近日，中國互聯網公司的服務平臺接連出現大面積宕機或不明攻擊等系統事故，這不僅令普通消費者感到擔心，而且展現了“互聯網+”道路崎嶇的一面。

對于企業來說，不論是世界級的在線客戶數量，還是資本市場的順風順水，都可能抵不過在網絡防御和系統安全方面的沉重打擊。

在應對網絡攻擊、捍衛系統穩定性方面，埃森哲曾長期調研全球領先企業的實踐，并從中總結出“主動防御”和“彈性架構”兩大秘訣。這不僅值得企業的首席信息官和IT部門作為鏡鑒，而且需要企業最高決策者自上而下地、跨部門地部署到每一個可能影響運營穩定性、影響客戶安全體驗的環節。

在網絡關系無處不在的數字商業時代，這些關鍵技術問題若被拖延，企業的品牌形象乃至股東價值或將受到更大牽累。

雙線構筑“主動防御”系統

在大多數時候，企業的系統安全檢測就像車輛年檢，并不能由于未遭受攻擊而放松定期的安全審查。現有的一些安全系統似乎讓企業感到高枕無憂。但事實上，要降低一個組織所面臨的安全風險，這還遠遠不夠。

今天的網絡安全環境正變得異常復雜和兇險。黑客的攻擊面正在不斷擴張，它不但涉及公司自身的安全，更牽扯越來越多的人、設備、系統和基礎設施。云技術和移動互聯網更為黑客提供了新的樂園。隨著網絡犯罪形式也變得越來越復雜，威脅逐步升級。無論是集體行動的黑客組織，還是技術高強的“獨狼”都變得更加危險，因為企業組織成熟的戰略和技術為黑客提供了眾多可以利用的空間。而且，如果現有網絡在建設之初未考慮網絡安全問題，那在聯網后將給舊有系統增加網絡風險。

有些安全意識較強的企業努力跟上日新月異的安全技術發展，但大部分企業在新技術應用方面仍然落后。企業一直將遵從安全規范視為一項重要任務，但僅僅滿足合規要求的安全“模式”還不夠，因為這些標準本身沒有隨著IT　的快速創新而同步發展。比如，目前企業大多應用被動防火墻保護替代主動探測，孤立思想壓過了整合理念。

如果說防火墻是不可或缺的第一道防線，那么企業還需要構建第二道防線，才能從容應對緊急安全事件，以類似神經反射的響應措施應對安全威脅，應用實時分析手段保護數據和服務。這樣才能在事件發生時，將其對運營和客戶利益的沖擊最小化甚至難以覺察。“主動防御”就是埃森哲建議的第二道防線。以往，IT　始終遵循“御敵于外”的理念，所有網絡安全措施都圍繞防止外部突破而設；但由于IT　領域的快速創新，現有外圍防御和安全標準會很快變得過時并漏洞百出。當前理想的網絡安全措施不是百分百預防的，因此IT　部門要學會像黑客一樣思考，了解他們如何、何時以及在何處發起高級持續性威脅(advanced　persis-tent　threats，簡稱APTs)。其實，極少企業已做好準備應對這一局面。

為了最大限度地減輕攻擊突破防御后造成的破壞，IT　部門必須找出攻擊突破防御的方式、時間以及地點。這意味著IT　安全專家必須與相關業務人員合作設計并部署流程與系統，以便在第一時間內預判和監測安全違規，并在攻擊造成破壞前做出響應。這就需要IT　部門深入了解攻擊者的總體活動狀況，并從違規事件中獲得信息，然后采取行動。這樣，IT　團隊和業務部門需要轉變理念，雙方密切配合，轉被動合規為主動行動，尤其要關注風險管理，根據業務風險做出對應的響應。總體來說，企業能夠洞若觀火，及時反擊。

構建第二道防線，還意味著企業要應用新的數據平臺來設計、實施和運行系統，幫助企業以一種新的角度審視網絡安全狀況，并且能及時地進行偵測和反應。

為了更好地理解風險并探測攻擊，領先企業會增加對數據平臺技術的關注。該技術可以通過服務提供數據訪問與聚合，以精確掌握網絡事件，并根據信息采取行動。數據平臺和配套的分析方法支持安全部門處理大量且快速變化的數據——比傳統記錄分析增加了多個層級。并且，數據平臺可以幫助企業了解新的非結構化數據類型，為安全分析提供新的天地。這些平臺將幫助企業深入了解面臨的風險，應用新的方法探查數據并做出更及時的探測和響應，以提升業務安全保障的信心。

舉幾個具體技術層面的例子：人永遠是系統中最脆弱的部分，因此采取措施減少并控制人員的惡意操作和誤操作至關重要——主動身份驗證系統(Active　Authentication)能收集并分析大量和用戶習慣相關的數據，例如使用鼠標的習慣或在文檔中的寫作習慣，幫助公司判斷使用電腦和用戶登錄的是否用戶本人；為識別潛在的網絡攻擊者，企業架構也在迅速演進，將構建包含身份和訪問管理(identity　and　access　management，簡稱I&AM)功能的系統并增強黑客身份認證技術——專業“識別”黑客的設備能夠在某一電腦發送程序腳本意圖攻擊網站時將其“抓獲”；探測到可能的攻擊后，系統可以在會話過程中提升認證等級以阻止機器攻擊，同時縮減系統帶寬，以降低對其它資源的影響——該方法無需關閉未受影響的系統，因此成本較低，但攻擊防御效果良好。

