阿里資深專家杭特:十余年目睹國內安全之“怪現狀 ”

智慧安防
云棲社區
杭特
2019-06-21 · 11:35
[ 億歐導讀 ] 阿里安全資深專家杭特在安全行業從業十余年,甲方和乙方公司都有經歷。他認為,相對于歐美等發達國家,國內人才培養在結構和技能方面,有幾個“怪現狀”。
安全,網絡安全,數據安全,智慧安防 圖片來自“123rf.com.cn”

本文轉載自云棲社區,作者杭特,阿里安全資深專家,在安全行業從業十余年,甲方和乙方公司都有經歷。億歐智慧城市對文章進行二次編輯,供讀者參考。


隨著網絡空間成為第五空間、社會基礎產業全面互聯網化,網絡安全(或稱廣義的信息安全)面臨的威脅越來越大,對網絡安全的人才需求也呈現出井噴趨勢。即使目前很多人可以自學成才,“網絡空間安全”也成為一級學科,但根據《第十一屆網絡空間安全學科專業建設與人才培養研討會》得出的結論,“我國網絡空間安全人才年培養規模在3萬人左右,已培養的信息安全專業人才總量不足10萬,離目前需要的70萬差距巨大?!比笨诓恍?,但目前安全人才的歷史存量和每年的增量,其結構是不是合理,是否反映了產業的需求呢?

阿里安全資深專家杭特在安全行業從業十余年,甲方和乙方公司都有經歷。他認為,相對于歐美等發達國家,國內人才培養在結構和技能方面,有幾個“怪現狀”。

阿里安全資深專家杭特.jpeg

阿里安全資深專家杭特

重視“攻”, 輕視“防”

重視“攻”, 輕視“防”.jpeg

攻防就如同硬幣的兩面,哪一方面都不可或缺,因此才出現了“以攻促防”,“未知攻,焉知防”之類的金句。但現實往往不盡如人意,這些金句實際上也只做到了前面一半,后一半則明顯薄弱,最終成了“虎頭蛇尾”,“強弩之末”?,F在安全人才在總數不夠的前提下,防守人才更是極其匱乏,比例嚴重失調。表現形式很多。

情形1、對于搞Web漏洞和滲透的人,八成以上不知道怎么搞SDL;

情形2、技術類的文章,大部分都是攻擊挖洞類的文章,至于防護方案,通常只有短短幾句,“已將問題提交廠商”、“不要使用弱口令”、“及時更新系統”等等。

重視“攻”, 輕視“防”.jpeg

情形3、一個個基礎系統被攻破,2G有偽基站、4G也能被降級劫持、Wi-Fi不可靠、藍牙不安全,操作系統天天打補丁還能被控制。安全Geek們無所不能的同時,也得保護好自己,把自己武裝到了牙齒,“我小心故我安全”,但想做到獨善其身很難,你的爹媽和親戚朋友可咋辦?別說那些高大上的,密碼太多記不住,這么現實的問題,讓歲數大的人怎么解?

小結:攻擊技術很重要,相關人才也要占領高地,高價值漏洞這樣的戰略武器一定要有,但這絕不是網絡安全的全部。打個比方,相對于目前多方都有“NUKE”(核武器)的現狀,造十枚還是百枚核彈并沒有區別,反而是類似于美國的TMD(戰區導彈防御系統)更顯重要。我們有如此多的系統需要建長城來守衛,期待更多防守人才的出現和貢獻。

重視“攻防”, 輕視“數據”

大部分業界從業者認為,安全就是Security,但實際上對應的英文單詞有兩個,我們先來區別一下(根據NIST CPS Framework的定義)。

Safety:確保生命、健康、財產、權益人數據及物理環境等方面不存在災難性后果;

Security:內外部的保護,以避免無意或者未授權的訪問、改變、破壞或使用。

之前網絡安全大部分都屬于Security的范疇,但隨著IoT和ICS 的出現,動動鼠標也能物理危害人身安全,從而擴展到了Safety的領域。 由于Safety更注重能影響物理世界的安全,因此作為爭奪“EIP”控制權的“攻防”是最為重要的;而Security要重點保護的,其實是“數據”的控制權。

可惜的是,絕大多數的安全人才都把精力放在“攻防”上,認為只要拿到控制權,就能拿到數據,但事實真的如此?舉個反例,不考慮物理攻擊,現在iOS的指紋數據貌似還沒有人能拿到,即使能完美越獄又如何呢?在這里筆者再引申兩個問題,供大家可以思考:

問題1、不借助硬件,有哪些領域的數據安全需求是和漏洞一點關系都沒有的?

