分类： 资讯

11月3日，第三届国际零信任峰会暨首届西塞论坛在浙江湖州西塞科学谷成功举办。本次峰会由联合国数字安全联盟、浙江省大数据发展管理局、湖州市人民政府指导，国际云安全联盟大中华区（CSA GCR）联合湖州市吴兴区人民政府与湖州市大数据发展管理局共同主办，虎符网络等多家零信任领军企业共同协办。

神兽方阵，首次发布即入围

峰会期间首次发布了《中国零信任神兽方阵报告》。CSA-GRC创立的中国神兽方阵模型（China Matrix Quadrant），以传统文化的“四象”即青龙、白虎、朱雀、玄武神兽形象为模型，打造具备中国特色的数字安全领域的咨询与排名品牌。神兽方阵通过市场和技术等维度分析并呈现特定领域的标杆企业。

虎符网络凭借其突出的技术创新能力和成长速度、入围2022中国零信任神兽方阵中“玄武”方阵。入围该方阵代表企业处于初创期，已在技术研发能力方面具有很强的能力及市场能力，是零信任领域崛起的力量，潜力强。攻不破的虎盾，喜提“最强防御奖”今年9月，由CSA-GRC主办的首届CSA西塞杯零信任攻防挑战赛成功举办，虎符网络作为协办单位为赛事提供零信任防御方案支持。经过两天的不间断挑战，84支白帽战队、315名专业选手均无法攻破虎符网络的虎盾零信任访问安全系统。最终，虎盾凭借其零失误表现，获得本次比赛的“最强防御奖”。峰会期间，CSA-GRC正式为赛事获奖单位颁发证书。

圆桌论坛，大咖共话

虎符网络创始人、CEO王伟受邀出席本次峰会的“对话零信任CEO：信任-从0到1”圆桌论坛活动，与持安科技、亿格云、易安联三家零信任企业的CEO共议产业热点话题。

王伟指出，零信任是一种面向实战的设计理念，而网络安全的本质在于攻防对抗。基于零信任理念重构的访问安全体系，是网络安全中的一道重要防线。零信任更多的是一个创新架构、一种理念，而非一类安全产品。如何通过零信任理念打磨实际落地的产品，帮助用户以更高效率、更好体验、更低成本去解决业务实践中的安全问题，是虎符网络一直在努力的方向。中国的零信任市场呈碎片化，但一直在发展壮大，零信任方案也在不停的升华与迭代。只要遵循提升用户体验、提高可见度、提高效率等目标，零信任整体的市场与方案，一定会拥有十分广阔的发展空间。未来，零信任大有可为。
研究专家，持证上岗

虎符网络成立之初便加入CSA-GRC，多年来积极支持联盟工作，参与联盟牵头的多个研究项目。此次峰会期间重磅发布的多项标准及研究报告，都有虎符网络的安全专家参与撰写或翻译，工作成果也获得了联盟的认可。峰会期间举行的专家聘书颁发仪式上，虎符网络技术专家侯汉书正式受聘为“云安全联盟大中华区研究专家”。

虎符网络与本次零信任峰会深度融合，聚焦当下热门话题，与国内外院士、知名学者、零信任专家及实践者，畅谈数字时代的新一代数字安全与零信任的中国创新，合力助推数字安全发展。未来，虎符网络将继续深耕零信任赛道中的优势领域，为广大客户创造价值，为数字中国发展提供安全保障。

日前，虎符网络的零信任产品虎盾零信任访问安全系统与麒麟操作系统完成适配，并获得认证产品证书，这标志着虎符网络在国产化适配的道路上又迈出了坚实一步。

本次兼容认证测试涵盖了兼容性测试、性能测试和安全可靠性测试。测试结果表明，虎盾的服务端和客户端完全符合认证要求，兼容性良好、产品功能正常、运行稳定、性能正常，满足用户在国产化操作系统环境中运行的需求。

为更好地支持我国关键信息基础设施的建设，虎符网络紧跟国家大政方针，深入支持国产化体系，其虎盾产品线现已成功与麒麟、统信、鲲鹏等主要国产操作系统/CPU完成兼容性认证。

近年来，随着数字经济与实体经济的深入融合，全球产业也逐渐向数字经济转型发展。为抢占数字经济产业链制高点，国家明确提出“新基建”战略，大力推动数字化转型，建设更加完善、更有竞争力的信息技术产业链。

