This post is based on a presentation at China-US bilateral meeting on cloud security which was hosted by CNITSEC and ITI. Although most of slides have been shared before, however, I tried to make them updated to the latest progresses at Software Defined Networking, Software Defined Security and APT, etc. You are welcome to share your comments and viewpoints.
There are tons of news reports, papers, products, marketing campaigns around APT. Actually we like the words Targeted Attack by Gartner better. Here we position APT or Targeted Attacks as the below – All attacks and threats that have been totally newly created or slightly customized in order to avoid the detection or circumvent the traditional security defense systems in the target IT systems.
…
The 3rd category of threat agents are organizations. They are well organized, and well equipped. They have clear objectives, perhaps political, military, or business secrets. In order to fulfill their missions, they can setup simulation environment and develop specially customized or even total newly developed 0-day and exploits, so that their attack payload can bypass the current off the shelf commercially available security products, including anti virus, IDS/IPS, and even general honeypots.
…
“Open Plugin enabled” means the picture like the APP in SDN architecture. By this way, security defense systems can match the pace of next generation threats. In SDN context, I like to change this feature to “Software Defined Security”.
…
Click here to download the slides “NSFOCUS-Cloud-Security-20130415.pdf” http://vdisk.weibo.com/s/y3RSY
2012年是信息安全多样化的一年。网络攻防战场的从通用网络向专用网络延伸，甚至提前开始了“主场”的争夺；除了黑客个人和犯罪团伙，宗教团体和政治势力也开始使用网络武器；攻击目标不再限于主机和服务器，虚拟机、移动终端、平板电脑都被卷入，而原本用于提供保障的安全机制，有时也会成为攻击者的猎物。
通用网络环境中漏洞的逐年增长已经成为常态，并不令人意外。毕竟软硬件种类的极大丰富提供了广阔的温床。在这样的环境下，跨平台漏洞尤其引人注目，8月份被披露的Oracle Java 0 Day漏洞（CVE-2012-4681）同时会影响Windows、OS X及Linux平台的多种浏览器。而一些专用网络环境也渐渐被挖掘者视为“潜力股”，尤其在IPv6和SCADA网络中，近来漏洞数量呈爆发性增长。每个人都知道竞争中的主场优势，政治势力也不例外。美国众议院报告称华为、中兴对美国国家安全构成威胁，正是在争夺未来战争中的网络“主场”。
对大部分企业用户来说， Web应用依然最易受到攻击。分析显示，页面中出现Web漏洞的比率接近一半，其中“安全配置错误”和“跨站脚本”占较大比重，而“注入”类漏洞数量低于预期。与此同时，攻击目标也展现了多样性，虚拟机病毒和MacOS病毒接连出现；更高明的黑客甚至瞄准了“安全供应链”，入侵Adobe公司并用其数字证书签署恶意工具是其中的典型案例。
大部分攻击者的目是窃取和破坏。前者在2012年可谓沸沸扬扬，最具代表的有LinkedIn网站650万用户数据泄露事件和VMware ESX源码泄露事件，而后者在2012年正在默默的改变。首先，HTTP FLOOD成为了最主要的DDoS攻击方式；其次，短期多次的攻击方式开始出现；最后，广东成为了中国的重灾区，国内近半数攻击针对该地。
不同类型的攻击者各具特色。有组织的势力以此来实现政治目的，DuQu, Wiper, Flame, Gauss接连出现，中东地区已经成为网络武器的演练场。宗教团体的冲突敏感而激烈，一段Youtube视频引发了“燕子行动”，美国多家银行遭受连续的攻击。黑客行动主义不甘寂寞，Anonymous甚至发布“年终总结”来彰显其“成果”。最常被作为攻击发起点的是僵尸网络和恶意网页， 前者在国内异常活跃，每类僵尸网络平均每天发起攻击12.2次；而后者看似沉默却危害巨大，其中包括的木马下载器最多。
总之，2012年是信息安全多样化的一年。我们处于更复杂的战场中，需要保护的对象越来越多。而敌人，正变得更加狡猾，更加强大。
下载全文报告…
注：本文是为大家即将看到的新一期绿盟科技技术内刊的卷首语，预先晒一下，欢迎转发拍砖.
