安全工信部通报阿里云，未及时上报重大漏洞，国资云建设刻不容缓

中科院云计算中心分布式存储联合实验室特讯： 近期，工信部网络安全管理局通报，暂停阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。此次事件源自阿里云发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患报告不及时， 再次为国家数据安全敲响警钟，国资云建设刻不容缓、势在必行。

近期，工业和信息化部网络安全管理局通报称，阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。

Apache Log4j 史上最大安全漏洞

先梳理一下阿帕奇严重安全漏洞的时间线：

11月24日

阿里云在阿帕奇（Apache）开放基金会下的开源日志组件Log4j2内，发现重大漏洞Log4Shell，然后向总部位于美国的阿帕奇软件基金会报告。

获得消息后，奥地利和新西兰官方计算机应急小组立即对这一漏洞进行预警。新西兰方面声称，该漏洞正在被“积极利用”，并且概念验证代码也已被发布。

12月9日

中国工信部收到有关网络安全专业机构报告，发现阿帕奇Log4j2组件存在严重安全漏洞，立即召集阿里云、网络安全企业、网络安全专业机构等开展研判，并向行业单位进行风险预警。

12月9日

阿帕奇官方发布紧急安全更新以修复远程代码执行漏洞，漏洞利用细节公开，但更新后的Apache Log4j2150-rc1版本被发现仍存在漏洞绕过。

12月10日

中国国家信息安全漏洞共享平台收录Apache Log4j2远程代码执行漏洞；阿帕奇官方再度发布log4j-2150-rc2版本修复漏洞。

12月10日

阿里云在官网公告披露，安全团队发现Apache Log4j2150-rc1版本存在漏洞绕过，要求用户及时更新版本，并向用户介绍该漏洞的具体背景及相应的修复方案。

12月14日

中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》，供相关单位、企业及个人参考。

12月22日

工信部通报，由于阿里云发现阿帕奇严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理，决定暂停该公司作为工信部网络安全威胁信息共享平台合作单位6个月。

在服务器的组件中，日志组件是应用程序中不可缺少的部分。而其中Apache（阿帕奇）的开源项目log4j是一个功能强大的日志组件，被广泛应用。

由于Apache Log4j存在递归解析功能，未取得身份认证的用户，可以从远程发送数据请求输入数据日志，轻松触发漏洞，最终在目标上执行任意代码。即 攻击者只要提交一段代码，就可以进入对方服务器，而且可以获得最高权限，控制对方服务器。通俗说，黑客通过这个普遍存在的漏洞，可以在服务器上做任何事。

有关报道显示，黑客在72小时内利用Log4j2漏洞，向全球发起了超过84万次的攻击。利用这个漏洞，攻击者几乎可以获得无限的权利——比如他们可以 提取敏感数据、将文件上传到服务器、删除数据、安装勒索软件、或进一步散播到其它服务器。

国外网友以漫画说明Log4j2的重要性

该漏洞CVSS评分达到了满分10分，IT 通信（互联网）、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、 游戏 公司、电商平台等都有被影响的风险。 比如苹果、亚马逊、Steam、推特、京东、腾讯、阿里、百度，网易、新浪以及特斯拉等全球大厂，悉数中招，众多媒体将这个漏洞形容成“史诗级”“核d级”漏洞，可以说相当贴切。

据工信部官网消息，今年9月1日，工业和信息化部网络安全威胁和漏洞信息共享平台正式上线运行。其中提到，根据《网络产品安全漏洞管理规定》，网络产品提供者应当及时向平台报送相关漏洞信息，鼓励漏洞收集平台和其他发现漏洞的组织或个人向平台报送漏洞信息。

此次事件中，作为我国云计算服务的头部供应商的阿里云，11月24日发现计算机史上最大的漏洞，是先向国外的Apache基金会报告，而未及时向主管部门报送漏洞信息。工信部得知情况，已经是12月9日，中间已经过了15天。这十五天，中国的互联网简直是在裸奔。这期间已经有黑客掌握了这个漏洞，在利用这个漏洞进行网络攻击。作为新基建重要一环的云计算平台，更加应以谨慎的心态承担起保障网络安全的责任。

