欢迎光临
我们一直在努力

安全和美-我对网络安全的观察和思考

收录于话题

全文6006字,阅读约35分钟

前言

感谢安在新媒体给机会,让我参加2021超级CSO年度评选活动,让我诚惶诚恐夜不能寐。正月十六直播完,间隔半月时间把分享整理成文,今日二月初九发布,完结。

我的大纲

一、我对美的观点,及对安全工作中美的感受

二、安全需要权衡,从局部最优解到全局最优解

三、安全工作中的线性逻辑,到幂次法则的转变

四、安全从业者以兴趣为师,安全工作因热爱而坚守

五、网络安全中的人性现象,既深刻又宽容

六、安全圈的守望相助,道阻且长,行则将至

七、安全技术图书,也需要有思想、有内涵、有灵魂

—1—

话题一:我对美的观点,及对安全工作中美的感受

第一个话题是关于美的,是我在网络安全从业这些年的理解、感受的总结,或者叫我在网络安全工作中、实践中风格的总结,我用“美”这个字来表达。说到美,大家第一反应就是大自然,大自然的山水,山水之美在于怪石嶙峋、鬼斧神工。第二反应就是人造的,人造的美有很多,例如:在建筑领域,建筑之美在于参差不齐、但却又错落有致,就故宫的宫殿、石柱、围栏等,我每次看到都感受特别美。人造的美在艺术领域,表现的是最淋漓尽致的,艺术天才们不是用言辞,而是用自己的作品给美下定义,这些作品能够有力地改变和更新着人们对于美的理解。

 

回到网络安全这个主题上,我认为有规律、有秩序是美;匀称、和谐是大美;有实用性、有高应用价值是至美。针对这三句话,我举三个例子稍作解释:例如:坚持写周报月报,定期安全汇报,这种优秀的工作习惯有规律、有秩序是美。再例如:安全控制措施、安全方案兼顾用户体验、业务效率、安全保障需求,是匀称、和谐是大美。再例如:解决高频安全问题的方案(弱口令)、有普世意义的产品、工具、方法、思维等是有实用性的、有高应用价值的,是至美。

 

当然,真正的美回避定义,存在于任何方面、任何地方,就像刚刚说的美、大美、至美,其实只是一些特征的描述,而并非下定义。除了发现美,我觉得也要学会审美,至少我对自己的这份PPT,我觉得就不够美。我在家里给孩子讲《小王子》这本书时,里有这么一句话,我印象很深:“使沙漠显得美丽的,是它在什么地方藏着一口水井。”我觉得每个人都应该有自己对美的理解,我希望大家在安全职业生涯中、在安全产业发展中、甚至更高的层面,都能发现自己的风格,总结自己认定的“美”。

—2—

话题二:安全需要权衡,从局部最优解到全局最优解

第二个话题接着美的话题,我来聊一聊网络安全的科学性和艺术性,科学性主要体现在安全最优解的应用实践方面,而艺术性主要体现在安全最优解的各种权衡方面。那么有人会问什么是安全最优解?我简单解释一下:在当前背景下,不是站在安全的局部视角出发,而是从非安全的全局视角出发,安全团队能够做出的最大化、最卓越的业绩产出,这样的决策、行动在我看来是安全最优解。

 

我看到的当前中国企业中的安全团队,更关注安全技术应用、安全解决方案作为科学与工程的这一部分,但却忽略了其人文与艺术的那一部分,忽略了安全管理中、安全建设或运营中等多个方面的交付过程、成果产出,其实也是一种艺术创作。所以,我认为:网络安全这个职业的人,有的时候像是工程师、科学家,有的时候其实更像是艺术家。

 

我先举几个体现工程师、科学家一面的例子:例如:安全项目实施交付,这是典型的工程师场景;安全防护绕过、安全检测验证、攻防对抗这些也都是常见的工程师场景;安全技术创新、安全研究、安全专利等这些更像是科学家场景。

 