信创（信息技术应用创新产业）是数据安全、网络安全的基础，也是新基建的重要组成部分，一般情况下包括基础硬件、基础软件、应用软件、信息安全四大板块；作为“新基建”的一环，其发展已经成为数字化转型、提升产业链发展的关键。众多企业积极响应政策号召，从强化产业基础、加强保障能力等方面出发，大力推动国产化软硬件的规模化应用，促进信创产业落地生根。

今后，虎符网络将加快推进其访问安全和数据安全产品的国产化适配工作，不断提升产品和解决方案的信创适配能力；持续坚持自主创新，打造“国产自研、自主可控”产品，服务国家信息化建设，为网络强国战略搭建安全基座！

近日，为提升数字化企业的网络安全意识和防护技能，营造共筑网络安全防线的浓厚氛围，朴器科技联合余杭区政协科技界别组、余杭区AI同心荟、余杭区网络安全联盟、菜根信息科技、虎符网络等单位共同举办网络安全与等级保护专题讲座。

余杭区政协委员、民建会员，虎符网络创始人王伟受邀出席讲座，就数字化企业必须知道的网络安全风险和基本攻防理念与参会人员分享交流。

随着信息技术与各行各业深度融合，数字经济带来的发展新动能逐渐壮大。在企业数字化网络化智能化高速发展的同时，信息安全仍存忧患，应得到足够多的重视。近年来，我国先后出台了《国家安全法》、《网络安全法》、《数据安全法》、《个人信息保护法》等多部法律法规和指导文件，为保障网络安全、维护国家利益、推动信息化发展制定了强有力的法律监管。安全是发展的前提,发展是安全的保障，安全和发展必须同步推进。

王伟以《数字化企业必须知道的网络安全风险&基本攻防理念》为题，通过多个实际案例，对不懂网络安全的法律法规和网络安全风险带来的严重后果进行了多维度分析；同时以问答的形式提出基本攻防理念，让大家更深入地学习了完整的网络安全体系，了解如何在各层面打赢每一场网络安全攻防战。

数字化企业不知法不懂法，后果很严重

01APP被下架、网站被关停

随着互联网快速发展，各种在线应用和服务日益丰富，个人信息保护成为大家关注的焦点。工业和信息化部每年会分批组织第三方检测机构对群众关注的生活服务类、日常工具类等移动互联网应用程序（APP）进行检查，对违法违规、损害用户权益等APP进行专项整治，累计通报、下架违法违规APP近千款。

中央网信办等部门也一直在重拳整治网络直播、短视频领域“色、丑、怪、假、俗、赌”乱象。据统计，全国网信系统2022年上半年累计依法约谈网站平台3491家，其中暂停功能或更新419家；会同电信主管部门取消违法网站许可或备案、关闭违法网站12292家，移送相关案件线索4246件。

02 请去“喝茶”、高额处罚

公安部和网信办会集中审查大数据企业，对于有涉违规操作、数据泄露等问题的企业会被监管部门请去“喝茶”，询问数据来源和运营模式。对于掌握大量个人敏感信息的互联网公司，如招聘网站、社交网站、金融机构等越过监管红线的行为，都可能会受到相关的部门的高额处罚。

风险与攻击，如何防范

监管趋紧，企业对网络安全采取“躺平”态度不可取，就此王伟对与会企业建议以下安全目标：合规驱动，满足法律要求；实战驱动，提高攻击者门槛，减少事件发生概率。

01构建面向风险整体安全防御体系

数字化企业日常所面对的安全风险，既包括黑客攻击、地下黑灰产薅羊毛等传统安全风险，也包括由于数字化时代数据开放、流通、共享所带来的数据合规、内容合规等附加安全风险。应坚持”管理与技术并重，预防与保护并举”的原则，针对人、设备、网络、应用与数据这几个重点防守阵地，合理划分安全域，并基于每个安全域中的典型风险，设计不同的安全能力，从多个维度部署安全防护措施，并辅之以适用企业业务需求的运营体系，打造整体安全防御体系。

