当前位置: 首页 > 热点资讯

齐向东在BCS 2020上的演讲全文来了!

时间:2020-08-11 来源:虎符智库

 

  “内生安全的关键是管理,管理的关键是框架,框架的关键是组件化。” 8月10日,奇安信集团董事长齐向东在北京网络安全大会(BCS 2020)发表主题演讲时呼吁,要抓紧“十四五”规划谋篇布局的时间窗口,面向新基建,用内生安全框架支撑网络安全体系建设。他透露,截至目前,内生安全框架已经在近40个大型机构应用,具有“1+1>2”的涌现效应,能让安全产品和服务相互联系、相互作用,在整体上具备单个产品和服务所没有的功能,从而保障复杂系统的安全。

  内生安全的关键是管理。我们所说的管理,不是传统意义上的管理,而是一套“新管理”模式,它由数据驱动,通过与安全体系中的能力平台和服务平台有效对接,实现对安全技术、安全运行等各方面要素的有效管理,从而发现和规避黑客利用安全体系里的漏洞发起的攻击,克服人的不可靠性、弥补人的能力不足。

  管理的关键是框架。实现内生安全是一套复杂的系统工程,需要用工程化、体系化的方式实施,实现它的关键就是安全框架。内生安全框架有三个重点:“理清楚”、“建起来”、“跑得赢”,目的是通过“新管理”,让网络安全体系具有动态防御、主动防御、纵深防御、精准防护、整体防护、联防联控的能力。

  框架的关键是组件化。信息化系统的替代是“立新破旧”的过程,我们要对安全体系进行“统一设计,分步实施”,把安全框架组件化,让这些组件既能是新体系的一部分,又能部署到老系统中,从而避免把安全系统推倒重来,确保现在安全上的投资是面向未来的。

  以下为奇安信集团董事长齐向东在BCS 2020大会上的演讲全文:

  尊敬的各位领导、来宾,观众朋友们,大家好!

  感谢大家参加BCS战略峰会。去年,我们在首届BCS大会上提出了“内生安全”,得到了业界广泛认同。很多客户来找我们,想知道内生安全到底应该怎么做。

  所以从去年开始,我们专门成立了一个工作组,和20多个一线部门紧密协同,用系统工程的思想,把网络安全能力,映射成为可工程建设的安全能力组件体系,并给出一套规划方法论,设计工具集和配套的模型、架构、项目纲要,构建一个能够适应形势变化的网络安全框架,来支撑内生安全体系建设。今年3月,我们正式公开发布了这套面向新基建的新一代网络安全框架。

  截至目前,我们已经在近40个大型机构里应用了这套框架,包括部委、能源央企、金融、航空、大型制造业和数字城市,得到了很高的评价,他们说,有了这套框架,从顶层设计到落地建设运行变得很容易了。为了让更多的政企机构能快速实现内生安全,我们把今年大会的主题定为“内生安全 从安全框架开始”。

  内生安全的关键是管理

  去年的BCS大会上,我提出了“内生安全”,强调在政府、银行和大型企业等机构,通过系统聚合、数据聚合和人的聚合,不断从信息化系统内生长出安全能力,这种能力具有像免疫系统一样的自主、自成长、自适应的特点,持续保证业务安全。

  我们都知道,网络安全是高度对抗性的行业,网络安全系统包括技术、数据、人员和体制机制等,是一个复杂的系统。为了保障业务的安全性,实现这个系统的有效运转,就不能仅仅考虑产品和技术因素,而是要综合技术、管理、运行等多方面的因素。

  一个网络安全体系,必然面临着层出不穷的攻击。首先,漏洞是不可避免的,只要这个系统的0day漏洞还没有被黑客穷尽,就永远面临着未知的威胁。这个漏洞可能存在于芯片、操作系统、应用系统、网络设备等任何地方,可能掌握在任何一个未知的敌人手中,这个敌人可能随时发动攻击,造成的危害也难以掌握,它可能导致数据被盗,也有可能会直接导致系统崩溃。如果只用攻防技术来防护,被漏洞牵着鼻子走,这类安全问题是永远无法解决的。

