关于基础安全攻防中存在的问题和演进趋势

快速迭代开发和安全能力是两个相互博弈的因素，拿编码环节来说，持续的快速构建也意味着需要快速的产生代码，而如何快速的产生安全的代码变的越发重要。在开发人员能力短期无法质变（或不停的有人力交接或新人加入等）时，鱼和熊掌看起来是不可能兼得的。

用一个更通俗的话说就是，当前云环境下的基础安全攻防问题，95%以上都是因为不恰当的配置方式以及错误使用了不安全的代码导致的，例如：

这些不恰当的配置方式以及不安全的代码，是导致批量化低门槛入侵的根本原因之一。

为了“缓解”这些问题，业内厂商给出了一些“补丁式”的缓解方案，典型的比如：

这种“补丁式方案”从总体上可以取得较好的效果，但是也存在一个比较明显的问题，即“检测和防御总是滞后于漏洞和攻击”，防御者被迫处于攻防博弈的滞后者位置，新的漏洞总是不断被提出，新的攻击方式总是不断出现。

而我们谈到的0day/nday监控，更多时候就像是“地震预警”，作为防御方，能做到的极限就是，在事件发生的第一时间进行响应，然后进行紧急救火。

为了解决这个矛盾问题，业界提出了【默认安全（Secure by Default）】的理念，通俗地说就是【IT组件框架化、云产品化，将原本涉及基础系统层面上的逻辑封装到一个高层的黑盒中】。

默认安全的原则并不仅仅限于代码，比如：

Web接入层上默认覆盖的WAF
默认安全配置的云/容器/数据库/缓存等基础系统和服务
统一的登录鉴权认证服务
KMS（密钥管理系统）
保护关键数据的票据系统
零信任（Zero Trust）架构
Pam登录统一管控
堡垒机
运行时应用自我保护
无论是云化还是私有化，处于技术落后的区域，应当务实的去研究技术可行性与用户痛点问题，切实的做好网络安全相关工作。应提高与用户接触人员的能力，而不是如同产品推销，搞的卖安全就和卖地推货一样。不去误导用户，类似“互联网暴漏面威胁检测、安全验证持续监测、漏洞全生命周期管理”这些细分领域的优质有用的服务或者产品，被不负责的传达到用户那，统一成了两个概念“漏扫”和“渗透”。网络安全的生态，需要乙方赋能给甲方，甲方学习后理解以后，才能转化需求，痛点才能更好的结合产品服务，而我们的多数一线网安人员最怕用户懂，要转变思维。协同才是把事做好的根本，技术在实践中检验，产品在实际场景中沉淀。服务也在事件中被认可。一个好的生态才是孵化好的市场的根本。