02各层面打赢每一场攻防战

数字化企业人员复杂、应用复杂、数据量大，简单依靠产品堆叠无法解决不断变化的安全问题。应该直面安全挑战，以“作战、对抗、攻防”为指导，体系化建设安全能力。

将安全贯穿前端、后端至终端的全流程，通过应用分层治理，在每个层面打赢每一场攻防战。而针对每个层面，从底层的安全研究，到事中的安全防护，到事后的溯源取证，都有可适用的最佳安全实践，以最低代价解决关键安全问题。

近期，Cisco和Uber两家巨头企业相继被黑客攻破导致严重数据泄露事件。通过互联网上的公开资料和安全专家分析，这两起攻击中黑客利用的都是MFA疲劳攻击突破企业防线渗透到内网。

什么是MFA疲劳攻击？

攻击者是如何利用这种攻击方式突破MFA验证的呢？

本文将带您解读事件背后的故事

事件1 Cisco VPN被攻破导致数据泄露

01 事件概要

2022年8月，国内一些媒体报道称，Cisco内网遭到阎罗王勒索软件团伙入侵。攻击者窃取到一名员工的谷歌账号，通过浏览器同步的账密获得了Cisco内网VPN账号，之后利用语音钓鱼电话获得了该员工的二次验证码，从而进入内网实施窃密。黑客声称窃取到2.75GB数据，约3100个文件，其中不少文件为保密协议、数据转储和工程图纸。

02 VPN账号密码哪里来

黑客通过入侵Cisco员工的个人谷歌帐户获取到VPN账号密码。由于该员工在Google Chrome启用了密码同步，并将其Cisco凭据存储在浏览器中，因此这些信息能够同步到谷歌帐户。由此可见，不要将重要账号密码同步到Chrome浏览器，因为谷歌的个人账号相对并不安全。

03 MFA如何被突破

新型的VPN基本都会开启MFA多因子认证，据报道黑客利用语音钓鱼电话获取该员工的二次验证码。真实情况是这样吗？查看Cisco自己的调查报告可以看到，攻击者以各种受信任的组织为幌子进行了一系列复杂的语音网络钓鱼攻击，试图说服受害者接受其发起的多因素身份验证推送（MFA push）通知。Cisco收购了Duo，因此使用Duo多因子的push通知。只要受害者被骗在自己的设备上轻轻点击一下，攻击者就可以获得授权。

语音社工太成功了，受害者成功被说服，攻击者通过VPN顺利进入了Cisco内网。

事件2 Uber VPN被攻破导致数据泄露

01 事件概要

9月15日，一名18岁黑客声称已成功入侵Uber系统，下载了HackerOne的漏洞报告，并分享了Uber内部系统、电子邮件、Slack服务器的截图。

截图显示，黑客已经成功访问了Uber的许多关键IT系统，包括企业安全软件和Windows域。黑客访问的其他系统包括Uber的亚马逊网络服务配置、VMware vSphere/ESXi虚拟机，以及Google Workspace用于管理Uber电子邮件帐户的管理界面。

02 VPN账号密码哪里来

Uber相关员工感染恶意软件，信息被泄露到黑市。黑客从网络黑市购买到这份泄露数据，挑出对他们有用的信息以及合适下手的人。

03 MFA如何被突破

Uber的VPN也开启Duo类似的push认证。在一小时内，攻击者给受害者不停触发push认证，并且通过WhatsAPP伪装成Uber的IT人员，告诉受害者必须接受才能停止推送。类似于Cisco事件，受害者成功被说服，攻击者同样通过VPN进入到Uber内网。

分析：关键的MFA疲劳攻击

这两起攻击事件都使用了同一种黑客攻击手法，国外同行将其定义为MFA Fatigue Attack，中文译作MFA疲劳攻击。MFA疲劳攻击指的是黑客在获得对登录凭据的访问权限后，通过反复发送push通知来批准登录，诱骗用户授予对帐户的访问权限。最终，用户由于疲劳或疏忽批准了发过来的通知，从而授予黑客访问其帐户的权限。

黑客不停的触发登录批准请求推送通知到受害者的设备上，一般来讲受害者是不会立刻去点击授权，而是心中在纳闷：什么情况，这是怎么回事？这时候受害者的信任程度只有30%左右。

