挑戰(zhàn)2　抓住安全本質(zhì)，加強(qiáng)知識(shí)儲(chǔ)備

?

挑戰(zhàn)2抓住安全本質(zhì)，加強(qiáng)知識(shí)儲(chǔ)備

如今，我國(guó)已成為網(wǎng)絡(luò)大國(guó)，但由于網(wǎng)絡(luò)技術(shù)基礎(chǔ)薄弱和網(wǎng)絡(luò)空間安全人才不足，我國(guó)還不是網(wǎng)絡(luò)強(qiáng)國(guó)。4月19日上午，習(xí)近平總書記在京主持召開網(wǎng)絡(luò)安全和信息化工作座談會(huì)并發(fā)表重要講話，在講話中多次提到“網(wǎng)絡(luò)安全”，網(wǎng)絡(luò)安全的重要性不言而喻。

網(wǎng)絡(luò)空間內(nèi)，圍繞信息安全的斗爭(zhēng)是激烈的。那么，安全的本質(zhì)是什么？阿里安全部副總裁杜躍進(jìn)曾表示，沒有哪個(gè)安全產(chǎn)品是永遠(yuǎn)不會(huì)被攻破的。安全是一個(gè)博弈對(duì)抗的過程，攻擊者會(huì)不斷尋找防護(hù)方的弱點(diǎn)，防護(hù)方也會(huì)不斷探索對(duì)付新攻擊的手段。網(wǎng)絡(luò)安全的本質(zhì)是攻防對(duì)抗，不僅要了解對(duì)手的能力、特點(diǎn)和動(dòng)機(jī)，更要像對(duì)手那樣思考。而攻防對(duì)抗也隨著網(wǎng)絡(luò)空間的變化不斷催生新思路，諸如：純密碼對(duì)抗、信息數(shù)據(jù)對(duì)抗、系統(tǒng)安全對(duì)抗，網(wǎng)絡(luò)空間對(duì)抗等。

那么，對(duì)于網(wǎng)絡(luò)安全領(lǐng)域研究的學(xué)生來(lái)說(shuō)，強(qiáng)有力的知識(shí)儲(chǔ)備是非常重要的。在新方案提出的時(shí)候，是追求當(dāng)下熱點(diǎn)，還是按照自己的思路，需要進(jìn)行多方的考量。同時(shí)，前期的積累也是非常重要的。

網(wǎng)絡(luò)安全的本質(zhì)是攻防對(duì)抗，不僅要了解對(duì)手的能力、特點(diǎn)和動(dòng)機(jī)，更要像對(duì)手那樣思考。

觀點(diǎn)

韋韜：安全的本質(zhì)就是對(duì)抗

韋韜百度首席安全科學(xué)家，安全實(shí)驗(yàn)室負(fù)責(zé)人

安全和其他研究最本質(zhì)的區(qū)別就是對(duì)抗，沒有對(duì)抗，它不是安全，它會(huì)變成系統(tǒng)構(gòu)成的問題。我覺得安全是在對(duì)抗中解決實(shí)際問題，這是最核心的。這些年學(xué)術(shù)界有一個(gè)很嚴(yán)重的偏差，攻的東西越來(lái)越多，防的東西越來(lái)越少，因?yàn)榉缹?shí)在是太難做了。但其實(shí)我非常鼓勵(lì)大家做防守，因?yàn)楣I(yè)界最需要的是防守，學(xué)術(shù)界對(duì)這方面的貢獻(xiàn)并不是很好。學(xué)術(shù)界做攻擊，在保持對(duì)業(yè)界的產(chǎn)出和敏感度的同時(shí)，也應(yīng)能夠堅(jiān)持做防守，并將防守的研究做扎實(shí)。

潘柱廷：安全歸根結(jié)底是三個(gè)能力

潘柱廷北京啟明星辰信息技術(shù)有限公司首席戰(zhàn)略官

學(xué)術(shù)圈一直在進(jìn)行研究，但是依然不能滿足工業(yè)界的期望，其實(shí)是沒有找到一個(gè)解決問題的點(diǎn)。建議學(xué)術(shù)圈可以從以下幾個(gè)方面來(lái)考慮安全方面的學(xué)術(shù)線索。安全歸根結(jié)底是三個(gè)能力：第一個(gè)是檢測(cè)能力；第二個(gè)是破壞能力，破壞不是把它拆掉，而且拆掉一點(diǎn)就能夠塌，這是一種水平；第三個(gè)是塔防技術(shù)，利用先發(fā)優(yōu)勢(shì)，精心謀劃，“引導(dǎo)”攻擊路線，干擾攻擊者，針對(duì)威脅行為模式，在各個(gè)防御手段方面形成縱深覆蓋。這三個(gè)能力構(gòu)建了一定的防御體系能力。同時(shí)還可以有五個(gè)層面，包括系統(tǒng)、活動(dòng)流轉(zhuǎn)、數(shù)據(jù)、語(yǔ)義和人。

