“攻防演练”遭遇秒破，“后XP”时代谁能护航？

　　微软的ＸＰ操作系统４月８日即将退役，腾讯、３６０、金山等国内安全厂商争相推出防护产品，为ＸＰ保驾护航。然而，这些防护产品能否抗住黑客们“真枪实弹”的攻击？一场由民间安全厂商发起的攻防较量５日上演，来自四面八方的黑客从网上发起攻击。部分防护产品几分钟内便被攻破，凸显出我国“后ＸＰ”时代安全防护的严峻态势。

　　 黑客群攻ＸＰ防护，部分产品被秒破

　　 ４月８日，微软公司将正式对Ｗｉｎｄｏｗｓ　ＸＰ操作系统停止服务支持。“后ＸＰ”时代的信息安全谁来保护？已经有多家国内安全厂商推出了防护软件，但究竟是骡子是马，还要拉出来遛遛。

　　 据主办方介绍，此次挑战赛以Ｗｉｎｄｏｗｓ　ＸＰ　ＳＰ３无补丁环境作为目标机，模拟微软停止服务后漏洞百出的ＸＰ系统，防护产品选择腾讯、３６０、金山宣称可以保护ＸＰ的三款安全软件，以此考验安全软件能否抵挡黑客攻击，保护好目标机上的重要文件。攻破任意一款防护产品保护的目标机，前十名可获得３０００元至５万元不等的奖金。

　　 ４月５日８时，网络安全攻击赛“ＸＰ挑战赛”正式开赛。以往“神龙见首不见尾”的黑客各就各位，比赛一“开闸”，近百名黑客瞬间发起攻击。

　　 ５７秒，腾讯电脑管家（ＸＰ专属版本）被攻破。

　　 １分５３秒，金山毒霸（ＸＰ防护盾）被攻破。

　　 １０分钟过去了，已有８人攻克腾讯、６人攻克金山。

　　 截至记者５日晚发稿时，３６０的防护软件尚未被攻破。

　　 对此，３６０首席隐私官谭晓生表示，不管是多高安全级别的系统，如果把时间设定为无限长，那么这个系统迟早会被攻破。“３６０ＸＰ盾甲”是４日刚出来的新版本，而攻擂者只有２０个小时对其做研究，所以挑战成功的难度比较高。

　　 有趣的是，不仅有黑客演练对三家防护产品的攻击，更有一些黑客直接对此次比赛平台发起ＤＤｏｓ攻击，导致官网出现错误。

　　 雷声大雨点小，现实防护更不堪？

　　 网络安全领域业内人士表示，此次竞赛环境增加了诸多限制，用户实际使用的过程中是不存在这些约束的，安全问题可能会更突出。仅在比赛中，三款防护产品就有两款都未能撑过３分钟，反映出我国互联网安全产品技术上仍存在很大改进空间。

　　 南京翰海源信息技术有限公司创始人方兴分析指出，比赛环境和真实环境是差别很大的。比赛的挑战平台中充当靶作用的目标机规定不允许访问外网，这与用户的实际使用情况并不相符。

　　 专家认为，此次的场景仍待改进，需放在实用环境里进行演练。“为攻防而设，不符合实用环境。”需做更接近实际应用环境的“靶场”。

　　 北京邮电大学互联网治理与法律研究中心主任李欲晓对胜负则看得很淡。他认为，无论是否被攻破，敢拿出来练就是好汉，中国ＩＴ界必须有心、有胆、有为。

　　 业内人士表示，期待更加客观、真实、中立、准备充分的测试，安全攻防的传播应该是一个持续科普的过程，结果不是第一，过程（包括制订游戏规则的过程）最重要，要相信本土厂商的能力。

　　 安全厂商“土著”崛起，人才掣肘成痛点

　　 率先推出杀毒免费的３６０被业界视为“搅局者”，打破了国内安全界的“一湖静水”，曾经盛极一时的卡巴斯基、赛门铁克纷纷被替代，其他一些安全厂商更是直接面临生存危机。

　　 与此同时，颠覆也带来格局的变化。以３６０为代表的本土派网络安全厂商逐渐羽翼丰满，连以即时通讯起家的腾讯、以搜索为主业的百度，也纷纷进军网络安全领域。尽管腾讯、百度进军安全领域被视为为自家产品构筑“护城河”，但３６０、腾讯、百度长久以来相互制衡、相互竞争激发出更多市场活力。

　　 ２０１３年微软发布的一份报告指出，中国是全世界恶意软件感染率最低的国家。

　　 本土安全厂商的崛起，是我国互联网产业从大到强必不可少的一部分。但是，安全人才缺乏的掣肘，已经让业内人士倍感焦灼。记者走访的多名国内网络安全人士都指出，国内对于网络安全一直倡导只学防御，即使是专业的信息安全人才，在学习过程中也只能学防、不能学攻，“只有攻防兼备，才能保卫网络安全。”

　　 方兴说，在攻击技术方面，国内仅有几名人士算得上世界前列，但缺乏产业环境，低端领域同质化竞争，而人才薪酬低、凋零很快，新一代的攻击型人才又青黄不接，十分遗憾。国内还有一些顶尖人才，被ＦｉｒｅＥｙｅ等安全厂商挖去美国。

　　 “类似的比赛应该持续搞下去，不能搞一次就拉倒。”国家安全应急技术工程实验室主任杜跃进呼声强烈。他说，从细节上看，此次大赛虽然有一些需要改进和完善的地方，但是总体上还是很好的，希望今后这样的比赛越来越多。今后，如果由第三方来办赛，或者有中立的第三方机构能发挥监督作用，那么比赛的公信力和权威性将会得到进一步提升。

　　 中国计算机学会信息安全专业委员会主任严明认为，这类网络攻防比赛的出现，是一个好的开始，将来如果能以攻促防、攻防互动，将会大大加速我国网络安全相关产业技术水平的提升。

　　 业内人士普遍表示，希望这次大赛能起到科普的作用，让难以接近、略显神秘的网络安全领域，逐步走向大众化。攻防演习应从企业、行业、产业等微观层面开始，逐渐形成良性互动的机制，推动国家层面安全水平的提升。