中國網絡安全人才之“怪現狀”——安全圈兒里全是攻？_SDL

小咖見大咖：阿里巴巴資深安全專家杭特，跟我們一起扒一扒為什么安全圈兒里全是攻？

根據《第十一屆網絡空間安全學科專業建設與人才培養研討會》的數據顯示，“我國網絡空間安全人才年培養規模在3萬人左右，已培養的信息安全專業人才總量不足10萬，離目前需要的70萬差距巨大。”缺口不小，但目前安全人才的歷史存量和每年的增量，其結構是不是合理，是否反映了產業的需求呢？

阿里安全資深專家杭特在安全行業從業十余年，甲方和乙方公司都有經歷。他認為，相對于歐美等發達國家，國內人才培養在結構和技能方面，有幾個“怪現狀”。

杭特這個名字，來自于Hunter重視“攻”，輕視“防”

攻防就如同硬幣的兩面，哪一方面都不可或缺，因此才出現了“以攻促防”，“未知攻，焉知防”之類的金句。但現實往往不盡如人意，這些金句實際上也只做到了前面一半，后一半則明顯薄弱，最終成了“虎頭蛇尾”，“強弩之末”。現在安全人才在總數不夠的前提下，防守人才更是極其匱乏，比例嚴重失調。表現形式很多：

情形1：對于搞Web漏洞和滲透的人，八成以上不知道怎么搞SDL；

情形2：技術類的文章，大部分都是攻擊挖洞類的文章，至于防護方案，通常只有短短幾句，“已將問題提交廠商”、“不要使用弱口令”、“及時更新系統”等等；

中國網信辦發布第六批境內區塊鏈信息服務備案清單:據官方公告，根據《區塊鏈信息服務管理規定》（以下簡稱《管理規定》），國家互聯網信息辦公室依法依規組織開展備案審核工作，現發布第六批共202個境內區塊鏈信息服務名稱及備案編號。根據《管理規定》要求，區塊鏈信息服務提供者應當在其對外提供服務的互聯網站、應用程序等顯著位置標明其備案編號。備案僅是對主體區塊鏈信息服務相關情況的登記，不代表對其機構、產品和服務的認可，任何機構和個人不得用于任何商業目的。網信部門后續將會同各有關部門，依據《管理規定》對備案主體進行監督檢查，并督促未備案主體盡快履行備案義務。請尚未履行備案手續的相關機構和個人盡快申請備案。[2021/11/9 6:41:45]

情形3:一個個基礎系統被攻破，2G有偽基站、4G也能被降級劫持、Wi-Fi不可靠、藍牙不安全，操作系統天天打補丁還能被控制。安全Geek們無所不能的同時，也得保護好自己，把自己武裝到了牙齒，“我小心故我安全”，但想做到獨善其身很難，你的爹媽和親戚朋友可咋辦？別說那些高大上的，密碼太多記不住，這么現實的問題，讓歲數大的人怎么解？

依大咖杭特之見：攻擊技術很重要，相關人才也要占領高地，高價值漏洞這樣的戰略武器一定要有，但這絕不是網絡安全的全部。打個比方，相對于目前多方都有“NUKE”的現狀，造十枚還是百枚核彈并沒有區別，反而是類似于美國的TMD更顯重要。我們有如此多的系統需要建長城來守衛，期待更多防守人才的出現和貢獻。

艾安軍：構建區塊鏈監管沙盒，構筑中國網絡安全的新力量:3月29日消息，部原十局局長艾安軍在局·勢 | 新力量 2021 區塊鏈生態應用創新峰會上表示：隨著新基建加速落地,新基建安全，尤其是5G、工業互聯網、數據中心、人工智能等數字基建的安全問題受到業界高度關注。

