4月19日,笔者应邀参加了绿盟科技承办的RSAC2016大会,可以说RSA2016上中国的明星安全厂商都来做了分享。有绿盟科技、华为、微步在线、山石网科以及启明星辰,阵容非常豪华。其中来自华为的陈恺博士与大家分享了“从RSA看网络安全合作与协同”,再次提到了安全生态建设的重要性。

中美安全理念的差异——盲目求全与单点极致

陈恺提到,目前网络攻防的天平并不处于平衡状态,攻击方往往处于有利位置。第一,从技术角度上来说,攻击永远处于主动地位,而防守方只能跟随攻击者的脚步;第二,从经济角度上来说,攻击者背后往往拥有强大的灰色产业链,一旦攻击成功,就可以从中攫取巨大的经济利益,而防守方的经济利益却非常不稳定;第三,从合作的角度上,攻击者往往配合默契,得手后便全身而退,而防守方看似强大却各自为战,总是给攻击者空子可钻。而在应对这种攻防不平衡的局面上,中美双方的安全防御理念也截然不同。

国外的安全厂商在安全领域专注的方向比较专一,只做单一的产品。如卡巴斯基主要专注于杀毒软件,FireEye专注于威胁情报和沙箱技术。它们之间更多的是共同协作,将自己单一的产品通过多家公司的共同整合,形成一个解决方案提供给客户。国外安全厂商的宗旨是寻求合作伙伴,或者可以说是生态系统中的合作伙伴帮助用户去解决问题。

与国外厂商的专注不同的是,国内厂商追求横向发展,产品上盲目求全。另外,在威胁情报的共享方面,尤其是涉及到保密的信息时,国内厂商并不愿意和别人进行分享。然而安全是一个很大的领域,专业性非常强,一家厂商做不到大而全,这样就很容易被攻击者打得千疮百孔,从而失去防守的意义。再加上国外在尖端安全技术方面存在严格的出口限制,因此国内的网络安全形势相当严峻。

从单点防御到协同防御

那么,面对这样严峻的形势,陈恺认为网络安全防御应该是合作与协同的模式。企业和企业,以及企业和政府之间应该存在紧密的合作关系。因为网络空间已成为陆海空天之外的第五大空间,网络安全会涉及到国家的方方面面。国家一定要管制,这方面的法律规定等安全合规,企业一定要遵循,而且是应尽的义务。企业与企业之间的协同,也是打击网络安全威胁的重要手段。那么,从一家企业的单点防御,到企业与企业之间、政府与企业之间的协同防御的转变势在必行。

但是有一点应该注意。陈恺指出作为一个企业,在合作或协同的过程中,心态应该是开放的。当然作为一个企业来说,一定要在核心业务上掌控自己的主动权,要控制合作过程中在这方面的主导。在今天这个以“连接”为特征的信息时代,迅速适应新环境的方法就是优化合作关系。高质量的合作伙伴为企业提供了一个丰富的外部资源库,使企业能够在专注自身核心业务的同时调动和利用外部资源,达到四两拨千斤的效果。

不过,这不意味着企业可以放弃核心竞争力。如果缺乏核心竞争力,企业如何能够吸引优秀的企业与自己合作呢?但同时为了合作和协同,还要创造更多的条件,如业务合作渠道,技术上开放接口,对合作伙伴的培训支持等。如英特尔和微软,就是围绕自己的核心产品开源部分标准和协议,同时为合作伙伴提供必要的培训和支持。

生态建设推动协同防御发展

为达成企业与企业、政府与企业之间的协同防御,在去年中国互联网安全领袖峰会上,BAT等巨头呼吁大家建立安全生态联盟。腾讯也先发制人,在今年年初就率先拉拢绿盟科技、赛门铁克、北信源等国内外著名安全厂商成立云安全产业联盟。陈恺提到,在RSA2016大会上,安全研究和分析公司Securosis直言,如今安全威胁防护产品、解决方案和服务虽然发展非常迅速,但是仍然赶不上安全威胁的变化速度。因此,所有企业应该协同起来,形成一个完整的安全生态闭环,将所有的安全防护产品和解决方案联动起来。在这个生态闭环内,安全产业上下游的企业共享威胁情报,共同创新,迎接安全威胁挑战。

陈恺认为,安全生态建设应该围绕安全技术、安全产品、安全解决方案、安全服务与安全工程方法五个维度进行,并开展广泛而深入的合作。具体来说分为以下四点:

第一,在保证企业核心利益不受损失的前提下,开源自身部分的源代码,通过开源社区或者其他形式回馈给安全生态,提升圈内整体安全能力;

第二,开放自身安全产品或者解决方案部分标准和协议,接入其他厂商的安全产品,形成一体化安全网关或者解决方案;

第三,引入第三方进行安全评级,将安全厂商安全能力量化,促进企业健康发展;

第四,建设开发者社区或者开发者联盟,将开发能力输出,培养更多的优秀开发者;

第五,形成统一的标准或者产业联盟,促进安全产业上下游企业更加充分的协同合作。

以华为为例,陈恺表示华为的企业宗旨是开放合作共赢,我们从一个通信厂商往ICT厂商转变,就要转变企业运作的思维模式,要跟大家建立各种合作,合作共赢是一个大的方向。如果你是一个安全供应商,一个合作伙伴,你应该在你的安全的合作、开发、运营的过程中应该要有转变,而安全生态则是最优的转换形式。

当然生态建设还不仅仅限于网络安全领域,整个企业级市场乃至整个ICT领域都需要建设生态,想要了解更多的生态玩法,不妨来2016中国软件生态大会,50位大咖陪你聊生态!


文章来源:中国软件网