印巴戰(zhàn)爭(zhēng)讓我們看到體系化作戰(zhàn)能力的重要性，單件武器裝備的能力再?gòu)?qiáng)，在體系化作戰(zhàn)面前，只有被碾壓的份。

——聯(lián)軟科技CEO 祝青柳

1.網(wǎng)絡(luò)治安好，或許只是個(gè)“錯(cuò)覺(jué)”

近期，銀狐勒索病毒大爆發(fā)，爆發(fā)的背景是比特幣的大流行以及中美地緣政治對(duì)抗，使得勒索病毒產(chǎn)業(yè)投資收益能力超過(guò)了幾乎任何產(chǎn)業(yè)。

比特幣大流行，使得黑客攻擊勒索無(wú)法通過(guò)資金鏈被追溯到，黑客攻擊變現(xiàn)成為一件現(xiàn)實(shí)可行的事情。

地緣政治緊張加劇，使得網(wǎng)絡(luò)攻擊追溯變得異常困難，黑客可以將自己隱藏在對(duì)方的勢(shì)力范圍內(nèi)，去攻擊對(duì)手。

現(xiàn)在，勒索病毒已發(fā)展為一個(gè)產(chǎn)業(yè)，有人制造攻擊工具、有人建立SaaS平臺(tái)分發(fā)攻擊、有人出售攻擊入口、有人負(fù)責(zé)攻擊、有人負(fù)責(zé)收錢(qián)，然后進(jìn)行分贓。（黑客控制1900萬(wàn)主機(jī)，通過(guò)出售主機(jī)訪(fǎng)問(wèn)權(quán)限牟利，在新加坡被捕，這是網(wǎng)絡(luò)攻擊黑色產(chǎn)業(yè)鏈的冰山一角，一個(gè)人如何快速積累1900萬(wàn)主機(jī)的控制權(quán)，這是非常值得思考的問(wèn)題）

由于中國(guó)最近20多年來(lái)，社會(huì)治安越來(lái)越好，身在中國(guó)的人們非常容易產(chǎn)生一種錯(cuò)覺(jué)，網(wǎng)絡(luò)上的治安也不會(huì)太差。其實(shí)，如果要打個(gè)比喻，現(xiàn)在網(wǎng)絡(luò)上的治安情況，好比有人背著大量現(xiàn)金，出現(xiàn)在九十年代的廣州火車(chē)站。九十年代末，我曾經(jīng)有一次在廣州火車(chē)站幫助一個(gè)親戚買(mǎi)火車(chē)票，剛拿到火車(chē)票和零錢(qián)，就被人搶了，然后他們還拿出匕首，要求我給錢(qián)，而離售票窗口不遠(yuǎn)的警察轉(zhuǎn)頭看向外面?，F(xiàn)在的網(wǎng)絡(luò)治安，絕不是大家憑直覺(jué)想象的那樣“歲月靜好”。在去年，我曾經(jīng)簡(jiǎn)單寫(xiě)過(guò)一篇短文說(shuō)明勒索病毒的泛濫程度，上市公司被多次勒索已經(jīng)成為常態(tài)。

2.網(wǎng)絡(luò)黑客已開(kāi)始利用“地利”優(yōu)勢(shì)，發(fā)動(dòng)攻擊

由于網(wǎng)絡(luò)安全防御理論研究的缺乏，現(xiàn)在大多數(shù)單位，對(duì)網(wǎng)絡(luò)安全的理解還是買(mǎi)個(gè)防火墻、殺毒軟件解決問(wèn)題，少部分單位覺(jué)得要買(mǎi)EDR、建立態(tài)勢(shì)感知系統(tǒng)、請(qǐng)網(wǎng)絡(luò)安全公司派人保護(hù)、加強(qiáng)數(shù)據(jù)備份。這些措施是否有效果？當(dāng)然有比沒(méi)有強(qiáng)，但是在面對(duì)已經(jīng)體系化作戰(zhàn)的勒索病毒產(chǎn)業(yè)面前，當(dāng)下的防范措施基本可以說(shuō)作用不大。要論對(duì)網(wǎng)絡(luò)安全最為重視的，肯定是大金融機(jī)構(gòu)、大制造業(yè)單位。然而，近幾年，我國(guó)銀行業(yè)龍頭單位、家電制造業(yè)龍頭單位被勒索事件時(shí)有發(fā)生，支付贖金以?xún)|計(jì)。這些單位，大都已經(jīng)部署了市場(chǎng)上各種類(lèi)型的網(wǎng)絡(luò)安全產(chǎn)品，而且請(qǐng)了非常專(zhuān)業(yè)的人士做網(wǎng)絡(luò)安全管理，仍然頻繁出現(xiàn)問(wèn)題。

