适用于信息安全的网络12条真理

当我第一次读到 RFC 1925(1996年4月1日发布)中关于网络真理的介绍时，我觉得这简直就是愚人节的笑话，随后就将之抛诸脑后了。而最近我忽然意识到，通过深入解读这12条真理，可以从中吸取到很有价值的经验。由于RFC表示各种安全协议都服从于这些真理，因此我决定将信息安全的概念通过这些真理来解读一下。

真理 #1: 必须有效

不管你决定使用哪种信息安全工具，无论它是技术产品、协议或者其他什么，都要确保这种工具有效。但是“有效”是什么概念呢?我认为，如果能够成功减少企业所面临的风险，那么这种安全工具就算“有效”。如果这种安全工具只是通过复杂的操作让人产生了错误的安全感，那就不叫“有效”。

真理#2: 不管你如何增加推力，你也不可能超越光速。

2a (推论). 不论你怎么努力，也不可能让胎儿在9个月之前正常出生。拔苗助长只会适得其反。

某一种特定的安全控制和解决方案只适用于某一种特定的环境。比如，在公司大众文化还无法接纳时就强制推行严格的安全控制制度，必然会导致企业员工的不满和抵制。又比如，如果企业自身都没有什么重要数据需要保护，或者自己都不知道重要数据存储在何处的情况下，就提前实施数据丢失预防(DLP)解决方案。而要想成功必须按照正确的步骤逐步实施，否则结果不是无法达到预期，就是项目开支超出预期。

真理#3: 只要推力足够，猪也能在天上飞。不过这并不是个好主意，因为着陆可能会是个问题。还有，当猪在天上飞的时候，你在下面会很危险。

我承认，这些年来，我给了很多猪足够的动力，他们也真的飞起来了。但是，在不考虑某个特定产品能否真正满足企业需求解决企业本质问题，或者企业文化还没有准备好的情况下强制实施安全控制方案，所带来的结果往往是出乎意料的。比如，不满的员工会想方设法找到变通的途径，绕过你极力实施的安全控制措施。

真理#4: 有些事情如果不是亲自动手，这辈子都不会理解或体会到。如果某人没有真正搭建过商业网络设备或没有运营过网络，是无法完全理解网络的。

不能因为你理解某种行为的安全风险或者你有某种安全解决方案的搭建经验，就认为企业的所有员工都理解这种安全风险或者都需要进行安全风险控制。安全意识的培养是一个长期过程，同时也是能够帮助你达成安全项目目标的因素之一。同样，换位思考，如果你没有做过企业员工的日常工作，你可能也不会真正了解他们到底为什么那么排斥你的安全项目。

真理#5: 很多人都希望通过一个解决方案同时解决多个分立的问题。在大多数情况下，这都是个坏主意。

从长期运行的角度看，复杂的安全问题解决方案不利于维护，并且更容易出现意外状况(比如员工会想办法绕过安全控制)，这会让所有人都有失败感。因此再设计安全控制方案时，要时刻遵循KISS原则，即Keep it simple,stupid(保持简单傻瓜状态)。

真理#6:把问题转移到别的地方(比如将问题转移到网络架构的另一个区域)要比解决问题简单的多。

6a (推论). 总是可以添加另一层间接方案。

你能实施一个技术方案，并不意味着你能解决那些本质上是由文化或安全意识造成的问题。因此你可能很容易误解问题的根本原因所在。

真理#7: 总是有原因的

7a (推论): 好用，快速，廉价：三者只能选其二(不可能三者都占着)

对与绝大多数IT项目来说，这一条都适用。当计划实施任何安全项目时，最好把这一条牢记在心。一个快速而廉价的项目，一般要么是功能较少，要么是性能无法达到你的要求。

真理#8:事情总是比你想的复杂.

不论新的安全技术、策略或控制方案实施起来多么简单，都有可能由于实施工艺、企业文化或政治因素等导致失败。上层管理层的支持、安全意识的培训以及完整周密的计划和测试，可以让潜在的失败风险降低。

真理#9: 不管什么资源，多多益善

9a (推论) 所有网络问题的解决时间总要比看上去长

真正解决或最小化一个网络安全风险是一个复杂的任务，花费的时间也短不了，同时可能所需成本也会比你最初预料的高。但是长期来看，解决问题所带来的回报是最高的。

真理#10: 不同情况分别对待

这就是为什么安全项目计划和设计过程如此重要的原因。企业的文化、所面临的安全风险，甚至企业内部的政治斗争，都会影响到企业的安全特征以及项目实施的方法。

真理#11: 所有的老方案都会换个名字或者换个陈述方法重新被提出来，不论以前这种方案是否成功过。

11a (推论). 参考6a。

安全产品厂商总是会在新产品中增加所谓的“革新”技术，就好像黑客总会在他们的攻击活动中添加“创新”方法一样。但是大多数时候，不论是安全厂商还是黑客，所谓的创新都是新瓶装老酒。保持头脑冷静，你就能分辨出老方案和真正的新方案之间的差异，以及是否值得花钱购买新产品。

真理#12: 在协议设计上，完美并不是指该添加的都添加了，而是指该去掉的都去掉了。

在信息安全方面，完美的安全控制是指通过透明的不会引起用户反感的方法实现的方案，并且企业可以通过这种方案实现安全控制以及降低安全风险。