RSA 2017产业与技术趋势研讨会北京召开

　　RSA 2017产业与技术趋势研讨会北京召开

 

　　3月28日，以“协同联动 聚力前行”为主题的“RSA 2017产业与技术趋势研讨会”在京召开，本次研讨会由中国计算机学会主办，中国计算机学会计算机安全专业委员会、绿盟科技、360企业安全集团承办。会上，公安部网络安全保卫局总工程师郭启全、360董事长周鸿祎、绿盟科技总裁沈继业，以及中国科学院、360企业安全集团、绿盟科技、华泰证券、天融信、山石、启明星辰等安全厂商和机构的安全专家对当前网络安全环境和形势做了深入探讨。会上，与会嘉宾一致认为，安全行业应在协同联动的基础上形成“聚力”，携手前行，以更好地面对和解决新安全环境下的安全威胁和其他安全问题。

 

　　中国计算机学会计算机安全专业委员会主任严明：

 

　　产业协同需以管理制度配合

 

　　今天，我们聚到一起来研究网络信息安全发展的问题。我们的会议叫“RSA热点研讨会”。大家知道，今年在美国召开的RSA热点研讨的主题词是“Power up of opportUNITY”，这个词字面上的意思是“机会就是力量”或者“机遇、环境就是力量”，我们在实际体会上，觉得更可以理解为“协同就是力量”以及“团结就是力量”。

 

　　有人总结，今年RSA的主要精神或要点仍然是安全产业的协作，安全产品的整合与平台化，云安全、机器学习在安全领域的产品化，终端一体化，威胁情报的精细化，这些都是今年美国RSA大会的重要议题和趋势。中国计算机学会计算机安全专业委员会至今已经举办了八年的RSA热点研讨。八年来，我们一起秉承“他山之石可以攻玉”的思想，把参加当年RSA大会的专家们请到一起，大家交换信息，交流心得，讨论我国的信息安全和网络安全发展的问题。

 

　　在今天的会议上，不少企业也谈到了确保网络安全需要产业协同。以安全领域的最重要的资源数据为例：个人信息、金融信息、交易信息、物流信息等数据分别掌握在不同的政府机构和企业中，但在进行具体的网络安全威胁侦测、防范的过程中，都可能需要用到上述数据，这就需要不同机构和企业之间相互配合。对此，我们应该建立相应的管理制度，在确保数据信息安全的前提下，能够对数据信息进行利用，并以此提供更加可靠的安全防护。

 

　　360公司董事长周鸿祎：

 

　　确保网络安全需全行业协作

 

　　在2016年第三届互联网大会开幕式时提到一个观点：“互联网的发展是无国界、无边界的，利用好、发展好、治理好互联网，就必须深化网络空间的国际合作，携手构建网络空间命运共同体”。去年，在乌镇互联网大会上“网络命运共同体”成为一个热词，我们一个观点是，在网络攻击上没有国家能成为旁观者，也没有国家能成为幸运者。 

 

　　今年RSA主题是“Power of opportUNITY”，大会的宣传图片上把“unity”加粗了，翻译成“团结、联合”。我觉得“协同”一词更合适，因为在网络安全领域，网络攻击是猫捉老鼠的游戏，敌人永远躲在暗处，利用你不知道的技术攻击你。做网络安全的人不像做其他行业的人，从来不能够休息，不能喘一口气说我解决了安全问题，事实上永远有层出不穷的新的威胁和新的安全问题挑战我们。

 

　　我们感觉不能靠一家公司真正解决问题，特别是“没有网络安全就没有国家安全”，这对我们是重大的利好消息，但对所有的从业人员而言也是巨大的挑战。这确实需要行业共同的力量，一起来携手解决，所以我们也率先做了一些尝试，比如我们开放了部分大数据接口，针对国内的政府、大学和所有的企业，把扫描数据库开放。黑客攻击前踩点的扫描数据可以对攻击进行预判，我们把数据公布给国内所有的同行，也试图能够通过大数据能力加强大家各自产品的能力，相互构建一种网络命运共同体。

 