張?jiān)矗呵捌诘姆e累非常重要

張?jiān)磸?fù)旦大學(xué)計(jì)算機(jī)科學(xué)技術(shù)學(xué)院

系統(tǒng)級(jí)的安全是需要很強(qiáng)的攻防能力的，在講具體任務(wù)的時(shí)候，很多時(shí)候都在談design，但其實(shí)里面有很多inset是需要很多工作能力上的儲(chǔ)備才能知道這些細(xì)節(jié)。在我研究生階段，對(duì)安卓系統(tǒng)有過一個(gè)時(shí)間比較長(zhǎng)的攻守能力的知識(shí)儲(chǔ)備，做過一些系統(tǒng)級(jí)別的移植，這些工作能夠幫助我們?nèi)チ私庀到y(tǒng)本身的機(jī)制。在了解系統(tǒng)機(jī)制之后，可以了解它的安全設(shè)計(jì)，研究其他層面的問題。在實(shí)驗(yàn)室也是鼓勵(lì)學(xué)生不要去想太空泛的問題，應(yīng)該先扎實(shí)做一些具體的項(xiàng)目經(jīng)驗(yàn)。比如做App方面的一些工作，如果之前沒有看過別人是怎么做的，那么怎么找這里面的漏洞。因此前期的積累很重要，也是必不可少的。

楊珉：應(yīng)更多著眼于世界

楊珉973首席科學(xué)家、復(fù)旦大學(xué)軟件學(xué)院教授

目前國(guó)內(nèi)網(wǎng)絡(luò)安全學(xué)科方向上在著眼于世界的方面還是有所欠缺。不少老師都談到信息安全的頂級(jí)會(huì)議，我們鼓勵(lì)學(xué)生去嘗試，是希望對(duì)于新的安全問題的看法能夠被體現(xiàn)和認(rèn)可。成立InForSec，也是希望通過這個(gè)社群來(lái)推動(dòng)師生與工業(yè)界，與國(guó)際同行的交流，特別是思想上的碰撞。

此外，在當(dāng)前的背景下，我感覺到學(xué)術(shù)界對(duì)于信息安全有一點(diǎn)點(diǎn)不自信，特別是體現(xiàn)在對(duì)黑客攻防技術(shù)有一種崇拜感。實(shí)際上，攻防只是人才培養(yǎng)中技術(shù)門檻的基礎(chǔ)，我們培養(yǎng)出來(lái)的學(xué)生，不應(yīng)該等同于黑客，以發(fā)現(xiàn)多少漏洞作為標(biāo)志性的成果，而是更應(yīng)該鼓勵(lì)他們產(chǎn)生系統(tǒng)性的方法論，如能不能設(shè)計(jì)漏洞發(fā)現(xiàn)工具？能不能建立起更好的安全防御機(jī)制？這些是需要扎實(shí)的基礎(chǔ)，包括理論基礎(chǔ)，這也正是我們?cè)诮逃涂蒲协h(huán)境當(dāng)中應(yīng)當(dāng)著重體現(xiàn)的地方。

段海新：攻擊的實(shí)質(zhì)就是找問題

段海新清華大學(xué)網(wǎng)絡(luò)科學(xué)與網(wǎng)絡(luò)空間研究院教授

攻擊實(shí)際上是在找現(xiàn)在系統(tǒng)的問題，之前有一篇論文是《我們?nèi)绾尾钜稽c(diǎn)拯救了互聯(lián)網(wǎng)》，在這個(gè)論文的研究過程中，我們時(shí)時(shí)刻刻都在跟企業(yè)界保持緊密的聯(lián)系，并在百度的配合下作了這樣的測(cè)試，在論文發(fā)表前，我們通知了所有16個(gè)廠商。有廠商表明這個(gè)問題的確很嚴(yán)重，但是需要大家聯(lián)合起來(lái)，從標(biāo)準(zhǔn)層面上一起解決。盡管這是一個(gè)攻擊，但還是幫助了互聯(lián)網(wǎng)企業(yè)。目前，學(xué)術(shù)圈做攻擊的人的確很多，做防范困難重重，主要是缺乏相關(guān)環(huán)境。

（來(lái)自InForSec論壇）