區塊鏈監管需從以下三個方面實現：一是整合鏈上鏈下數據，以及不同區塊鏈系統的數據，形成統一的綜合性區塊鏈信息庫，并實現高效智能的信息檢索查詢管理；二是實現對區塊鏈系統中各種交易模式的識別，進一步分析識別出非法的交易行為；三是分析區塊鏈鏈上數據中的非法輿情信息，以及鏈下的互聯網和現實中的區塊鏈相關輿情信息，實現全面的區塊鏈輿情監測。在行業標準層面，加快形成數據產權保護機制，促進數據產權標準化，構建行業標準體系，在數據產權清晰的基礎上推進行業自律規范。在市場應用層面，形成市場與政府協同管理機制，確保數據從采集到應用再到交易等環節的安全可控。面對新基建浪潮的全面開啟,我們要進一步提升在高速數據處理、海量數據獲取和深度信息挖掘上的技術能力,積極利用人工智能、邊緣計算、區塊鏈等新技術,持續優化網絡智能化產品體系,構建開放的安全平臺,為新基建加速落地以及數字經濟蓬勃發展奠定安全基石。[2021/3/29 19:26:13]

重視“攻防”，輕視“數據”

中國網安安紅章：應推動區塊鏈基礎設施建設:中國網安區塊鏈研發中心總經理安紅章表示，診斷收益和數據收益的分攤、醫療事故責任和數據泄露責任的界定，是遠程醫療的堵點，這些障礙的本質是各醫療機構之間相互不信任，而區塊鏈就是用于解決信任問題。由于缺乏跨地域數據共享、技術協同平臺，不同省市的區塊鏈技術標準不同，多方實體的數據協調難度大，目前還未能實現全國范圍的“健康碼”鏈上數據互通。安紅章說，區塊鏈本應成為解決省際流動人員健康數據互信問題的關鍵技術，因此應推動區塊鏈的基礎設施建設。（經濟參考報）[2020/4/30]

大部分業界從業者認為，安全就是Security，但實際上對應的英文單詞有兩個，我們先來區別一下。

Safety：確保生命、健康、財產、權益人數據及物理環境等方面不存在災難性后果；

Security：內外部的保護，以避免無意或者未授權的訪問、改變、破壞或使用。

之前網絡安全大部分都屬于Security的范疇，但隨著IoT和ICS的出現，動動鼠標也能物理危害人身安全，從而擴展到了Safety的領域。由于Safety更注重能影響物理世界的安全，因此作為爭奪“EIP”控制權的“攻防”是最為重要的；而Security要重點保護的，其實是“數據”的控制權。

聲音 | 中國網：警惕傳銷披上區塊鏈馬甲:中國網今日發文《警惕傳銷披上區塊鏈馬甲》。文章表示，區塊鏈作為一種具有顛覆性的核心技術，具有廣泛的應用場景，但有些人卻動了歪腦筋，利用許多人對區塊鏈的好奇心，把騙術和區塊鏈、數字貨幣“融合”了。在許多案例中，受騙者多少聽說過區塊鏈，但又不太懂，就被這些人下了套。而且在傳銷過程中，下線再發展下線時，是由熟悉的親友或鄰居告知，更容易讓人放下防備。其實，所謂新騙術并不新鮮，不過是給原本的傳銷套路披上了區塊鏈、數字貨幣這類新概念的“馬甲”，是換湯不換藥的騙局。其實防騙并不需要每個人都對層出不窮的新概念、新技術了如指掌，只要人們在面對誘惑時頭腦冷靜，牢記“天底下沒有免費的午餐”就可以了。[2019/11/25]

可惜的是，絕大多數的安全人才都把精力放在“攻防”上，認為只要拿到控制權，就能拿到數據，但事實真的如此？舉個反例，不考慮物理攻擊，現在iOS的指紋數據貌似還沒有人能拿到，即使能完美越獄又如何呢？在這里筆者再引申兩個問題，供大家可以思考：