有道是“昔日王谢堂前燕，飞入寻常百姓家”，2010年以来沸沸扬扬的APT攻击，到2012年已经不再是国家对抗、网络战等似乎只有军队和政府机构才关注的威胁，越来越多的案例将APT引入了普通商业机构也需要严肃考虑的网络威胁，这些APT和各种定向攻击、或我们姑且称之为准APT、NAPT，或者通过特定的0-day漏洞制作的特定利用入侵关键信息系统，或者有针对性的进行了“免杀”、“躲避”等技术来穿透反病毒系统和IPS/IDS系统的防护，短平快，偷取重要情报和商业机密。不夸张地说，有重要价值的信息资产，就会有APT或定向攻击的潜在威胁。
威胁实实在在，我们又有什么武器来还击呢？
编者认为或许可以从三个角度来勾画2013年的网安战略地图，第一是各种下一代安全产品，第二是安全管家服务MSS和安全SaaS或SECaaS，第三是工业控制系统的安全。
下一代安全产品主要是指具备应用和用户感知能力、统一检测引擎和虚拟执行技术、白环境和灰度检测技术、云中安全智能、快速威胁响应和升级能力等特征的安全产品。相对于传统的防火墙、反病毒、入侵检测等产品，下一代安全产品的对抗能力、智能性、响应速度都大为提高，在对抗APT的战斗中非常关键。
MSS服务并不是新鲜事物，早年的MSS主要是安全设备的简单维护管理或相关的人力外包。但是在下一代安全产品的语境下，MSS服务是NG安全产品能够发挥最大效力的理想伙伴，可以使明显加速对威胁的响应速度，从而减小受害时间窗口。SECaaS则可以视为网络安全产品的“云”化，下一代安全产品具备了在“云”中集成多种安全智能的能力，所以，SECaaS是网络安全产品在云计算时代的一种天然的进化，必将在未来网络攻防武器库中扮演重要角色。
工业控制系统是APT的主战场之一、没有之一可能有些夸张。不同于普通的网络环境，工业控制系统有自己独特的物理环境、协议、管理制度、ICT产品供应链和生态环境等，因此也有自己独特的网络攻防地貌，识别其典型的漏洞和威胁无疑是启动工业控制系统攻防研究和建设的第一步。
希望本期的十二篇文章能够给您带来2013年的一些共鸣和启发。
注：感谢 @鲍博士 和各位同事的共同努力，继去年年底我们发布半年一期的安全威胁态势报告后，2012年上半年的安全威胁态势报告呈现在大家面前。昨天晚上到今天早上，微博上看到了很多同仁的热情转载、评论、和建议，非常感谢。我们继续努力。
2012年已然过半，毁灭世界的洪水尚未到来， 然而在安全行业，一道道巨浪却震撼异常。如果说Flame被发现只是给世界带来Duqu之后的又一次震撼，那么华盛顿邮报的报道足以让人寒彻骨髓。攻击技 术不再只是猎枪中的弹药，国家级的力量足以让它成为威力无比的炮弹。与之相比，不同规模的攻击者，无论是技术还是组织都在快速进步。
针 对这些安全威胁形势的变化以及层出不穷的安全事件，绿盟科技安全研究院发布上半年安全威胁态势报告。当企业和组织调整安全策略时，可以从中发现外部因素中 的关键点。安全威胁态势报告从背景、目标、手段和来源四个角度对威胁态势进行了分析，并得出了一系列观点。其中有的显而易见，有的则出人意料：
- 观点1：新增漏洞数量呈逐年上升趋势。
- 观点2：新增的高风险漏洞逐渐减少，而低风险漏洞则明显增加。
- 观点3： “获取用户权限”、“拒绝服务攻击”及“信息泄露”类漏洞占多数。
- 观点4：“注入”和“跨站脚本”类漏洞逐步减少，“失效的身份认证和会话管理” 以及“安全配置错误”不断增加。
- 观点5：IPv6漏洞不容忽视，半数以上可用于DDoS。
- 观点6：WEB应用中同样存在主机漏洞，特别是“远程信息泄露”。
- 观点7：WEB站点遭入侵后，仅有四分之一会在一年内进行修补，超过六成未进行修补且被再次入侵。
- 观点8：中国境内近一半DDoS攻击的受害者位于北上广地区。
- 观点9：大部分DDoS攻击将目标锁定在互联网与运营商企业。
- 观点10：DDoS攻击不一定来自外部。
- 观点11：消耗业务服务器连接仍然是最主要的DDOS攻击类型。
- 观点12：Syn Flood攻击依旧是DDoS攻击的主流方法，其次是Http Get。