然后攻击者做了重要的一步，就是通过一些社会工程学的方式联系到受害者，扮演公司的IT管理人员通知受害者：你的系统出问题了，必须接受通知才能停止推送，才能修复问题。

出问题了，IT管理员及时来联系处理，受害者心里大概率会认为：一定是我们自己的IT管理员，不然不可能这么快知道我这边出问题了，而且还能指名道姓准确说出我的姓名和部门。此时受害者信任程度飙升到80%左右，因此很多员工都会按“假管理员”所要求的执行。

思考：重夺用户信任，抵御MFA疲劳攻击

随着数据泄露事件的频发，方方面面的数据都有可能掌握在黑客手里，这时候MFA疲劳攻击的成功将变得相对容易。作为零信任访问安全产品的先行者和践行者，同时作为用户访问应用资源的唯一入口，守好第一道大门是重中之重。我们需要思考，甲方如何利用我们的产品来抵御MFA疲劳攻击。首先我们的产品会有多道防御策略，在某些策略情况下即使攻击者拿到了账号密码+MFA也是无法登录的。接下来要讨论的是在这些策略都没有开启的情况，我们需要如何直面MFA疲劳攻击。

我们认为，重夺用户的信任，对抗MFA疲劳攻击应是一个整体工程。

01用户MFA教育

对用户的MFA教育至关重要，让每个用户变成我们防线的一部分。应该让用户了解，如果他们在手机上收到可疑的推送请求，应该做什么以及如何响应，更要让用户了解点击确认将意味着什么。如果确实发生此类事件，还必须让用户了解应与谁联系，确定该事件是技术问题还是恶意事件，而不是一味地单方面接受攻击者的错误引导。

02MFA推送提醒优化

当攻击者不停的触发MFA推送请求的时候，系统应该触发保护机制，提醒可能正在遭受MFA疲劳攻击，并且给出管理员联系人，以对抗假管理员的诱导行为。很显然，这两次攻击事件中Cisco和Uber都没有做到，导致受害者信任了攻击者。

03更严格的设备管控策略

Cisco和Uber这两家公司为了更好的体验，采用了宽松的设备管控策略。在可以实施严格的设备管控策略情况下，尽可能实施真正的设备管控策略，只有预先登记或者公司的可信设备才可以访问内网资源。当然这也会造成一定的管理成本增加。

04 更严格的登录策略

发挥零信任产品的特性，在登录环节强制执行一组登录基线安全策略。这可确保接入设备符合环境中的安全要求，一定程度上可以防止之前未经批准的恶意设备连接到公司内网。

总结

MFA疲劳攻击就像我们常常听说的社工邮件钓鱼、精准诈骗一样，是一样的顽疾，短时间内不会消亡。MFA不是万能的，企业都需要多加小心。对于我们安全厂商来说，要时刻紧盯黑客的攻击手法，推演攻击手法，做到知己知彼，快速进化我们的产品，真正帮助企业用户守好最为关键的第一道大门。

小Tip:什么是MFA

MFA (Multi-Factor Authentication)中文译作多因素认证或多因子认证，指的是在用户名+密码的认证方式之外再额外增加一层安全保护，用户要通过两种以上的认证机制之后才能得到授权使用计算机资源。例如，在使用网银的时候，用户除了输入用户名、密码外，还可能需要输入短信验证码，这就是一种典型的MFA。

2022年9月11-12日，首届CSA西塞杯零信任攻防挑战赛成功举办。本届赛事由联合国数字安全联盟指导，国际云安全联盟大中华区主办，湖州市吴兴区人民政府支持，虎符网络为赛事提供零信任防御方案。

为确保比赛的公平性和专业性，组委会邀请到CSA大中华区主席李雨航、零信任之父约翰.金德维格（John Kindervag）、世界顶级黑客凯文·米特尼克(Kevin David Mitnick)等多位业界知名专家担任评委，堪称近年来最豪华评审团阵容。挑战赛设置了高额奖金池，除了一二三等奖奖金外，攻破零信任产品最多的队伍还可以获得额外的5万元特别奖奖金。

虎盾，最佳防御方案

由于各厂商零信任实现的方式并不一致，本次大赛可以采用提供客户端的隧道应用模式，也可以采用不提供客户端的Web应用模式。虎符网络采用目前客户已经在广泛使用的客户端模式，把客户端提供给攻击者。