我再举几个体现艺术家一面的例子:例如:复杂场景的安全风险管控需求、实施落地方案的简单易行、以及最小的用户体验影响,三者在企业中的权衡,这是一门艺术。安全的沟通和汇报也更像是一门艺术,而不是一门科学。安全负责人必须要能够在老板面前获得支持,在分配会议的有限时间内,让老板了解安全知识,感到放心,并且对安全决策或事件能够知情。另外,换位思考也是一门艺术,判断一个人是否具备“换位思考”的能力有一个好方法,那就是看他怎样向没有技术背景的人解释技术问题,引自《黑客与画家》。

 

当我们意识到要想实现安全最优解,不仅是需要有科学与工程的部分,还要有人文与艺术的部分。那么我们就自然会思考,工作中该如何去做?我的经验是四个动作:询问别人的看法,分析别人的观点,了解别人的动机,理解别人的立场。做了这四个动作,工作中就更容易实现安全的最优解。除此之外,我的建议关注那些看似不应该思考的问题,我们也应该养成思考它们的习惯。

—3—

话题三:安全工作中的线性逻辑,到幂次法则的转变

第三个话题,我来聊一聊安全行业中或者工作中,看到的一些不科学的现象。有很多,但今天我只聊线性逻辑和幂次法则的问题。我先说几个现象:

 

甲方安全团队经常被问到的问题是“安全预算投入多少算合适?”,同样的问题,还有“安全人员多少编制算合适?”。遇到这类灵魂拷问的问题,多数安全团队都会整理一下公开或半公开的最新数据,私下与同业同行询问一下别人的情况。然后回答领导,例如:安全预算占IT总预算的3%,安全人数占科技人员总数的5%等等。

 

乙方的安全人员在提供安全服务时,像ISMS咨询服务、渗透测试服务、安全评估服务等,一般都会按照服务的人天来计价。例如:一个网站渗透测试需要报5人天,100个网站渗透测试需要报500人天,然后总体上打个折扣460人天,再折算价格。再例如,终端产品的部署交付项目,实施方案中经常会看到第一周第一批1000个点、第二周第二批1000个点、第三周第三批1000个点。

 

刚刚说的这些现象、这些情况都是普遍存在的,大家是否思考过为什么会是这样?我认为原因很简单,就是人们习惯用简单的线性逻辑来处理问题、处理事情,而我的看法是我刚刚说的这几个现象,其实都是符合幂次法则规律的,用幂次推理才是更可取的,更贴近真实的。

 

人们已经意识到简单的平均计算、线性递增计算,在规模或体量不断发展的当下,特别是大数据的场景,越来越不科学。这也是为什么越来越多的统计计算,不再简单的使用平均数,而是采用中位数、分位制,这样也是更科学。我希望安全行业的同行们,能够意识到我们当前存在的这些不科学的、不足的方面,进而一起努力改变。

 

那么,进一步思考,这些现象的根本原因是什么?我也给出我的解释:我认为线性逻辑是人脑对确定性的极度渴望,线性思考逻辑是人的第一反应。幂次法则是人脑对不确定性的自发恐惧,具有天然的排斥性,需要我们刻意去训练、去克制,才能用好。这个话题我们就聊到这里。

—4—

话题四:安全从业者以兴趣为师,安全工作因热爱而坚守

第四个话题,和大家聊一聊对网络安全的兴趣和热爱的话题,这也是大家工作几年时、或者换工作时经常提及的话题。

 

在安全岗位面试时,经常会碰到这种现象:应聘者说自己特别喜欢攻防对抗、渗透测试,但只要你深入追问一些技术问题,他立马就会改口说:我的从业经历没有条件深入的让我实践、学习攻防对抗、渗透测试等技能。每每碰到这种情况,我在心中都会暗自腹诽:你这不是真爱。前面说做网络安全的人有时像是艺术家,艺术的原动力就是个人喜爱和兴趣。

 

在当前互联网如此发达的时代,想学安全技术,还一定需要在工作中深造吗,我的答案肯定是否定的。我只会这样认为:这样的应聘者,只是满足自己对攻防对抗、渗透测试的一点点了解的欲望,而不是真正的兴趣使然。真正的安全兴趣、爱好是由浅入深的学习、实践的过程,也是由易到难的逐步走向专业的过程,这个过程要克服困难、要努力、要坚持、要投入精力,当然也要有自己认为值得的快乐。

 