　　我觉得只有我们整个安全行业团结起来才能提高整个国家、整个世界网络空间的安全防护能力，这种理念如果贯穿下来对产业是个机会。这个产业不太可能垄断，也不可能通吃，因为安全的点太多了，很多企业，哪怕原来是友商、同行，以前为了竞争有恩恩怨怨，大趋势面前，我也呼吁以RSA为契机，大家抛弃前嫌，谋求共同的发展，在保障网络空间安全的同时，也让网络安全行业有个光明的未来。

 

　　公安部网络安全保卫局总工程师郭启全：

 

　　技术热点应和国家战略重点相结合

 

　　网络安全是国家安全，谁来承担主力军、技术支持力量？我认为大家是清楚的。我国网络安全顶层设计要搞好，目前我国已经出台了相关的法律、战略、政策，并且还在研究后续的法律法规，我本人也是有关政策法律法规的参与制订者。我认为，既然是政府主导，政府就要协调，政府要真正带领大家做，政府发挥的作用，不仅仅是指导、协调、支持。

 

　　参考国外的经验，我国的网络安全也应有中国特色的重要措施。目前，我们有国家网络安全登保制度，信息安全通报机制。我认为，我国的网络安全保障措施已进入到了2.0时代，需进一步把国家的基本制度、重要举措在2.0时代进行落实。例如，自主可控战略、产业发展、技术创新、体制机制建设、平台的建设等方面，都是各界需要努力的重点。

 

　　我们今天谈国家安全战略，应该知道，技术是为战略服务的，技术是支撑战略的。因此，应该感谢网络安全行业里长年坚持技术研发的企业和专家，是他们在十几年里持续支持着我国网络安全战略和事业。因此，我希望将业界的技术热点和国家的战略重点结合起来，以此促进技术的进步和战略的稳步推进。

 

　　绿盟科技高级副总裁叶晓虎：

 

　　IT技术发展给安全企业带来新挑战

 

　　这两年，随着IT技术快速发展，企业变革的速度越来越快。在我们看来，一个企业在运营过程中的安全地位越来越突出。应该说一个安全问题可能会有三个层面的影响。第一、基础的网络安全；第二、基础网络安全影响到业务，会产生业务安全问题，对于业务如果有比较大的社会影响面就会产生社会影响；第三、更严重的情况会进入国家基础设施安全问题。

 

　　IT技术的快速发展，对安全公司也是个很大的挑战。对安全公司自身来讲，需要从产品的交付变成能力的交付，这也是从安全公司自身发展角度来讲的一个变化。目前，在为企业提供安全运维服务当中有两个闭环。第一个闭环是小的闭环，从出现漏洞、发现威胁开始，到做出相应的规则、升级补丁后再发布，这么一个小的闭环要怎么样做得更快？这两年，绿盟在内部也做了很多关于技术、业务、组织架构上的整合，使得内部在应对小闭环的速度比几年前有了非常大的提升。

 

　　另一个大的闭环更加复杂一些，从发现威胁，到部署到客户侧，到能够部署到产品，再到能够及时地提供防护，确保防护的效果，这么一个大的闭环更加复杂。今天我相信有很多安全厂商可能都不太知道你的产品部署在什么位置，发布的漏洞补丁客户到底有没有用，用了之后的效果大概是怎样的情况。

 

　　作为安全企业来讲，小闭环和大闭环过程之中，单靠一个公司把事情做好非常不容易，需要整个行业内所有公司都贡献自己最擅长的能力。在这样的背景下，我希望安全企业能在相关主管部门、监管部门的指导下，更加快捷地共享对应的信息，构建合作的生态圈，让我们的安全运营效率越来越高。

 

　　中科院信息安全国家重点实验室教授翟起滨:

 

　　人工智能将在安全领域大有作为

 

　　我们已经发现，现在有黑客利用大数据研制智能化的攻击武器，使我们所拥有的盒式防火墙、入侵检测乃至下一代防火墙无法阻止这样的智能攻击。用机器设备打造出来的密码机，要破这个密码机必须要做出相应的设备，这是人工智能在安全领域的应用。目前，各界都在关注人工智能，特别是其中的机器学习和深度学习。在安全领域，人工智能同样有巨大的应用前景。不少国内外公司，已经开始在人工智能领域进行布局，并推出了相应的产品和应用。

