Posts for: #Security

绿盟往事

小四好像提前进入温情脉脉追忆往事的老年期,陆续约了不少绿盟老人拿旧时光开涮,也找了我,趁着刚开春还不忙,我记几笔,可以和其他人的记忆印证一下是否有错乱(小四说随便吐槽随便造,所以,准确性可能在其次,还原氛围或许更重要些),反正我记住的,往往也是一些细碎的片段,想到哪写到哪,写完拉倒。

这篇内容首发在小四公众号上,我请他开了个白名单,我自己这里备一份,后续或者可以学杨大波波写写安焦的往事,确实有些人和事,不记一记,都忘了。

我跟 Star 和 San 差不多同时去北京,去之前,我在卖喇叭,Star 在建筑工地,San 在开中巴——我们先去了华泰——也是一家初创的安全公司,也有一拨热爱安全的年轻人,当年我选择的原因是:绿盟有那么多高手,去了也是垫底,华泰几个哥们水平好像能跟上,而且据说政府关系不错,应该有发展。结果选错了,几年后,华泰岌岌可危,绿盟……也岌岌可危——那会儿,我找还倜傥的 Arrow(后来的大叔爱肉)借钱,他递钱给我时,一脸痛苦地说,省着点花,我都半年没拿工资了。但没过一会儿,又甩一小脸骄傲:半年没拿工资都没人走啊,了不起啊。

没过多久,我和 Star 和 San 还是被诱惑着去了绿盟,其中一个诱惑是氛围好,据说(忘了是谁说的了,好像是 PP)他们下班吃吃喝喝时,小四能追着眼圈(老沈)踢他屁股(以眼圈的跑步速度,按理小四装上风火轮也追不上他,但偏就踢上了),另外还有个诱惑是高手多,而且有个内部的新闻组,大家在里面讨论技术问题很火热。进绿盟前,老沈面试——说是面试,其实是我们仨去他办公室聊了一会,就定了。Star 和 San 去了研究部,就是著名的非正常人类聚集的区域,我被分配去了工程部——开始还有些怏怏,不过很快就自我激励——应该是眼圈意识到我沟通能力不错了吧。

入职当天,遇到一个高高大大的脸上泛着青气但是笑嘻嘻的小伙,我脑海里一时泛出了俩水浒好汉——青面兽和笑面虎。凑近一看,脸是白的,那青气是络腮胡的胡碴,显得很有杀气(后来有一次去 KTV,娟子手欠拿打火机燎他的腿毛玩儿,没想到唰地一声,火光上窜,迅速成燎原之势,慌得大家一阵拍打灭火——看过大话西游的,可以结合山贼们替至尊宝灭火的场景自行脑补)。相互问候之后,我才知道他就是 WaterCloud,简称 WC(后来因为 XFocus 上的一篇帖子,又被人称做杨大波波,他当时维护一个小网站,一会发个 AIX 的 exploit,一会找个 HP-UX 漏洞,我很景仰的)——人家原名杨冀龙,现在创业做的知道创宇,也小两千人了,他们公司的销售去客户那里吹牛,都说我们服务特好,一条龙服务,哪条龙?杨冀龙呀。

扯远了,到了工程部才知道,我是工程部的第五个人,另外四个是 Deepin、爱肉、当当和老狗(回忆是有点酸啊,多少年没见当当和老狗了,我甚至不知道老狗现在在哪),第一感觉是,他们都挺厉害啊。

一到直接上手干活,第一份活儿是给某单位做个信息安全方案。这种事情显然是手到擒来,那好像是个周末的下午,我很快完成得七七八八,爱肉不知为何跑到公司,亲切地(他一般对女生亲切惯了,因此一度被称为桃花爱肉,桃花眼经常到处乱飞媚眼以及总渴望有桃花运,往往也拿同样的态度对待大老爷们)问我是不是有什么困难,需要的话,他可以帮我改改。结果看了方案,他犹豫了一会,小心地跟我说:我给你看看以前我写的,你看,我一般还是用 Office,关键地方还是要图文并茂,有图,容易把方案的关键讲清楚。而且,客户更喜欢。

