<mark id="oztn4"></mark>
1
| 本文作者： 李勤 | 2018-01-12 09:34 |
最近聽了個段子，一個男生用約炮神器約了另一個男生，一見面都熟練地拿出一個安全套。
兩人恍然大悟：“蛤？你也是攻！”
在阿里安全資深專家“杭特”吐槽“安全圈‘攻’太多了！”那一瞬間，雷鋒網宅客頻道（微信公眾號：letshome）很想把這個段子講給他聽。
“哦，我知道你想多了，‘攻’的人比‘防’的人多太多了，所以這個行業才發展不好。”杭特一邊笑。
杭特，是一個熱愛動漫的“中二”中年安全研究員——他的花名音譯自“hunter”，來源于他最愛的動漫《全職獵人》，他負責的兩個實驗室，一個命名為“獵戶座”，一個命名為“雙子座”。
杭特本科畢業于山東大學數學專業，在中科院軟件所讀了網絡安全相關的碩士專業，隨后在綠盟從業 8年，再到阿里干了 4 年。當然，雷鋒網可以告訴你他的真名叫“曲某某”（安全圈花名不便透露，提示一下“冷酷曲”）——自從他領教到美國簽證處對安全人員的出國審批十分嚴苛后，再也不想把自己的真名和安全行業聯系起來。
但這樣一個安全行業的老司機，依然保有他所說的熱愛動漫的“中二”中年的單純，和雷鋒網宅客頻道約聊的主題是“憤慨地吐槽下安全圈的怪現象”。
口述：杭特|文：李勤
2006年，從中科院軟件所網絡安全專業畢業時，我有三個選擇。
第一，讀研時我和日本研究小組做了個研究項目，谷歌當時校招只接受現場宣講投簡歷渠道，來我校宣講時我去日本進行項目答辯，完美錯過。
第二，IBM 是該日本研究小組的參與方，因為這個項目獲獎了，如果找人推薦，應該可以走通 IBM 這條路。
當然，這些都只是可能通往向互聯網產業的康莊大道，第三條路是我給自己選的——到綠盟做安全。
我當時想了想，前面兩條路都挺好的，但架不住我是真心喜歡安全的。
我還記得，當年還是一個小菜雞的時候，在數學系機房兼任網管。有一次機房被IP位于德國的黑客入侵，但我卻不知道怎么把對方趕出去。
知恥而后勇，自此我投入了網絡安全研究的星辰大海。
大家都知道，綠盟的研究范圍是很濃的，也有安全圈的黃埔軍校之稱，一開始我干得很開心，在針對某些軟件的漏洞挖掘上產出了一些成績。挖著挖著，我覺得不對勁了——怎么這個軟件的漏洞是挖不盡的？挖洞、補洞、再挖洞、再補洞……這是個死循環，這種安全思路對行業發展真的起到了促進作用嗎？
2014年，帶著這種困惑，我跳到了甲方——阿里巴巴，希冀轉變角色能解答我的疑問，此時我也正從一名“攻擊者”向“防守者”轉變。
這種轉變讓我看清了上述問題的癥結：現在冒出來的安全企業這么多，我們搞得這么猛，為什么出現的信息泄露事件依然這么多？我覺得安全沒有經歷真正的發展，攻擊者太多，防守者太少。
你要說了，很多人不是提倡“不知攻，焉知防”嗎？
但我感受到的是，“攻”的人挖漏洞很厲害，在一條馬路上發現了很多的坑，但是往往大喊一句“這里有坑”，差不多就完事了，剩下“坑”還是“坑”，而且讓“坑”暴露在外，卻無更有效的解決辦法。
另外，我們不需要這么多的攻擊者。
正常來看，攻與防的人員對比應該是1:2，但十個安全研究者中，可能有 9 個是做“攻”的。
這產生了一個問題：“攻擊”意味著你能挖到很多漏洞，在“軍備競賽”中，大家都攢了“核彈”在手里，不可能隨時互相扔著玩。對國家和企業而言，是不是應該鍛造更強的防守能力？