国资云建设 安全自主可控为上

互联网时代，国家安全自然延伸到了网络。各个国家，都在想办法堵自己漏洞，找别人家的漏洞，甚至是隐藏的后门。同样的漏洞，那就是看谁率先掌握。国外的开源软件层出不穷的漏洞，隐没难寻的后门，应用于国家重要机构或事关 社会 民生的部门，其潜在危害难以估量。我们除了想方设法被动收集修复漏洞，还要大力发展和利用自主安全可控的技术，才能在互联网领域寻求战略平衡，保障国家安全。

所以说，阿里云的这次行动足以为戒，忽视国家各项数据安全法律法规，国家安全责任意识淡漠，将国家网络安全置于巨大的危机之中。试问这样的第三方云服务商，如何让国家机构、央企国企放心将数据业务托管？

风险就在那里，警告从未缺席。国资云以安全自主可控、平稳可靠运行为上，才能确保国家安全，尽到 社会 责任。第三方云服务商难以超越企业自身的稳健盈利，更不要说将国家安全、公共利益、亿万民众福祉放在首位。国资云的建设将第三方云服务商排除在外，是互联网竞争环境的使然，也是数据安全责任的担当，更是时代赋予的使命。

“国资云”建设 大势所趋

经过深入研究分析，北京交通大学信息管理理论与技术国际研究中心（ICIR）认为， “国资云”建设是大势所趋，原因主要有以下三方面：

一是“国资云”建设是国有资产管理的需要。国企数据资源属于国有资产，应纳入国资监管和统一管理，保护国有数据资产安全是建设国资云的核心目的；

二是“国资云”建设是保障国家重要数据安全的需要。近期，《关键信息基础设施安全保护条例》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》相继颁布实施，将数据安全提升到前所未有的高度，而国有企业的许多数据事关国家关键信息基础设施安全；

三是“国资云”建设是信创工程落地的重要抓手。在“国资云”数据中心逐步加大CPU、 *** 作系统、存储、数据库、中间件等国产信创产品比重，并鼓励国产信创业务系统与“国资云”数据中心基础设施适配应用，从基础到应用全方位推进信创工程步伐。

因此，“国资云”建设的重要意义在业界已达成高度共识。

国资云赋能云上安全 G-Cloud增强国企竞争力

国有企业是中国特色 社会 主义的重要物质基础和政治基础，是我们党执政兴国的重要支柱和依靠力量，国有企业不仅具有鲜明的政治属性，也具有强烈的经济属性和物质属性，坚定不移地将国有企业做强做大做优是党和人民对国有企业的基本要求。因此，国有企业更需要资产不断保值增值，规模不断发展壮大，盈利水平不断提高，这就要求国有企业必需使用最先进的生产工具，创造出最先进的生产力，保持在国际国内市场中的竞争力。

而云计算平台就是当前最先进的生产工具。云计算平台中除了计算、存储、网络、虚拟化等Iaas服务相对比较成熟外，在Paas、Saas层面的技术创新速度非常快，产品迭代周期不断缩短，不同的厂商提供的云平台服务在技术领先性、服务稳定性、用户覆盖面等方面具有非常大的差异。

在激烈的市场竞争中，企业选择了什么类型、什么厂商的云服务，在一定程度上意味着企业使用了什么工具和武器，在很大程度上决定了企业的生产效率、管理效率和市场效率，也就决定了企业的竞争力。

国资云赋能云上安全，打造排除第三方云服务商的行业专属私有云。 中科院云计算中心自主研发的G-Cloud云 *** 作系统，首要胜在安全。 其次G-Cloud在智慧城市、智慧医疗、智慧教育、智慧交通等领域的成功案例，将有助于充分激活国企强劲的竞争力、影响力、带动力。