嗯,他说得对。那之前,我一直用 notepad 写文档(还自以为是,觉得“高手就应该能用文字把事情讲清楚”),爱肉给我上了第一课。

那时,QQ 还叫 oicq,有一天,我在 oicq 上看到了绿盟那小旗子广告,很是诧异,问了一圈,打听到原来腾讯找绿盟做了安全服务,要节约成本,一部分费用,用广告抵了。那次服务是爱肉带队做的,对接的居然就直接是 Tony,项目完结后,Tony 邀请 Arrow 入职。可惜 Arrow 在绿盟的爱与股份,超过了他对腾讯发展的预判(虽然事实证明他的预判严重失误),好在也不妨碍他壮年退休,开着豪车带着媳妇满世界找好吃好喝的(对比起来,在绿盟时,他出差回来就会絮絮叨叨,什么地方好吃,什么地方好玩,火车/飞机上又遇到了哪个温婉的妹子——直到有一次,遇到一位外貌婉约可人,内心与执行力却很强大的姑娘后,他才被征服,收起桃花眼,不再四处放电,这也都是后话)。

后来有一次给 XX 社做投标方案,正好赶上安全焦点(XFOCUS)开焦点峰会,我忙着会务的事,方案写得很糙。交稿给 Deepin(他是工程部的负责人)审视之后,他委婉地表达了“这失了水准”,我本来以为他要打回来让我重做,没想到他自己熬夜加班,默默地做好了。这算是给我打了个样,那以后我尽可能不交让自己太丢脸的东西了。

不过印象中很快又丢脸了一次——某天上班,有客户突然来访,销售拉我去做技术交流,没来得及跟我做背景介绍。客户上来就问我:XX 领域,你在你们公司是不是最好的?我略有些诧异地自谦:也算不上吧……话音未落,那位女士就甩了一句:不是最好的来干什么,你出去,换最好的来。我一时语塞,销售赶紧打圆场示意我先撤,我只好回去让 Deepin 上,并且提醒他,得是最好的了,后面也忘了这个客户是否签单,当时是否负气来的了,只是当时对“强势”有了些认识。

至于非正常人类研究中心(研究部)里的人们,比如 Star,是非正常人类里的典型代表,举个例子,有一次 san 脱了他的袜子抱着脚似乎在边闻边观察水泡,我问他发生了什么,San 描述,他们一起出去逛了一天,要返回时,San 对方向有些迷糊,Star 自信且坚定地说:你连东南西北都分不清,用你的脑子想一想,我们是从那边过来的,这里是东,那里是西,现在我们要回去,有点智商就该知道得往西走啊,快点跟上。

然后就大步流星地走上了错误的方向。

当然这种小事是打击不了 Star 的。他在晓星猎头未遂,反被 Star 追求上后,走上了人生巅峰(至少不在公司钻睡袋了)。当然也有朋友认为,猎,可以主动出击,也可以守株待兔,像 Star 这样的傻狍子,还是被猎更合理些。反正这之后 Star 更加自信,更加妙语如珠,导致小四和 TK 都分别整理过 Star 语录(期待小四回头结集发表)。

[阅读全文]

说人话

按理说,说人话应该不难。可惜在现实中,我见了不少反例。

上学时,我一度喜欢优美的辞藻——这可能来自学校教育,我家孩子现在写作文,也会追求“好词好句”——这很像现在自媒体提到的“金句”。但我在写所谓好词好句时,笔力不够,往往画虎成犬,那种文字,精美、空洞。

