邓飚：前面几位谈的非常好，大家方向都是一致的。尤其是新光、邓锋，他们谈到了意识上的短板。包括黄伟谈到流程上的短板。在我们内部也是这样。也谈到产品和解决方案缺陷，我们在安全技术上并不比人家差，但是过去，华为在产品解决方案里面做的比较多，有机会的话我们下来可以更多的交流。
我接着刚才黄伟谈的流程补充一下，实际上把我们网络安全管理要素内嵌到流程当中是非常非常重要。拿华为举例，从一层到六层，怎么样保证每个人的工作在工作流当中都是符合我们的质量、符合我们的要求，就必须嵌到流程里。
关于技术方向，我从华为企业角度谈谈我们研究的几个方向。第一，软件定义安全。在过去两年时间里我们听到用软件定义结构、用软件定义存储、用软件定义IT，我们内部讨论用软件定义安全。传统信息安全网络有很多硬件，随着软硬件结合，我们大量功能、包括网络防御能力可以多集合在软件上。这样使网络具备弹性、更大的灵活性。这是网络安全第一个专题。第二个，基于大数据安全分析。刚才邓总举了一个例子，晚上7点钟之前，以前都是这么一个行为，今天7点钟突然发生了变化，而且这个变化远远脱离了他原来的曲线，这个时候可能是有风险。我们内部也构建了大数据分析，以前大数据是基于结构化数据，我们可能用了很多SIEM系统来做，现在更多要关注非结构化数据，今天早上百度首席科学官谈到基于视频、图片、声音的搜索技术和识别技术。在现在阶段，在非结构化数据方面我们必须要加大投入，这是我们谈的第二点。第三点，刚才邓锋提到的，砂箱技术。就是把风险在砂箱里面它的破坏性、它的隐患，看他是不是会释放出木马。在他进入我们整个业务网络之前就屏蔽掉，这也是一个非常重要的方向。第四块，现在公有云发展的非常快。现在不仅华为内部有大量自己私有云，我们也用了公有云的能力。当我们用公有云的时候发现一个问题，往往网络安全很多要素管控其实把IT部门屏蔽了。在企业如何去在端和公有云之间建立信息安全控制节点，这也是一个新的课题。第五个方向，基于场景的研究。我们叫情境模式管理。当一个企业一个员工有一个帐号，但是他可能在不同地点登录、也可能在不同终端登录，有的时候用手机、用PC，在企业内部网络、在外部WIFI，这个时候我们希望系统自动识别，达到网络安全防御。
邓锋：大家提到做网络安全都考虑安全产品，其实我觉得要考虑产品的安全更重要。做一个企业IT人员想我怎么买安全产品来服务我保护的更好，无论买什么样的安全产品其实都不安全，都有风险。但是你买了哪一个产品是不是安全性，可能导致你的环境或者你的网络是否安全，你可能这个产品看着不是一个安全产品，但是他可能里头有非常致命的弱点，最容易被别人攻击。今天最好的安全产品也挡不住这个攻击。所以大家要注意你每一个所用的产品安全性怎么样。设计产品也是这样，不是说我今天不是设计安全产品的，我就没有安全问题了。
丁健：前面几位真的都是技术上大卡，一谈起来这些技术都是如数家珍，大家肯定都我一样都学到很多东西。由于时间关系，我把大家引到第二个问题，我们的法治问题。网络安全与法治。下面我们花一点时间。我提两个问题，大家主动回应。第一个问题，刚才邓锋先生讲到了我们在遇到的很多问题，包括国家这边看到了电信欺诈、包括安全等方面问题，存在着说法治对于他们的惩罚或者说法治本身立法这个角度来讲对他们的限制和在这方面立法本身详细程度都不够，我很想听听说大家在这个角度上有什么建议？我们作为一个行业有没有想法说我们作为一个想法形成一种行业协会一样的东西来促使政府或者通过人大、通过立法能够强化立法执法方面的力度。在这方面你们有什么建议？我想听两到三位大家主动的愿不愿意讲有什么想法。
邓锋：其实我觉得立法并不是很难，最难的是说执法。在执法当中最难的就是取证。行业合作，在取证上有一些合作，比如规定一些规范，有些取证能够很快找到问题，然后要重罚。现在有的觉得说这个事跟我没有关系，我就不管。其实DDOS攻击很多东西今天跟你没有关系，但是过两天就会攻击你。包括行业制定一些规范，某些关键点信息给你，大家一凑起来就知道怎么回事，这样就可以在执行上给的惩罚更高。然后在之后就推进这个东西。其实很好的一个例子就是中国视频，今天跟多少年前很不一样了，现在你稍微有点违法，很快可以给你很重的惩罚。就是进步在取证这方面，法院认可取证这方面取得进展很大，这一点可以通过行业合作订一些规范来做到这些事。信息到处都有痕迹，也都不是很高难度，我们讲的就是普通的，想把我的东西放到你那里头，偷一点信息，然后就卖了。这个取证相对来说不是很难，这一点上可以配合。
肖新光：关于立法的问题，当前一部分是关于整个立法，刚才谈到是不是有独立的网络安全立法，是不是有非常可行的技术上的延展等等，包括司法解释等等。但是另一方面这里有一个综合治理的问题，从当前来看，我们当前网络，据说从事地下经济灰色人群是数以数万、甚至百万，他已经形成了一个既定事实存在，这个既定事实存在就不是简单的你怎么样把它堵住，他一旦是一个既定事实存在，就会在另外一个地方冒出来。一定是一个综合治理，这里面有些观念需要改变。比如网络安全绝对不是建立在一个非常混乱的治理体系下，绝不是说网络整个安全问题越多，整个网络安全保障越低下，网络安全行业就越能够良性发展。网络立法和有效的执法及其配套的综合治理也是网络安全厂商良性发展的一个非常好的基础。网络安全企业、网络安全技术和服务人员首先建立在他是技术和技术博弈的基础上，假设我们作为防病毒的，我们对抗的对象是病毒，而不是做病毒那个人，做病毒那个人由公权部门治理，如果公权部门不能把这个人行为限制住，他就会持续进行这种制作，这种制造有其经济动力。这种经济动力并不是像有些人理解的那样，反病毒厂商的事情越来越多，实际上反病毒厂商是处理不暇的。第二，关于DDOS的问题，国内曾经有一段DDOS的狂潮被压制住一段时间，那一段时间是在某地打掉了某号称反DDOS产品的所谓安全厂商，他就是采用先救用户，再敲诈用户方式，如果没有一个综合治理方式，既一定程度遏制住地下经济发展，然后使攻守双方进入一个基本平衡性这样的保障博弈，同时又能够有效地限制一些厂商滥用权限甚至违法犯罪行为的话，那么整个产业乱象绝对不是产业的福音，所以我还是要呼唤综合治理。
相关文章
精彩导读
热门资讯
关注我们