- 观点13：恶意URL主要位于中国和美国，中国的北京和广东是高发地区。
- 观点14：恶意代码中木马类占总数的八成以上。
欲知更多观点与内容，可参阅：绿盟科技安全威胁态势报告2012H1。
转贴一篇我的同事田民的文章，此文发表于今年第一季度的技术内刊。田民同学很有可能是国内第一个CCSK，感兴趣考试CCSK的同学们，可以和他联系取取经。:)
摘要：在众多CSA已发布的研究文献中，《云安全指南》无疑是其中最具影响力的。在当前尚无一个被业界广泛认可和普遍遵从的国际性云安全标准的形势下，《云安全指南》高屋建瓴而又不乏具体的策略和实施建议，是一份不可多得的参考文献。本文从发展历程、文档结构、思路以及侧重点等方面概括性的对《云安全指南》进行了分析和探讨。
关键词：
CSA 云安全 风险分析 合规 监管和治理
概述
云安全联盟（CSA，Cloud Security Alliance）迄今已发布了一系列的安全研究报告。《云安全指南》无疑是其中最具影响力的。
《云安全指南》全称《云计算关键领域的安全指南》（Security Guidance for Critical Areas of Focus in Cloud Computing ）。在2009年12月17日，CSA发布了《云安全指南v2.1》。2年后，CSA于2011年11月14日发布了《云安全指南v3.0》。两个版本均可以从CSA的网站上免费下载，其中，v2.1有中文版本。
《云安全指南》关注于与云计算安全相关的、可以被评估和审计的安全需求及其建议，不涉及强制性法律责任（statutory obligation），这决定了《云安全指南》归根到底是一个研究性文档，或者说是一份白皮书，而不是安全标准，更不是法律法规。事实上，迄今为止，尚无一个被业界广泛认可和普遍遵从的国际性的云安全标准，而涉及云计算安全的法律法规更是全球性的缺失。
笔者认为，CSA不是一个单纯阐述技术的文档。在CSA云安全指南中，有相当多的篇幅讲述的并非技术，而是与监管相关，涉及法律、合规、安全管理、SLA等诸多非技术性领域。因此，《云安全指南》的读者范围很广，包括企业的高管（C-level）,云计算服务的消费者（consumer）和云计算的实施者（implementer），涵盖了云安全的战略和战术方面的诸多内容，高屋建瓴而又不乏具体的策略和实施建议。 Read more…
2012年1月，绿盟科技研究院发布2011年的安全回顾与展望年度报告，报告中总结了过去一年的安全热点事件和攻防态势。以下是报告的摘要：
2011年的安全格局看似杂乱无章，从宏观观之，则又井然有序。
攻击者的目标逐渐聚焦在两个方面：实施破坏和窃取信息。前者又逐步演化为两种趋势，针对网络空间的应用和服务使用分布式拒绝服务攻击（DDoS），针对物理世界的关键信息基础设施（CII）则采用高级持续威胁（APT）攻击。本文从DDoS的发展和趋势，针对关键基础设施的APT攻击以及利益驱动的数据泄漏三方面进行回顾和分析。
近年来DDoS攻击的规模持续增加，其复杂度不断提高，而发动攻击的代价或难度则越来越低，攻击的动机也逐渐以经济利益为主。造成这种现象的原因在于政府治理的缺失和技术发展的局限。关键基础设施防护和工业控制系统安全成为各国政府的防范重点已经多年，但是面对APT攻击任何保证似乎显得都有些无力。一方面，工业控制系统的安全性在体系、管理、运维及研究等方面均亟需完善；另一方面，对APT的防护也需要各国政府、科研机构、应用厂商和防范主体的多层次合作。从一系列相关事件中可以看出，攻击者的目标选择、协作组织和影响范围均体现出明显的系统性趋势。
本年度数据泄漏事件在国内外均层出不穷，影响越来越大。数据泄漏基本上可以分为窃密、泄密和失密三种类型，而在数据的存储、传输和使用阶段则分别存在不同的泄露方式。数据泄漏涉及信息系统的几乎所有组成部分，而市场上可得的数据泄漏保护（DLP）技术只能提供防护工作所需能力的一个子集。只有在Web应用、数据库、网络和主机系统、桌面等各方面，结合技术和管理，充分利用专业安全提供商的各种资源，多方努力，才能高效地做好数据安全防护工作。