后来读海明威,觉得更适合自己的性格,转头爱上了简单、干净、讲清楚的写法,甚至以“减到不能再减”为美。

参加工作后,在信息安全行业,学习部分伙伴做售前的讲义,往往诸多术语、缩写,更可怕的还有很多自造的概念与缩写,造词者不说,听者绝无可能自行理解。

那时猜度:可能这种方式,最容易凸显专业性。我学不会,往往还是按自己的简单方式讲,客户听懂就好。

之所以提起“说人话”,是想推荐“虎盾零信任访问安全系统”。

知识星球面临一些网络安全问题。

与业务相关的问题有:不断有新业务上线,旧业务下线导致资产梳理困难。外部黑客的扫描、主管部门安全检查带来的压力。

与账号相关的问题有:人员的入职、离职、调岗,随之而来的账号分发、清理、权限调整,长期维护很复杂。面对内外部威胁的账号安全管理(弱口令检查、防撞库攻击等)。

与数据安全相关的问题有:互联网行业提倡更透明的文化与员工需要合理使用部分敏感数据之间的矛盾。法律法规对隐私保护、安全合规、数据安全的要求需要遵循。

用了虎符网关后,我问我们 CTO:有用吗?他说:

虎符网关对咱的价值体现在开箱即用的用户身份双重验证能力(账号密码 + 一次性口令)以及相应管理能力,用了之后,确实提高了复杂的内部业务安全性,同时减少了研发、维护和管理成本。

内部业务管理更容易。比如:

内部业务系统上线、下线操作都变得简单。

有统一入口,不用再手工向同事分发内部业务网址。

可以明确的授权哪些同事可以访问什么内部业务。

对敏感数据的访问、使用有监测和保护。

外部安全更可控。比如:

业务隐身,针对业务服务器、域名的随机扫描与攻击基本消除。

所以,如果你面临着跟我们差不多的网络安全问题,或许也可以试试虎符网络的产品。

“虎盾”是好朋友王伟的作品——他创业做“虎符网络”,获得两轮融资,产品在政府、金融、电力、互联网等行业都有成功应用,他还担任了杭州余杭区的政协委员。

王伟年轻时混在网上,使用过的 ID 有 alert7、姑苏烂叶,我与他共事过两年,并且一起运维了十几年的“安全焦点”网站,他给我的印象,一直是白净斯文,平时默默搞研究写代码专研得很深,不太沟通——除非是讨论技术问题——那会时不时与人争执得面红耳赤。不太社交——一杯啤酒下肚也面红耳赤。

他第一次创业,被阿里收购。待了几年,耐不住创造的欲望,再次创业,做的就是虎符。因为信任他,连带着,我也信任了他做的产品。

推荐完毕,以下就准备原文照登了——我觉得,至少在“说人话”这个方向上,虎符跟王伟的性格有点像——不擅长沟通,讲的多是技术语言,有很大改进空间。

虎符网络的旗舰产品——虎盾零信任访问安全系统(简称“虎盾”),定位于通过轻量化改造帮助用户构建以身份为中心的可信身份网络和零信任安全底座,让用户随时随地安全办公。

虎盾将传统的基于网络区域边界的安全防护模式,转变为身份经过可信验证后才建立访问连接的防护模式;并通过可信身份验证、设备环境感知、多源信任评估、自适应权限控制等多种技术,为企业筑造可信身份的应用安全访问边界,打造随时随地可以安全接入的访问环境。

虎盾采用管控分离设计,主要由零信任客户端(可选)、零信任控制中心、零信任安全网关组成;整体方案利用“端+网关”构建了一个应用层虚拟的私有可信身份网络,让所有用户身份、应用资源、设备信息、网络流量、用户行为等要素都呈现在一个计算平面内,实现应用暴露面收敛、应用资源管控、实名身份流量、可信设备管控等效果。除了提升企业的整体安全水位外,同时也降低了IT运维和运营成本。

虎盾典型应用场景

虎盾可有效解决远程接入场景下的多种类型安全问题,典型适用场景包括:

1、企业私有Web应用安全访问(知识星球的业务场景)

对于金融、大型企业、互联网等行业客户,需要数量众多且相对独立的私有应用支持其复杂业务系统。随着应用的逐年增加,为了提升业务效率,往往同时还需要将私有应用接入到身份认证和SSO单点登录系统。对于此类业务场景,存在安全和管理两类典型痛点。

安全方面,每个私有应用都可能是一个潜在的业务风险暴露面。云化的趋势让很多企业的内部应用迁移到云上,导致了内部应用直接暴露在互联网上,加大了风险。

管理方面,分期分批建设的不同私有应用有的接了统一身份和SSO,有的使用自有账号体系,还有甚至是没有账号体系,造成用户访问权限管理混乱。由于没有统一的认证体系,对不同的业务应用要配置不同的账号,可能导致弱密码、离职员工账号权限滥用等情况。

简单总结,此类场景需要解决的两个核心问题:如何收敛互联网暴露面,及如何提升管理效率,降低管理成本。

虎盾通过在互联网上为企业私有Web应用构建可信的虚拟身份网络,将所有Web应用都塞回到内网,解决私有Web应用面临的来自外部的网络攻击和来自内部的数据泄露及滥用;同时虎盾支持对接用户已有的各类认证体系,构建统一的认证体系规范账号管理和分发,降低管理成本。

虎盾构建了一个虚拟的内网,没有通过MFA等身份核验将无法进入这个网络,解决内部应用的互联网暴露面的问题。

虎盾将所有企业的私有Web应用都纳入到统一认证,统一身份对接,统一管控等,解决接入用户身份混乱、管理成本高的问题。

支持轻量的统一身份中心,支持Oauth2和JWT协议,帮助企业构建低成本的单点登录系统。

在知识星球完成部署后,由于实现了内网应用在互联网上的隐身,针对业务服务器、域名的随机扫描与攻击基本消除;业务账号统一管理,账号分发、账户权限清晰,且启用双因素认证,安全性大大增强;在构建统一身份认证体系和接入内网应用过程中,也完成了对业务的重新梳理,业务资产更清晰,业务上下线一目了然,在提高复杂内部业务系统安全性的同时也降低了管理成本。

2、外包人员远程接入

对于运营商、教育、企业等行业用户,第三方的外包人员远程接入成为常态。由于外包人员相对不可控,设备共用、账号共享等问题频发,导致企业信息化资源、数据安全岌岌可危。

虎盾支持对终端用户身份可信辨识,所有远程接入访问均需要经过虎盾进行身份验证和终端、环境、行为的可信确认,并支持准入安全管控、异常行为分析、数据泄露风险分析、行为审计分析,实现身份可信、行为感知、审计追溯的能力。

3、重保和HVV

HVV期间,一般红队在真正攻击之前会摸清攻击目标在整个互联网中的资产暴露面情况,并通过探测到的突破口渗入内网发动进一步的攻击和渗透。例如,近年的HVV很多红队的突破口是暴露在互联网上的VPN设备,通过VPN穿透到整个内网。因此,管控内网应用在互联网上的资产暴露面尤为重要。

虎盾基于可信设备和风险感知能力体系,让接入的所有服务在互联网上隐身,让不可信设备寸步难行;同时对设备身份和用户身份进行鉴别,以用户身份为访问凭证进行接入授权访问。此外,虎盾具备一键重保功能,启用后不再接收敲门暗语,让终端无法通过身份认证环节,从而实现非可信终端无法访问到内网应用,从源头阻断红队的攻击。

4、H5微应用安全访问

随着超级APP(企业微信,政务微信,钉钉,飞书)出现,企业和政务前端应用越来越多的搬到了这类超级APP的工作台,原来从内网访问的应用现在就变成了从移动端APP中访问,这给企业安全造成了极大的冲击。典型安全隐患是各类小程序后端的应用服务器将会直接暴露在互联网上。

