信息安全:在喧哗与躁动中演进

2015年08月28日 作者: 张矩

本文作者:张矩 光速安振中国创投执行董事。中美两国超过20年的高科技领域的行业经验,目前专注于中国投资领域,如企业软件及服务、云计算与大数据、SaaS存储和IT服务。积极参与的被投企业包括: 青云和瀚思。 Email: jzhang@lightspeedcp.com

信息安全行业的发展正在快速向人类免疫系统的模式演进。传统的固定边界和万灵药思路在当前的信息攻防形式下变得越来越无效,甚至有害。为失败设计(Design for Failure)、攻击面控制、纵深防御、实时安全情报感知等工程思路正在重构信息系统的安全模式。

演进

在进入信息安全的讨论之前,让我们先欣赏两张自然界奇观的照片:

图1:眼睛的结构示意图

图1是人类身体上结构最复杂的器官之一:眼睛的结构示意图。人类的眼睛包含大约有40个不同的子系统,包括视网膜、瞳孔、虹膜、角膜、晶状体和视神经。视网膜细胞接收外来的光线,将其译成电脉冲,并通过视神经传送至大脑。

大脑中称为视觉皮层的部分将脉冲解释为色彩、对比度、深度等,从而使我们能够看到我们世界的“图画”。

从功能性的角度来看,人类眼睛是生物进化高效性的佐证:通过变异、选择、进化、进程可以产生出近乎完美的功能部件。

图2:流感病毒

图2是自然界最简单的生物体之一:流感病毒(实际上其是否分类为生物也在讨论之中)的结构示意图。

流感病毒基本上是包裹在蛋白质薄膜内的一组具有遗传特性的化合物。流感病毒历史悠久,具有高致病性,并通过空气传染,在全球范围内形成周期性大流行。

更为重要的是,由于流感病毒自身极强的变异性,人类的免疫系统无法对其形成有效的防御。甚至在外界疫苗的帮助下,人类自身的免疫系统依然难以形成确定可靠的免疫反应。

两张图片显示了生物进化过程上一个显而易见,却经常被忽视的现象:进化过程可以产生非常高效,且近乎完美的功能性器官,却无法形成对外界病原体入侵可靠并有效阻止的免疫系统。

背后的决定性因素是功能性进化,这是一个逐步完善的过程,而防御性进化则是一个逐步升级并相互对抗的过程。

从另一个角度来讲,人类在对抗流感病毒的战斗中取得压倒性的胜利。通常,流感作为常见的流行性疾病,其死亡率小于0.02%。在经历三到五天非常不适的发病期后,我们通常可以完全康复。这得益于人体作为一个复杂系统,在整体上预期了病毒感染的发生。

我们可以在遭到入侵后通过肿胀来限制病毒感染区域,发热来降低病毒活性,受体重组来消灭病毒。人体在对外的免疫防线被攻破后可以依然保护系统整体的安全。

同样的,信息安全行业的发展正快速地向人类免疫系统的模式演进。传统的固定边界思路(希望在边界处可以阻止所有入侵),万灵药思路(可以应对任何情况的安全技术和手段)在当前的信息攻防形式下变得越来越无效,甚至有害。

信息安全越来越成为一个长期的、系统化的工程问题:为失败设计(Design for Failure)、攻击面控制、纵深防御、实时安全情报感知等工程思路正在重构我们的信息系统的安全模式。这些都将会颠覆现有信息安全行业。

市场

一个经常被从业人员忽视的定律是:安全产品的价值取决于该产品可以保护的商业资源的价值。而商业资源的价值最直接的体现则是由资源受到侵害时造成的损失度量的。

针对信息技术行业,商业资源主要包括两大类:数据和服务。而信息安全产品主要保护的是数据的访问和服务的交付。

通常,服务交付中断的损失可以相对方便的估算,而数据非法访问的损失在现阶段则是非常主观的判读。

由于显而易见的原因,这种非常主观的判读通常是走向大事化小,小事化了的方向。无论是受害方和入侵方都有很强的动力来维持安全事件的保密性。

供需双方对资源价值上的分歧在一定程度上解释了中国信息安全市场不健康的现状:当信息安全产品的用户不认可被保护资源的价值,真正有效的安全产品就很难被市场接受。取而代之的则是来自其他角度的压力:例如行政强制的合规要求。