  其次,根据FBI和CIA等机构联合做的一项安全调查报告,超过85%的网络安全威胁来自于内部,危害程度远远超过黑客攻击和病毒造成的损失。这些威胁绝大部分是内部各种非法和违规的操作行为造成的。

  最后,所有的体系都是人来操控管理的,但人是不可靠的,人本身的弱点也是网络体系最大的脆弱性。比如弱密码、密码丢失、使用不安全的设备等,甚至还有人会被策反成间谍。

  上述问题的存在,都导致了不管技术多高,我们的体系还是会失效。

  2016年,黑客控制大量摄像头进行网络攻击,导致美国东海岸大规模断网的事件,就是没有管理好摄像头的行为,而发生的悲剧。因为摄像头的正常行为,只会向指定的地址回传数据,而绝不会去访问推特、Paypal等知名网站。

  2017年,在全球范围内大规模爆发的“永恒之蓝”勒索蠕虫,利用Windows漏洞进行传播,导致大量政企机构内网沦陷系统瘫痪,也是缺乏管理酿成的苦果。微软在3月就下发了相关漏洞的补丁,但中招的各大机构因为各种各样的原因没有去修补这个漏洞,有的是没能力补,有的是怕补了影响业务,有的纯粹就是安全意识问题。

  今年7月,奥巴马、拜登、比尔·盖茨、巴菲特等多位美国政商名流的推特账号被劫持并发布诈骗信息,事后调查发现,是一个17岁的黑客窃取了推特员工内部管理系统账号的权限,已经控制了好几个月,并且在黑产市场交易获利。如果对身份、行为做了有效的管理,这种事情就不会发生。

  这几年,我们搞了很多实网攻防演习,每年都能发现一大堆问题,一打就穿,但很多机构“头疼医头脚疼医脚”后,由于管理不行,还是被打穿。

  所以我们认为,安全的关键是管理。我们所说的管理,不是传统意义上的管理,它既不是单纯的人员管理、行政管理、体制机制管理,也不是传统的条文式管理、流程式管理,而是一套“新管理”模式,它由数据驱动,通过与安全体系中的能力平台和服务平台有效对接,实现对安全技术、安全运行等各方面要素的有效管理,从而发现和规避黑客利用安全体系里的漏洞发起的攻击,克服人的不可靠性、弥补人的能力不足。总之,这种新管理模式的表现形式,可以是网络安全管理大平台,也可以是网络安全管理运营管理中心。

  内生安全,代表的正是这种新形态的网络安全管理模式。它用“一个中心五个滤网”,从网络、数据、应用、行为、身份五个层面来有效实现对网络安全体系的管理,从而构建无处不在,处处结合,实战化运行的安全能力体系。这种新管理模式,需要有强大的能力体系支撑,需要用工程化、体系化的方式进行实施,这套方法的成果,就构成了内生安全框架。

  管理的关键是框架

  新时代需要新管理。要实现内生安全所代表的的这种新形态的网络安全管理,是一套复杂的系统工程,它需要一个新形态的能力体系做支撑,需要用工程化、体系化的方式进行实施,实现它的关键就是安全框架。

  在系统科学里,有一个特性叫“涌现”,指的是构成系统的多个组成部分按照一定的方式相互联系、相互作用,在整体上就能具备单个组成部分所没有的性质,产生“1+1>2”的效果。比如,计算机系统可以实现工程计算、文字处理、软件开发等功能,这些功能是CPU、电源、操作系统等单个组成部分所不具备的。

  内生安全也具有“涌现”效应,能实现“1+1>2”的效果。在信息化系统的功能越来越多、规模越来越大、与用户的交互越来越深的时候,单一的、堆叠的安全产品和服务,哪怕是最新、最先进的,都无法保证不被黑客穿透,但内生安全系统,能够让安全产品和服务相互联系、相互作用,在整体上具备单个产品和服务所没有的功能,从而保障复杂系统的安全。建设内生安全,采用的就是系统工程的思想。

  过去20年,国内外在信息化建设方面,用的是系统工程思想,通过行之有效的EA方法论与框架,引导与推动了大规模、体系化、高效整合的信息化建设,很好地支撑了各行业的业务运营。