網(wǎng)絡(luò)安全中的名詞非常多，廠商也熱衷于創(chuàng)造各種名詞，創(chuàng)造各種新產(chǎn)品，各個(gè)大單位也買(mǎi)各種各樣的網(wǎng)絡(luò)安全產(chǎn)品。如果打個(gè)比方，這些大單位好比印度，買(mǎi)了一堆武器裝備，卻缺乏統(tǒng)一的軍事理論，面對(duì)集團(tuán)化、系統(tǒng)化攻擊黑客，吃敗仗幾乎難以避免。

銀狐病毒的出現(xiàn)已有多年，首次發(fā)現(xiàn)是2022年底，我們聯(lián)軟科技UniEDR在2023年上半年就在大型機(jī)構(gòu)檢測(cè)到了銀狐病毒的木馬樣本，然而兩年半過(guò)去，該病毒最近有愈演愈烈的趨勢(shì)。這個(gè)勒索病毒比較特殊，它熟悉中國(guó)網(wǎng)絡(luò)安全市場(chǎng)，利用了中國(guó)網(wǎng)絡(luò)安全環(huán)境特點(diǎn)進(jìn)行木馬的內(nèi)部擴(kuò)散，簡(jiǎn)單來(lái)說(shuō)就是黑客知道如何利用網(wǎng)絡(luò)環(huán)境中的“地利”，提升自己的攻擊效率。

然而，今天很少有高?；蛘甙踩珡S商，明確提出要利用網(wǎng)絡(luò)中的地利、人和、技術(shù)優(yōu)勢(shì)的結(jié)合，來(lái)防范勒索病毒。

我從1995年開(kāi)始學(xué)習(xí)計(jì)算機(jī)網(wǎng)絡(luò)，1999年因?yàn)閹椭C券交易所建設(shè)交易網(wǎng)絡(luò)，開(kāi)始思考如何保護(hù)網(wǎng)絡(luò)的安全，2004年和一幫志同道合的技術(shù)人員創(chuàng)辦了聯(lián)軟科技(http://www.av1100.com)，目標(biāo)是通過(guò)管理和技術(shù)解決，讓計(jì)算機(jī)的網(wǎng)絡(luò)安全實(shí)現(xiàn)可管可控（我們叫：構(gòu)建可控的互聯(lián)世界）。有十五年的時(shí)間，我們常聽(tīng)客戶(hù)提出網(wǎng)絡(luò)安全問(wèn)題，然后和客戶(hù)探討解決辦法，如果市場(chǎng)上缺乏相關(guān)的產(chǎn)品和技術(shù)，我們就和客戶(hù)共創(chuàng)，十五年下來(lái)雖然做出了不少安全產(chǎn)品，但離真正解決安全問(wèn)題還比較遠(yuǎn)。我們現(xiàn)在定義，真正解決安全問(wèn)題要實(shí)現(xiàn)兩個(gè)目標(biāo)：實(shí)現(xiàn)底線(xiàn)風(fēng)險(xiǎn)管控（不?。?、安全助力業(yè)務(wù)發(fā)展（獲勝）。 

3.《戰(zhàn)爭(zhēng)論》給予的啟發(fā)：防御戰(zhàn)優(yōu)勢(shì)明顯

2018年的一天，我和我們CTO王志在討論聯(lián)軟科技網(wǎng)絡(luò)安全產(chǎn)品到底應(yīng)該怎么做才能既提升客戶(hù)的安全又不影響業(yè)務(wù)效率時(shí)，發(fā)現(xiàn)一個(gè)很有趣的事情，蘋(píng)果手機(jī)十億人使用，不用安裝殺毒軟件、不用安裝安全管家、不用設(shè)置個(gè)人防火墻。通過(guò)分析，我們發(fā)現(xiàn)iOS從戰(zhàn)略上就說(shuō)利用了“手機(jī)是信息消費(fèi)終端”這個(gè)特點(diǎn)，構(gòu)建了一套安全保護(hù)體系，也就是說(shuō)，喬布斯用“手機(jī)是信息消費(fèi)終端”這個(gè)“戰(zhàn)場(chǎng)”環(huán)境的地形環(huán)境特點(diǎn)，設(shè)計(jì)出一個(gè)充分利用”地利、人和、技術(shù)”優(yōu)勢(shì)的保護(hù)方法，讓iOS系統(tǒng)又安全、又方便。當(dāng)然，iOS系統(tǒng)并非絕對(duì)安全，但是對(duì)其99.9%的用戶(hù)來(lái)說(shuō)，其安全性已經(jīng)足夠好。