挑战赛期间，84支白帽战队、315名选手对系统数据目标发起了猛烈攻击。经过两天的不间断挑战，攻击队伍对靶标系统进行的渗透攻击无法攻破虎符网络零信任系统防护，更无法获取目标应用数据。最终，虎符网络零信任系统获得了此次比赛的【最佳防御方案】称号。

赛事回顾

本次大赛共两天，分为两个阶段。第一阶段，给到攻击者们客户端、公网IP和端口，攻击者需访问到OA应用中FLAG。10点比赛正式开始，12点07分攻击者发起了第一次攻击，至15点之后无任何攻击行为，总共发起157次攻击。攻击者们内心OS：这真心是搞不动了。

第二阶段，给到攻击者账号密码以及访问OA权限，攻击者需要越权访问到Web应用中的FLAG。虎符网络的零信任方案实现了特有的零信任防护机制和策略，仅拿到账号和密码是不能访问系统的。为了让攻击者能够正常访问到OA应用，我们执行了一系列的安全策略降级操作。

第二阶段中，需要提供8个普通账号密码给攻击者，其中共有20多位攻击者通过IP访问了OA应用，但是仍未攻破我们的访问控制策略越权访问到Web应用。

比较有意思的是，我们看到有攻击者故意让其中两个账号连续多次出现密码错误的情况，导致账号被冻结；虎符网络零信任方案的冻结策略是：账号冻结30分钟后再解冻。

第二个有意思的是我们设置了持续策略，会将疑似发动攻击的IP自动踢出下线，因此攻击者们来不及通过虎盾访问靶标系统。攻击者反馈到组委会，“投诉”我们有风控策略，导致他们在攻击时多次掉线，要求我们关闭。好吧，虎符网络的技术支持人员再次做了安全策略降级。

虎盾，为攻防对抗而生

此次参赛的虎盾零信任访问安全系统，是零信任架构下更安全的应用访问解决方案。虎盾主要由零信任客户端、零信任控制中心、零信任安全网关等组件组成，通过“端+网关”的形式在应用层上构建虚拟的私有可信身份网络，集中统一实现应用风险暴露面收敛、应用资源管控、实名身份流量、可信设备管控等功能。

在网络攻防实战中，虎盾针对攻击选手访问接入的受保护应用系统的全过程，设计了多层防线：

 01身份认证

零信任强调的是流量身份化，以身份为基础构建安全防护边界。虎盾将传统“先访问后验证”的应用访问方式转变为“先验证后访问”，登录页面统一对接转换为客户端上的扫码认证，避免在登录页面输入用户名、密码的风险环节，并可在原有的认证基础上增加强化二次身份认证机制，阻断弱口令暴破等攻击手段。对于已认证用户，全部基于最小化原则按需授权，每个用户只能被授予所需的最低访问权限，将特权账号的高危操作风险降至最低。

02可信设备准入

通过虎盾客户端，能够实时有效的对接入终端设备执行管控，可信的终端才允许接入到零信任网关，其他终端自动拒绝；同时异常访问行为能被感知并预警，以方便应急响应事件。

03 暴露面收敛和网络隐身

暴露面收敛是零信任技术的核心功能之一SDP（软件定义边界）所实现的效果，在攻防对抗中可以有效对抗网络扫描以及0day。虎盾方案支持采用增强的SPA单包敲门机制隐藏全部接入到零信任网关的内部应用，实现网络隐身，最大程度减少接入的业务系统及网关自身在互联网上暴露面，防止攻击队对业务系统进行资产收集和攻击。

04 持续安全评估和动态策略

在攻防对抗中，持续安全评估最重要的意义在于对抗终端失陷。在安全措施失效、靶标失陷的情况下，持续安全评估的作用会立即显现，通过动态策略检测终端环境并实时阻断。例如，攻击队在入侵过程中往往会尝试执行植入木马、回连服务器等恶意操作，这些异常情况下都需要持续性的安全评估和动态策略强制终端下线，避免整个靶标系统的进一步失陷。事实上，在此次挑战赛过程中，由于攻击队无法突破身份认证、可信设备准入等基础防线，因此虎盾的动态策略更多的是发挥了“达摩克里斯之剑”的作用。

