支付宝、携程瘫痪 敲响网络安全警钟

点击：  作者：    来源：宣讲家  发布时间:2015-06-07 08:20:45

 

　　导读：继支付宝5月27日被一个农民工大哥的锄头打败之后，5月28日，携程也“挂”了。眼下，如果携程等互联网企业继续漠视网络安全，那么更多的互联网企业将会被“干掉”，自食苦果，没有人会给予同情。对网络安全的漠视，已经成为悬在国内一些互联网企业头上一把随时会落下的利剑。

 

　　【事件介绍】

 

 

　　支付宝、携程瘫痪 互联网行业如何应对突发事件

 

　　继5月27日傍晚支付宝因“光纤被挖断”大规模服务中断之后，携程网也因故障“瘫痪”。截至28日下午17时，携程网故障仍未完全修复。坐拥数亿用户的大型互联网公司、移动支付企业为何接连发生故障？又如何提升应对“突发事件”能力，保障用户使用安全？对正在兴起的“互联网＋”会有什么样的警示？

 

　　27日，由于市政施工，杭州市萧山区某地光缆被挖断，进而导致支付宝一个主要机房受影响，随后全国部分用户约2小时无法使用支付宝。28日，中国最大的在线旅游网站携程也遭到不明攻击，导致网站和客户端无法登录。

 

　　支付宝不仅是中国最大的第三方支付平台，也是中国最大的货币基金的网络入口，还是很多城市水电煤气的缴费终端。有支付宝用户告诉笔者，自己已很少用现金，工资一发下来就放在余额宝里，支付宝一出问题，生怕钱丢了。

 

　　据中国支付清算协会21日发布的《中国支付清算行业运行报告（2015）》显示，2014年，支付机构共处理超过215亿笔互联网支付业务，金额超过17万亿元，同比分别增长43.52%和90.29%。

 

　　在这样的情况下，一根光缆就“绊倒”了支付宝，这也表明互联网金融的安全确实要高度重视了。以技术见长的互联网公司很少因为系统问题宕机，却多次由于硬件问题影响服务。就在支付宝“挂掉”的同时，网易公司也通过微博公告：“因杭州市萧山区某地光纤被挖断，造成目前少部分用户无法使用网易LOFTER，技术人员正在抢修中。”

 

　　据了解，2013年7月，由于上海一条光缆被挖断，导致微信在很多地区无法正常使用长达7小时。2014年10月，微信还因为上海机房出现故障，导致全国大面积故障2小时。与资金、交易直接相关，支付宝、携程的相继“瘫痪”，引发用户对账户资金安全的担忧。与传统金融机构出现故障相比，互联网企业出现信息系统故障的扩散面往往要大得多。28日中午，因携程旅行网出现故障，一些用户反映，预定成功的酒店没有保存地址和名字，APP、网站均打不开。

 

　　业内人士表示，服务中断通常会导致交易失败，资金并不会凭空消失。不过这种少见的大范围服务瘫痪仍然引起了用户担忧。支付宝方面称，对于27日晚间的故障，目前尚未接到用户由于这次故障引发的资金损失索赔。

 

　　作为动辄拥有上亿、甚至数亿用户的互联网企业，遇到信息系统故障通常如何应对？据网络安全技术专家介绍，目前，不少普通的互联网企业并没有灾难备份，但如果涉及支付、资金交易等业务，往往有灾备，只是备用的数据中心平常并不启用或很少启用，即“冷备”。安全级别高的企业通常采用异地“热备”，再高一级就是不同的城市多个数据中心同时“备”，也就是业内常说的“异地多活”。

 

　　金融业的信息系统标准一直有明确的监管要求，而且严于其他行业。我国金融行业标准中的《银行业信息系统灾难恢复管理规范》对灾难分级、恢复时间有详细规定。中国银监会印发的《商业银行数据中心监管指引》也已经明确，总资产规模1000亿元人民币以上且跨省设立分支机构的法人商业银行，以及省级农村信用联合社，应设立异地模式灾备中心。据了解，作为第三方支付机构，支付宝也已经完成了异地灾备。

 

　　除了系统级的安全提升之外，部分互联网金融企业正试图通过给用户买资金险、账号险的方式加强安全保障，如果最终仍然发生资金损失，通过保险理赔来加固用户权益是一条可取的途径。