通過(guò)這次討論，讓我意識(shí)到，我們聯(lián)軟科技不應(yīng)該只是單維度地開(kāi)發(fā)安全產(chǎn)品，我們要從幫助客戶(hù)做總體安全規(guī)劃出發(fā)，幫助客戶(hù)充分地利用自己的”地利、人和、技術(shù)“優(yōu)勢(shì)，提升防御一方的作戰(zhàn)效率，改變攻防不平衡的態(tài)勢(shì)。為此，我們研究了戰(zhàn)爭(zhēng)中的案例和戰(zhàn)爭(zhēng)理論，最典型的是南宋末年的釣魚(yú)城之戰(zhàn)。它是中國(guó)古代軍事史上極具標(biāo)志性的防御戰(zhàn)役，因其對(duì)蒙古帝國(guó)擴(kuò)張進(jìn)程的重大影響，被譽(yù)為 “上帝折鞭處”。南宋守將王堅(jiān)，充分利用地利、人和、技術(shù)優(yōu)勢(shì)，以弱勝?gòu)?qiáng)、以少勝多。

同時(shí)，我們從卡爾·馮·克勞塞維茨的《戰(zhàn)爭(zhēng)論》中得到啟發(fā)，防御方是有優(yōu)勢(shì)的?！稇?zhàn)爭(zhēng)論》是軍事理論的經(jīng)典之作，對(duì)后世的軍事戰(zhàn)略和理論產(chǎn)生了深遠(yuǎn)的影響。在這部著作中，克勞塞維茨提出了許多精彩且深刻的思想?？藙谌S茨認(rèn)為，一般來(lái)說(shuō)，防御戰(zhàn)比進(jìn)攻戰(zhàn)有更多的優(yōu)勢(shì)。

無(wú)論是釣魚(yú)城之戰(zhàn)還是《戰(zhàn)爭(zhēng)論》，都說(shuō)明防御方是有優(yōu)勢(shì)的。為什么到了網(wǎng)絡(luò)戰(zhàn)（網(wǎng)絡(luò)安全的本質(zhì)是對(duì)抗），大家就常說(shuō)攻擊方有優(yōu)勢(shì)，攻防不平衡呢？我們進(jìn)行了深入思考。通過(guò)思考，有幾個(gè)發(fā)現(xiàn)：

戰(zhàn)爭(zhēng)不以傷亡多少為判斷輸贏，以最終誰(shuí)達(dá)到作戰(zhàn)目標(biāo)作為判斷輸贏的標(biāo)準(zhǔn)。

換句話(huà)來(lái)說(shuō)，傷亡一些將士，乃至短期損失一些土地，只要最終獲勝，就說(shuō)贏了。典型的例子是中國(guó)解放戰(zhàn)爭(zhēng)中，1947年黨中央根據(jù)敵強(qiáng)我弱的戰(zhàn)場(chǎng)態(tài)勢(shì)，提出主動(dòng)放棄延安的戰(zhàn)略決策，將國(guó)民黨的部隊(duì)牢牢地牽制在陜北戰(zhàn)場(chǎng)，為解放戰(zhàn)爭(zhēng)的最終勝利發(fā)揮了重要作用，真正實(shí)現(xiàn)了用一個(gè)延安換取了全國(guó)的勝利。

網(wǎng)絡(luò)安全中，大家經(jīng)常講的進(jìn)攻容易，防御困難，指的是防御方做到零傷亡。

如果以“防御方零傷亡”這個(gè)標(biāo)準(zhǔn)來(lái)衡量戰(zhàn)爭(zhēng)輸贏，我想無(wú)論是王堅(jiān)的釣魚(yú)城之戰(zhàn)，還是中國(guó)的解放戰(zhàn)爭(zhēng)，大家都會(huì)認(rèn)為是非?；闹嚨摹?/p>

網(wǎng)絡(luò)安全防御中，廠商普遍被動(dòng)采取措施，被攻擊方牽著鼻子走，所以成本極其高昂。

按照當(dāng)下主流的安全理論，防御方需要找出所有網(wǎng)絡(luò)軟硬件資產(chǎn)，找出其中的漏洞，對(duì)漏洞打補(bǔ)丁，持續(xù)不斷進(jìn)行監(jiān)測(cè)發(fā)現(xiàn)攻擊。這些都是成本極其高昂的建議，而且很難做到“實(shí)現(xiàn)底線(xiàn)風(fēng)險(xiǎn)管控”，即，"不敗"，更不要說(shuō)實(shí)現(xiàn)“安全助力業(yè)務(wù)發(fā)展”，即，"獲勝"。