2012年的信息安全发展会同时体现在不同层面：伴随新技术产生的安全热点、新应用带来的安全关切、新模式引发的行业变革都将对安全领域产生重大影响。此外，云安全和安全的智能化趋势，以及由此引发的“下一代安全”思潮也值得关注。
未来的一年依然将是多事之秋，行业和每个从业者都将同时面对机遇与挑战。
关键词：分布式拒绝服务攻击DDoS，关键信息基础设施CII，工业控制系统SCADA，高级持续威胁ATP，数据泄漏保护DLP
点击下载2011年安全回顾与展望
做一个广告： RSA大会中国2012将在美丽的成都举行，8月28-29日，会议地点位于成都世纪城新国际会议中心（ 中国四川省成都市高新区世纪城路88号），感兴趣准备参会的同学们要去报名了…
【注】下面内容是在一个研讨会上的发言，务虚的，报告了自己在检测APT、防护下一代威胁等方面的思考。对于报告相关的PPT感兴趣的同学可以和我联系。
最近一段时间以来，网络上出现了各种各样的攻击，有一些给了大家非常大的震动，觉得它已经超出了我们以前企业安全防护的范畴，大家都把它归结到APT这个词上来，或者叫定向攻击，在一些媒体的报道中或者一些技术报告里面，通常会把这种攻击分成几个步骤，几个环节，能够突破边界渗透进去，然后逐步扩大权限，收集数据，拿到“情报”，最后达成目的，这就是我们今天所探讨的APT。
在这种以APT为代表的“下一代”威胁面前，我们目前这些安全设备在防护方面，或者说安全防护体系实际的实践中非常吃力。包括传统的防火墙、IPS，以及反病毒体系都难以应对。
- 对于传统的防火墙：业务越来越复杂，新应用太多，用户位置多变，终端BYOD多样化并且很难规范化，表现在：1，端口失效 – > Applications ,2，IP地址失效 -> Users ,3，数据包层面的检查失效 -> Content。
- 对于IPS：攻击变化太快，现有的黑名单机制总是更新不及时，更加先进的恶意软件、0day漏洞和目标性极强的APT攻击等。
- 而对于反病毒体系来说，病毒样本不胜其多，反病毒程序消耗计算机资源不胜其负，病毒样本库更新太慢“特征”匹配很容易被“躲避”。
Read more…
【内容摘要】此文写于2012.03.26，2012年的RSA大会之后，从安全事件和APT攻击、智能驱动的下一代安全、大数据等三个视角回顾了会议传递的信息，对会议中的热点话题和相关技术进行了讨论，并列举了若干支持性的数据和资料。
关键词：RSA会议，APT攻击，安全智能，大数据， BDA
0 前言
2012年2月25日，一年一度的 RSA大会在旧金山Moscone会议中心如期举行。从影响力和规模等意义上说，为期一周的RSA大会都是安全业界首屈一指的活动。一般由三部分组成：其一是产品和技术展览会，每年都有数百家安全业界的公司、社区组织、教育和政府机构等参加，在经济复苏的大背景下，今年的会议参展单位又有大量增加；其二是各种各样的主旨演讲和技术报告会，从周二持续到周五，通常报告会分为多个主题（Track），例如今年的大会主题包括云安全、加密、数据安全、治理风险合规性、黑客和威胁等等；第三个部分是周一下午的创新沙盒活动，这个活动虽然历史较新，但非常引人注目，微型小型的创新公司带着自己的创意和新作通过会议前的海选进入大会，在这个舞台上有很大的机会得到投资人和用户的青睐，从而一跃龙门。
之所以今年的RSA大会特别引人瞩目，其中很重要的原因是过去的一年中发生的一系列的重大安全事件，包括RSA自己也没能幸免，而被愈演愈烈的安全攻击攻陷。何去何从？很多人都将目光聚焦在作为业界重要风向标的RSA 2012 . 本文选择了安全事件和APT攻击、智能驱动的下一代安全、大数据等三个视角来回顾RSA 2012大会传递的信息。值得注意的是，本文没有展开讨论移动互联网安全和自带设备（BYOD）、云计算和虚拟化的安全等，它们同样是RSA 2012的热点话题，笔者期待业界同仁的更多分析回顾和分享。
1 安全事件和APT攻击