此外，企業可以通過“主動防御”系統增加黑客攻擊難度和成本、降低攻擊者的收益。安全系統主動給攻擊者提供明顯的假目標來引誘對方上鉤，好比在辦公室保險箱里放了人造珠寶或假鈔。工程師正在積極開發警告系統和網絡煙幕系統等主動防御系統，前者用于提示入侵者已被跟蹤，后者將使用“電子煙霧彈”迷惑入侵者。類似的，誤導攻擊者的“蜜罐”(honey　pots)防御方式出現已有10　年，如今這種網絡入侵預防系統能夠支持企業在黑客造成實際破壞前的試探階段就探測到攻擊行為。

當然，“沙箱”、“微虛擬化”、“移動目標防御”等安全技術還將繼續涌現，但主動防御理念的核心支撐就是錯誤信息和誤導系統。為了讓黑客真假莫辨，主動防御系統的開發需要依賴多項基礎技術的進步。軟件定義網絡(SDN)技術以及IT　環境虛擬化的飛速發展為更細化和更靈活的系統控制提供了可能。

然而需要企業決策者認識到的是，沒有一項“萬能”技術可以滿足IT　高管的全部要求，沒有任何一款工具能夠單獨應對當前和未來所有信息安全挑戰的規模、范圍和復雜性。真正的挑戰，是建立一個綜合性的防御架構，它不但能融合各種防御措施，還要足夠靈活，能不斷進行技術更新，以應對不斷進化的網絡威脅。

“彈性架構”讓企業“有故障不宕機”

在數字時代，企業必須滿足客戶的廣泛需求，實現業務流程、服務和系統的不間斷運營。一旦出現異常情況，就可能使企業的品牌價值受損。這意味著，IT系統的設計不僅要考慮各種技術參數，還需具體能力來切實抵御故障以及“黑天鵝事件”，做到永不宕機。

大部分國內企業涉及系統安全性問題，一般采取閉門修補、低調處理的應對方式。但他山之石，可以攻玉：另一些國際領先的科技企業則靠自我挑戰創新方式不斷提升抗災水平。比較知名的例子是視頻流媒體服務企業奈飛公司(Netflix)。工程技術人員積極利用各種自動化檢測工具——業內將它們稱為“猴子軍團”(Simian　Army)，通過故意破壞來尋找自身系統的漏洞。這種測試會在無法預知的時間展開，但整個過程受到密切監控。奈飛公司的工程師知道，這些舉措不會令公司系統癱瘓，只會令其更加強健。

事實上，采取這種做法的不僅是奈飛公司，亞馬遜在十多年前就已率先嘗試過，Flickr、雅虎、臉譜網、谷歌和Etsy等企業也都先后使用過類似辦法。他們采用“游戲日”策略：每過幾個月就拿出幾天時間進行內部系統故障測試，組織一些員工解決相應的故障問題，一般都能發現自身系統中存在的某些潛在缺陷，修復數百個漏洞，在以后的“游戲日”再對修復方案進行持續測試。他們甚至聘請外部網絡安全公司攻擊自身系統，以類似軍演的方式，找出系統的安全漏洞。

實際上，出現故障才是系統運行的常態，而且企業的IT系統必須要對此有所準備，有所適應，并進行相應設計。尤其對于在數字環境中創立的企業而言，數字渠道可能就是唯一的渠道。

因此，系統彈性(即IT系統在面臨預期干擾和未預期干擾的情況下，依然能夠達到可接受運行效果的靈活適應能力)變得越來越重要。這種彈性將有助企業減小因服務中斷對經濟收入和品牌聲譽造成的不良影響。因此，不間斷運營的企業應當立即著手，在所有維度上構建彈性機制，包括應用、業務流程、基礎設施、安全系統。

企業IT系統進行彈性架構設計，應未雨綢繆，決不能等到客戶要求時，或是在重大事件曝光時再匆忙彌補。在與企業最高管理團隊就網絡風險進行必要的探討之后，IT主管必須立即開始準備針對網絡威脅的應對之策。也就是說，要針對不同用戶設置不同級別的服務。

隨后，必須設法尋找投資，為企業提供物超所值的安全系統，同時充分利用現有投資，并突破原有的合規工作范圍。一旦這些舉措落實到位，IT部門可以開始大力發展先進的風險偵測能力和外部抗風險智能，把投資用到最需要的地方。通過這一過程，首席信息官將獲得大量數據，這有助于企業由只注重形式合規向更關注網絡威脅以及戰略風險方面轉移。彈性架構遠比合規事務和最佳實踐更具優先性。

實現大規模敏捷性轉變，還需要一系列的運作方法和技術，其中包括開發運維(DevOps)、績效監測和故障跟蹤、工作量管理、軟件定義網絡(SDN)等。只有把這些實踐做法和高新技術相有機結合起來，才能夠真正建立起不間斷的軟硬件系統，才能為彈性服務系統的建立鋪平道路。

總之，無論是“主動防御”，還是“彈性架構”，其理念都與普通的合規做法截然不同。合規雖然認真逐一檢查有關風險管理的條條框框，但依然是一種安于現狀的心態。面對數字時代潛在烈度更大的系統安全挑戰，企業領導者必須制定新的安全框架，而不是簡單遵從。