問題1：不借助硬件，有哪些領域的數據安全需求是和漏洞一點關系都沒有的？

問題2：不考慮可用性問題，一個系統給你root/admin就真的非常可怕？

聲音 | 中國網絡節目服務協會何薇：區塊鏈等電子存證比傳統方式更加便捷:據人民網消息，中國網絡視聽節目服務協會知識產權顧問何薇認為，相較于通過公證書取證的傳統方式，新興的時間戳和區塊鏈等電子存證、取證方式更加便捷、高效，不但能大大縮短當事人準備訴訟的時間，也能極大程度降低當事人舉證、質證等訴訟成本；同時，也更加順應我國新一輪司法改革的方向，即采取更加便民、高效的互聯網審判方式。[2018/12/4]

依大咖杭特之見：安全要搞清楚保護的對象是什么，而這些對象也隨著產業發展不斷變化。“EIP”控制權的爭奪應該更多的面向與物理世界相連的設備，而其它的場景，則應該重點關注“數據”的控制權。數據已經成為DT時代的石油，是產生價值的新能源，如果還是用傳統的漏洞思維來談數據安全，是肯定做不好的，密碼學久違的春天已經到了。

重視“單點、破壞”，輕視“體系、建設”

安全有一個著名的木桶理論，“系統安全性的整體水位與最脆弱的組件水位相同”，絕大多數的人都在“集中優勢兵力，從系統最薄弱的地方突破”，可是破壞容易建設難。當要保護的對象足夠多、足夠復雜，如何能成體系地進行安全建設，如何能將安全威脅收斂到可控的程度，是一件非常有挑戰的事情，下面列舉幾個：

反入侵：對于所有的企業，這都是個令人頭疼的挑戰。有句笑話，“世界上只有兩種企業，一種是知道自己被入侵的，一種是不知道自己被入侵的”。反入侵需要非常體系化的架構來控制風險。很多企業借助眾籌或藍軍模擬滲透找到某些脆弱點并完成修復，認為這樣就能高枕無憂，這種做法只是暴漏了很小的風險，連標都沒治，更別說本了。實際上SDL只是標配，WAF、RASP、各種監控、各種數據、各種算法，安全建設的任務艱巨……

供應鏈安全：前幾年APT熱火朝天，各種0day滿天飛，門檻也快速提升，攻防雙方的日子都不好過。東邊不亮西邊亮，隨著XCodeGhost的爆發，xshell、CCleaner、pip、nodejs接連中招，原來還可以這么玩？目前發現的例子都是事后，還有多少掩藏在冰山之下？目前還沒有特別有效的防護方案，要么太重型，要么太晚，面對連規則都沒有的目標，希望渺茫。試問有哪個企業和組織可以置身事外？別以為有源碼就安全了，pip和nodejs都是源碼，更別說還有算法級后門了。

防止釣魚：安全培訓天天講，可是社工這一關很多人就是過不了。別看對手low，效果還異常的好，畢竟明槍易躲，暗箭難防。

依大咖杭特之見：安全本不是平等的對抗，打開惡魔的盒子不那么難，但災后重建卻異常艱難。相對于“千里之堤，潰于蟻穴”的螞蟻，業界更需要的是為生態授粉、創造自然奇跡的蜜蜂。

重視“技術”，輕視“業務”

安全是個技術對抗非常激烈的領域，但這并不代表技術高超就能把基本問題解決的很好，黑灰產對抗就是個非常好的例子。作為一個產業，現在的黑灰產已經形成了一個完整的鏈條，每個環節都有大量的從業者各司其職。相比較那些神奇的0day，除了極個別情況，黑灰產使用的技術都是相對基礎的。即使如此仍然有大量網站被簡單的注入或者弱口令攻破，無數個人信息都在地下黑市被販賣，如果沒有徐玉玉案件引起國家重拳，現在的情況可能更為糟糕。商業上的薅羊毛也讓眾多電商網站承受資損并攪亂了市場公平，但行業里相關的人才卻很稀缺。