問題2、不考慮可用性問題,一個系統給你root/admin就真的非??膳??

小結:安全要搞清楚保護的對象是什么,而這些對象也隨著產業發展不斷變化?!癊IP”控制權的爭奪應該更多的面向與物理世界相連的設備,而其它的場景,則應該重點關注“數據”的控制權。數據已經成為DT時代的石油,是產生價值的新能源,如果還是用傳統的漏洞思維來談數據安全,是肯定做不好的,密碼學久違的春天已經到了。

重視“單點、破壞”, 輕視“體系、建設”

安全有一個著名的木桶理論,“系統安全性的整體水位與最脆弱的組件水位相同”,絕大多數的人都在“集中優勢兵力,從系統最薄弱的地方突破”,可是破壞容易建設難。當要保護的對象足夠多、足夠復雜,如何能成體系地進行安全建設,如何能將安全威脅收斂到可控的程度,是一件非常有挑戰的事情,下面列舉幾個:

反入侵:對于所有的企業,這都是個令人頭疼的挑戰。有句笑話,“世界上只有兩種企業,一種是知道自己被入侵的,一種是不知道自己被入侵的”。反入侵需要非常體系化的架構來控制風險。很多企業借助眾籌或藍軍模擬滲透找到某些脆弱點并完成修復,認為這樣就能高枕無憂,這種做法只是暴漏了很小的風險,連標都沒治,更別說本了。實際上SDL只是標配,WAF、RASP、各種監控、各種數據、各種算法,安全建設的任務艱巨……

供應鏈安全:前幾年APT熱火朝天,各種0day滿天飛,門檻也快速提升,攻防雙方的日子都不好過。東邊不亮西邊亮,隨著XCodeGhost的爆發,xshell、CCleaner、pip、nodejs接連中招,原來還可以這么玩?目前發現的例子都是事后,還有多少掩藏在冰山之下?目前還沒有特別有效的防護方案,要么太重型,要么太晚,面對連規則都沒有的目標,希望渺茫。試問有哪個企業和組織可以置身事外?別以為有源碼就安全了,pip和nodejs都是源碼,更別說還有算法級后門了。

防止釣魚:安全培訓天天講,可是社工這一關很多人就是過不了。別看對手low,效果還異常的好,畢竟明槍易躲,暗箭難防。

小結:安全本不是平等的對抗,打開惡魔的盒子不那么難,但災后重建卻異常艱難。相對于“千里之堤,潰于蟻穴”的螞蟻,業界更需要的是為生態授粉、創造自然奇跡的蜜蜂。

重視“技術”, 輕視“業務”

安全是個技術對抗非常激烈的領域,但這并不代表技術高超就能把基本問題解決的很好,黑灰產對抗就是個非常好的例子。作為一個產業,現在的黑灰產已經形成了一個完整的鏈條,每個環節都有大量的從業者各司其職。相比較那些神奇的0day,除了極個別情況,黑灰產使用的技術都是相對基礎的。即使如此仍然有大量網站被簡單的注入或者弱口令攻破,無數個人信息都在地下黑市被販賣,如果沒有徐玉玉案件引起國家重拳,現在的情況可能更為糟糕。商業上的薅羊毛也讓眾多電商網站承受資損并攪亂了市場公平,但行業里相關的人才卻很稀缺。

小結:有數據表明,黑灰產的市場規模已經和網絡安全市場的規模相當,都是千億規模。整個業界的技術支持配比是否應該向1:1努力?

重視“反向能力”, 輕視“正向能力”

很多人都是從滲透、逆向、分析漏洞入門的,其實這些都是反向能力,如果要達到相反的目標,也就是防止滲透、防止逆向、設計沒有漏洞的系統,一種是“反反向能力”,一種是“正向能力”,兩者并不相同。其實這個和汽車工業有些類似,早期自主品牌造車都是逆向起家,買輛樣車大卸八塊,試圖造出差不多的產品,吃夾生飯的結果就是動力、油耗、安全性都與原型相去甚遠。下面再舉幾個例子。

逆向與混淆:逆向是二進制安全的基礎,但對于很多公司來說,防止產品被逆向進而保護知識產權,是個硬需求。業界目前采用的常見手段就是花指令、防調試、執行流混淆、普通殼、虛擬機殼、白盒密碼。除了白盒密碼,其它的都屬于“反反向能力”,雖然在現實場景中大量應用,但首次分析和二次分析的強度及有效度無法用數字來度量,虛擬機殼效果好一些,但通俗點講就是對小白很難,但對專家不難。白盒密碼屬于“正向能力”的初級階段,強度至少可以通過數量級(比如2^40)來衡量,但不幸的是,目前最好的白盒密碼也撐不過28天(參考CCS 2017白盒挑戰賽的結論)!美國已經開始高級階段,至少10萬美金的挑戰賽還沒人成功,東西方差距明顯。

