关于发展中国安全浏览器的建议

魏小强/WEI Xiaoqiang，张义荣/ZHANG Yirong，黄亚洲/HUANG Yazhou

（360数字安全集团，中国 北京 100102 ）

安全浏览器已经成为数字工作空间的安全入口。安全浏览器也将成为在操作系统之上保护数字工作空间的新操作系统。微软放弃开发26 年之久的网页浏览器（IE），转而拥抱竞争对手谷歌的Chromium 开源浏览器内核项目并推出新Edge 浏览器（目前排名全球第4）。这进一步刷新了行业对Chromium 的认知，也使得跨平台、标准化、统一性、拥抱开源的安全浏览器迅速成为热点。从以色列安全浏览器初创公司Talon Cyber Security 获得2022 年RSAC 创新沙盒冠军，到刚刚成立两年的企业级安全浏览器厂商Island 一跃成为估值最高的独角兽企业，以及资本市场对安全浏览器的热烈追捧，可以看出，安全浏览器将推动安全行业的深刻变革。

在俄乌冲突之际，美国网络安全和基础设施安全局（CISA）在2022年2月份发布的“屏蔽”计划（Shields-UP）指出，“每个组织，无论大小，都必须准备好应对破坏性的网络事件……更新手机、平板电脑和笔记本电脑上的操作系统，并更新所有设备上的应用程序——尤其是网络浏览器”[1]。这进一步证明了安全浏览器不仅是数字工作空间的安全入口，也已经成为国家网络防御的前沿阵地。此外，CISA还表示，“利用Web浏览器中的漏洞已成为攻击者破坏计算机系统的一种主要方式”。由此可见，Web 浏览器的战略意义已经从为消费者提供互联网“冲浪”的入口变成构建国家网络防御能力的前沿阵地。随着全球加速进入数字时代，数字工作空间无处不在，保护数字工作空间的第一道门户——安全浏览器很可能是未来安全行业的游戏规则改变者。

1 现有网络浏览器存在巨大安全风险

网络浏览器是人们日常使用的用来检索、展示以及传递Web信息资源的应用程序。随着互联网的飞速发展，网络浏览器已成为人们使用最多的应用程序。它不仅是一个互联网访问入口，还是用户业务、资产、信息的接入枢纽。目前，网络浏览器已经发展为新一代数字工作空间，即用户进入互联网空间的访问入口。但是，它并不是为安全而设计的。Chrome、Firefox 等浏览器已成为黑客渗透攻击的重要目标，也是许多高级持续威胁（APT）组织常用的攻击入口。近年来，受新冠疫情影响，自带设备（BYOD）办公方式被众多组织大量使用，导致网络浏览器所面临的安全问题更加突出。

1.1 网络浏览器充斥大量易被黑客利用的漏洞

谷歌Chrome、微软Internet Explorer、Mozilla Firefox 和Apple Safari 等网络浏览器安装在几乎全球所有的计算机上。据Statcounter 数据显示，谷歌Chrome 浏览器以63.63%的份额（拥有33 亿用户）引领网络浏览器市场；Apple Safari 紧随 其 后， 份 额 为19.37%； Mozilla Firefox、 微 软Edge（Chromium）、Opera、Internet Explorer 的份额分别为3.65%、3.24%、2.16%、0.81%[2]。

操作系统附带的网络浏览器往往采用默认的安全设置，例如：Chrome 和Safari 这样的网络浏览器很容易受到跟踪、恶意工具栏和插件的影响，在其外挂的工具栏和插件中，充满了公共漏洞（CVE），从而使得这些浏览器成为黑客最喜欢的攻击目标。网络攻击者经常利用浏览器上的安全漏洞来窃取机密数据，安装勒索软件并策划网络攻击。

CVE详情报告显示，所有4个主要浏览器在CVE方面均排在前25 位。其中Chrome 浏览器排在第9 位，有2 346 个CVE；Firefox 排在第13 位，有1 933 个CVE；Internet Explorer排在第24位，有1 168个CVE；Safari排在第25位，有1 136 个CVE。Microsoft Edge 于2015 年亮相，迄今有250 个CVE，因此没有进入前25位[3]。

统计数据显示，超过9%的Chrome浏览器扩展功能权限具有高风险或极高风险。2021 年的Chrome 因被发现308 个CVE而被评为最易受攻击的浏览器。其中，24%的零日漏洞与Chrome 有关。由通用漏洞评分系统（CVSS）评估的Chrome CVE的风险值（6.4）高于所有其他应用的CVE平均值（6）。其他网络浏览器的情况和Chrome 类似，这里不再赘述。

综上所述，网络浏览器已经成为最容易被攻击的应用程序。然而，企业或机构正在广泛使用网络浏览器来访问其业务应用环境。也就是说，全球有数十亿人的数字工作空间门户正面临着巨大的安全风险。

1.2 网络浏览器缺乏企业级应用所需的安全性设计

Chrome 等网络浏览器往往是为消费者、广告商、内容生产者和开发者而构建的，它也会通过广告、用户跟踪和搜索优化等方式来盈利。因此，面向消费者的浏览器很容易受到网络攻击。比如，攻击者可以遍历浏览器标签，以了解有关受病毒感染主机的丰富信息；通过读取保存用户名和密码的特定文件来获取用户账号信息；利用浏览器安全漏洞和固有的浏览器功能来更改内容，修改用户行为，获取终端系统的最高访问权限并完成横向移动，拦截信息并进行会话劫持；滥用浏览器扩展功能来实现对被攻击者应用系统的持续访问与机密数据获取等。

网络浏览器之所以容易受到上述网络攻击，是因为它并不是为企业级安全性需求而设计的。企业在使用浏览器时会遇到3个非常重要而且经常被低估的问题：可见性、可控性和可管理性问题，即企业无法获知用户的访问行为、访问的目的地、访问的风险性、具体的操作行为等。

1.3 非受控端广泛采用网络浏览器进一步加剧企业安全风险

根据美国市场研究公司Forrester的一项调查，69%的受访者声称其网络上一半或更多的设备是BYOD等非管理设备或物联网设备[4]。这些设备往往通过网络浏览器接入和访问企业的各种资源。

当BYOD访问企业资源时，企业无法在员工自带设备上部署企业级安全策略，而网络浏览器是此类非受控端点接入和访问企业应用的主要途径。这将进一步加剧安全风险，使得企业无法完全对访问内容进行安全控制。事实上，大多数企业的安全团队根本无法验证访问企业资源的非企业设备的安全状况。

但是，BYOD工作的方式越来越受欢迎，物联网设备正在爆炸性增长。这是数字时代的基本特征。那么如何帮助企业IT 和安全部门对这些设备实现安全可见性和控制能力？比较好的方法就是采取更轻量级的方式，比如使用安全浏览器等手段来增强可见性和可控性。

2 安全浏览器成为数字工作空间的安全入口和各国关注焦点

如果把网络浏览器比作一辆汽车，那么安全浏览器就是汽车安全气囊。全球数字化转型正在加速发展，为应对混合工作环境下的安全挑战，人们需要一种新的安全工具来保护数字工作空间。安全浏览器很可能将顺应历史潮流担当此

提醒您：因为《关于发展中国安全浏览器的建议》一文较长还有下一页，点击下面数字可以进行阅读！

《关于发展中国安全浏览器的建议》在线阅读地址：关于发展中国安全浏览器的建议