2017 CIOC全國CIO大會7月20日在青海·西寧盛大舉辦，來自全國的300余位CIO共聚一堂，最接地氣的觀點、最實用的實戰經驗、最前沿的技術、最新的產品在此匯聚，碰撞出屬于CIO的精彩火花。
以下為現場速記。
主持人：在昨天的大會上，張開翼總給我們介紹了深信服在云和超融合方面的進展，今天張開翼總將進一步介紹他們的拿手本行，我們接下來有請深信服副總裁張開翼為我們帶來《融合安全 立體保護》，請大家掌聲有請!
深信服副總裁 張開翼
張開翼：感謝各位親愛的CIO朋友們，又見面了。昨天跟大家分享了我們在云這方面的一些思路和方案，今天跟大家介紹一下我們的另外一塊業務。但是我不會在這個會議上講我們的產品，我們想更多的從根本上跟大家探討。作為一個企業在數字化轉型過程中，我們到底怎么去思考我們的安全建設的思路，我們怎么樣去構建一個真正有效的安全防護體系。
雖然說安全一直是整個IT的重點討論話題，但是我們很遺憾的看到，根據數據的統計，在中國整個安全投資占IT的投資比重只有1%到2%，這個遠遠低于整個歐美市場8%到10%的比例，理想值是15%?？梢钥吹?，我們在這個事情上面的投入差距是非常大的。從另外一個角度來說，我們看到這個事情在發生變化，為什么?第一是我們看到確實《網絡安全法》等相關法規的頒布，使得責任主體開始重視各種各樣的安全建設。第二是最近一兩年大型的安全事件的發生，也促使了很多企業和單位開始去思考、開始去加大在安全方面的投入。
但是很遺憾的是，我們看到，以專業的眼光來看，非常多的安全投入其實是無效的，原因有很多。我們看到數字化轉型的過程，來自外部的數據說，到了2019年在數字化轉型上面的投入會增加60%。數字化轉型意味著什么?意味著我們的數字化資產迅速增加，我們的整個暴露面也在迅速的增加。第二，云計算、IOT新技術的應用，也使得我們產生了更多的風險，這些風險是我們傳統的安全技術和方案所很難有效解決的。從整個外部威脅的產業來看，黑灰產的產業在快速增加，而我們始終處于被動悲哀的壯大，攻防是不對等的。這是我們現在所面臨的一個非常尷尬的局面。而從另一個角度來說，我們過去所投入的這些大量資源建成的安全體系，其實在面向這些新型的安全局勢下是失效的。我們看到過去有大量的比如說防火墻、IPS等的采購，在現在的安全局勢下是無能為力的。這個都是我們現在所看到的一些很痛苦、很尷尬的局面。
所以我今天想跟大家分享的內容，其實是想從根本上思考、討論，作為一個企業的CIO，我們在布局和規劃整個企業的安全建設的時候，我們到底遵循什么樣的思路，我們怎么樣思考構建一個真正有效的安全防護架構，來保護我們的數字化轉型道路。首先我們要看一下，要回答一個問題，為什么我們長期依賴的這些安全技術、這些手段會失效，到底發生什么事情導致我們過去依賴的一些體系和方案沒有辦法應對現在的問題。昨天我們也花了很長時間討論勒索病毒這個事件，我們也看到有一些CIO朋友們是有一些反思的。其實我們回顧這個事情的時候，我們會發現這次勒索病毒所利用的永恒之藍的漏洞，可以說在4月份我們就已經得到微軟發布的補丁，打了這個補丁我們就可以有效阻止這個病毒在我們內部的爆發。那為什么更新率為這么低呢?
第二，勒索病毒這種事件不是第一次發生，我們在過去的整個安全經驗的梳理和回顧的過程中，我們為什么沒有能夠建立起面向勒索病毒這種事情的應急方案?在這個事件爆發的過程中，我們看到很尷尬的一些表現是，過去我們認為一些安全建設比較好的行業，比如說政府、金融、運營商、醫院、能源行業等等，在這次事件中都出了問題。為什么他們的安全建設在我們看來是不錯的，還會出問題?那些本來投入就不足的客戶，在不同的安全事件里面又是什么樣的局面呢?大家可以想象。所以我們說，連已知的漏洞我們防護起來都這么困難，那些未知的新型的變種我們怎么能夠有效處理、怎么能夠防御得住?