 

　　一家云计算公司表示，通过云计算技术可以低成本地实现多个数据备份及快速恢复，并进行更严格的云上权限管理。如果没有完善的数据可靠性机制保障和安全防御能力，对互联网公司而言恐怕意味着致命性打击。

 

       携程瘫痪映射出的企业数据管理乱象

 

　　携程故障现在已经发生了4个小时，依然未见恢复迹象，这是继前不久网易全服务趴下，到昨天支付宝光纤被挖掘机挖断，中国的互联网企业巨头被各类安全事件挖得体无完肤，深其原因，还是因为国内企业对安全问题的漠视，大家都忙于业务、忙于竞争，所有的资源都投入到一线业务中去了。

 

　　特别企业数据的管理和保护这个领域，一旦出现问题，造成的损失无法弥补，这和国人的观念不无关系，就像买保险一样，大家都抱着侥幸心理，万分之一的几率，但是万一发生了呢？有一个数据可以例证，到微博上搜索一下备份，上面有近1亿条用户记录痛哭流涕的抱怨自己没有及时备份个人数据而终身遗憾，或遗憾终身！

 

　　今天携程事件，据说是内部人为删除了所有的数据，包括服务器的根目录数据，相信备份肯定有，毕竟是上市企业，有严格的审计过程，数据如何管理、如何备份和恢复、涉及到哪些流程、有没有权限管理，应该都有四大会计所来做审核。我的一个朋友，当初在1号店负责运维时，因为1号店被沃尔玛收购，作为上市企业的关联交易公司，当时沃尔玛派KPMG来做详细的审计，核心岗位和管理层都被做了访谈，并出具了详细的操作流程，他亲自参与这个过程，审计是做了，但在执行人心中是非常没有底气的。这位朋友之前呆过的几个大的互联网公司都有做数据管理流程和备份恢复服务，但是因为这些安全业务比较边缘，所以在整个公司关注程度很低，并没有落到实处。

 

　　所有的公司都有做数据管理和备份，无论是小微企业老板自己手动用U盘或者硬盘拷贝、还是大的互联网公司有专门的运维人员专项负责、传统的中大型企业用专业的软硬件工具，关键是99%的公司都没有做数据管理流程、备份和恢复的演练，恢复的数据到底可不可用，如何快速的恢复等操作演练。

 

　　再来看看欧美环境，再小的一家公司，都有专业的数据管理软件或者专业的IT维护人员，他们极其重视数据，视数据为企业生命，所以在欧美，做数据管理和保护的IT公司不下500家，像IBM、HP、Dell、EMC、赛门铁克、康沃、飞康、爱恩铁山、CA、carbonite这些老牌的上市公司，还有很多新型的互联网创业公司，如Datto、code42、durva、Rubrik等企业。而中国该领域企业少之可怜，国内的IT软件公司绝大部分是代理欧美产品，极少数是自己维护开发，无法保证专业性。

 

　　有消息称，此次攻击直接导致了携程网站的数据库被删除。接连发生在互联网巨头身上的灾难，让我们再次看到了数据备份的重要性。安全是细活，但安全更是无绝对的，无论工作做得多细，团队的技术实力多牛，都无法做到绝对安全。数据备份作为数据安全的最后一道防线，可以有效杜绝人为原因和技术原因造成的数据丢失。通过数据备份的分布式管理，将代码、数据库、文件等进行异地容灾保护，加上有效的集中管理平台，就可以在数据发生损坏或丢失时自动进行恢复。

 

　　目前，国内在企业数据管理和保护该领域企业只有多备份等少数几家公司，究其原因，数据管理要做得非常专业实属不易，该领域属于基础技术领域，要与各类操作系统、硬件平台、文件系统、网络和安全领域交互，比如分块、去重、压缩、上传下载、增量、加密、索引、存储分层、海量小文件、备份和恢复时间窗口、集中管控等综合技术难点。传统的IT企业不愿意做基础研发、还靠代理或者买单机版软件垂死挣扎。

 

 

       携程瘫痪“自杀”还是“他杀”？

 

　　在支付宝断网事件还未平息之时，老牌OTA携程又摊上了大事。28日上午11时左右，携程旅行网官方网站突然陷入瘫痪，打开主页后点击时均显示“Service Unavailable”，而百度搜索上的携程官方页面也显示404错误。据称，携程旅行网所有数据库被物理删除。有业内人士估计，携程官网每瘫痪一小时的损失在上百万美元。