依大咖杭特之見：有數據表明，黑灰產的市場規模已經和網絡安全市場的規模相當，都是千億規模。整個業界的技術支持配比是否應該向1：1努力？

重視“反向能力”，輕視“正向能力”

很多人都是從滲透、逆向、分析漏洞入門的，其實這些都是反向能力，如果要達到相反的目標，也就是防止滲透、防止逆向、設計沒有漏洞的系統，一種是“反反向能力”，一種是“正向能力”，兩者并不相同。其實這個和汽車工業有些類似，早期自主品牌造車都是逆向起家，買輛樣車大卸八塊，試圖造出差不多的產品，吃夾生飯的結果就是動力、油耗、安全性都與原型相去甚遠。下面再舉幾個例子。

逆向與混淆：逆向是二進制安全的基礎，但對于很多公司來說，防止產品被逆向進而保護知識產權，是個硬需求。業界目前采用的常見手段就是花指令、防調試、執行流混淆、普通殼、虛擬機殼、白盒密碼。除了白盒密碼，其它的都屬于“反反向能力”，雖然在現實場景中大量應用，但首次分析和二次分析的強度及有效度無法用數字來度量，虛擬機殼效果好一些，但通俗點講就是對小白很難，但對專家不難。白盒密碼屬于“正向能力”的初級階段，強度至少可以通過數量級來衡量，但不幸的是，目前最好的白盒密碼也撐不過28天！美國已經開始高級階段，至少10萬美金的挑戰賽還沒人成功，東西方差距明顯。

可靠軟件：如果要開發一個功能，并確保安全可靠，很多人意識里就那么幾招，功能測試、覆蓋率測試、黑盒fuzz、白盒代碼掃描，技術高級點的再加上個符號執行，這些也都偏“反反向能力”，因為這些測試全通過了，也不代表是安全的。有些人可能會說“本來就沒有絕對的安全”，但這些測試本質上并沒有說明哪些是應該的、哪些是不應該的。而“正向能力”就是要解決這些問題，這也就是為什么別人有信心造出“無法劫持的無人機”、“功能實現正常的加解密算法和協議”。

Chrome與NaCl：如果要在瀏覽器上運行第三方插件，對性能要求高，必須得跑x86機器碼，但如何保護安全性呢？“反方向能力”基本就是inlinehook、調試器監控異常、DBI、虛擬機執行，屬于哪里有問題就去堵哪里的策略；“正向能力”就如同NaCl這種，確保生成的代碼必須符合規范，并利用x86的體系架構，在加載的時候，只要通過驗證就能確保安全性，其強度遠超虛擬機。

依大咖杭特之見：精通反向能力，未必能做好正向能力。國內的反向能力與世界水平相當，但正向能力卻實打實的低下，我們也應該開始重視正規軍的建設了。

重視“人肉”，輕視“自動化”

雖說安全的本質是人性的斗爭，人的因素不可或缺，但目前大量的工作都是低級重復性的。比如漏洞分析和逆向，除了少數特別復雜和高深的對象，大部分就是純體力勞動，以下的場景很普遍。

依大咖杭特之見：對于企業，如何才能讓安全從業者從繁重的分析中解脫出來，更多的聚焦更有價值和挑戰性的工作？如何能將部分能力沉淀到平臺而不強烈依賴個體，進而更好的規模化、易用化？

最后，大咖杭特有話說：

網絡安全產業就像一個江湖，各色人等聚集。相對于歐美國家基礎扎實的眾多名門正派，我國的人才更多的屬于旁門左道，因此在未來的人才培養和建設上，需要調整結構，鼓勵更多的人去做“正向”的、結合“業務”與“數據”、“自動化”的“體系、建設”，才能解人才之渴，真正的為社會全面互聯網化提供安全保障。

Tags：SDLAPTNUKESDL幣SDL價格APT價格APT幣NUKE價格NUKE幣

比特幣價格實時行情