馬爾科斯是世界知名的安全專家,被公認(rèn)為是代理防火墻的發(fā)明人,是第一個(gè)商業(yè)防火墻和早期的入侵檢測(cè)系統(tǒng)的實(shí)現(xiàn)者,獲得互聯(lián)網(wǎng)安全大會(huì)(TISC)的CLUE大獎(jiǎng)和ISSA終身成績(jī)獎(jiǎng)等多項(xiàng)獎(jiǎng)項(xiàng)。馬爾科斯從事安全工作已有16年之久,比商業(yè)互聯(lián)網(wǎng)的歷史還長六七年,網(wǎng)民多稱他為“防火墻之父”。這位搞安全的老人,最近說自己在“浪費(fèi)時(shí)間”。研究一下他的安全觀,對(duì)我們或許有幫助。
他認(rèn)為,現(xiàn)在人們把安全搞得很難、很復(fù)雜、很神秘、很玄、很時(shí)髦,也很前衛(wèi)。人們對(duì)待網(wǎng)絡(luò)安全就像對(duì)待火箭科學(xué),甚至是像對(duì)待犯罪現(xiàn)場(chǎng)取證的學(xué)問一樣,但事實(shí)是,計(jì)算機(jī)和網(wǎng)絡(luò)安全真的是一件相當(dāng)簡(jiǎn)單的事情。
安全不是做多復(fù)雜多聰明的事情,而是不要做些蠢事。我們想安全地做一些危險(xiǎn)而又蠢的事情,付出的代價(jià)必然很高。現(xiàn)實(shí)中,這條規(guī)則是如此清楚地影響到我們的生活,吃野生動(dòng)物是危險(xiǎn)的,有帶來SARS的危險(xiǎn);如果非要吃,付出的代價(jià)將是巨大的。
這條規(guī)則也反映在人的健康問題上,一個(gè)人吃得太多了,就會(huì)長胖,身體的健康程度就不會(huì)太好。想保持自己的健康,控制飲食可能是好辦法,而不是減肥,減肥不是健康的好辦法。同樣的道理,要保持計(jì)算機(jī)和網(wǎng)絡(luò)的安全,少干一些不必要的應(yīng)用如聊天、游戲等,可能是最好的辦法。不要指望,干很多危險(xiǎn)的事情,將自己處于危險(xiǎn)之中,然后再想辦法來免遭威脅和保證安全。
馬爾科斯說自己在“浪費(fèi)時(shí)間”,原因是他從事的是“減肥”安全。等他發(fā)現(xiàn)了這個(gè)問題才恍然大悟,于是提出了一個(gè)有趣的理論,“低碳安全(low-carb security)”,即低碳水化合物,就像素食一樣。說到素食,它肯定有效,但實(shí)際上是一個(gè)很難的選擇。難就難在讓人們都去吃素食,都不吃大魚大肉。另外一個(gè)簡(jiǎn)單、經(jīng)濟(jì)、有效的選擇是,少吃點(diǎn),多鍛煉。
在網(wǎng)絡(luò)安全問題上,人們往往不是安全地去運(yùn)行少數(shù)必要的網(wǎng)絡(luò)服務(wù),而是開放很多的不安全、不必要的服務(wù),甚至是一些特別不安全,如隧道的應(yīng)用,然后耗費(fèi)大量的時(shí)間和金錢,企圖把這些不安全的應(yīng)用變成安全的。就像胖子一樣,先痛快地大吃,變成了胖子,然后,再花錢來減肥,企圖保證自己的健康。馬爾科斯本身在這種模式下努力了16年,也沒有看希望。最近一個(gè)網(wǎng)絡(luò)上的帖子詢問,為什么安全這東西這么難?有沒有什么簡(jiǎn)單有效的辦法指南?他才突然地意識(shí)到這個(gè)道理。他把這套安全理論總結(jié)為“少吃點(diǎn),多鍛煉”。
馬爾科斯基于這套理論,對(duì)網(wǎng)絡(luò)安全開出了安全藥方。其基本的內(nèi)容是:
所有缺省的安全策略是拒絕所有(Deny All),然后只準(zhǔn)許哪些是必須的服務(wù)。盡可能少地提供服務(wù),記錄這些服務(wù)的使用日志,對(duì)應(yīng)用的錯(cuò)誤進(jìn)行檢測(cè),當(dāng)然你也可以進(jìn)行入侵檢測(cè)。了解網(wǎng)絡(luò)上在跑些什么,如果管理員不知道網(wǎng)絡(luò)上在跑什么東西,怎么保安全??jī)?nèi)部盡可能隔離。隔離往往是最好的辦法。不安全格式的內(nèi)容盡可能不要流入內(nèi)部,除非它是從可靠渠道來的。了解防火墻上流出的流量是什么,如果你了解了,你就不需要什么高級(jí)東西來判斷木馬、間諜軟件、病毒、非授權(quán)訪問等。最好全部七層都進(jìn)行控制,而不只是一層,深層防御不是只在一層。不要浪費(fèi)時(shí)間天天打補(bǔ)丁,如果你天天在大補(bǔ)丁,你已經(jīng)被誤導(dǎo)。移動(dòng)辦公隔離到一個(gè)獨(dú)立的區(qū),移動(dòng)辦公很好,可是不安全。防病毒軟件很好,但不要指望天天升級(jí)。最好了解內(nèi)部網(wǎng)絡(luò)上使用的都是些什么軟件。不要指望用戶理解你的安全策略是什么,簡(jiǎn)單地說明該怎么做。安全外包是一個(gè)壞辦法,除非你可以接受你的安全可以交給別人把握。
馬爾科斯相信這是一個(gè)簡(jiǎn)單而強(qiáng)大的主意。假如你采取了這些措施,你可能永遠(yuǎn)不會(huì)被黑。
“少吃點(diǎn),多鍛煉,相信我,它非常有效”。