360谭晓生：万物互联时代的安全边界在哪里？

近日由商业价值、钛媒体与CSDN联合主办的“2014 技术商业500人论坛”在北京举行，360副总裁谭晓生在大会上作了题为“安全攻防实践Ÿ安全技术体系”的主题演讲，阐述了他对万物互联时代面临的新的安全威胁的理解，以及万物互联网时代安全边界的变化，以及新的安全体系的建设。

图一：360副总裁谭晓生

谭晓生认为过去我们的防御思想是边界防御，但是万物互联网时代，网络边界越来越模糊，而且会持续的模糊下去，传统的防御思想已经过时了。今天企业的网络边界已经退到了某个设备上，不管是随身带的，还是房间里的智能设备，或者是一台服务器，或者是租用的虚拟机，到了某一个对象上，边界在那里，边界的防御思想要跟着变。安全体系也经过了若干变化，现在流行的安全体系是立体防御，由过去玩工程的游戏，靠城墙防御变成塔防游戏。以下是谭晓生演讲内容节选：

从IT来说，有些什么新的趋势呢?智能硬件越来越多，不管叫物联网，还是叫智能硬件，今后几年肯定越来越多。但是，它的安全是非常成问题的，今年Defcon上有一个展示，45分钟，展示了22种硬件设备，包括海信电视机、LG冰箱、亚马逊机顶盒、索尼和松下的蓝光播放器，今年发现USB的漏洞，入侵的话，可以改USB Firmware，智能硬件变成了破解对象。

我们过去的防御，不管防火墙，还是IPS，有用没用?有用，十颗子弹过来能挡住三颗、五颗，在物联网时代，过去的东西没办法保护你的安全，由于太大，或者由于部署原因，没办法部署在那个东西前面，过去我们的防御思想是边界防御，刚才那些全在网络边界上，越来越模糊，而且会持续的模糊下去，为什么?互联网给我们带来的红利本质上是什么?无外乎两点：一个是信息变得对称了，信息流动变得快速和便捷;二是数字信息的复制是无损的，可以非常快速的传播，天然的属性会让边界变得模糊，随时随地都能联网的时候，人到处走，身上带的智能终端设备跟着你走，网络不断的变，如果靠传统的防御思想已经过时了。今天企业的网络边界已经退到了某个设备上，不管是随身带的，还是房间里的智能设备，或者是一台服务器，或者是租用的虚拟机，到了某一个对象上，边界在那里，边界的防御思想要跟着变。

安全体系也经过了若干变化，现在流行的安全体系是立体防御，说穿了是什么?由过去玩工程的游戏，就是靠城墙防御变成塔防游戏，区别在哪里?城墙一旦被打破，进去可以屠城，如果塔防程序，进攻者需要过一道一道关，过去叫硬壳软糖，壳咬破之后，里面的东西很美味，现在玩塔防新的安全模型，云管端，管道就是边界一级的防御，终端上的防御，在2014年，终端防御的优先级重新被提高了，过去大家认为终端已经做到那个样子，杀毒软件快做死了，过去终端管控也不是特别有效，今年对于终端安全的重要性又提升了，这条防线到什么程度了呢?开始和云结合起来，一个程序在某个终端里运行时，会采集它的行为，它做了什么API的调用，它用了什么资源，会把这些信息汇总到云端，云端可以收集多个终端设备的行为信息，再用大数据分析看有没有异常，和过去在单个终端上做的安全防御有非常大的变化。终端这一级要引起足够重视，第一，要纳入安全防御网络中，第二，终端要有自我防御能力，这是下一步可能要增强的，终端要能检测到它自己遇到了什么问题，它有自我防御机制。云是这些年一个大的变化，可能已经有超过5年时间了，云安全思想，云提供的是更大的数据存储能力和更强的计算能力，我有了云，有算力，可以翻来覆去算历史数据，找出中间的异常。

新的安全边界在哪里?安全边界有很大的变化，过去网络出口是边界，现在某一台终端中跑的一个应用程序变成新的边界，比如手机里的一个App会变成新的边界，今年有一个思想，软件定义边界，过去我们做ACL，从这台设备到另外一台设备中间可以通过哪个端口进行通讯，今天要看的是某个终端中间的某一个应用程序可以和另外的某个终端上某个应用程序通过某个端口进行通信，深入到一个终端物理设备内部进到一个程序进行控制。

有了云之后，你的网站可能在公有云里边，公有云中有很多东西是你不能控制的，比如多住户安全问题，比如云服务商会不会偷看你的数据问题，你的边界已经推到云里了，这个边界也需要一系列解决方案，这方面有关的法律法规比较欠缺，后面几年大家肯定能够看到这方面的完善。无线网络，这是一个新的边界，还有各种各样智能硬件设备，会带来新的边界。你开的汽车，车联网，边界又到了车里，今年云的趋势叫混合云，私有云和公有云最后可能会变成混合云，边界是动态变化的，边界防御没错，只是在边界防御具体怎么做上会产生非常大的变化。

要重视一点，Threat Intelligence，这是今年特别热的一个词，要做完全，要玩情报这一级，我们认为需要两方面东西：第一，大数据收集与分析能力;第二，攻防知识。所谓的大数据的分析能力，我要能够存储多长时间的数据，有多大的业务范围，业务细节程度，一个App同另外一个机器里的App通信，如果不了解业务规则，你很难知道这个通信应该不应该产生。这个业务到底是干什么的?到这一级才能知道访问到底是不是违规的。中心是攻防思想，给一个银行做一个安全解决方案的时候，刚开始开发人员拿了一套方案，看着不满意，我把信息安全部人叫过来，问他们应该怎么搞，他们讲一个小时，攻击者提的攻击点和防御者设防的地点无一重合，两者是完全不同的思想，攻防知识其实是核心。