數據泄露之殤 給安全演進帶來了哪些新的思考

近期，在安全領域發生了一起惡性數據泄露事件，其涉及用戶規模僅次於之前雅虎30億用戶信息被竊事件。這起事件源於11月30日，萬豪國際集團官方微博發布聲明稱，旗下喜達屋酒店的客房預訂資料庫被黑客入侵，所帶來的損失是包括2018年9月10日或之前曾在該酒店預定的最多約5億名客人的信息被泄露。而泄露的信息十分敏感，包括用戶護照號碼、姓名、出生日期、預訂日期、電子郵件地址和郵寄地址，還不排除用戶信用卡等重要信息。

另據報道，在萬豪國際集團宣布其喜達屋客戶預訂資料庫遭黑客攻擊幾個小時後，萬豪就遭到了一起消費者的集體訴訟。訴訟稱，萬豪提出的一年信用監控計劃是不被認可的，因為其無法保護客人的個人信息免受長期威脅。而更值得注意的是，本次攻擊被最終發現是通過今年9月份一個安全工具警告稱黑客試圖侵入系統時，才引起萬豪酒店的注意，經過隨後的調查，該公司才注意到黑客竟長期在訪問其客戶註冊系統的數據，甚至試圖刪除和加密這些數據。

這起泄露事件，雖然影響範圍很廣，但卻不像之前雅虎事件那麼讓人觸目驚心，究其原因主要是數據泄露事件近幾年屢屢發生，已經見怪不怪。從一個旁觀者對整個安全行業的大環境來看，數據泄露彷彿已成常態，人們開始普遍接受木桶效應的理論，即對個人信息保護的再如何完善，一旦其中某個環節出現紕漏，那之前所有防護上的努力也都將變的徒勞無功。也就是說，即使沒有這次數據泄露，恐怕這些信息也早已通過其他方式泄露出去。這種思想讓很多人對安全防護的態度產生了一些消極的影響。

另外，從受害用戶來看，最不能接受的恐怕還是本應受到妥善保護的信息卻以一種毫無保護的方式被泄露出去，並被黑客用作各種違法行為，而這樣的問題已經不是一兩次出現了，但始終沒有得到足夠的重視。而對涉案企業來說，最終所要付出的安全代價也將是難以承受的。總之，這種泄露對個人和企業來說其危害都將是十分深遠的。那麼，我們今天的企業對數據安全的重視程度是不是已經有所加強了呢？答案是有加強，但還遠遠不夠。也是在這樣的情況下，促使目前很多安全廠商開始把產品重心轉移到數據安全方向上來。

數據安全防護成為主要戰場

國際標準化組織（ISO）對計算機系統安全的定義是：為數據處理系統建立和採用的技術和管理的安全保護，保護計算機硬體、軟體和數據不因偶然和惡意的原因遭到破壞、更改和泄露。從這個定義中我們可見數據安全的重要意義。同時，我們也意識到，數據安全與傳統的主機安全和端點安全在安全邊界上發生了很多變化，其更強調對數據的實時管理和分析，而不像傳統防火牆那樣主要強調對外的過濾功能。

目前，我們對數據本身的安全，主要是指採用密碼演算法對數據進行主動保護，如數據保密、數據完整性、雙向強身份認證等；其次是對數據防護的安全，主要是採用信息存儲手段對數據進行主動防護，如通過磁碟陣列、數據備份、異地容災等手段保證數據的安全，而對數據本身的安全必須基於可靠的加密演算法與安全體系，這就需要對內對外（本地、遠端）都要做好相應的防護體系，而目前很多數據安全方案則缺乏這種內外一致的安全機制，導致數據安全這一戰線頻頻失陷。因此，有人提出應該用一種全新的安全思路來擺脫這種困局。

變被動為主動的安全新思路

今年，我們在安全市場中聽到最多的一句話就是「變被動為主動」，意思是把安全模式由被動防禦向主動防禦轉變。由於傳統滯後的安全反應機制一直困擾著安全領域，所以這樣的想法一經提出馬上得到眾多安全企業的積極響應。目前，各大安全廠商爭相推出基於大數據分析和機器學習的智能安全產品，並冠以主動安全防禦（態勢感知）等產品名稱。

