文/杜跃进

未来之路：重构网络安全能力

文/杜跃进

过去对狭义事件的发现和处置，导致我们即使是发现了“震网”的程序，也没有警觉其实它的真正目标是工业控制系统，直到它完成任务，我们才如梦初醒。过去对狭义事件的发现和处置，还使我们疲于处置成千上万看似不相关的事件，却无法发现，实际上它们是有关系的、他们可能是来自同一个攻击者、可能是一个威胁中的一部分。

和过去相比，我们的对手不同了。应对新的安全形势，需要跳出传统的思维惯性，建立新的思路。网络安全攻防对抗如同一个不断“进化”的过程，不同的传统方法也是根据安全威胁的变化而不断进化的。既然这些方法已经不适应新的形势，那么未来的进化方向是什么呢？“异常发现”是一个基本方向，“博大精深”是核心要求。

“大思路”和“大视野”的异常发现

APT给传统安全方法带来挑战的本质原因是针对特定目标的专门定制化的攻击过程，导致从各种角度都很难提前获得特定攻击的具体特点。于是，如果防御方对自己的了解足够，就能够感知到由于攻击导致的某种异常，之后就有可能进一步通过针对性的调查分析发现具体的攻击行为。一个通俗的比喻就是，我不知道我出了什么问题，但是能感觉到不对劲。这就如同医学领域中人类经常能够先确定甚至治疗某些疾病，但是很多年之后才找到导致这些疾病的病毒或原因一样。随着人类不断完善对自身的了解，也就能够不断提升对新的疾病的了解和治愈能力。……