 

　　这是携程一年来爆发的第二次安全事件。2014年3月份，携程安全支付日志在多处网站可随意下载，导致大量用户银行卡信息泄露（包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin）。另据《法制晚报》微博透露，5月25日曾有人在乌云平台公布了一个有关携程服务器的部署漏洞，结果该信息被携程官方无情地忽略。

 

　　2014年的信息泄露事件给携程敲响了警钟，但是，经历了一次信息泄露事故的携程，显然没有意识到信息安全的重要性。从这一角度来看，携程数据库被全部干掉，凶手不是别人，而是自己，这是典型的自杀行为。折射出携程在技术管理方面存在的重大安全隐患。

 

　　按照国际技术安全标准，携程旅行网的全部数据必须实时备份，并且要有多套数据备份方案和存储方式。此外，国外的安全机构，还会定期对企业数据备份和恢复进行演练。再看国内的互联网企业，数据备份和恢复演练，不过是写在纸上的摆设，罕有企业按照这一流程去执行。

 

　　截至28日晚，近10个小时过去了，携程数据还未恢复。尽管携程在新浪微博表示数据正在恢复中，但很多资深技术大牛在论坛中纷纷表示，如此长的时间还没有恢复服务，可能有两个原因：一是数据库根本没有备份；二是数据库恢复过程中出现了不可预见的问题。

 

　　据接近携程网的技术人士称，作为美国上市企业的携程，数据库没备份的几率很小，数据库恢复受阻的可能性最大。数个小时未能恢复数据，反映出携程技术人员过于羸弱的技术水平，而这也反映出携程管理层对技术团队忽视的悲哀。其实，携程对安全的漠视酿成大祸，已经成为国内互联网企业的一个通病。最近两个月的时间，先是网易服务器宕机，而后是支付宝因光纤被挖断爆发大面积故障，随后是携程网数据库全部被删除。此前，微信和QQ也先后出现了断网事件。

 

　　眼下，如果携程等互联网企业继续漠视网络安全，那么更多的互联网企业将会被“干掉”，自食苦果，没有人会给予同情。对网络安全的漠视，已经成为悬在国内一些互联网企业头上一把随时会落下的利剑。

 

       【启示与思考】

 

　　不是第一次发作，其在几年前出现的营运事故再次被挖出。不管是支付宝前车之鉴，还是携程网之前的事故，都鲜明地指向了一个极为现实的问题，“互联网+安全”何时能到来？

 

　　针对携程网目前出现的断网风波，有技术兼分析家指出，携程网可能面临着黑客攻击、内部员工报复等诸多可能。又有网民戏谑称，“不会又被挖断网了吧？”特别是分析家所指出的，怕就怕内部员工的报复或工作失误，那样的话，携程网拥有的数据信息将不可逆的难以修复了。

 

　　携程网借助互联网技术而兴起，方便了一大批出行人员，但互联网恰恰就是一把双刃剑，互联网在技术漏洞、人员管理、数据备份等某一个环节稍有闪失，就会出现全盘皆输的局面。特别是前几天刚发生的支付宝断网风波，显然没有给携程网管理层提个醒，反倒可能给与携程网“有仇”的人员一个不小的提醒。早在前几年，就有技术人员指出了携程网存在着技术不足，很容易被黑客攻击，不知面对专家的提醒，这个“牢”携程网补了没有？或者补得彻底不彻底？网友“#星座控”感慨“当前不愧是几年一遇的水逆期啊！”恰恰指出了当前“互联网+”背后，正是或大或小的漏洞，这与“互联网+”前面看似风光的前途相对照，给人足够的反思完善空间。

 

　　“互联网+”战略提出后，包括支付宝、携程网在内的众多电商会摩拳擦掌扩大电商战果，但再大的地盘，倘若缺少安全这个基础，也可能会在不特定风波之后轰然倒塌或者大伤元气。因此，携程网断网风波也好，支付宝断网也好，或者再往前说网易、陌陌被攻击等等，都是“互联网+”战略布局中的前车之鉴，只有吃一堑长一智，夯实“互联网+”的安全基础，“互联网+”战略才会名副其实、前途光明。