应对Win7停服安全风险 信创产业打响护航战

4月9日，由工业和信息化部网络安全产业发展中心、360集团联合主办的线上研讨会顺利召开，本次研讨会以“应对Win7停服安全风险，信创产业打响护航战”为主题，工业和信息化部网络安全产业发展中心总工程师童晓民出席会议并致辞。工业和信息化部网络安全产业发展中心副处长李佳伦、360集团首席安全官杜跃进、统信软件技术有限公司总经理刘闻欢、360集团Fellow兼安全工程研究院院长潘剑锋四位专家从不同维度分别做了专题讲解。

童晓民总工程师指出Win7停服事件已成为业内舆论焦点，国内学术界、产业界等多方积极应对，纷纷提出解决方案和策略，信创操作系统发展已步入不可错失的黄金窗口期。

抓住机遇 推动信创生态建设

微软宣布Win7停服后，将带来两个问题：新的应用没有底层支持；随着时间的推移，新软件、新版本无法在Win7系统上良好运行。

李佳伦强调：“这两个问题需要我们做好存量Win7终端安全保障工作的同时，制定操作系统更替方案。”

一方面，需要政府和行业介入，替代微软公司做好防护工作，包括加强对Win7系统漏洞、病毒的监控和研究；为党政军企甚至民间用户提供后续非官方补丁和应急方案；优化系统安全配置，进行信息安全的裁剪、做好基线配置、安全加固等。

另一方面，要想解决根本问题，需要制定替代方案，逐步淘汰Win7系统。主要包括两项内容：

1、加快业务适配，使信创系统满足更多行业和场景的业务需要，特别要对重点行业系统和重点领域系统进行适配，如金融、国防、交通、通信、能源行业等；

2、加大力度开展信创系统安全防护能力建设，需要构建安全标准，建立安全基线，开发信创系统配套的安全软件，使得信创系统具备应对复杂安全挑战的能力。

李佳伦认为，以操作系统为核心的新技术创新生态建设已有十年时间，因此，要抓住当前Win7替代的历史性机遇，进一步推动信创生态建设。

信创安全需要体系化设计

无论是2014年的WinXP停服，还是2020年的Win7停服，当供应商停止更新之后，大量用户系统将暴露在巨大未知漏洞攻击风险中。例如，Win7停服的第二天，就发现了针对Win70Day漏洞的APT攻击。

2014年，通过举办“XP挑战赛”，邀请尽可能多的安全人员对能提供安全服务能力的产品进行攻击测试，检验其防护能力。这也是Win7停服可以借鉴的模式。

同时，随着信创产业生态逐渐形成，操作系统、数据库等关键信创产品开始大范围推广应用。对于信创软硬件产品来说，以众测方式开展关键产品挑战赛，尽可能发挥更多人的力量寻找产品安全问题，可以推动信创软硬件产品的安全研究，使信创用户的系统和应用安全得以保障。

但是，杜跃进认为关键产品挑战赛只解决了信创部分产品安全性提升的某些问题。随着智能化、网络化、数字化时代的到来，无处不在的软件漏洞使得网络空间的各个角度都变得异常脆弱。同时，网络空间对抗日益军事化的国际形势和处于重建初期的信创产业状态，在我们对安全存在认识偏差、安全能力不足、缺乏实战和积累的情况下，信创产业将面临着前所未有的安全威胁。仅有单点的防护能力提升远远不够，信创安全需要体系化设计。

信创安全体系设计的核心目标是经得住实战考验，最基本的思想是：攻防视角、整体思维、统一调度、开放运营和能力驱动。

信创体系包括底层的CPU、固件和主板等硬件，也包括操作系统、中间件、各种应用软件、安全软件等，还包括最后的用户和用户承担的业务。由于软硬件系统漏洞必然存在，攻击一定会发生。信创安全体系最终保护的是重要的数据、业务安全，对软硬件产品的攻击只是手段而不是最终目标。因此，信创安全体系除了要解决软硬件产品的可信、漏洞管理与安全防护，还需要解决软硬件系统被攻击之后，如何保障核心业务与重要数据不受影响或将影响降至最小的问题。

