实战时代兰云科技的网络安全观？

5年的HW行动，将网络安全从合规时代带入实战化时代。面对这一变化，安全理念应该如何演变，安全产品应该如何高级？

一、合规的价值和不足的网络安全合规时代，最大的成果是网络安全的老三种(防火墙、病毒、入侵检查)等产品齐全，建造院墙，安装大门，普通人不能随意进出你的领土，侵犯隐私因此，大家自然加强、升级现行防护措施，在墙上安装铁丝网，安装更坚固的防盗门，增加防盗窗，安装门卫(身份认证)，雇用总经理(安全经营者)，有时安装不同的防盗门这些改进取得一定效果，能应对初、中级小偷，却无法阻挡能自制万能钥匙的惯偷。随着互联网的普及，学习制作和购买万能钥匙的门槛降低，具备惯偷级别能力或者拥有万能钥匙的潜在犯罪分子越来越多。面对能力快速提升的对手，筑更高的墙已不能解决问题，还会带来巨大的财务成本、糟糕的用户体验，我们需要寻找新的解决方案。

二、寻求问题的本质网络空间已成为海、陆、空、天以外第五大国家的主权，但网络空间的出现仅仅几十年，还在不断增长、变化，一目了然，存在着巨大的挑战。实际上，安全问题的由来已久，并非网络世界独有，社会治安领域的安全已有数千年的历史。犯罪率是衡量社会安全程度的指标。犯罪率高的话，小偷会被公开禁止，社会没有安全感的犯罪率低的话，路就不会捡起来，晚上不会关门，社会就会有安全感。建设充满安全感的社会，只需将犯罪率控制在较低的范围内即可。

控制犯罪率可以从以下三个方面实现:不能犯罪不敢犯罪不想犯罪。

(1)不能犯罪是指罪犯因客观原因无法实施或达到犯罪目标。从犯罪分子的角度来看，只能通过收集犯罪分子的犯罪工具，使其无法犯罪，这显然是无法实现的，因为犯罪分子的犯罪工具太多，可以用刀、板砖、拳头、无法收集。从受害者方面来看，只能通过提高自己的防护能力，武装到牙齿上，使犯罪分子无法受到强大的伤害，在成本高、普及困难的同时，体验也很差。

(2)不敢犯罪是指罪犯担心结果，不敢实施犯罪行为。要达到抑制犯罪者，不敢犯罪的目的:首先，必须制定法律法规，明确通知犯罪者，犯什么错误会受到什么样的惩罚。其次，需要强大的破案能力只要犯罪分子犯了案，就能被查出来，将前面的会变成事实，实现违法必究。然而有法可依容易，违法必究却难。从最初的《汉姆拉比法典》到现在的各种法律法规，各时代的法律都非常完善，但解决方案的能力却严重不足。许多事件只能寄希望于遇到包青天福尔摩斯李昌钰。显然，侦探是稀有物种，解决率不理想，很难真正抑制犯罪者。

(3)不想犯罪是指罪犯心中没有犯罪意愿和动力。犯罪是因为罪犯自身的需求不能满足，需要通过犯罪获得。如果罪犯的所有需求都得到满足，就不会有罪犯的动机。我们有时会听到不缺钱的人实施盗窃的事件。在这种情况下，罪犯没有金钱需求，而是其他需求引起了盗窃。为了满足每个人的全方位需求，每个人都没有犯罪动机，可见的未来是不现实的，可能存在于理想的国家。综上所述，不能犯罪方面，收缴犯罪工具显然无法全面落地，而通过提升潜在受害者自身防护能力，则受资源、成本、用户体验等因素的制约，可提升空间有限。不愿犯罪方面，除非人人都达到从心所欲而不逾矩的境界，否则至少目前阶段，缺少落地的可能性。在不敢犯罪的前提下，违法必须调查，抑制潜在犯罪者，不敢犯罪，降低犯罪率是可能的方向。达成违法的目标是提高解决方案的能力。提高案件解决能力，几千年来一直是难题，我国近二十年来在这方面的努力和实践说明完全可行。

严重暴力犯罪变化趋势图

上图为最高人民检察院2020年5月25日工作报告中近20年严重暴力犯罪情况统计。数据显示，目前严重暴力犯罪的犯罪率不足峰值时的三分之一，特别是近十年大幅度下降，在此期间法律没有大变化，GDP的增长率也不足前十年，为什么犯罪率大幅度下降？最大的变化就是平安城市天网工程雪亮工程等渐落地，发挥着越来越大的作用。现在的案件侦破，通常是通过调取案发地的监控摄像，锁定嫌疑人，然后结合其他监控摄像，确定嫌疑人的行踪和落脚地，实施抓捕和审讯，完成破案。通过构建必要的基础措施，降低破案难度，即可大幅提升整体破案能力。目前，普通警察的破案能力和效率高于以往的侦探们，大大抑制了潜在的犯罪分子，不敢冒险犯罪是近20年暴力犯罪率大幅下降的原因。

三、网络安全，道路在哪个网络世界不是新的世界，它是现实社会的延伸主导网络世界的是人，网络犯罪的主体是人，犯罪的目标是利益还是伤害(破环)与现实社会不同，变化只是犯罪工具。他山之石，可以攻玉，社会治安领域的成功经验，可以在网络安全领域借鉴和应用。合规时代我们建造院墙，安装防盗门，安装警卫，建立防盗系统，有效应对窥视和小偷触摸的行为。然而，随着互联网的快速发展，越来越多的力或先进工具的罪犯越来越多。随着互联网无国界的特点，互联网安全已经进入实战时代。实战时代，除了预防管理系统外，还应建立类似雪亮工程的监察系统，降低解决事件的难易度，提高解决事件的能力和效率。防控体系的目标是让普通人不要或者不能越界，而监察体系的目标是让犯罪分子无所遁形。在网络世界的重要节点、系统、应用中部署探头，记录发生的行为，在管理区域部署监控中心。有了这些监开发者_Python百科察体系所需的基础设施，一旦发现可疑行为或者可疑人员，安全人员利用采集的数据和先进的技术手段，进行高效且全面的追踪调查，完成破案，阻止犯罪分子的进一步行为，让犯罪分子知难而退或者承担法律后果。以近几年的HW实践，红队成功拿下目标的案例，通常需要很多步，10步，甚至20步，从结果看，显然蓝队没有一款产品能将每1步的威胁都检出，但在事后回溯分析的时候能发现，这些案例中，红队在其中的某些环节的行为，并未躲过蓝队安全产品检测，已触发告警，仅是因为蓝队一方面不同环节采用不同的产品，相互之间的协调存在问题，另一方面安全产品往往只对检出的威胁进行告警和描述(侧重在说明该告警是正确的，不是误报)，缺少对告警之外的行为提供深入分析的支持。一句话，现在的网络安全产品是为了检测而设计的，而不是为了调查而设计的。

网络安全实战时代，检查只有开始，调查才能结束！如何调查？如何结束这个案子如何超越福尔摩斯？让我们看看下次的分解！