在某种程度上可以说，2012年的RSA大会发生在一个“动荡”的2011年之后。这个“动荡”是指网络安全事件频发，很多事件对业界产生了深远影响，参见下图[1]，
2011安全事件图解
图1：2011安全事件图解
图中横轴表示攻击目标的影响力大小；纵轴表示攻击者组织协作的程度。安全事件用圆形区域表示，其中大小表示事件实际影响的范围，颜色的种类表示事件的类型，深浅表示事件的单位损失（损失和范围的比值）
从Aurora和Stuxnet开始，APT成了业界炙手可热的一个焦点，也谋杀了这次RSA大会的很多笔墨和目光。
按照公开的报道，RSA公司在2011年遭到了APT攻击，攻击者综合利用了钓鱼邮件、远程控制工具、内网渗透和提权、数据外泄等多种手段。虽然从范围上看，RSA安全事件没有大型互联网拒绝服务攻击那么大，但是影响却很大，很深，由于此事件的证书泄漏而导致的RSA用户的被渗透攻击可能永远也无法得到一个公开的评估。
这个安全事件给会议的主办方RSA公司带来了很大的压力，其CEO在会议开幕的第一个主旨演讲中使用“If you are going through the hell, keep going”来形容RSA自身和业界的处境 – 痛苦但需要快速前行。 Read more…
帮朋友做个广告，有朋友感兴趣分享自己云计算安全的研究成果吗？请关注TSCloud 2012。
The 2nd IEEE International Symposium on Trust and Security in Cloud Computing (TSCloud 2012) to be held in Liverpool, England, UK, 25-27 June 2012
http://tscloud.org/tscloud2012/
Sponsored by IEEE, IEEE Computer Society and IEEE Technical Committee of Scalable Computing (TCSC)
INTRODUCTION
=============
Following the success of IEEE TSCloud 2011, the IEEE TSCloud 2012 Symposium brings together researchers with an interest in theoretical foundations and practical approaches to trust and security in cloud computing. The emphasis is on high-impact, novel/adopted theories and paradigms that address mathematical and logical underpinnings in trust and security in cloud computing, e.g. encryption, obfuscation, virtualisation security, governance, accountability, etc. Read more…
注：前些时候接受了一个《计算机产品与流通》杂志的采访，采访后报道的题目定为“迎来一场速度之战”，转贴如下。请各位朋友指正。原文链接： http://www.spn.com.cn/post/t-1_t2-8_nid-409697.html
要谈安全市场的发展趋势，就必须回顾国内安全市场的发展历史。一个业界共识是，中国的安全市场发展大约从2000年起步，至今历经11年，这个过程中主要经历了四个发展时期。
既2000年前的导入期，安全专注于防火墙和防病毒隔离；2000年至2003年是第二阶段，开始重视PDR模型（即Protection（保护）、etection（检测）、Response（响应）是入侵检测的一种模型），防火墙、反病毒、入侵检测和漏洞评估、安全服务成为市场主导；2004年至009年是第三阶段，关注点从简单的防止攻击和入侵，发展到应用和数据安全开始重视安全运维和流程，内部控制安全体系从”老三样（防火墙、防病毒、入侵检测和漏洞评估）”发展到基于AAAA的综合防御体系。而在2009年之后，安全市场进入第四个阶段，随着云计算的发展以及相关的安全需求，跨入云安全时代。