虎盾可以实现将超级APP内H5微应用隐藏在零信任网关之后,对后端服务器进行互联网暴露面的隐藏,把后端服务器重新塞回到企业内网和政务内网,并且可以做全应用的敏感数据泄漏治理,快速解决小程序导致的数据泄漏风险。

5、多分支办公业务安全访问

对于多分支子公司、办事处、合作伙伴的企业,各分支机构企业内部资源的访问需求不断增加。传统的以网络区域划分、边界隔离的方案往往开放较为粗旷的访问权限,导致业务系统逐步暴露在开放的企业内网,外部威胁随时可能渗透到企业内网;此外边界隔离方案也难以支撑内网精细化、频繁变更的权限控制需求。

虎盾通过全域流量身份化、动态访问控制等关键技术,为企业大内网的访问重塑安全边界:基于用户身份进行ACL策略,以组织结构、角色、个人等多维度进行权限关联与匹配,权限更灵活、管理更简单、可视;发现终端环境、用户身份、访问行为存在安全风险时,系统能够自动收缩用户的访问权限,对不满足安全条件的访问,进行增强认证;通过多源属性检测、第三方安全能力集成,实现多源属性信任评估,更精确地识别异常行为和未知威胁。

6、内外网统一访问控制

很多企事业单位的网络规划过程中,内外网接入是分批分期独立建设。移动互联网普及、BYOD、4A办公等趋势,对企业现有接入控制策略产生巨大冲击。内外网接入的不一致,除了影响业务连续性之外,也给安全管理带来极大的挑战,企业需要建设内外网统一的访问控制体系,以满足安全管理需求。

虎盾可以无缝对接企业已有的多类型身份认证体系,通过统一身份认证和访问接入,建立统一的访问控制体系,实现全面身份化,构建基于身份的动态、自适应访问控制体系。所有的终端访问都需进行统一的用户身份校验和终端/系统/应用的可信确认,并进行细粒度的权限访问校验,然后通过零信任安全网关代理访问具体的业务,这样能极大的减少企业内部资产非授权访问的行为。

虎盾上执行的统一认证和安全基线,方便管理员的日常管理维护,并通过转换为扫码登录等方式解决内网应用弱口令顽疾。

7、多云、多数据中心业务安全接入

对于同时使用多个云服务或数据中心的企业,往往在不同的云和数据中心上部署不同的业务。很多企业不愿意也没有能力在多个云上构建企业网络来保障访问策略的统一,但需要安全的访问多个云上的资源。用户要适配不同的云服务商提供的访问控制策略接口,没有统一入口,缺少跨公有云的统一资源安全访问能力。

虎盾为企业提供同时连接多个云平台/数据中心的能力,通过零信任控制中心集中部署,提供统一的访问控制策略,实现统一的授权管理。当用户要访问某个云上业务的时,通过零信任控制中心进行认证鉴权后,与相应的零信任安全网关建立连接,然后通过该网关代理访问应用。通过这种方式,实现了多云统一接入、统一安全基线、统一权限体系、一致访问体验。

虎符新产品预告

2022年,虎符网络将发布全新战略产品线——虎影数据访问安全系统(简称“虎影”)。虎影定位是新一代数据访问安全解决方案,基于虚拟投影技术,将应用执行和显示分离,确保数据的所有权和使用权分离,实现安全的数据传输、使用、共享,敏感数据开放和共享全流程“不落地”、“可用不可见”。

虎影可应用于各类数据开放、共享交换等业务场景,可满足数据不落地、防勒索病毒、远程浏览器隔离(RBI)等安全需求,典型应用场景包括内部员工办公数据访问、第三方和外包人员数据共享、内部运维和研发人员数据使用等。

作为虎符网络的第一条数据安全产品线,虎影可以与已有的虎盾访问安全产品线集成构建基于零信任的数据安全防护体系,让所有数据访问和安全管控都以身份为基础,在有效缓解外部攻击和内部威胁、收缩攻击面的同时,避免企业数据泄漏风险,严密保护企业数据资产安全。