纵观挑战赛全程，尽管目标系统被刻意预留了大量安全漏洞，但由于虎盾为被保护的目标系统披上了一层隐身衣，实现“网络隐身”，攻击者也无法看见从而也就无法攻击。正如挑战赛评委、CSA大中华区主席李雨航院士所述，“本次挑战赛的结果证明，零信任是防御零日漏洞、对抗网络攻击的有效对应之策，性价比也极高。零信任在中国的落地刚刚开始，得到工信部的大力支持，但我们还必须加快零信任的推进，升级网络安全的原生防御能力，这样才能保障千千万万个组织机构免受网络攻击之害”。

9月6日，根据《杭州市“雏鹰计划”企业培育工程实施意见》（杭科高〔2020〕71号）的有关规定，经各区县（市）科技部门审核推荐、专家评审和网上公示等程序，杭州虎符网络有限公司正式成为2022年杭州市“雏鹰计划”企业。

什么是“雏鹰计划”

“雏鹰计划”是杭州市为深入实施创新驱动发展战略，旨在重点培育和扶持一批技术水平领先、竞争能力强、成长性好的科技型企业群体，做大做强做优国家重点扶持领域的高新技术企业培育库，推动新技术、新产业、新业态、新模式的深度融合，助推数字经济、智能制造、生命健康和新材料等重点产业创新发展的工程项目，实现杭州市高新技术产业高质量发展。
虎符网络将以获评杭州市“雏鹰计划”企业为契机，进一步充实技术研发和科技创新水平，不断完善安全产品线和解决方案，全面构造核心竞争力，向国家高新技术企业努力；以实战经验为客户赋能，为政企数字化建设保驾护航，构建网络安全发展新生态。

9月5日上午，2022年浙江省暨金华市网络安全宣传周活动正式启动。本次活动以“网络安全为人民、网络安全靠人民”为主题，由省委网信办、省委宣传部、省教育厅、省公安厅、省广电局、省总工会、团省委、省妇联、人行杭州中心支行、省通信管理局等十部门和金华市人民政府联合主办，中共金华市委宣传部（网信办）、浙江省网络空间安全协会承办。

省政协副主席陈铁雄，金华市委副书记、市长邢志宏致辞，省委宣传部副部长、省委网信办主任张才方主持。省委网信办副主任马晓军，省广电局副局长张广洲，省总工会党组成员、副主席陆维，省妇联党组副书记、副主席林丹军，人行杭州中心支行党委委员杨仁荣，省教育厅二级巡视员张其宏，金华市领导蔡永波、吕伟强、李斌峰、胡晓杭等出席。

启动仪式现场揭晓了由省委网信办和中国网络安全产业联盟共同指导、浙江省网络空间安全协会主办的“2022年网络安全优秀创新成果大赛”杭州分站赛浙江十佳评选名单。本次大赛杭州站共有60余个解决方案和创新产品参与评选，是全国五个赛区参赛企业最多的。评选范围为浙江属地的网安企业，按得分高低评选产生浙江十佳。其中，解决方案7个、创新产品3个。虎符网络的虎影零信任数据访问安全系统入选浙江十佳，名列创新产品类奖项第一位。虎符网络联合创始人兼副总裁顾春辉受邀参加网安周启动仪式，现场获授“浙江十佳”荣誉奖牌。

虎符网络联合创始人兼副总裁顾春辉（右四）代表公司领奖

关于“虎影”

此次入围浙江十佳的“虎影零信任数据访问安全系统”，是新一代数据不落地安全解决方案。虎影创新性的将零信任架构引入到数据安全防护体系中，使用虚拟投影、数据安全盘等技术，实现数据的传输、使用、共享全过程不落地、受管控、可审计，有效防范数据泄露、篡改、滥用等安全事件。由于用户与目标资源完全隔离，因此可以对0day攻击、勒索病毒等常见攻击免疫，从根本上解决数据泄露问题。

本次受邀参加浙江省网安周系列活动并现场领取“浙江十佳”荣誉，是网安周各主办单位和浙江省网络空间安全协会对虎符网络产品技术能力与创新能力的鼓励与认可。我们将继续与省网安周各主办、协办单位深入协作，共同营造全社会共筑网络安全防线的浓厚氛围，进一步激发全社会共同维护网络安全的热情。