如果我們沒有辦法避免安全事件的發生，昨天喬總也說了沒有絕對的安全，這個是目前來說一定是真理，沒有絕對的安全。所以我們沒有辦法絕對避免安全事件的發生，但是我們能不能在事件發生之后的第一時間就能發現這些問題，并且找到一些有效的措施，來降低這些安全問題對我們的業務造成的風險。有一個經驗數據說，在黑客入侵以后的48小時內，是應急處理的最佳時間，這就有點像地震后救援的72小時黃金時間一樣。如果我們能夠在這個時間內迅速的發現問題，并且采取有力的措施，是可以很好的解決或者避免我們的風險的進一步擴大的。
從另外一個角度來說，我們看到傳統安全建設一個很重要的弊端，就是防御的思路。被動挨打始終不是一個有效解決問題的方法，我們的安全防御沒有辦法在事前知道我們有哪些風險的可能性，在事件發生的時候，我們也沒有辦法快速的去應對這些緊急爆發的問題，事后我們也沒有辦法及時發現問題并且止損，這就是我們現在所面臨的問題。我們傳統的信息安全的建設，是沒有辦法解決我們現在面臨的格局的。大家過去在做安全規劃的時候一般是不同片區、不同位置、不同類型的安全手段，比如說我要買防火墻、我要買IPS、我要買病毒防御等等，這些碎片化的攻擊方式采用的是應對個別問題的處理思路，我們常說的叫頭痛醫頭，腳痛醫腳。碎片化的方式確實能夠解決一部分的應急問題，但是沒有從根本上幫助我們構建一個防御體系、構建一個完整的安全框架。
還有一個問題是，我們這種業務需求的復雜度，在響應的過程中，其實又面臨到另外一個痛苦的過程。我們看到安全產品非常復雜，這種復雜度會進一步的影響我們在安全建設上的有效性，也就是我們常說的很難落地。所以這種復雜的方案它需要我們有大量的高端人才，才能夠幫助我們去把它用好，能夠真正的利用這些手段來構建我們的安全能力。各位，我們有那么多資源能夠擁有這樣專業的強大的團隊嗎?所以從這幾個問題的角度來看，我們會發現我們的安全建設其實是走入了一個誤區，我們總是在做一些頭痛醫頭，腳痛醫腳的建設方式。
在這里我想跟大家來探討的是，我們應該要建設一個能夠回歸到安全建設本質目標的安全體系。這個體系它將能夠真正的幫助我們去構筑我們在數字化轉型道路上的安全能力。我們從三個角度來看這個問題，首先我們認為，這個從時間的角度來說，我們需要一個能夠從事前、事中、事后具備的完整風險閉環管理的融合安全的架構。第二從空間的維度來說，我們應該要圍繞著我們的全業務鏈去構筑一個立體防護的框架。第三從部署的角度來說，我們應該要能夠簡單易用、靈活。在事前、事中、事后我們需要閉環管理能力，所謂事前就是在IT日常建設過程中，我們有沒有能力自動識別我們的IT資產，我們能不能動態的去了解在我們的整個業務網內，我們所有的這些資產它的一些漏洞的情況、風險的情況，我們能不能智能的去檢查我們的安全策略到底是否匹配、是否有效。
在安全事件爆發的過程中，我們能不能結合云端的一些情報分享、安全服務，借助外部專家的力量，來幫助我們在安全的業務過程中，可以持續的增強我們的業務能力。這就是我說的立體防護，大家看一下，我們怎么去落地的問題。過于復雜的安全技術方案，是阻礙我們提高安全建設有效性的最重要的攔路虎。所以我們想要讓我們的安全建設不是擺設、不是買回來就放在我們的機架上的開機設備而已，我們要讓運營團隊真正運用、掌握好它。同時在這個過程中，我們要能夠讓很低的成本便捷開展日常的安全運營，否則這些東西在一定時間的流轉之后，就會變成紙上文章，沒有辦法有效的落地。