但從目前市場的反饋來看，在生產環境中應用這種新的安全技術的用戶並不多見，為什麼大家期盼已久的突破性技術卻沒有得到用戶的大量買單呢？其實，在我們看來，最主要的原因無外乎是對這項新技術的不夠信任，商業上說就是成熟度不足。在實際業務中，用戶對安全的要求要遠小於對成熟度的要求，而人工智慧技術本身也是一把雙刃劍，安全人員可以利用，黑客同樣也可以利用，但這並不可否認AI給安全領域帶來了新的技術革命。最起碼其讓攻防雙方站在了同一起跑線上。那麼目前這種主動防禦技術到底靠不靠譜呢？

準確率與誤報率的數字遊戲

「我們對安全攻擊的預警準確率已經達到99%以上」，這樣的宣傳口徑在利用AI技術實現的主動防禦方案中逐漸成了主流，但這個數字背後所隱藏的秘密卻很少有人注意，只有對安全行業有一定了解的人才會對這樣誇張的數字產生疑問，如果真的達到99%以上的預測準確率，那說明這項技術已經十分成熟，早就應該大規模商用了。

但遺憾的是，這一數字背後隱藏著一個巨大的「坑」，就是誤報率的問題，我們知道當我們把所有異常現象都視作攻擊威脅的話，系統預測的準確率將達到最高，甚至可以做到100%報警，因為所有的攻擊事件都包含在所告警的範圍之內，但這有什麼意義呢？因為在安全領域還有一個不能忽視的參數是誤報率，如果預警報告100次攻擊威脅，但最終只有50次攻擊是準確的，剩下的50次異常沒有出現威脅，那誤報率就達到了50%，相對實際的預測準確率就只有50%，而如此之高的誤報率還會對安全維護工作造成極大的干擾和負擔。

由於誤報會對系統的正常使用造成重要影響，所以目前安全廠商大多隻強調自己產品的預測準確率，而對誤報率避而不談，這其實還會帶來一個比較嚴重的後果，就像「狼來了」的故事一樣，當屢屢出現誤報之後，維護人員很容易把真正的威脅忽略掉。因此，我們要對一款具備主動防禦能力的安全產品性能指標進行評估時，準確率和誤報率應該同時考慮，而廠商也應該在這兩者之間做好一種平衡性，給出一個更加客觀有效的性能參數，這樣才會對實際應用具備參考價值。而目前看來，基於AI的智能安全產品大多都存在這樣的問題，但我們要承認智能安全的演進方向必定將成為未來安全市場中的主要方向，其產品的成熟度也將在市場中進一步得到驗證。

建立整體安全防護體系理念

通過近年來頻繁發生的數據泄露事件，使得我們聯想到了一系列的安全問題，最終我們還想強調一些基本的安全防禦理念：

第一，安全防護應該通盤考慮、盡量杜絕死角，不應出現在某個環節上做到嚴防死守，而在某些環節中放任不管的情況，以避免再次出現木桶效應給整個防禦體系帶來的災難性後果。

第二，不要過度迷戀新技術帶來的安全能力，新技術並不是「百毒不侵」，本身也存在缺陷，如AI技術本身也存在可被利用的漏洞，防禦工具是死的，但發起攻擊的人是活的，安全的本質是人與人的對抗，因此應該時刻建立起一種隨機應變的安全機制。

第三，傳統安全手段並不過時，面對混合雲的複雜安全邊界場景，傳統安全手段與新興安全技術同樣重要，尤其對於數據安全而言，安全策略也將隨著對數據應用方式的改變而有所變化，因此類似打補丁這樣的傳統方式反而顯的更加重要了。

第四，轉變對安全的態度，儘早建立起一套安全流程與規則，並嚴格予以執行。

任何安全上的疏忽大意都會給我們帶來不可挽回的後果，因此，我們對安全的態度與意識才是最為重要的，企業安全的責任並非只局限於幾個維護人員本身，而在於全體員工的參與，只有建立起一套面向全局的安全體系與規則流程，並嚴格遵守和執行，才能搭建出一個長治久安的安全防護體系，以減少給黑客的可乘之機。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！