8月27日，“虎符杯”2022年杭州未来科技城网络与信息安全管理员职业技能大赛在杭州梦想小镇成功举办。本次大赛由浙江杭州未来科技城（海创园）总工会主办，杭州虎符网络有限公司承办并提供独家技术支持，浙江唯觅特大数据科技有限公司协办。

余杭区总工会基层部部长郑敏泉，浙江杭州未来科技城（海创园）总工会主席李志坚、副主席郑夏、恒生科技园工会主席童夏纯、华立科技工会主席李文周，杭州虎符网络有限公司创始人兼董事长王伟、浙江唯觅特大数据科技有限公司总经理周游等领导嘉宾出席大赛。

群英荟萃，网安战貌集中展现

秉承2021年首届“虎符杯”以赛代练的办赛宗旨，本届“虎符杯”旨在大力弘扬工匠时代精神，推动“杭州工匠”的培育，激发未来科技城职工立足本职岗位学技术、练本领、比技能的热情，构建一支与杭州经济社会高质量发展需要的知识型、技术型、创新型人才队伍。来自运营商、互联网、能源等各行各业20支参赛队伍的近60位网安精英脱颖而出在“虎符杯”集结，向未来科技城最强网安王者发起最后挑战。

猛攻严防，实战化大比拼

本次比赛在上届“虎符杯”的基础上做了一些赛程调整，取消理论竞赛直接以CTF（夺旗赛）实操形式进行比拼。竞赛题目包含Web安全、Pwn（二进制安全）、Reverse（逆向破解）、Crypto（密码学安全）、Misc（杂项）五大类别，难度等级为高、中、低。参赛选手得分交替上升，竞赛气氛高潮迭起。实战化比拼让选手们更全面展现自己的硬实力，更能凸显网安群雄角逐的战貌。经过4个小时的激烈角逐，最终有6名选手脱颖而出分别获得一二三等奖。

获奖的选手除了获得奖金外，符合条件的优胜选手还将被授予“杭州未来科技城工匠”，并优先申报“余杭区工匠”。

为国选材，筑牢网安钢铁

在浙江杭州未来科技城（海创园）总工会等各级工会组织的指导下，“虎符杯”以赛代练、以赛代评，持续探索数字经济时代网安技能型人才的选拔培养新机制，为优胜选手打开职称评定和晋升的“绿色通道”，受到了社会各界的广泛关注，连续两届的成功举办也收获了良好的社会效益。

自2016年习总书记4.19重要讲话起，网络安全已经贯穿于经济社会发展的全领域、全过程，网络安全能力对于数字经济社会尤其是国家关键基础设施相关部门的稳定发展有着至关重要的意义。全面加强网络安全能力建设成为国家战略，高技能人才已成为网络安全生态建设的核心竞争力；网络无界，网络安全风险不断加剧，矛尖盾利，网安从业人员的硬核实力将成为网络安全攻防保卫战的制胜武器。

一直以来，余杭区都是数字产业的高地。近期，余杭区委提出了“建设杭州城市新中心”这一宏伟目标，这为区内企业提供了跨越式发展的时代契机，也对数字经济领域相关的专业人才提出了更高要求。通过工会牵头主导、安全企业组织实施的网络与信息安全职业技能比赛，一大批拥有新技能、新思想、新职业的90后、95后甚至00后年轻人脱颖而出，网安新生代正在未来科技城初露锋芒，也必将成长为支撑国家未来网安事业的中坚力量。

2022年8月13-14日，由中国网络安全产业联盟（CCIA）主办“2022年网络安全优秀创新成果大赛”复赛在北京成功举办。虎符网络的参赛产品“虎影零信任数据访问安全系统”，从全国140余家企业申报的240余项解决方案和创新产品中脱颖而出，晋级复赛答辩。

大赛复赛专家评审组由CCIA专家委专家和网络安全投资机构专家组成。专家评审组对从全国5个赛区晋级的解决方案和创新产品进行了集中评审，最终评选出“2022年网络安全优秀创新成果大赛”优秀奖（创新产品类）20个。杭州赛区最终有4家厂商获奖，虎符网络名列其中，是赛区中获此奖项的最年轻厂商。