如果你真的看完了,说明真的对他们的产品挺上心,那可以从他们公众号获取进一步信息:

漏洞上报的法律、惯例和观点

最近这些天,被 Log4j 相关的文章、讨论刷了屏。目前我在网上看到的文章,自媒体大多饱含情绪批评阿里,安全圈则多数对技术研究环境有忧虑。

列举一些信息:

1、法律——网络产品安全漏洞管理规定。

链接:http://www.cac.gov.cn/2021-07/13/c_1627761607640342.htm

对“网络产品提供者”(所有提供网络产品的企业,理论上都受约束)的规定:

第七条 网络产品提供者应当履行下列网络产品安全漏洞管理义务,确保其产品安全漏洞得到及时修补和合理发布,并指导支持产品用户采取防范措施:

(一)发现或者获知所提供网络产品存在安全漏洞后,应当立即采取措施并组织对安全漏洞进行验证,评估安全漏洞的危害程度和影响范围;对属于其上游产品或者组件存在的安全漏洞,应当立即通知相关产品提供者。

(二)应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。

(三)应当及时组织对网络产品安全漏洞进行修补,对于需要产品用户(含下游厂商)采取软件、固件升级等措施的,应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户,并提供必要的技术支持。

对从事网络产品安全漏洞发现、收集的组织或者个人的规定:

(一)不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息;认为有必要提前发布的,应当与相关网络产品提供者共同评估协商,并向工业和信息化部、公安部报告,由工业和信息化部、公安部组织评估后进行发布。

(二)不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况。

(三)不得刻意夸大网络产品安全漏洞的危害和风险,不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。

(四)不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。

(五)在发布网络产品安全漏洞时,应当同步发布修补或者防范措施。

(六)在国家举办重大活动期间,未经公安部同意,不得擅自发布网络产品安全漏洞信息。

(七)不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。

(八)法律法规的其他相关规定。

在这个事件中,阿里云同时兼具两个身份(理论上,所有用到 Log4j,受漏洞影响的产品和企业,都是网络产品提供者)。

2、工信部网络安全管理局通报

阿里云发现阿帕奇(Apache)Log4j2组件严重安全漏洞隐患后,未及时向电信主管部门报告,未有效支撑工信部开展网络安全威胁和漏洞管理。工信部网络安全管理局决定暂停阿里云作为上述合作单位6个月。暂停期满后,根据阿里云整改情况,研究恢复其上述合作单位。

3、阿里云回应:

阿里云一名研发工程师发现 Log4j2 组件的一个安全 bug,遂按业界惯例以邮件方式向软件开发方 Apache 开源社区报告这一问题请求帮助。Apache 开源社区确认这是一个安全漏洞,并向全球发布修复补丁。随后,该漏洞被外界证实为一个全球性的重大漏洞。

阿里云因在早期未意识到该漏洞的严重性,未及时共享漏洞信息。阿里云将强化漏洞管理、提升合规意识,积极协同各方做好网络安全风险防范工作。

4、负责任的披露(英语:Responsible disclosure)是计算机安全或其他领域中的一种漏洞披露模型,它限制了漏洞披露的行为,以提供一段时间来修补或修缮即将披露的漏洞或问题。

这也是阿里云提到的“业界惯例”。

5、这两年,我在社交媒体上陆续看到有些安全从业者到日本、新加坡等地工作。

至于观点,贴一下我信服的 TK(微博:@tombkeeper)在 2019 年 6 月就发过的内容:

限制漏洞披露,结果必然会影响漏洞研究本身。

漏洞研究和其它科技研究工作一样,都是特别苦的事情。人为什么愿意干特别苦的事情?那些博士们为什么愿意在实验室长年累月熬着?当然是为了发布研究成果,获得由此带来的收益(名、利、自我实现感,等等)。限制漏洞披露,就是削减漏洞研究的收益。