2021年11月， 国资云平台中科云（东莞） 科技 有限公司正式成立，由中科院、东莞市政府等多方投资的上市企业国云 科技 控股，国资背景加持，官方认可，国内顶尖 科技 机构技术背书，使用国内首个自主产权、安全可控的G-Cloud云 *** 作系统，建设“国资云”， 赋能千行百业数字化转型升级，最大化优化国有资本布局，提高国有资本运营效能、产业互联和商业创新！

中科云凝聚服务政企信息化、数字化建设的核心团队， 联合产学研用各方力量，融合大数据、云计算、物联网等新一代信息技术，在政府、医疗、教育、交通、智能制造等多行业、多领域提供新型基础设施建设、数据分布式存储服务，助力国资国企规模和实力的持续增长，实现高质量发展。

在我们的日常生活中随处都有计算机视觉技术，从手机游戏机可以识别您的手势，可以自动将焦点放在人身上等。计算机视觉正在影响我们生活的许多领域。

事实上，计算机视觉在商业和国防中使用方面有悠久的历史。可以在各种光谱范围内感测光波的光学传感器被部署在许多应用中：如制造中的质量检测，环境管理的遥感或在战场上收集智能的高分辨率相机。这些传感器中的一些是静止的，而其它传感器连接到诸如卫星，无人机和车辆是在移动物体上。

在过去，许多计算机视觉应用程序仅限于某些封闭平台。当与IP连接技术相结合时，他们创建了一组新的应用程序计算机视觉，加上IP连接，高级数据分析和人工智能，将成为彼此的催化剂，从而在物联网(IoT)创新和应用方面带来革命性的飞跃。

推动计算机视觉的多领域的进步

视觉环境设计

视觉或视力是五种人类感觉中最发达的。我们每天都用它来识别我们的朋友，在我们的路上发现障碍，完成任务和学习新事物。我们通过我们的视觉来识别我们周围的环境。有路牌和信号灯帮助我们从一个地方到另一个地方。通过识别环境标识找到我们所要到达的地方。鉴于视觉的重要性，将其扩展到计算机和自动化系统，实现了视觉应用大飞跃。

什么是计算机视觉

计算机视觉从捕获和存储图像或一组图像的技术开始，然后将这些图像转换成可以进一步执行的信息。它由多种技术组合(图1)组成。计算机视觉工程是一个跨学科领域，需要在许多这些技术中跨职能和系统专长。

例如，Microsoft Kinect使用3D计算机图形算法来实现计算机视觉来分析和理解三维场景。它允许游戏开发人员将实时全身运动捕捉与人造3D环境进行合并。除了游戏，这在机器人，虚拟现实(VR)和增强现实(AR)应用等领域开辟了新的可能性。

传感器技术的进步也在传统摄像机传感器以外的许多层面迅速发展。 最近的一些例子包括：

•红外传感器和激光器结合起来感测深度和距离，这是自驾车和3D地图应用的关键推动因素之一

•非侵入式传感器，可跟踪医疗患者的生命体征，无需身体接触

•高频摄像机可以捕捉人眼不能察觉的微妙动作，以帮助运动员分析其步态

•超低功耗和低成本的视觉传感器，可长期部署在任何地方

图1由多个领域的进步驱动的计算机视觉

计算机视觉获得智能

早期应用

监控行业是图像处理技术和视频分析的早期采用者之一。视频分析是计算机视觉的一个特殊用例，重点是从小时的视频中找到模式。在现实情况下自动检测和识别预定义模式的能力代表了数百种用例的巨大市场机会。

第一个视频分析工具使用手工算法来识别图像和视频中的特定功能。它们在实验室设置和模拟环境中都是准确的。然而，当输入数据(如照明条件和摄像机视图)偏离设计假设时，性能迅速下降。