  针对网络安全,一些西方发达国家采用体系化思想,也设计出了适应他们发展阶段的NIST等框架。但由于我国的网络安全基础比较薄弱,一直采用的是“局部整改”为主的安全建设模式,导致网络安全体系化缺失、碎片化严重、协同能力差,网络安全防御能力与数字化业务的保障要求严重不匹配。在这样的现状下,无法套用西方现成的框架进行安全体系建设。

  今年,是我国“十三五”规划收官、“十四五”规划谋篇布局之年,8月6日,习近平总书记刚对“十四五”规划编制工作做出了重要指示,要求“把加强顶层设计和坚持问计于民统一起来,齐心协力把‘十四五’规划编制好。”

  我认为,这是非常重要的时间窗口,未来五年我国各行各业能不能取得高质量发展就取决于现在。所以,我们提出了内生安全框架,这是从工程实现的角度,针对我国的国情研制出来的,能将安全需求分步实施,逐步建成面向未来的安全体系。这套框架从顶层视角出发,支撑各行业的建设模式从“局部整改外挂式”走向“深度融合体系化”,在数字化环境内部建立无处不在的网络安全“免疫力”,真正实现内生安全。

  就在前两天,我和一位大型央企的领导交流,他非常兴奋,非常感慨。他告诉我,他做大规模信息化建设的时候,与业务系统融合用的就是系统工程的方法,但他从来没有见过、也没想到过网络安全公司也能按照系统工程的方法,做出这么具体、这么好用的框架来。他说:“网络安全与数字化,用体系对体系,这就对了!”

  内生安全框架有三个重点,是把安全能力“理清楚”、“建起来”、“跑得赢”,目的是通过“新管理”,让网络安全体系具有动态防御、主动防御、纵深防御、精准防护、整体防护、联防联控的能力。

  先说“理清楚”。内生安全体系建设,需要先体系化地梳理、设计出保障政府和企业数字化业务所需要的安全能力,才能确保这些安全能力能够融入到信息化与业务系统中去。

  就像建造一栋房子,需要算清楚、准备好所有的建筑材料和工具,才能打好地基、筑好框架、建好楼板、装好防盗门窗、配齐消防设备、布好摄像头、警报器,房子才会安全、坚固,抵御各种风险。

  在梳理的过程中,我们要充分考虑,这个系统的架构和功能将来是否可以调整?系统的安全能力能不能做到持续不断的增强?网络安全产品是否有维护升级的能力?未来是否根据需要增加新的安全产品模块?系统是否有安全监控和数据采集的功能?

  在设计的过程中,我们要根据政府和企业自身信息化项目的实际情况,对安全能力进行挑选、组合和规划,给出明确标准。

  再说“建起来”。融合是建设的关键,将安全能力深度融入物理、网络、系统、应用、数据与用户等各个层次,确保深度结合;还要将安全能力全面覆盖云、终端、服务器、通信链路、网络设备、安全设备、工控、人员等要素,避免局部盲区,实现全面覆盖。

  这种将安全能力合理地分配到正确位置的建设过程,就是安全能力组件化的过程。这种安全能力组件,是软件化、虚拟化、服务化的。科学、合理地将安全能力组件进行组合、归并,建立相互作用关系,确保了安全能力的可建设、可落地、可调度。

  在具体建设过程中,需要一个全景化的技术部署模型,全面描绘政企机构的整体网络结构,信息化和网络安全的融合关系,以及安全能力的部署形态。

  比如,按照区域,把政企机构的信息化系统分成总部、区域中心、分支机构以及网络节点等多种类型;按照业务类别和功能,又把政企机构的信息化系统分成了全局网络、骨干网络、区域边界、通信网络、信息系统、云平台、大数据平台、数字化终端等层级、组件,并标记出它们的部署位置和形态。

  在这个基础上,我们就可以把所有的安全能力组件,分别以系统、服务、软硬件资源的形态,合理部署到信息化系统的不同区域、节点、层级中。各种安全能力组件之间,通过网络和数据进行整体协同,使安全能力全面覆盖信息化所有范围,实现了对各个层次的管理,消除盲点,增强安全资源的丰富性、灵活性、完整性。