由此可见，目前正处于安全市场发展的第四阶段，在这一阶段，大量的安全威胁层出不穷，各种攻击已经带有明显的逐利特征，安全的防护已经扩展为云端、网络层、客户端三层体系，安全从过去的单向静态防护正在向双向的动态的防护转变，这些特征将在2012年有更加明显的显现。
这种形势下，对于安全厂商而言，就提出了新的要求，即如何在替客户节省成本的同时，更快速的做出安全防护响应，这里面既包含了厂商对于威胁信息的快速获取能力，又包含了厂商对这些信息做出快速应对的能力。安全厂商之间竞争正在成为一场反应速度的比拼。除了在技术上的投入之外，安全厂商要想获得更快速的响应能力，还必须具备以下几个因素，即企业要有勇于创新，充满热情的文化底蕴；其次要具备一定的规模；最后，安全厂商要有更开放的心态、体系、和合作模式，在安全领域内与第三方形成专业分工和合理的利益分配。这些都将成为2012年安全厂商打造核心竞争力的关键。
这篇文章发在绿盟科技技术内刊的2011年9月，总第14期上。主要总结了对安全业界当前实践的三个观察，提出了下一代安全体系的可能发生的三个变革 – 更加智能、面向服务、行业精细分工。应该看到，这些思考还是粗糙的，不成系统的，在逻辑上也不完整，仅供大家讨论参考。这一期技术的下载地址是： http://www.nsfocus.com/images/6_about/journal/6_10_014_j.pdf
1前言
坦白说，写本文的主要目的是反思，反思的目的是探讨和研究潜在可行的变革和创新。
虽然网络安全作为一个产业已经走过了十几年的历程，但是，应该看到网络安全产业界还处于一个相当不成熟的初步阶段，作为行业里的一个老兵，这样说内心里很不舒服也不情愿。对于行业实践中的这些“不成熟”笔者在前文“网络安全发展的战略回顾”[ZL1][ZL2]中已有不少列举，举例说：
• 网络安全相当程度上依赖于基于IP五元组之上的边界防护模型，明显落后于互联网和IT应用技术的发展
• 产业界尚未形成相对成规模的产业内分工，大多数用户和提供者处于低于规模水平的运作状态。
• 产业界的大部分维护建设工作由人工完成，自动化程度很低。
• 网络安全设备种类繁杂，之间缺少有效的集成和互动，智能化水平很低。
• 保护对象的业界缺少相对完备和公认的方法工具等评价安全投入的产出价值。
• 等等
所谓“下一代”是一个很模糊的词，本身并没有确切的时间段来区分，有点和稀泥的意味。“战略回顾”一文中描述了过去十多年时间里0.1、1.0、2.0三个时代各自的特征，也尝试着提出了Security NG的一些猜想。本文的“下一代”在“战略回顾”一文基础上，尝试将“下一代”更加具体化，与业界的实践建立更多的联系。
本文后面三节分别拣选了三个方面探讨当前安全实践中可能存在的“问题”。第2节将分析当前安全实践中基于IP五元组的“城堡”防护模型，第3节将分析以硬件盒子为主的安全产品形态方面的问题，第4节将分析安全产业在分工和互信、互动方面的问题。同时，在每个小节也提出了相应的下一代安全体系的可能特征。 Read more…
[Note] This paper was submitted to the 2nd Cyber Security Summit @London at June 1-2. A novel idea was explored to touch the critical concern surrounding ICT supply chain threats. You are welcome to download it and share your comments with the authors. Here are some comments at the web, thanks to Jart.