如果这种限制是全世界统一行动,那么大家刀枪入库,马放南山,卸甲归田,也挺好的。而如果只是一个国家这么干,那就相当于自己单方面主动裁军。

对安全问题的一个常见误解是认为漏洞是某种像导弹一样的东西,可以用油纸包起来放到山洞里。但导弹不会消失,而漏洞转瞬即逝。漏洞是动态的,不断产生,不断消失,所以其实更像电。电一旦发出来,难以长期保存。所以搞电力建设,核心不是囤积多少电池,而是建多少电站。对于漏洞来说,“电站”就是安全研究者。

在漏洞研究领域,人和人的差别有多大呢?大到一万个臭皮匠也顶不了一个诸葛亮。在任何行业,这种情况都是管理者最不喜欢的,但又是一个客观事实。在目前以及可预见的未来,没有什么软件或硬件能代替优秀的漏洞研究者。

目前业界公认水平最高的漏洞研究团队是 Google 的 Project Zero。Project Zero 汇聚了全世界各类漏洞研究方向上最好的一些人,每年都能产出数量和质量惊人的成果。那为什么这些人都愿意去 Project Zero?

Project Zero 的待遇当然是很好的。但同样的待遇,很多公司都能给得出。最主要的原因是 Google 给了 Project Zero 最宽松的氛围,特别是制度性地允许和鼓励对研究结果进行完全披露。

对研究者来说,除了薪酬待遇,最重要的是自己的成果能为业界所知,能自由地进行交流。这一点,决定了他们能够从内心中产生强大的自我驱动力,能对研究的问题昼思夜想,全身心投入。而不会像大多数人那样抱着拿一份钱打一份工的想法。不会多工作几分钟就认为公司占便宜了,自己吃亏了。

2006 年前后,国内网络安全研究人员的薪酬水平比较低。那几年 McAfee、Fortinet 等外企从中国挖走了大批优秀人才。以至于硅谷有些安全公司研究团队里一半以上都是华人。2012 年之后,国内这个行业的薪酬情况逐渐好起来,去国外的人就少了,一些已经去了国外的人也回来了。

[阅读全文]

威胁情报的入门小书

知识星球里有内容,就会遇上盗版。有些盗版发生在闲鱼、QQ 或微信群,我们会直接与平台协调,申请下架盗版内容。有些盗版更嚣张些,比如我们遇到过自建网站卖盗版,甚至做了 App 卖盗版的。

尝试过自己处置。方式一是通过搜索或社工手段找到具体的盗版者,法务致电明确告知如果不停止侵权,会诉诸法律。方式二是找域名提供商、网站服务提供商沟通,请他们停止提供服务。

但比较累——找人累,联系服务商累,服务商拖沓沟通也会觉得累——毕竟整个流程我们都不专业。

后来请大路帮忙,他创业从事威胁情报工作,积累了大量与运营商、各种业务提供商沟通的业务接口,处理起来很流畅——对侵权站点的关停,效率很高。

前几天,大路寄来一本他们公司编写的《网络威胁情报技术指南》,翻看到其中一段:

天际友盟将自身定位从“情报应用”发展至“数字风险防护”,形成“网络威胁情报应用 + 数字品牌保护”两大解决方案线,并以钓鱼网站监测和关停为起点,推出一系列针对数字品牌保护的风险场景解决方案。

“威胁情报”这个词听了很多年,只是我这才意识到,原来它延伸之后,也可以是数字品牌保护、知识产权保护,和我们也有关。

这本小册子文字稍嫌专业晦涩,适合网络安全从业者、企业的风险管理人员以及希望了解威胁情报是什么的人们速读。书中写清楚了威胁情报是什么、威胁情报与数字化风险管理的关系、业界对威胁情报研究的方法论、通用标准以及部分业界的实践。