網(wǎng)絡(luò)防御戰(zhàn)，如何定義是否實(shí)現(xiàn)了"底線(xiàn)風(fēng)險(xiǎn)管控"？

我們認(rèn)為標(biāo)準(zhǔn)是核心業(yè)務(wù)系統(tǒng)的連續(xù)性是否受到嚴(yán)重影響，是否影響到了企業(yè)經(jīng)營(yíng)的可持續(xù)性？用戰(zhàn)爭(zhēng)的話(huà)來(lái)說(shuō)，防御方是否失去了繼續(xù)作戰(zhàn)的能力？網(wǎng)絡(luò)防御戰(zhàn)中獲勝如何定義？我們認(rèn)為標(biāo)準(zhǔn)是：讓對(duì)方失去攻擊價(jià)值，即對(duì)方認(rèn)為繼續(xù)攻擊沒(méi)有意義，或者，在保障業(yè)務(wù)連續(xù)性的前提下安全投入低于可能的安全損失，即安全防御符合經(jīng)濟(jì)性原則。

4.改變網(wǎng)絡(luò)安全防御目標(biāo)：保護(hù)業(yè)務(wù)連續(xù)性

通過(guò)上述的討論和思考，我們認(rèn)識(shí)到，安全防御的目標(biāo)變了，不再以“零傷亡”為目標(biāo)，而是以“業(yè)務(wù)連續(xù)性保護(hù)”和“經(jīng)濟(jì)性”為目標(biāo)。如果這樣，我們就沒(méi)有必要把所有的漏洞都補(bǔ)上，讓所有攻擊方式都無(wú)法入侵進(jìn)來(lái)，我們只要抓住主要矛盾的主要方面即可。怎么抓住主要矛盾的主要方面？我們可以參考學(xué)習(xí)古代的城市防御系統(tǒng)，以唐朝的長(zhǎng)安城為例，我們看看其是如何防御的。

首先，是要做身份識(shí)別，敵我識(shí)別。老百姓和士兵要區(qū)分，官員和老百姓要區(qū)分，士兵和將軍要區(qū)分，敵我要區(qū)分。

其次，建立外郭城的城墻、護(hù)城河，并將城內(nèi)分成108個(gè)坊和東市、西市，坊和坊之間有隔離措施，晚上9點(diǎn)之后不隨意出入。如果有敵方人員潛入，可以將其控制在某個(gè)坊內(nèi)，便于控制風(fēng)險(xiǎn)擴(kuò)散。對(duì)水源，建立防止投毒的管理體系，避免大面積的人員傷亡。

再次，建立皇城和宮城，皇城外有護(hù)城河，對(duì)重點(diǎn)目標(biāo)進(jìn)行進(jìn)一步的保護(hù)，對(duì)宮城內(nèi)人員實(shí)現(xiàn)進(jìn)一步的容錯(cuò)式保護(hù)。對(duì)糧倉(cāng)、武器庫(kù)等重點(diǎn)資源進(jìn)行專(zhuān)項(xiàng)保護(hù)，武器庫(kù)深藏在皇城的核心區(qū)中。

最后，建立哨兵、巡邏(金吾衛(wèi)每日在街道巡邏)、安全管理體系。

我們可以看到，唐朝的長(zhǎng)安城的防御，不是依賴(lài)于某個(gè)城門(mén)，某個(gè)武術(shù)高手，某支軍隊(duì)，他是一個(gè)體系，城墻、護(hù)城河、坊、百姓、士兵、軍隊(duì)，以及百姓的戶(hù)籍和身份憑證管理，官員的服飾與"魚(yú)符"與"傳符"，乃至監(jiān)軍等，都是這個(gè)體系中的一部分。

（圖片由AI生成）

將今天絕大多數(shù)政企、金融機(jī)構(gòu)的網(wǎng)絡(luò)安全防御體系，與唐朝的長(zhǎng)安城的防御體系對(duì)比，我們看到有如下差異：

身份識(shí)別，唐朝長(zhǎng)安城對(duì)百姓、士兵、官員的身份識(shí)別管理，有一套清晰的外在（服飾）與憑證管理系統(tǒng)，有相關(guān)的授權(quán)控制體系。當(dāng)下的政企網(wǎng)絡(luò)，目前還停留在統(tǒng)一的賬號(hào)管理階段，在權(quán)限可視化（服飾）與權(quán)限分層（百姓、士兵、官員）還有很大的差距。