  第三个重点“跑得赢”。新基建、数字化转型,催生了无数新的应用场景,带来的安全风险剧增,推动网络安全从辅助工程变成了基础工程。

  缺乏安全运行的安全系统,相当于“靠天吃饭”。以前,由于网络攻击是小概率事件,就好比每年都风调雨顺,“靠天吃饭”的网络安全也很少出事;但随着网络攻击成为大概率事件,好比“十年九灾”,继续“靠天吃饭”的网络安全就会出大问题。

  内生安全体系强调安全运行,把管理作为关键,就能“人定胜天”,跑得赢漏洞、跑得赢内鬼、跑得赢黑客。

  我们将网络安全运行的各个组件,以及网络安全与信息化之间聚合、协同运行的状态进行了详尽的描绘,使安全工作中大量隐性活动显性化、标准化、条令化,从而确保安全运行的可持续性,实现管理闭环。

  框架的关键是组件化

  落地内生安全,实现新管理模式,最理想的情况,是建设一个完整的框架。但现实情况是,大多数政府和企业的信息化系统,都是新老结合的,往往需要花若干年的时间,才能完成对老系统的替换,这是一个“立新破旧”的过程。

  从安全系统与信息化系统聚合的实施角度来看,如果割裂地对老系统用老办法,新系统用新办法,未来,当老系统被替代时,老的安全系统也不得不替换掉,造成巨大的浪费。

  这就要求我们对安全体系进行“统一设计,分步实施”,在体系的基础上,把安全框架组件化,让这些组件既能是新体系的一部分,又能部署到老系统中,从而适应信息化系统这种渐进式的、“立新破旧”的过程,避免不断地把安全系统推倒重来,确保现在安全上的投资是面向未来的。

  从国际的经验看,ISO/IEC 27000信息安全管理体系就是按照组件化的方式设计的,它包含14个类别,35个目标,114个控制措施;NIST 的系统安全工程也列举了从需求、设计、实现到验证、部署、维护、弃置等14个过程应该开展的安全工作,包括54个任务、235项活动。在NIST网络空间安全框架中,也通过IPDRR-识别、保护、检测、响应、恢复的机制,以及多个落地子项来构造网络安全的保护体系。

  遵循这样的经验,我们用工程化的思想,把体系中的安全能力,映射成为可执行、可建设的网络安全能力组件,构成了内生安全框架,这些组件与信息化进行体系化地聚合,是安全框架落地的关键。

  为了穷尽安全能力组件的类型,我们研究了针对党、政、军、央企、金融等这些大型机构网络安全的新技术产品和服务体系,为这些体系设计并解构出了十个网络安全工程,以及五方面的支撑能力任务,简称“十大工程”“五大任务”。

  “十工五任”是内生安全框架的具体落地手册,具备了一个复杂庞大的信息化系统所需要的全部安全能力。这就相当于打造了一个信息化巨系统内生安全框架的建设样板,每一个工程和任务,都可以理解成样板房里的不同“房间”。政企机构可以结合自身信息化的特点,选取不同的“房间”进行组合,定义自己的关键工程和任务。

  以某个“新基建”项目为例,它包括了136个信息化组件,我们就依据“十工五任”手册的具体指引,总结出了29个安全区域场景,部署了79类安全组件。

  所以,我们在进行安全体系建设时,首先必须对自己的安全框架有整体性的设计,就可以依据“十工五任”手册,面向未来进行安全组件建设,避免“建好之时就是改造重建之日”。

  “十工五任”手册,对每个组件的部署位置、部署顺序、部署要求都给予了详细的说明。就像房子装修有水电改造、刷漆、铺地板等固定流程,我们对每一个工程和任务都给出了具体的部署步骤和标准。

  我相信,政府和企业按照我们提出的内生安全框架,投入三至五年时间,就能建立起完善的网络安全协同联动防御体系,真正实现内生安全。

  朋友们,数字化转型和新一轮技术革命,正在重写全球经济、科技和政治格局。对网络安全行业来说,这既是一次前所未有的机遇,也是一次前所未有的挑战。让我们携起手,从安全框架开始,推动网络安全产业再上新台阶!


文章部分图片来源于网络;如有侵权,请联系删除

Copyright © 2019-2024 【聚名科技集团】聚名科技集团股份有限公司 营业执照 Juming INC, All Rights Reserved

ICP备案号:皖ICP备18025959号-1 网警 34010402702264 电子营业执照