現實是，我是從攻擊者慢慢轉變成了防守者，很想卻很難地招到現成的“守”。
“攻”遠遠多于“防”，我認為有三個原因。
第一，人才培養手段單一，培養的是單點人才。
想必不是我一個人吐槽過，現在很多企業收到的安全人員的簡歷是——我打過什么 CTF 和 PWN 類型的比賽。
第一種比賽，培養做題和漏洞挖掘的能力；第二種比賽，也是主打挖掘相關軟硬件的漏洞，然后上場比賽。針對后一種，想必大家有所體會，近兩年國外著名 PWN 比賽的選手，很多是中國的安全研究員，有些賽場主要是中國隊互相PK。
最近我聽說了一個消息，上層內部發文稱，不鼓勵中國的安全企業派人參加國外的 PWN 等比賽，個中意味，大家自己體會。
另外，很多白帽子屬于野路子出來的，也就是半路出家，精通的是某一個垂直領域，沒有經歷系統的學習，是“單點型”人才，比如，他對反序列化漏洞特別了解，擅長抓這個漏洞。再讓他搞別的，他搞不了，而我們需要的是系統結構型人才——具有攻與防的技術素養，并且有密碼學等知識背景，能夠快速適應企業真正安全工作的需求。
第二，雖然冒出了很多安全企業，但是可能還是“什么熱，研究什么”，但很多很重要的漏洞卻不是我們發現的——比如開源框架的“心臟滴血”和最近曝光的英特爾 CPU 漏洞。
現在，整個安全產業是“一塊塊補丁”，大家都在努力“貼膏藥”，這不好。
第三，我想舉個例子，大家自己體會+1。美國對國家級安全項目是這樣抓的：驗收指標不是由直接承擔項目的專家定，而是由另外參與項目的團隊制定，從項目申請開始到項目結束，對樣本和結果有效性的 PK 貫穿項目始終，這樣做出來的東西會越來越好。
我總結的中心思想是：攻防比例要均衡，要以防護為主，研究方向要平滑，不要光追熱點。
不追熱點，追什么？追大勢。
老馬在 2015 年說過，我們正從 IT 時代轉向 DT（數據技術） 時代。
數據在每個企業的地位是什么，大家心領神會。但對于數據安全，我有不同的想法。
我認為，數據安全的范圍遠不止守護一臺服務器，我們要做到的是，即使數據被泄露，攻擊者也無法解密數據，達到“可用而不可見”。
如果你關注業界進展，就會發現某主流芯片廠商正在研發一項與此相關的數據加密技術，目前該技術還處在前沿研究階段，但中國的互聯網大廠基本都在跟進該技術，當然，也包括我們。
如果真的把這項技術應用于改造業務，這意味著以后大家只需要著重管理數據采集階段的安全以及守護密鑰的安全。
當然，這并不意味著挑戰減少了。
在數據搜集階段，哪些數據該搜集，是否符合國家隱私政策，以何種手段能保證采集的信息就是加密的，在搜索和使用等流通環節，在數據加密的條件下，依然能夠順利、高效地使用數據，如何證明數據的原始所有權歸屬，源頭數據就意味著這是真實數據嗎？如何在加密數據丟失后卻能反向跟蹤竊取者……
除了數據安全，我還認為，自動化工具可以是研究方向之一。在安全對抗中，不要想著以肉身一敵百，要善于利用自動化工具以一敵千。
不久后，我會做一個以防守為主的競賽，如果你不信，可以試試看，人類智慧凝聚的自動化工具與肉身同場對敵，箭矢鋪天而來，我相信，這樣的環境能讓你明白，我所說的防守與以一敵千是何等重要。
想聊下安全圈里的事兒，歡迎關注微信公眾號“宅客頻道”。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