所以說，從體系思考的角度來說，我們要想真正擁有一個好的安全架構，我們需要從融合安全、立體防護到簡單有效這幾個維度去思考我們的安全建設的整體思路。在這個過程中，我們就會發現有一個問題，即使我們用這種思路去決策、思考我們的安全建設，我們會發現，我們現在所擁有的能力是不具備的，不管說我們自身的能力還是供應商、廠商給我們的能力。比如說融合安全，我們能不能有效的發現我們的資產，能不能發現我們內網的風險、各種業務上的一些異常行為，我們能不能去做到我們的全局安全可視，讓我們看清楚業務的整體狀態。我們認為，新型的安全架構要想有效落地需要具備三個落地，第一是全網安全感知可視能力，第二是動態感知能力，第三是閉環聯動能力。我接下來圍繞著三點，結合深信服的產品特點，跟大家做一些簡單介紹，讓大家有一個比較直觀的感受。
第一是全網安全可視，我們的資產和風險在傳統的安全架構下是比較難被有效的感知到的，這是因為過去的一些安全技術的不足所導致的。我們現在要具備這種能力，我們需要做到什么呢?我們的核心資產的識別、我們業務的一些脆弱性的分析和一些風險的動態檢測，這樣才能夠使得我們實時了解各個業務部門的業務過程中可能的一些風險。同時我們也有很多內部的一些用戶行為風險可能性，我們要有風控的部門，風控的部門怎么才能夠檢測這些異常的行為，我們同樣也需要對全網的安全具備可視的，我們要分析內部的用戶以及繞過邊界防御進入到我們內網的黑客的異常行為，并且區分合法用戶和非法用戶，然后讓我們的安全團隊可以快速、及時、有效的采取對應的安全措施。
在深信服的整個產品解決方案里面，我們非常強調對全網安全的可視能力，比如說我們有新增風險資產發現，我們對內網的可疑失陷業務的主機以及用戶異常行為的分析，讓我們了解內網的實際情況，所有這些東西都會以大屏的方式直接展示給我們的安全運營團隊，我們對于這種實時的攻擊、我們的安全態勢以及我們內網的一些失陷主機的非法外聯，都會有專門的頁面呈現給我們的用戶，讓大家能夠第一時間結合外部安全事件的情況去檢測、去響應。在危險發生的時候，可以進行有效的取證和對入侵進行有效的處置。
第二個能力是動態感知能力，為什么說動態感知?我們會遷一些外包的安全服務，比如說每個季度或者每個月會有安全團隊上門，帶著一些掃描的工具，到我們的內網來對我們的內網的業務進行掃描分析，給我們一些業務漏洞和風險的報表。但是各位數字化轉型意味著什么?我們可能在新增業務的過程中，這些就一定會使得我們內網的資產每天都在發生變化，所以我們需要能夠去主動的識別這些新增的業務，減少新上線業務產生的風險在內部的擴散。同時我們會實時掃描整個內網的業務流量，對于這些業務流量去分析它潛藏的業務風險。比如說，我們發現某個業務系統它的流量里面使用的系統版本或者協議是最近剛剛爆出來的某個漏洞所對應的，我們就會把它以一個非常直接的方式展示到我們的安全運營團隊面前，告訴他你的某某系統使用了某一個軟件是有風險的，它最近的漏洞是什么樣的，會給出處置建議。這些就是它能夠動態地讓我們的安全團隊可以感知全網的業務情況，在安全事件發生的時候，我們也會結合過往全網分析的數據結果，來為我們的運維團隊提供安全事件的應急處置的建議和輔助。
在深信服的解決方案里面，我們非常強調整個動態感知的算法，我們一方面是直接對整個內網的流量進行持續的檢測，并且我們也會采集來自于一些防御的設備、流量的設備以及云端上的威脅情報，通過這些情報的整合和我們對內網的持續分析，我們可以對內網的風險行為進行檢測，對一些異常的行為包括資產的一些異常流量進行檢測，然后會對用戶的一些行為進行關聯性的分析。這樣我們可以動態的去發現業務資產風險，動態的發現一些高級的安全威脅，發現一些內鬼的違規操作。