中国有句古话:“知之者不如好之者,好之者不如乐之者。这话谁都知道,但真的能把工作发展成兴趣爱好,这个只能是少数人才能做到,就像很多家庭主妇,真的能在心底把全职在家照看孩子当作工作或职业吗?我真的很佩服这种人,他们真的做到了干一行爱一行。

 

我把当前从事网络安全的从业者分成两种心态:一种是将它作为一份工作,一种是将它作为一份职业。前者只是谋生的手段,你的目的是赚钱,而后者才是终生从事的事业,你的目的是乐在其中的赚钱。都是赚钱,二者的差别在于当满足了基本的物质生活后,那就只剩乐在其中的精神富足。这两种心态,无论是哪一种都需要你热爱它,才能坚持的更长久一些。

 

这个话题,最后一点是我给同行的建议:安全从业者要独立思考,要善于总结不从众,善于从生活中、各行各业中、从历史教训中汲取智慧,特别是在看似无关的领域。

 

上面和大家分享的我的这些观点,是我的一些浅显觉悟,希望对大家有帮助。

—5—

话题五:网络安全中的人性现象,既深刻又宽容

第五个话题,是关于人性的,网络安全中的人性现象,这里我更多想谈的是反人性的现象。先举几个具体的例子,大家感受一下:

 

第一个例子,安全团队为了应对钓鱼攻击,内部经常组织钓鱼演练,这已经是行业内通行做法,这种做法的确能提高一部分员工的安全意识,避免遭到真正的钓鱼攻击。但一旦发生真正钓鱼攻击并成功时,安全团队却说我们日常做了钓鱼演练、做了安全意识宣传,是因为你的安全意识不够。我想说的是:让非专业安全人士,具备足够的安全意识并且能成功抵抗钓鱼攻击,这种安全团队的期望是反人性的。只能是美好愿望,安全专家也做不到。

 

第二个例子,安全团队为了防范暴力破解猜测密码,设置账号锁定策略,这也已经是行业内通行做法。但你有没有想过暴力破解不是真正用户的行为,是攻击者的行为,那账号锁定后真正的用户怎么使用呢?为什么要把攻击者的行为后果转嫁到真正用户身上来承担?我认为这是账号管理方对自己应该承担责任的免责,同时把责任推给了用户。我认为:这种安全策略是反人性的。

 

第三个例子,是让用户设置复杂的密码,或者强制定期的修改密码,我认为:这种行为是反人性的。2022年1月26日,美国管理和预算办公室(OMB)发布《联邦政府零信任战略》的,附录B中的任务矩阵“必须从所有系统中删除要求特殊字符和定期轮换密码的密码政策。”因为美国研究人员在关于密码过期策略影响的定量研究论文中,发现定期轮换口令极度影响用户体验,但又不能切实提高口令安全性。

 

例子很多,我不在例举了,还有反人性的功能、反人性的操作、各种反人性的XX。所以说到这里,我突然理解了综艺节目《奇葩说》中,某辩手说过这样的一句话:只要人生中有捷径,捷径很快就成了唯一的路。我希望我们大家能明白:我们只有自己理解的深刻,才能有更好的宽容他人。这个话题就说到这里吧。

—6—

话题六:安全圈的守望相助,道阻且长,行则将至

第六个话题,我想聊一聊安全行业的守望相助。很多场合的群里或安全会议上,我们都听到这个词,很多安全大佬也经常说,但我认为安全行业,提守望相助理念是可以的,但执行起来其实是很难的事。为了传递一些正能量给大家,用一句话表达我此刻的美好愿望叫“道阻且长,行则将至”。意思就是路途漫长充满险阻,但走下去终将能到达。

 

先说这一下守望相助这个词的出处是《孟子·滕文公上》,完整一句是“出入相友,守望相助,疾病相扶持,则百姓亲睦。”翻译成白话是:人们出入劳作时相互伴随,抵御盗寇时互相帮助,有疾病事故时互相照顾,这样百姓就友爱和睦了。意思挺容易理解的,我认为这句话说的是邻里之间,一起出入劳作,一起相互守护、观望放哨,一起抵御外敌。

 

回到安全行业谈守望相助:

第一点我要表达的是:各个企业的安全团队平日可能交流并不多,各位安全从业者也不会都像朋友一样交好,企业间可能也会有互相竞争的、个人间甚至还会有相互交恶的。如果现实是这种状况,那就缺少原句中的邻里之间、亲朋好友之间的前提条件,那么相助就是空谈。缺少日常交往或走动,没有友谊这些前提条件,当某安全从业者、某企业的安全团队出现网络安全的需求、问题或事情时,别人为什么要相助你呢?怎么能相助你呢?如果非要我相助,那我觉得是道德绑架、或者是耍流氓。

 

第二点我要表达的是,很多网络安全的事情只看表象,是不能分辨善恶正邪的,我们不应该在不了解清楚背景、或只平一个新闻报道、或个人的一腔热血、不经思考,就冲动的去做事。即使是喊口号,但没有实际行动,那也只能停留在喊口号这一步了,不值得提倡。

 

第三点我要表达的是,我认为如果真的要守望相助,更多需要的是真心的行动,而不是顺水推舟的帮一把,顺水推舟的事只能算是各取所需。我们要敬畏这个行业,对同行充满善意,对弱势者给予同情,真诚去扶持。

 

相信安全行业会有执着的人、大毅力者,会坚持不懈的践行“守望相助”的理念,那么美好的未来会值得期待,我已经看到了一些起色。

—7—

话题七:安全技术图书,也需要有思想、有内涵、有灵魂

第七个话题,也是最后一个,我聊一聊安全同行出书,我观察到的现象和我的看法。

 

网络安全的书籍以前数量很少,现在越来越多。这和信息技术整体发展有关,毕竟国内IT发展不过30多年,也符合事物发展的客观规律。

 

在我看来,许多安全图书,特别是安全技术图书,只是外表像书罢了,不过大家也不用愤慨,也不用喷我,我也无意冒犯已出书的各位大佬。这只是个人观点,想一想:许多人也只是外表像人罢了,这么一想或许心灵也就平衡了。

 

我对安全图书好不好的评价,比较主观。我认为用诗意文字讲述网络安全,将科普性、故事性和艺术性完美结合,或许才算是一本优秀的安全书籍。这里强调四个词:诗意文字、科普性、故事性和艺术性。

诗意文字就是作者的感情含在文字中,读者又被超越文字自身内涵的联想所触动。对于翻译外文书,还要兼顾信达雅,我就不扩展的说了。

科普性的特点:一是有专业知识,二是简单易懂,相对通俗;

故事性的特点:一是强调语言逻辑,二是能够吸引人,也就是可读性,三是给人以启迪;

艺术性的特点:一是有形象、有精神内涵,二是要独创原创,三是符合大众审美(真善美)。

 

一本好的网络安全图书,无论是技术的、管理的、理论的、实践的,让我们收获的不单单是某些安全知识,某种职场技巧,或者某种方法论,像PDCA、ATT&CK,他应教给我们的是一种严谨的思维方式,是一种让我们学会把自己的眼光放得更加长远、更高层级的决策能力,他应该促使我们养成独立思考的习惯(网络安全、信息安全、数据安全等等),他应该引导、启发我们不断挑战技术,不断创造,培养我们坚毅的性格和创新精神。他没有给我们一条大鱼,却把捕捉大鱼的方法和思想教给了我们,也就是中国那句古话“授人以鱼,不如授人以渔。”的道理。

 

安全技术图书,写技术当然是没问题的,但不应只写技术本身,还应包含技术背后的发展逻辑、思想观点;技术书写代码也当然是没问题的,但不应该只写代码示例,还应包含代码编程背后的创作逻辑、特征思考、创作理念。任何技术、代码一百年后,或许都没有什么参考价值!我们需要着眼未来,来指导当下。

 

最后,现在有很多“安全工具书”,所谓工具书就是看了能快速解决问题的书,这类书当然有价值,但我认为价值有限,更适合刚踏入安全领域的初学者。安全专家、资深人士出的安全图书,应该有自己的体悟和见解、思维方式和思想体系


坚信少却更好,坚定元认知传播,坚持安全美学,拿个主题,讲300秒就够了。


赞(3) 打赏
未经允许不得转载:黑客技术网 » 安全和美-我对网络安全的观察和思考
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