安全建设从扁鹊三兄弟，到程咬金的三板斧

在《如果身处企业高管的位子，你会关心哪些安全问题？》的文章结尾，我提出「扁鹊三兄弟」的故事已经过时了，应该多多提倡「程咬金三板斧」的思路。

相信很多安全从业者，尤其是安全顾问，都接触过「扁鹊三兄弟」的故事，其核心的内容是：

扁鹊大哥推行「七分养、三分治」，在病人发病前就将疾病治好了，因此没有人觉得大哥医术高明；二哥善于在病发初期将疾病治好，别人往往觉得因为疾病不严重才容易医治；而扁鹊只能在疾病症状较严重时才能判断用药将疾病治好，但却因为经常是救人于危难，却成为了天下闻名的“神医”。

这个故事的寓意很明显，那就是在安全建设上要学习扁鹊大哥的思路，不要等到出了严重安全问题在「医治」，而要从一开始做好全方位的防御措施，防患于未然。这个道理本身并没有什么错，但是在网络安全2.0的今天，这个思路就面临越来越多的问题与挑战了。

第一个面临的问题与挑战，就是全方位的安全投入产出比问题

在安全投入调查中，IT安全占IT市场的比例这一数据，全球平均是3.74%，美国则达到了4.78%，而中国则只有1.84%。这说明什么？在国内安全投入还远远不够，平时都信誓旦旦的重视安全，真到砍预算的时候，安全预算还是首当其冲。

在安全行业发展早期，市场上的产品就那么几种类型，而且都是安全合规必需的标配，所以基本不用考虑该不该上，重点只是先上后上、上谁家产品的问题。但现在安全细分领域产品层出不穷，如果安全建设还强调大而全的思路一股脑儿把所有产品都上一遍，那结果就是钱花了不老少，但由于重点不突出、刚需不明确，造成建设效果体现不出来。

第二个面临的问题与挑战，就是防御再好也不可能一辈子不中招

强调「七分养、三分治」的思路没有错，但问题是这样做就足够了吗？当然是不够，而且是远远的不够。原因很简单，防护做的再好，也有存在纰漏的地方，而且一般是先有威胁才会有对应的防护措施，这里面存在着一个时间差呢。

简单来说，不管多好的防护都会被攻破的，平时采用扁鹊大哥的思路，并不代表扁鹊二哥、扁鹊的能力就不需要了。在网络安全2.0的今天，对发病初期的迹象检测，以及具有针对性的快速处置是对「七分养、三分治」的有效补充。

第三个面临的问题与挑战，就是只注重防守在安全对抗中太被动了

《孙子·谋攻篇》中说：「知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆。」 意思是说，在军事纷争中，既了解敌人，又了解自己，百战都不会失败；不了解敌人而只了解自己，胜败的可能性各半；既不了解敌人，又不了解自己，那只有每战必败的份儿了。

扁鹊三兄弟里面，扁鹊大哥强调「平时调养」是偏重知己，扁鹊自己擅长「临危救急」是偏重知彼，扁鹊二哥是有点折中，但优点是「反应快速」。如果把扁鹊三兄弟像葫芦娃一样进行合体，不正是网络安全2.0所强调的基础防护、实时监测、深度分析的主动防御体系吗？

为什么说程咬金三板斧战略是新防御体系需要的

扯了半天扁鹊三兄弟，这和程咬金三板斧有什么关系呢？关系就是以前安全强调防护，需要自己健壮；现在安全强调对抗，需要自己勇敢。这里所谓的「勇敢」，绝不是横冲直撞的「鲁莽」，而是在自己强大实力的基础上，寻找敌人的破绽与弱点，从而达到一招（或几招）制敌的效果。

很多人受影视作品影响，想到程咬金就联想到只会简单几招，和秦琼这样的高手相比实力弱了很多。其实不然，出道就获得了「混世魔王」的称号，明显也是个不太好惹的主儿，并且能够成为唐朝开国大将，位列凌烟阁二十四功臣之一，说明其具有一等一的高手实力。

在高手如云的动荡年代，使用「三板斧」的战术身经百战，可见对「三板斧」也不能小瞧。不如我们先来看看这三招到底是什么：

第一斧：劈脑袋-用斧头从上往下砍，无论对方攻击不攻击他，程因为只会这三斧子，所以大发拼命，而对方往往方寸大乱。

第二斧：鬼剔牙-在对方横武器招架时，收斧头，献斧纂，攻击对方面部，由于速度快，对方一般都使用铁板桥躲避。

第三斧：掏耳朵-在二马错蹬时，回身横扫，由于对方前招为铁板桥，刚起身，很难躲闪，所以这三斧子很厉害。

这三招，看似简单，但是很实用；看似随意，其实目的性很强；看似莽撞，招招都奔着要害。这个战术，能够给安全工作的启发，我看到了这么几点。

第一：对敌态度不再只是被动防守，而是要具有能够对抗的勇气和能力，很多时候还要通过进攻，来弥补防守；（主动防御）

第二：既然是生死一瞬间的对抗，不能在漫无目的进攻，一定要知道敌人的关键弱点与要害，并且有自己一招制敌的核心能力；（深度分析）

第三：天下武功唯快不破，整个过程不拖泥带水，不但出招动作要快，临场反应、处置也要快，不给敌人喘息的机会。（实时检测）

最后说明一下，讲故事是咨询顾问所具备的基础能力之一，只要故事能够讲的圆、能够表达自己的想法就达到了目的，对于故事的出处、细节等等就不在此纠缠了，否则本末倒置就成了研究茴香豆的茴字有几种写法了。