Abstract — Information Communication Technology, which has been more and more critical in the modern economy and society , means more than information technology and traditional telecommunications. The integrity of ICT supply chain has slightly different meaning than the traditional security and assurance. Partly for the sake of difficulties to technically testify the increasingly complicated modern ICT products, it’s by no means to figure out an end to end integrity assurance program and methodology, letting alone test cost and timing factors.
This paper investigates the threats of ICT supply chain integrity, particularly covert channel. An architectural approach, named as Architectural Solution Integration, is given out to assure the integrity of ICT system and contain the potential threats through supply chains. The quantitative assessment of ICT supply chain integrity is discussed as well, followed by the future work analysis.
Key Words — ICT Supply Chain Integrity；Assurance；Security；Covert Channel
Download the paper…
【注】好长时间没有更新了，在新浪微博上活动了一阵子，熟悉了一下新媒体 
. 想更新一下博客，又没有新的话题，只好把前面几个月一些老文章拿出来重贴一下。本文写于RSA2011之后，主要是为了完成绿盟技术内刊的任务。请各位朋友指正。
2010年安全回顾
摘要：Stuxnet、WikiLeaks、3Q大战影响深远，本文从这三件安全事件延伸开来，综合云计算和云安全、安全海量数据挖掘，以及虚拟世界安全等方面，对安全行业的前沿技术进行简述和讨论，这些方面看似无关却有千丝万缕的联系。2010年是充满动感和生机的一年！
关键词：2010, Stuxnet, Wikileaks, 3Q, 云安全, 虚拟世界安全, DDoS, CIIP Read more…
2010年12月13日，时值10年岁末，美国贸易委员会发布针对商业机构对用户隐私数据保护的白皮书，针对商业机构收集使用保护用户数据的过程中，如何保护用户隐私的问题，拿出了初步的指南意见。
该指南意见的使用范围非常广泛，适用于所有商业机构，只要它收集或收集过消费者数据，或有可能联系到某个特别消费者、计算机或其它设备的数据。基本上，所有的运营商、银行、证券公司、保险公司、学校、医院、超市、汽车4S店等，在当前打着各种提高客户满意度、加强CRM管理的旗号下进行的各种商业促销行为，肯定都在此使用范围内。
下面是该白皮书的几点主要内容：
- 商业机构应该切实提高保护用户隐私的相关实践，包括数据安全、收集限度、数据保留制度以及数据精确度等。这些实践应该融于各种应用设计、开发甚至整个生命周期。
- 商业机构应该简化在收集用户数据时给用户的选择，以便用户作出快速清楚的选择。
- 商业机构关于尊重隐私等声明和提示应该更加清楚、简短、标准化，保证用户更好的理解，以及横向对比隐私保护实践。
- 在商业结构打算以收集数据时隐私条款上不同的方式使用数据前，必须向用户提供非常显式的提示并获得用户明确的确认。
- 所有相关各方应该就商业数据隐私保护实践尽力教育消费者。
考虑到我们刚刚发生的3Q大战、大家天天收到的令人恼火的“骚扰”“广告”电话，期待我国的用户隐私数据保护立法行动。
This post is based on a presentation at China-US bilateral meeting on cloud security which was hosted by CNITSEC and ITI. Although most of slides have been shared before, however, I tried to make them updated to the latest progresses at Software Defined Networking, Software Defined Security and APT, etc. You are welcome to share your comments and viewpoints.
Recent Comments