从整体、对抗的角度，信创安全体系包括可信、安全、可控、可对抗和可存活五个层次的目标，简称为“两个减少、三个增强”。其中，“可信”是指减少信创体系中各元素“作假”的可能；“安全”是指减少信创软硬件产品的漏洞和安全缺陷；“可控”是指增强对安全攻击事件的应对控制能力；“可对抗”是指增强安全威胁溯源、取证、慑阻的能力；“可存活”是指增强核心业务的存活能力。

拿回信息技术领域主导权最好的机会

Win7停服后从技术角度有三条路径：继续保留Win7方案、考虑使用Win10系统以及替换信创体系操作系统。

刘闻欢谈到，其中替换信创操作系统的优势包括可长期服务，无断供风险；系统安全自主控制；没有流氓软件和弹窗广告，放心使用；支持利旧，现有设备仍可以使用，但也存在使用习惯有所变化，需要磨合以及通用应用领域生态存在差距等问题。

对用户来说，进行Win7到信创操作系统的迁移，不仅仅是通用应用的迁移，还面临业务系统的迁移。研讨会上，刘闻欢重点介绍了两种业务系统的迁移。

其一是目前大多数业务系统均采用的B/S架构，B/S架构业务迁移主要涉及B/S应用前端迁移，包括三个方面：页面迁移开发，主要解决浏览器页面兼容性问题；插件迁移开发，可能涉及到ActiveX控件问题；集成认证迁移开发，涉及USBKey登录、域认证等问题。

其二是部分采用C/S架构的业务客户端迁移，可先对原有应用程序开发技术分析，针对性制定迁移方案。比如支持跨平台的CS架构、基于Java开发的、甚至进行.net进行开发的部分客户端都可以在信创操作系统上重新编译后生存。另外可以通过“deepin-wine”应用兼容层技术，直接让Windows操作系统下的软件运行起来。当然，该场景下的迁移通常需要原业务系统开发厂商配合进行。

刘闻欢谈到，从微软平台向信创操作系统平台迁移，过去两年已有很多成功案例。现阶段替换主要有六个步骤：用户使用评估、执行迁移计划、进行技术准备、小范围试点、大规模推广、查缺补漏。

“长远来看，如果我们在这个阶段实现操作系统的替代，未来通过逐步淘汰方式，能够将X86架构替换成为信创CPU硬件平台的障碍将大大降低。”

他进一步解释，尽管中国信息产业也希望能建设一套自己的软硬件体系，但同时进行软硬件体系的更换，实际是两个生态的替换，难度非常大。可以先从基础软件、操作系统这个生态开始做相应的替换，之后再替换硬件，过程就会平滑很多。

“Win7停服之后的替代，是我们拿回信息技术领域主导权最好的机会，错过这个时间，我们可能还要再等10年。”

操作系统漏洞防护技术方案

操作系统漏洞是操作系统中最大的安全威胁，对0day漏洞攻击的发现和防护是网络空间安全战场最重要的决胜点之一。

潘剑锋在研讨会上介绍了Windows操作系统中二进制漏洞及其利用攻击的现状，包括漏洞的类型、成因和利用方法的概述。随后分析了现代操作系统为解决这些漏洞问题所设计使用的多种防护技术，包括CPU硬件提供的安全特性和操作系统利用硬件特性实现漏洞防护功能的方法、微软漏洞缓解机制EMET和WDEG的能力与缺失。

为解决停服后的Win7、最新win10在内的操作系统中的0day/nday漏洞威胁，潘剑锋提出了一套新的漏洞防护机制——全视之眼0day雷达系统，这套全新系统既可用于Windows，也可以应用于国产系统，这一产品在2019年世界互联网大会上获得领先科技成果。

这个产品的架构分为三大部分：ZDR漏洞防御的终端系统、多维沙箱、智能决策系统。它的设计理念是要分析各个阶段漏洞利用的原理，包括漏洞的触发、漏洞的利用，漏洞的扫尾，针对包括Win7在内的系统漏洞防御极其有效。

无疑，Win7操作系统的停服会使国内用户系统面临更高的安全风险，但这既是机遇也是挑战，面对困难和挑战，我们更应该勇往直前，化困难为机遇，团结一致，支持信息技术应用创新。