研究人员和工程师花费了多年的开发和调优算法，或者用新的方法来处理不同的条件。然而，使用这些算法的相机或录像机仍然不够稳健。尽管多年来取得了一些进步，但现实世界的糟糕表现限制了技术的有用性和应用。

深入学习突破

近年来，深度学习算法的出现激发了计算机视觉。深入学习使用人造神经网络(ANN)算法，模拟人脑神经元。

从2010年初开始，由图形处理单元(GPU)加速的计算机性能已经越来越强大，足以使研究人员实现复杂ANN的功能。此外，部分由视频站点和普遍的IoT设备驱动，研究人员拥有大量不同的视频和图像数据库来训练其神经网络。

在2012年，称为卷积神经网络(CNN)的深层神经网络(DNN)的版本显示了精确度的巨大飞跃。这一发展推动了计算机视觉工程领域的兴趣和兴奋。现在，在需要图像分类和面部识别的应用中，深度学习算法甚至超过了人类对应物。更重要的是，就像人类一样，这些算法具有学习和适应不同条件的能力。

场景的语义表示

图2场景的语义表示

深入学习，我们正在进入一个认知技术的时代，电脑视觉和深度学习融合在一起，解决人脑大脑层面的高层次，复杂问题(图2)。我们正在抓住可能的表面。这些系统将继续改进，使用更快的处理器，更先进的机器学习算法和更深入的集成到边缘设备。计算机视野将改变物联网。

计算机视觉应用案例：

•监测作物健康的农业无人机(图3)

•交通基础设施管理

•无人机无人机检查

•下一代家庭安全摄像机

图3无人机收集图像的植被指数

这些只是计算机视觉如何大大提高许多领域的生产力的一些小例子。我们正在进入物联网进化的下一个阶段。在第一阶段，我们专注于连接设备，聚合数据和建立大型数据平台。在第二阶段，重点将转移到通过计算机视觉和深度学习等技术使“事物”更加智能，从而产生更多可 *** 作的数据。

挑战

使技术更加实用，经济的问题需要克服许多问题：

嵌入式平台需要集成深层神经设计。围绕电力消耗，成本，准确性和灵活性制定困难的设计决策。

行业需要标准化，以允许智能设备和系统相互通信并共享元数据。

系统不再是被动的数据收集器。他们需要以最少的人为干预对数据采取行动。他们需要自己学习和即兴。整个软件/固件更新过程在机器学习时代具有新的意义。

黑客可能会利用计算机视觉和AI中的新安全漏洞。设计人员需要考虑到这一点。

以上由物联传媒转载，如有侵权联系删除

一、将真实的加工制造连接到工业40

如果使用了工业40技术，一个新的加工制造生产线可以实现多达25种的产品变化，同时将产量提高10%，库存减少30%。工业40架构的应用让制造商在生产过程中可以获得更丰厚的投资回报率。

工业40是一场工业的革命，目的是将信息技术(IT)的虚拟世界、机器的物理世界以及互联网合为一体。其中心是将具有IT功能的所有工业领域都整合起来。

工业物联网（IIoT）设备要想创建工业40生产制造环境需要注意以下5个方面。

在工业40中，对机器工具或一组机器的 *** 作，应该允许使用诸如智能手机或平板电脑这样的智能设备进行简单的连接。

1分布式智能

这里说的分布式智能是指在智能传动和控制技术网络的机器设备中，加入尽可能多的智能和控制功能、或者单独的传动轴，而不是从一个中央处理单元（CPU）来处理所有的动作。

2快速连接

在决定应该使用现场总线的什么功能时，应该看一下生产平台是否支持例如OPC UA（来自于OPC基金会）这样的标准。消除不同供应商系统的障碍，而且对通讯和控制平台采取一种更加开放的方式很重要。

