损失超过1万亿美元。中国国家互联网应急中心报告显示，2020年各类网络安全事件大约发生4.3万起，公民和企业网络安全风险正在遭受巨大的损失。

一般意义上来说，网络空间安全

问题涉及的领域和行业非常广泛，有自然因素的影响，比如器件自然失效、老化等，也有人为因素影响，比如网络攻击，它是一个复杂的巨系统问题。狭义上来说，网络空间安全问题主要是指内生安全问题。

按照矛盾论的说法，内生安全问题是属于事物的内在性矛盾的外部表现，如同一枚硬币的两面，利弊不可分割，这就是内在性矛盾。因此，软硬件漏洞、后门以及相关问题是任何信息物理系统

都无法彻底避免或杜绝的内在性安全矛盾。这一矛盾还遍布于网络空间，数字世界的每一个角落。

现有的密码技术、防火墙技术、安全检测技术能不能抵御这些基于漏洞、后门的侵害？我们还有哪些手段可以维护网络空间安全秩序，维护我们数字社会的发展秩序。

传统网络安全领域一直在遵循着三个范式来防范风险。范式就是一个方向、一种途径、一种模式。

第一范式是“基于冗余配置与表决的功能安全发展范式”，围绕提高系统功能可靠性或者安全性展开的一种研究，在过去积淀时代，范式用得非常好，已经相当成熟。第二范式是“基于加密与认证授权的安全发展范式”，用加密或者认证机制来保护信息数据的安全或者私密性完整。第三范式是“基于检测与分析的网络安全发展范式”，通过检测异常行为来感知网络攻击事件，然后实施亡羊补牢式的外挂防御，或者叫补丁式的安全防御，类似查杀病毒木马、发现并修补软硬件漏洞、感知和阻断攻击行为特征。

上述三种防御范式在不同时期和不同阶段都收到了不同程度的安全效果，这个是要充分肯定。但是，这三种范式不可避免地陷入了一种万般无奈的状态：如果要不用肯定不安全，但是用了也不能确保安全可信。信息技术产品的安全性，不能量化设计，又无法验证度量，已然成为了数字时代永恒之痛。

因此，急需提出新的安全理论，开辟新的研究领域，探索新的技术发展路径，来化解网络空间的内生安全共性矛盾。2013年，我在国际上首次提出了基于构造决定安全与病毒木马共存的网络空间内生安全防御新范式，我把它称为第四安全范式。它不仅要解决已知的安全威胁问题，而且要能有效对付未知的网络攻击问题。

第四范式是借助构造决定安全的系统工程思想

。这个系统工程思想是钱学森提出来的，构造决定功能，构造决定性能，构造决定安全。用这种系统的思想，用创新的架构技术

来化解或和解内生安全的共性矛盾。

第四安全范式要能够从理论和方法上有效破解目前网络安全防御范式的难解之困。具有以下四个基本特征，一是在不依赖于先验知识

的条件下，有效抑制隐藏在系统内部的已知或未知漏洞后门、病毒木马等引起的安全威胁，使信息系统或控制装置可以在“有毒带菌”条件下能够提供正常的服务功能。二是能够一体化地解决功能安全和网络安全交织叠加问题。三是能够彻底改变目前信息技术产品安全性不能量化设计、不能验证度量的尴尬现状，要开辟具有绿色安全功能的新一代信息技术发展道路。四是软硬件产品安全性有了可精算评估的手段，网络安全保险业就能发挥重塑产业和市场格局的助推器的作用。

当然第四范式

与前三种范式之间也并不是相互排斥的关系，而是开放融合的关系。网络安全最大的问题是可验证性，网络安全不安全，“网络空间内生安全技术”为代表的第四范式能否奏效，不是由一个机构说了算，应该让全球黑客说了算。

为此，我们通过实战来验证理论与技术的高可用性、高可靠性，经受了全球顶尖“白帽黑客”千万次的高压测试。从2018年开始连续4年，南京紫禁山实验室

都会举行强网拟态防御国际精英挑战赛，目前累计有近20多个国家的数百支战队参与了全球最高强度、最高难度的人机巅峰对决。参赛队伍不仅有国外精英的“白帽黑客”战队，也有国内知名高校战队，还有国内知名安全企业战队参加。迄今为止，还没有任何一支战队实现全域突破。这再次证明了我国独创的内生安全

理论和方法，对当前的网络攻击手段具有压倒性的碾压优势。

如何更好地防范网络安全风险？我认为防御网络安全风险关键是要筑牢网络安全意识。
第一，要有高度的风险意识，了解日常网络使用场景，也会受到多种因素的威胁。要警惕某些所谓的免费陷阱，大家不能贪小便宜，提高个人网络素养，要注重提升自身对网络信息具备基本的识别能力，哪些是欺骗，哪些完全说忽悠。
第二，要培养自己的上网守法的行为习惯，避免那种侥幸心理的注水。我是不是会被黑客盯上，我这样做是不是不被别人发现？这些侥幸心理的话也要避免。
第三，要积极参加科普活动，及时掌握一些基础性新的防御技巧，学会应对常见的例如病毒入侵、木马渗透、数据窃听、账户盗取等的问题。有些人说我没有什么敏感信息，随着生活改善，我们越来越会提高个人隐私需要，现在很多人上网几乎是在裸奔。

未来，我希望网络内生安全技术尽快进入规模化应用阶段，尽快提升我国的信息技术水平。当然，这需要有国家和市场的力量，需要有市场创新、商业模式创新。

文章由极客之音整理，本文链接：https://www.bmabk.com/index.php/post/77590.html