 

　　谷歌公司的施米特曾说过，“现在100人规模的小企业，每天可以生成10GB的原始日志数据，人们几乎不可能读取、处理、分析和关联所有数据，只有使用机器学习、人工智能和自适应的传感器来解决相关的问题”。美国已开始应用人工智能，就是AI-First模式，并且这种趋势还将进一步扩大。此前就有人预言，苹果将生产出相当于超级计算机计算能力的智能手机，这将大大加速人工智能的应用。目前，我国在机器学习的某些领域处于领先地位，例如在图像识别领域。由于计算机视觉技术比人类视觉更好，它可以在短时间审查数百万张图片，因此可以在未来有很大的应用前景。

 

　　目前，我国对人工智能发展非常重视，今年的政府工作报告强调了人工智能的重要性。国内重要企业也表示要重点发展人工智能技术。对于我们而言，由人工智能引起的革命才刚刚开始，必然会在各方面引起矛盾和冲突，所以我们应该协调各方，推进人工智能技术的发展以及应用，并且和广大安全厂商一起，将相关应用尽快用到安全领域中。

 

　　360公司首席安全官谭晓生:

 

　　行业内合作将是未来发展方向

 

　　过去几年，包括IBM、英特尔、赛门铁克等众多厂商都在网络安全领域进行了大量投入，这也给业界一些启示，即安全行业需要平台级厂商，并以此与众多行业企业形成紧密的合作关系。

 

　　为什么需要平台级厂商？因为做集成、做整合确实不是小厂商能做得了的，往往需要大兵团作战，如果不是稍微有点规模的厂商，没有号召力，一些事情就很难做成。例如，推Open DXL标准，如果不是赛门铁克等厂商支持，进展就会很缓慢。因为相关的标准和应用以及产业资源整合非常繁杂，恰恰像IBM、赛门铁克这样的大厂商，既对应用有了解，也有工程能力，同时做过产品和项目，又有一定的实力，才可能会去做行业整合的事情。

 

　　在这样的局面下，安全领域的企业应该重新思考公司定位。过去三年里，国内安全创投非常多，很多做安全的人员，包括黑客也出去创办了自己的公司，但回顾过去的两三年，日子过得怎么样，我相信冷暖自知。虽然安全行业前景光明，也获得了国家层面的重视，但作为安全厂商还是要定位好，你是作为产业中的一环，还是希望作为老大？作为一环是做哪些工作？做哪些细分工作？美国有些安全公司定位很清楚，就是做某一环也能活得很不错。360这样的厂商同样需要重新定位，因为很多事情同样搞不定，不可能把安全防御链条上那么多产品都做好。我可能充当集成者的角色，在某些细分领域，别人的产品做好了我拿来用就好。所以，在行业内合作并分享利益将是未来发展的方向。

 

　　杭州安恒CTO刘志乐:

 

　　云安全需安全企业做更多融合

 

　　在互联互通时代，下个安全维度是什么？2016年发生在雅虎、美国人事管理局、美国大选当中的泄密事件，让大家发现当今的安全手段其实也并不安全。随着云技术的应用，移动设备、物联网设备、移动办公等，这些网络边界实际正在逐步消亡。因此，接入云时代的安全就更多地聚焦于密码。过多的密码和特权用户的要求，转换到身份管理以后也会遇到一些问题。其实，身份管理不是一个很新的话题，今年不光在云安全会议上，在其他安全领域的会议中，也有很多专家强调身份管理，通过身份管理，以及整个IT环境当中创建身份验证、单点登录、多因素身份识别，限制一些横向或纵向权限，将访问迁移到审批的工作流来审批特权的访问，实际这些都不是什么新的东西，在我们传统的过往安全手段当中也一直在用，只不过环境发生的改变，从传统IT到了云上。

 