唐朝長(zhǎng)安城的防御系統(tǒng)，有外郭城、護(hù)城河、網(wǎng)格化的坊等措施，并將人員身份與進(jìn)出各種“城”，以及“坊”的權(quán)限結(jié)合，建立了一套完整的權(quán)限控制系統(tǒng)。當(dāng)下的政企單位，絕大多數(shù)“城墻”是不完整的，網(wǎng)絡(luò)內(nèi)部做分區(qū)分域、分權(quán)限管理的更少，對(duì)于黑客的橫向移動(dòng)控制措施普遍不完整。

唐朝長(zhǎng)安城通過(guò)皇城和宮城等措施，對(duì)重點(diǎn)目標(biāo)、重點(diǎn)資源進(jìn)行容錯(cuò)式保護(hù)。當(dāng)下政企單位的網(wǎng)絡(luò)中，幾乎沒(méi)有區(qū)分重點(diǎn)目標(biāo)、重點(diǎn)資源，還在用“零傷亡”為主的思路進(jìn)行防御。

唐朝長(zhǎng)安城建立了哨兵、巡邏(金吾衛(wèi)每日在街道巡邏)、安全管理體系。由于國(guó)家倡導(dǎo)建立態(tài)勢(shì)感知系統(tǒng)，近年來(lái)關(guān)鍵基礎(chǔ)設(shè)施單位如公共通信與信息服務(wù)、金融、交通、能源、水利、國(guó)防科技工業(yè)等普遍建立了態(tài)勢(shì)感知等系統(tǒng)，但是這些系統(tǒng)的建設(shè)在信息的信噪比方面普遍存在嚴(yán)重的問(wèn)題，沒(méi)有利用自己的環(huán)境優(yōu)勢(shì)來(lái)優(yōu)化信噪比，導(dǎo)致安全態(tài)勢(shì)感知系統(tǒng)價(jià)值沒(méi)有得到發(fā)揮。

對(duì)比唐朝的長(zhǎng)安城防御體系，可以看到，當(dāng)下的政企單位在前面三部分的安全防御投資不夠，第四部分的投資雖然很大，但是方法不正確。使得盡管整個(gè)社會(huì)投入了巨大的資源在網(wǎng)絡(luò)安全防御上，但是由于投資方向不完全正確、建設(shè)方法不完全正確，這樣漏洞百出的網(wǎng)絡(luò)安全防御體系，在面對(duì)類(lèi)似銀狐病毒這種集團(tuán)化、規(guī)模化攻擊組織面前，焉能不?。?/p>

▲聯(lián)軟科技TDNA可信數(shù)字網(wǎng)絡(luò)安全架構(gòu)理念

5.聯(lián)軟TDNA理論，指導(dǎo)網(wǎng)絡(luò)安全防御

我們經(jīng)過(guò)討論，聯(lián)軟科技在2018年認(rèn)識(shí)到網(wǎng)絡(luò)安全需要新的思想、新的理論對(duì)網(wǎng)絡(luò)安全防御進(jìn)行指導(dǎo)，指導(dǎo)整體安全規(guī)劃，指導(dǎo)網(wǎng)絡(luò)安全方案設(shè)計(jì)，指導(dǎo)網(wǎng)絡(luò)安全產(chǎn)品的研發(fā)。因此，我們進(jìn)行了進(jìn)一步的總結(jié)：

1.網(wǎng)絡(luò)安全防御理論指導(dǎo)思想：利用優(yōu)勢(shì)進(jìn)行對(duì)抗，實(shí)現(xiàn)安全與效率的統(tǒng)一，提升經(jīng)濟(jì)性，不追求絕大安全，改變攻防不平衡。

2.TDNA可信數(shù)字網(wǎng)絡(luò)安全架構(gòu)：建立保護(hù)、對(duì)抗、安全運(yùn)營(yíng)的體系，用容錯(cuò)進(jìn)行保護(hù)，用對(duì)抗進(jìn)一步提升黑客攻擊難度及攻擊成本，建立符合降噪原則的情報(bào)獲取系統(tǒng)和自動(dòng)化的指揮控制系統(tǒng)。

3.安全方案，從身份與授權(quán)管理開(kāi)始，到暴露面管理，到韌性業(yè)務(wù)安全，到一體化防勒索、防數(shù)據(jù)泄密以及原生安全建設(shè)。

4.產(chǎn)品研發(fā)，基于TDNA框架，研發(fā)市場(chǎng)上缺乏的產(chǎn)品、功能、特性，形成體系化能力。

5.功能、組件、技術(shù)，依據(jù)安全方案需要，開(kāi)發(fā)符合防御體系的功能、組件、技術(shù)，提升效率、降低成本。