从经济学视角看安全攻防战场转移逻辑，以及安全与IT关系之前世今生的重新思考

1、自给自足的小农经济时代

90年代，中国开始逐步从国外引入了电脑这个新物种，那时候流行的是台式pc与自组装pc（俗称兼容机）。彼时，电脑还是一个比较昂贵的电子产品，仅仅有少数家庭和政府机构会采购这类东西，大家的计算机知识和安全防范意识还相对比较淡薄，加上操作系统和应用软件的安全开发还不规范，导致钓鱼攻击、网页木马、软件绑马、USB病毒等问题层出不穷。

所以在那个时代，pc反病毒、pc补丁管理、浏览器安全配置、操作系统基线配置等功能成为安全软件的主流刚需，这些场景自然也成为安全攻防的主要战场，无数的黑客技术与反黑客技术互相博弈，此消彼长。

 

2、城镇化加速时代

进入00年后，中国的民营企业、国企、政府的电子化办公需求不断增加，笔记本、pc电脑开始大量在办公场景中使用。

而办公场景最关心的问题之一就是“敏感数据泄露”，尤其是政府部门，数据安全基本上红线级别的刚需。所以，任何会导致数据泄露的风险问题，都受到了市场的空前重视。安全产品也正是从这个时期开始，逐渐呈现井喷之势。

• DLP数据防泄漏
• 终端杀毒软件
• 数据存储加密硬件/软件
• 边界网关设备
• 防火墙
• 终端入侵检测系统

 

3、工业化时代

时间来到2010年前后，IDC、云计算逐渐兴起，计算机开始越来越多地进入到制造业和服务业的生产环节中，成为企业提升生产效率、提升企业价值的核心利器之一。计算机不再是寻常百姓家书桌上的小工具，而更多是在中心机房里一排排密布的机柜中，俗称workload。

因为云计算的快速兴起，攻防的战场从传统的个人pc向云的workload转移。但由于和云相关的“安全架构”和“安全治理”并没有及时被提出以及应用落实，导致在相当长的一段时间，云服务器都是处于裸奔状态，大量的安全层出不穷，

• 弱口令，暴力破解
• web漏洞入侵
• 中间件rce漏洞入侵
• 挖矿病毒
• webshell植入
• 网站挂马
• 勒索病毒

在这样的背景下，一大批“外挂式”的安全软件应运而生，他们基于各种“hook技术”、“事件监控技术”，从旁路对操作系统的一举一动进行监控，采用云的方式对workload进行实时的检测和防御保护。

 

4、新型城市化

进入2020年，一场疫情，深刻地改变了中国的IT化、信息化进程，从政府到企业，到个人，每个人的生活和工作方式都在被迫发生改变，当然是向好的方向。因为可以说，疫情从某种程度上是加速了中国的信息化、数字化进程，加速了旧产能的淘汰。

整个产业界都开始重视“安全架构”和“安全治理”，这2方面的人才和架构理念被越来越多的提出与实施，

• K8容器化，通过使用容器集群代替原有的vm服务器，一方面大幅度缩小了攻击面，另一方面可以更方便地进行权限管控
• iDaaS统一身份认证，通过将身份认证收口到一个统一的SSO中心，避免了账号体系孤岛问题，一套身份，处处通行，极大减小了密码相关安全问题
• Serverless函数计算、API网关、轻量级容器应用，将企业的对外服务功能原子化、api化，对外只暴露有限的攻击面，并在api网关处统一进行有效地安全防护，极大提升了安全水位
• 零信任架构，随着BYOD越来越成为趋势，零信任缓解了企业原有边界消失带来的安全问题，通过可信终端接入，企业的内部敏感应用对外部是透明的。只有通过安全验证并始终处于安全状态的终端，才能被允许进入企业内网。
• 云虚拟PC，一种代替传统pc和笔记本的边缘计算架构，通过将cpu、内存、磁盘等重算力组件，上移到云端完成，终端只需完成少量的显示与渲染任务，大幅降低了成本，同时也方便对数据使用进行管控，提升了数据安全性
• 数据防泄漏服务，包括数据库、云端存储、本机文档泄露，数据防泄漏解决方案要解决的是数据全生命周期管理，包括敏感数据识别、分级、流转识别、ueba等目标。

在这种新的态势下，“安全攻防”处于什么样的位置呢？

我觉得核心道理还是没变，不管“安全架构”和“安全治理”如何进化，但是系统还是由人来运转的，核心还是人，只要有人，“安全攻防”就永远存在。比如

• 即使在可信终端环境下，使用终端的人还是存在被钓鱼攻击的风险
• 办公电脑存在恶意代码植入的风险
• 针对终端BYOD设备的漏洞攻击，以及与此相关的补丁管理
• K8以及零信任架构下，内网之间的流量安全审计
• 终端设备的资产、软件管理
• 云原生环境下的数据生命周期安全管理
• API网关以及API链路间的漏洞防御以及数据安全管理

 

5、关于“安全”的三种不同层次的概念 

笔者这里还想谈一下关于“安全攻防”、“安全治理”、“安全架构”这3个概念之间的关系。

• 所谓“安全架构”，更类似于国家政治制度、法治制度、社会治理结构之类的概念，它是一种整体的、宏观的机制性设计，通过逻辑合理的架构设计，可以从根源上消除潜在的安全风险。例如，通信双方使用https协议进行会话加密，这种网络协议架构设计就从根源上杜绝了嗅探、中间人注入等安全风险，此时在链路保密这个战场上，安全攻防就没有用武之地了，当然这并不是说安全问题就不存在了，在其他环节上依然可能存在新的风险点，只是战场转移了。
• 所谓“安全治理”，更类似于政府司法机构，依照一定的法规对社会进行管理的概念，它以一种有针对性地、按照既定策略的方式，对目标对象进行综合性地检查、整改、定期复查，以期让被整治对象长期、动态地处于一种相对安全的状态。例如，漏洞补丁管理通过定期检查官方的补丁rss源，并且和本机的软件资产库进行比对，定期向管理员推送最新的漏洞补丁升级提醒，以期让本单位系统始终处于相对安装状态。
• 所谓“安全攻防”，更类似于公安刑侦机构之类的概念，通过一定的刑侦对抗技术以及刑侦工具，从社会海量的日常行为活动中识别出犯罪分子，并予以精准打击，本质是一种“面向人的对抗”。

这3个概念，是3个逐层向下的结构。

原则上，如果“安全架构”和“安全治理”做的好，社会应该处于相对安定的状态，犯罪分子也就很少，或者说犯罪成本就很高，这个时候，对“安全攻防”的需求就会减小。

但现实情况是，“安全架构”和“安全治理”是一个渐进上升，逐步迭代的过程，就类似我国从改革开放后这40年的社会治理，也是不断完善纠正的过程，也经历了很多波折，所以，在相当长的一段时间，“安全攻防”还是有存在的刚需。