　　在现有的云环境下，我们的云安全是在现有的方式下进化，还是以具有新的革命性的技术手段实现？这是目前业界关注的焦点。目前，中国政府正在大力地把政务云推向云上，包括大型国企也都在做云的尝试和改造，应该讲这条路是必须得走的。对于用户来讲，他到了云上就会产生比较大的未知风险。比如勒索软件、恶意软件、钓鱼软件。在云环境下我们怎么办？今天又有了新的问题，比如IoT，有了这些问题是不是就要放慢我们上云的脚步？

 

　　事实上，包括安恒在内很多企业都在着手尝试给出解决方案。目前，安恒提供了云安全管理平台服务，在平台上不光把安恒产品进行融合，而且融合所有业内的防火墙，它可以开通云监测、开通云防御、云审计、云服务和云的安全市场。我呼吁更多的安全企业，大家可以一起做这个事情，我们也希望和大家做更多的融合。

 

　　360企业安全集团副总裁左英男:

 

　　安全企业有义务为企业提供“进化”服务

 

　　在新的安全形势下，新的边界防御也在进化，进化的方向是平台化，不再是依靠一个网关，而是依靠云端高度集成化的方案给到客户，这样有几个好处：能降低客户对安全问题的处置门槛，能够降低成本，有非常好的集成化处理解决方案，安全平台要想做好这件事情，我认为有三个非常核心的能力要具备，如果不具备你想这样做也很难做到。

 

　　一是全局的能见度与可视化，要具备能识别到用户应用内容甚至到威胁资产等；二是威胁持续发现能力，要有多终端手段，依靠各类技术发现威胁和潜在威胁；三是自动化响应处置能力，能用自动化方式降低运维的难度，缩短发现威胁处置的时间。

 

　　事实上，已经有多家国内外厂商根据目前安全领域的趋势变化，推出了新的产品和服务。我们发现这些产品具备以下特点：发现已知威胁、甄别未知威胁、看见的能力以及处置的能力等。我们认为这将是合理的进化方向。

 

　　在安全上讲进化，“物竞天择，适者生存”八个字最适合。作为一家企业的安全负责人，有义务为企业、为组织提供“进化”服务，建立被动防御、积极防御到威胁情报防御能力，这样才不会落伍，才能够应对更多的威胁，才能够有绩效。否则，你可能会被淘汰掉。我想这对于一个安全从业者来讲也是一样的，客户有这样的需求，安全能力有这样的变化，你得有本事，有这种动力去提供相应能力的产品和技术，才能在“物竞天择”中生存下来。

 

　　华为科技安全研发部部长刘立柱：

 

　　云的趋势已不可避免 

 

　　云的趋势已经不可避免，速度越来越快，这是我们参加完RSA 2017最大的感受，美国企业上云的速度在加快，基础设施大量都在云化。在安全领域，云技术的应用呈现出下面几个趋势。

 

　　第一、目前在安全领域的大数据技术应用渐趋成熟。不少厂商都在研究和应用大数据技术以及人工智能技术，并结合到安全领域、威胁防御、事件检测和处置方面的调查取证，在面向云产品时，不管政企私有云还是公有云，都在践行这样的技术。未来，我们认为，在这个领域会有更多的应用，包括传统认证方式也将以人工智能方式实现。

 

　　第二、虚拟化和软件定义安全架构是云安全的热点。这已经不是炒作，而是实践的方向，包括在中国很多客户都向我们提出了相关咨询。在操作系统层面，我觉得它越来越趋向于成熟，在网络方面应用也越来越多。其中最关键的网络安全定义架构，就是安全如何融入到SDN和NFV安全架构里，构筑Service Chain安全应用，这是实现云安全自动化编排的基石。

 

　　第三、是Open Security Controller。面对越来越多的安全控制器，很多厂商提出安全架构Open Security Controller。这个架构设计目标是考虑在多种云环境下，安全的集中管理、自动部署、分发、交付，能够对所有的NFV应用进行弹性扩容、扩展和扩缩。目前，我们和英特尔达成战略级的合作伙伴关系，正在积极地共同开发Open Security Controller。（记者 侯云龙）（来源：经济参考报）