3开放标准和系统

开放标准允许基于软件的解决方案可以更加灵活地集成，并有可能将新的技术移植进现有的自动化架构中。

4实时数据整合

可能利用实时的机器和工厂性能数据来改变自动化系统和生产工艺的管理方式。不用捕捉并分析数月以来有价值的关于生产率、机器停机时间或者能源消耗的数据，支持工业40的平台能够将数据整合到常规的工厂管理报告之中。这会让制造商和机器具备详细的信息来执行快速的工艺和生产变更，以实现产品满足特定客户需求的愿景。

5自适应性

科技帮助生产线变得主动。目标就是让工作站和模块可以适应个性化的客户或产品需求。

二、让工业40和IIoT在智能工厂里运行

工业40和工业物联网(IIoT)能够为设备（从传感器到大规模控制系统）、数据和分析之间提供更好的连接性，Beckhoff自动化的TwinCAT产品专家Daymon Thompson这样认为。传感器和系统需要网络连接来共享数据，分析有助于做出更明智的决策。

物联网主要包括4个基本元素：实体的设备、与设备之间的双向连接、数据以及分析设备可以是小到一个传感器大到一个大规模控制系统中的任何一种。传感器和系统需要与更大的网络进行连接，以共享由传感器或系统产生的数据。对此数据进行的分析会产生可执行的信息，其结果是让人们做出精明的决策。

关于智能工厂的3个思考

在决定实施工业40之前，要对智能工厂提出的3个问题是：

1你是否想要自动完成快速的产品转换，以及对市场需求的响应更好？

2你是否想通过识别出可以进行持续改进的区域来提升你的设备综合效率（OEE）以及生产总产量？

3你是否想要根除浪费，例如能源、原材料和闲置时间？

在确定和完善真实世界里智能工厂的目标之后，采用基于PC控制的硬件和软件有助于帮助你早日成功。

三、为什么要部署工业物联网？

因为在工业世界里普遍使用了联网的传感器而比商业的物联网(IoT)更加先进，这些传感器就是物联网里面的“物”。数以亿计的联网的有线及无线压力、液位、流量、温度、震动、声波、位置、分析仪表以及其他传感器被用于工业领域，而且每年以数百万台的速度增加，为工厂提供了更多的监控、分析和优化。

IIoT通过将传感器连接到分析和其他系统中，来自动提高性能、安全性、可靠性和能源效率，具体方式为：

1从传感器上采集数据比以往经济有效得多，因为传感器很多都是电池供电和无线通讯的

2使用大数据分析和其他技术将这些数据翻译成可以理解的信息。

3将这些可 *** 作的信息在正确的时间呈献给正确的人员，要么是工厂人员，要么是远程专家。

4如果工作人员采取了正确的 *** 作，将带来性能上的提升。

四、基于平台的工具克服了IIoT的复杂性

基于平台的方式提供了一种灵活的硬件架构，可以部署在许多不同的应用场合中，消除了硬件的复杂性，并让每一个新的问题基本上都成为软件方面的挑战。系统设计师选择的平台应该基于一个对信息技术(IT)友好的 *** 作系统(OS)，这样它们可以安全地进行供给和配置，进而来正确地认证和授权用户维护系统的整体性，并让系统最大程度地可用。

五、基于数据的工业物联网

如果没有数据，就没有大数据、云和分析功能，也没有区别于物联网(IoT)的工业物联网(IIoT)；PI北美组织的副总监Carl Henning说，IIoT中的“物”造就了IoT中的“物”。IIoT需要开放的标准，以太网和软件标准可以为控制和制定决策所需要的信息提供数据。

其中一部分）时，大多数人认为最有用的特性是实时功能。

六、优化布线是提升工业物联网性能的基石

通过将信息、自动化、以及运行在工业物联网上的生产系统之间不断融合，物联网正在积极地影响着未来的工业自动化，Softing 有限公司市场部副总裁Mark Knebusch指出。随着以太网速度越来越快，电缆系统的集成更加重要，而电缆的认证有助于提升工业网络的性能。

---