虎影方案的核心落脚点是“确保关键数据资源安全使用”：通过基于零信任的访问安全手段减少数据资产暴露面，未经授权的用户无法访问数据资源；通过虚拟投影技术实现数据不落地，合法用户只能在隔离的数据安全盘中使用数据但无法非授权带走。这些措施可以为参与数据共享和流通的企事业单位提供有力的数据安全保障，典型创新点也给大赛专家评审组留下深刻印象。

虎符网络此次申报的创新产品虎影，是新一代数据不落地安全解决方案。虎影创新性的将零信任架构引入到数据安全防护体系中，使用虚拟投影、数据安全盘等技术，实现数据的传输、使用、共享全过程不落地、受管控、可审计，有效防范数据泄露、篡改、滥用等安全事件。由于用户与目标资源完全隔离，因此可以对0day攻击、勒索病毒等常见攻击免疫，从根本上解决数据泄露问题。

成立不到3年，虎符网络已经连续两年入围CCIA的“中国网安产业潜力之星”；产品继2021年荣获CCIA网络安全优秀创新成果大赛的入围奖后，今年再进一步荣获优秀奖，这些都是对虎符网络产品研发与创新能力的肯定。一年后，“2023年网络安全优秀创新成果大赛”，虎符与各位业界同仁相约再见。

8月11-13日，由中国人工智能学会（CAAI）主办，CAAI社会计算与社会智能专委会、浙江大学、浙江省大数据发展管理局、杭州市余杭区人民政府联合承办的“CAAI第七届全国大数据与社会计算学术会议（BDSC 2022）”在杭州成功举办。本次活动以“数字化转型与共同富裕”为主题，面向国家经济社会发展战略，立足数字社会构建，以跨学科交叉视野，剖析数字化转型及其对于实现共同富裕的推动作用。

大会期间，“2022年度优秀数字服务商”名单正式发布。优秀数字服务供应商由数字化改革企业联盟组织遴选，根据企业资质、行业资质、社会责任、营收规模、知识产权、科研合作、项目落地、奖项荣誉、数据安全等方面表现，综合评选出十家优秀数字服务商。虎符网络凭借其访问安全、数据安全等产品线在助力政企数字化转型中的成功实践和突出表现，荣获“2022年度优秀数字服务商”称号，并作为网络安全行业中唯一的一家代表企业受邀发言。

虎符网络产品总监王辉（左二）代表公司领奖

九三学社社员、虎符网络产品总监王辉发表题为“构建零信任数据安全体系，护航数字化改革”的主题演讲。王辉在演讲中指出，数字化改革已进入深水区，数据已成为数字经济深化发展的核心生产要素之一，国家对于数据安全的重视程度也不断提高。从《数据安全法》、《个人信息保护法》等法律法规的颁布实施，到2022年政府工作报告及两会等对网络安全、数据安全和个人信息保护的不断提及，数据安全建设成为当下势不可挡的时代浪潮。

虎符网络今年开始将数据安全建设作为公司发展的重要战略领域，把数据安全解决方案作为重点发力的研究方向之一。虎符网络创新的将零信任架构应用到数据安全访问业务场景，在无需调整网络架构的情况下构建了虚拟的数据资源安全边界，实现数据不落地方式的安全使用、共享。该方案已成功应用在政府、医疗、银行等行业，为参与数字化改革和数字社会体系建设的企事业单位提供有力的数据安全保障。

在数据安全领域，虎符网络先后荣获了嘶吼安全研究院“2021年数据安全创新型企业厂商”、中国网络安全产业联盟“2022年网络安全优秀创新产品”，中国计算机行业协会数据安全专委会成员单位等奖项和荣誉。此次入选的“优秀数字服务商”，给虎符网络在数据安全领域又增添了一份重量级荣誉。

王辉表示，“获得优秀数字服务商是对虎符网络的肯定和激励。作为统一战线成员的一份子，未来我将继续积极响应数字化改革号召，全力投身数字化经济发展，为政企数字化转型贡献自己的一份力量。虎符网络作为从余杭区开始其创业历程的明星企业和数字化改革企业联盟的成员单位，始终坚持提高自身的技术实力和服务水平，始终努力深化数字技术创新应用。未来，虎符网络会将企业在零信任产品和安全服务实践中积累的经验与数字化改革相结合，在数字经济时代为政企数字化转型提供更多安全保障”。