翻阅之后,我现在在一些安全圈的朋友们的群里,听他们聊起威胁情报时,提到的那些词(比如 ATT&CK、STIX……)能听懂了——我挺畏惧这些缩写的。看起来高大上,其实知道意思了,也就那样。

这样吧,送 30 本《网络威胁情报技术指南》,公众号回复“威胁情报”即可参与。

普通人的网络安全自保

说起安全,朋友曾经跟武侠里的江湖做过类比:

黑客、攻击者类似啸聚山林的山大王。公安干警可以类比大内高手。企业里的安全从业者类似大户人家的护院。安全公司则像镖局。平头老百姓,在江湖里要保平安,有些需要了解的基本常识,比如古龙在《碧玉刀》里写到,段玉出门前父亲交代他七大戒律:

不可惹事生非,多管闲事。

不可随意交结陌生的朋友。

不可和陌生人赌钱。

不可与僧道乞丐一类人结怨。

钱财不可露白。

不可轻信人言。

千万不可和陌生的女人来往。

我也梳理一些我认知中,普通人在生活中需要具备的信息安全知识,虽是常识,估计还是会有很多人不知道,或者是知道了但是没做到——就像上面的“七大戒律”,段玉一条都没遵守。

但,反正我不敢自大,尽量做了,减少掉坑的机率。

每个人都会是攻击目标。千万不要以为新闻里发生的那些事不会发生在自己头上,互联网时代,攻击很简单。

梳理清楚个人最在意的信息,并做好备份。确保在换手机、丢手机、换电话号码前,检查过这些信息可以恢复。(反例:换电话卡,但是银行绑定的手机号还是旧号码。换手机,但是谷歌验证器里的一次性口令没备份)。

保持电话卡安全。设置 PIN 码(小心不要反而锁卡了)。如果要更换号码时记得看上一条——微信、QQ、银行卡等重要密码解绑。

保持操作系统、应用软件更新到最新版本。不用的软件可以移除,尽量保持系统干净简洁。

安装软件必须从官方应用市场,或者软件的官网下载。要假定任何第三方网站都是不安全的。

对“钓鱼”保持警惕——目前常见形态是电话、邮件、微信、QQ 等渠道发来诈骗信息、攻击软件等,因此无论发来信息的人是否熟人,不安装发来的软件(参考条目 5),如果涉及财物,先当诈骗观察、跟进。

使用合适的密码管理方法,重要的信息、站点(比如 2 里列出的内容),密码不要和其他一样。如果有很多密码,可以使用类似 1Password 这样的密码管理工具。密码的设置有不少技巧,可以搜一搜适当学习,找一种适合自己的。

设备(电脑、手机、移动硬盘等)不让不可信的人接触。比如离开电脑的时候要锁屏。

数据要定期备份,并且定期数据恢复演习。比如可以同时备份到移动硬盘/NAS 和云盘里,这样即使遇到一些不可抗力,数据损失也不会太大。

旧设备出售、转让前,彻底清除数据。

有双因素认证的重要网站,可以打开双因素认证。一定记得做好备份——避免手机遗失带来的损失。

尽量少用外界的免费 Wi-Fi。不可避免地接入第三方 Wi-Fi 的时候,避免使用 2 里的信息——比如,就不登录银行账户了。

使用社交媒体软件时,检查社交软件里的隐私设置,减少隐私信息的泄漏。比如,不发涉及个人信息——居住的小区、身份证、家庭照片等的照片。

如果使用 Windows 系统,需要安装防病毒软件。

这篇文章写得有点枯燥,起因是有位读者给我私信,聊起他换电话卡之后,带来了一些安全上的困扰。过往之事不可追,纠结无益。

当前国家对个人信息安全保护越来越重视,立法、执行都有很多优化,但无论如何,这些常识,任何时候知道,任何时候开始做,对未来都是有好处的。