这些替代性需求通常是以打勾式的认证,而不是以安全效果来考量的。价格、行政关系以及灰色的销售手段主导了中国信息安全企业的发展,一定程度的阻碍了信息安全技术的进步,最终造成了信息安全市场上劣币驱逐良币的结果。

与此同时,面向消费者的信息安全产品在推广上走到了相对娱乐化的道路。在威胁与安全态势信息不对称的情况下,营造恐惧,然后提供具有“普适安全感”的方案成为大家最流行信息安全产品营销手段。

指纹识别、安全插件安装、系统扫描动画等各类卫士成为广大消费者的标配。在某种程度上,无基础的安全感比不安全更可怕。它会促使没有准备好的用户在虚假的安全感中采取造成更严重后果的行为。

但是即使在灰色的背景下,市场还是会向好的方向发展。而具有讽刺意味的是,这一发展的动力则主要来源于攻防冲突中入侵方对商业资源价值的认证:究竟黑客愿意花多么大的努力和代价来获取对数据资产的访问。

在一个社会经济高度数字化网络化的环境里,数据资产的价值最终会映射到信息安全产品的价值。这将是未来信息安全市场规模最终的决定因素。

机遇

当下,在全球范围内,我们都面临同一个挑战:信息基础架构建设的速度远远超过了我们对于信息安全的规划。原因是显而易见的,短期利益主宰了我们的决策,选择效率和利润率而不是安全。所以在加速奔跑的同时,欠下了越来越多信息安全的债务。

对未来的信心来源于当威胁发生时,我们可以用技术的手段改装(retrofit)旧的系统来填补漏洞。

而事实证明,改装的思路是一个非常昂贵的假设。系统的设计和实现决定了信息安全角度中可攻击面的大小。攻击面越大,改装和加固的复杂性与成本就越高,而改装与加固的效果也越差。

不过从乐观的角度来看,历史上对信息安全的忽视,很大程度上放大了未来信息安全市场的容量。

在今后的几年内,我们将会看到全球范围内各个行业对信息安全产品和技术投入的大幅增加。某种程度上,这个即将到来的信息安全大发展,绝对是对信息安全行业从业者的喜讯。

在这次信息安全发展的大潮中,我认为在以下三个领域将会有具有颠覆性的成功信息安全初创企业的出现:

1. 通过创新性的技术加固手段,在不影响正常用户使用便捷性的前提下,使得入侵者针对被攻击系统的可攻击面(或者单一攻击点)的攻击成本有一个甚至多个数量级的上升。

这里的攻击成本包含了入侵者所需的资源和时间开销。这个领域最具代表性思路的公司之一就是美国的Shape Security,试图通过动态混淆和客户端加密的技术来极大地增加程序化Web页面攻击的难度。

2. 对于资产型数据(传输态和存储态)提供有效、可验证的新一代技术方案。

数据保护方案很大程度聚焦在数据加密和访问控制上。而斯诺登事件本身则证明了传统的数据加密和访问控制的严重不足。 我们看到在后斯诺登时代,越来越多在数据加密领域的前沿性研究(多方计算、同态加密等),以及面向大规模分布式系统的全动态数据保护机制。

3. 面向企业提供可反馈,可行动的实时信息安全情报服务与解决方案。

信息安全行业具有攻防双方,是典型的对抗性产业。信息安全情报一直是信息安全产业的重要组成部分。

但是随着信息安全行业的对抗形态迅速演进,严重滞后的传统信息安全情报(特征码、规则等)模式被快速地边缘化和无效化。

类似实时性、全方位、全量大数据、行为分析、模式识别的标签,已成为诸如Caspida和Crowdstrike等新一代信息安全情报服务提供商最通用的自我描述。

信息安全行业从来都没有国界。严格上讲,封闭系统以及所追求的供应链安全除了提供容易消化的“安全感”之外,很难起到真正安全的效果。

中国作为信息产业大国,在数据的生产和消费上都具有全球最大的市场体量。我们的信息安全产业不仅可以有效解决国内市场面临的安全挑战,而且更有条件据此产生出全球范围内领先的信息安全企业。