可靠軟件:如果要開發一個功能,并確保安全可靠,很多人意識里就那么幾招,功能測試、覆蓋率測試、黑盒fuzz、白盒代碼掃描,技術高級點的再加上個符號執行,這些也都偏“反反向能力”,因為這些測試全通過了,也不代表是安全的。有些人可能會說“本來就沒有絕對的安全”,但這些測試本質上并沒有說明哪些是應該的、哪些是不應該的。而“正向能力”就是要解決這些問題,這也就是為什么別人有信心造出“無法劫持的無人機”、“功能實現正常的加解密算法和協議”。

Chrome與NaCl:如果要在瀏覽器上運行第三方插件,對性能要求高,必須得跑x86機器碼,但如何保護安全性呢?“反方向能力”基本就是inline hook、調試器監控異常、DBI、虛擬機執行,屬于哪里有問題就去堵哪里的策略;“正向能力”就如同NaCl這種,確保生成的代碼必須符合規范,并利用x86的體系架構,在加載的時候,只要通過驗證就能確保安全性,其強度遠超虛擬機。

小結:精通反向能力,未必能做好正向能力。國內的反向能力與世界水平相當,但正向能力卻實打實的低下,我們也應該開始重視正規軍的建設了。

重視“人肉”, 輕視“自動化”

雖說安全的本質是人性的斗爭,人的因素不可或缺,但目前大量的工作都是低級重復性的。比如漏洞分析和逆向,除了少數特別復雜和高深的對象,大部分就是純體力勞動,以下的場景很普遍。

小結:對于企業,如何才能讓安全從業者從繁重的分析中解脫出來,更多的聚焦更有價值和挑戰性的工作?如何能將部分能力沉淀到平臺而不強烈依賴個體,進而更好的規?;?、易用化?

重視“人肉”, 輕視“自動化”.jpeg

總結

網絡安全產業就像一個江湖,各色人等聚集。相對于歐美國家基礎扎實(懂加密、會防護、能挖洞、擅工程)的眾多名門正派,我國的人才更多的屬于旁門左道(很多白帽子可能會不服氣),因此在未來的人才培養和建設上,需要調整結構,鼓勵更多的人去做“正向”的、結合“業務”與“數據”、“自動化”的“體系、建設”,才能解人才之渴,真正的為社會全面互聯網化提供安全保障。

編輯:楊珊珊

本文已標注來源和出處,版權歸原作者所有,如有侵權,請聯系我們。

各工作崗位將被AI取代的概率

選擇崗位,查看結果

制圖員和攝影師

87.9%

參與評論

最新文章

關閉

快來掃描二維碼,參與話題討論吧!

快捷登錄 密碼登錄
獲取驗證碼

新用戶登錄后自動創建賬號

登錄表示你已閱讀并同意《億歐用戶協議》

快捷登錄 密碼登錄

賬號為用戶名/郵箱的用戶 選擇人工找回

關聯已有賬戶

新用戶或忘記密碼請選擇,快捷綁定

賬號為用戶名/郵箱的用戶 選擇人工找回

快速注冊

獲取驗證碼

創建關聯新賬戶

發送驗證碼

找回密碼

獲取驗證碼
賬號為用戶名 / 郵箱的用戶 選擇人工找回

未完成注冊的用戶需設置密碼

如果你遇到下面的問題

我在注冊/找回密碼的過程中無法收到手機短信消

我先前用E-mail注冊過億歐網但是現在沒有辦法通過它登錄,我想找回賬號

其他問題導致我無法成功的登錄/注冊

請發送郵箱到service@iyiou.com,說明自己在登錄過程中遇到的問題,工作人員將會第一時間為您提供幫助

賬號密碼登錄

樂樂呵呵@微信昵稱

該億歐賬號尚未關聯億歐網賬戶

關聯已有賬戶

曾經使用手機注冊過億歐網賬戶的用戶

創建并關聯新賬戶

曾用微信登錄億歐網但沒有用手機注冊過億歐的用戶

沒有注冊過億歐網的新用戶

先前使用郵箱注冊億歐網的老用戶,請點擊這里進入特別通道
意見反饋
意見反饋
億歐公眾號 億歐公眾號
小程序-億歐plus 小程序-億歐plus
返回頂部
欧美av在线