第三個是閉環聯動能力，為什么要強調閉環?因為我們知道，從攻防的角度來說，防的成本一定是遠遠高于攻的成本的。從攻防的角度來說，我們一定要想辦法提高攻擊的成本，才有可能使得我們在擁有有限資源的情況下，去具備攻防對等的能力。所以我們會有很多的聯動機制來去阻斷黑客的一些入侵，比如說我們的下一代防火墻，我們的下一代防火墻在部署以后，它會發現在流量里面會有各種類型的攻擊嘗試，這些攻擊嘗試一旦經過我們的算法檢測，發現是屬于攻擊行為，我們就會生成防火墻的規則，動態的去阻斷。一個形象的說法，黑客攻擊一會發現被切斷了，他就會換一個來攻擊，黑客的攻擊就會被大幅減緩，使得我們擁有應急處理的時間周期。
再比如說我們的全網安全感知平臺，與下一代防火墻是可以聯動的。防火墻的日志、交換機的流量分析會被全網安全感知平臺基于大數據的一些分析模型去進行檢測，結合我們云端的一些威脅情報，我們會識別到在我們內網的安全威脅，我們會下發阻斷的指令，給到我們的下一代防火墻，這樣下一代防火墻就會直接阻斷入侵的流量。這個就是平臺和產品的聯動。
還有一個聯動就是來自于云端和本地的聯動，我們會有一些風險監測的服務，比如有很多客戶會購買深信服網站的風險監測的服務，這個服務當我們發現客戶的網站有被篡改或者被植入木馬的風險的時候，我們會進行一些應急處置，我們會自動的替換被篡改的頁面，并且下發管理員聯動的微信，會把相應的一些事件信息發到綁定的管理員的微信上，通知管理員及時處理。如果他同時購買了我們的安全防御的能力，我們還會有遠程的安全專家來結合我們具備的安全能力，幫助客戶進行安全的事件處置。
總結來說，我剛才講了，我們從融合安全、立體防護和簡單有效這三個維度講我們的安全建設的思路，也談到了三個核心的能力。深信服發展了十幾年的時間，目前已經構筑了一個比較完整的安全產品族，這個安全族可以解決客戶的安全問題，構筑符合我剛才說的思路的安全框架。同時我們也有一些產業合作，我們會有一些合作伙伴進行合作，讓他們的方案融入到我們的整體方案里面，為我們的用戶提供更加完整的安全框架。我們在不同場景下的信息安全解決方案，我們面對廣域網的分支機構會有互聯和安全的解決方案，在數據中心私有云的環境下，我們也有全網安全感知風險防御的解決方案。這些都是深信服這十幾年來長期以來構建的能力。
我們又給大家一些建議，在我們的安全預算有限的情況下，我們首先要考慮的是構筑關鍵邊界的安全。我們剛才講了，邊界安全不足以解決整個安全問題，但是邊界安全仍然是最重要的安全之一。如果你連邊界安全都沒有，就更不用談說我們內部的其它安全問題。這個是第一步。第二步，我們要構建一個更加廣泛的安全感知平臺，我們對資產的發現動態感知能力的建設，這些都是需要及時投入的，因為這種投入將會使得我們更加有效的精準的去掌握我們的內網業務的實時情況。再下來才是我們的一些關鍵業務加固，還有對我們的核心業務生產區域全網的安全可視動態感知。最后面是采用一些外部的協作，利用優秀的專業的服務廠商來給大家提供自動化的服務。
這個就是深信服在這么多年安全的思考總結，今天跟大家簡單的分享一下。我們一直有一個很簡單的但是一直很秉持的觀點，就是我們要做實用的安全，要讓每個用戶的安全建設更加有效、更加簡單。也希望后面能有更多的機會跟大家一起來探討，我們的數字化轉型道路上的安全建設到底怎么做。各位朋友也可以到我們的展臺，我們的展臺有專門針對全網感知的一些方案，到底怎么落地有相應的展示和介紹。演講到此結束，謝謝!
京公網安備 11010502049343號