馬爾科斯是世界知名的安全專家，被公認(rèn)為是代理防火墻的發(fā)明人，是第一個(gè)商業(yè)防火墻和早期的入侵檢測(cè)系統(tǒng)的實(shí)現(xiàn)者，獲得互聯(lián)網(wǎng)安全大會(huì)（TISC）的CLUE大獎(jiǎng)和ISSA終身成績(jī)獎(jiǎng)等多項(xiàng)獎(jiǎng)項(xiàng)。馬爾科斯從事安全工作已有16年之久，比商業(yè)互聯(lián)網(wǎng)的歷史還長(zhǎng)六七年，網(wǎng)民多稱他為“防火墻之父”。這位搞安全的老人，最近說(shuō)自己在“浪費(fèi)時(shí)間”。研究一下他的安全觀，對(duì)我們或許有幫助。
他認(rèn)為，現(xiàn)在人們把安全搞得很難、很復(fù)雜、很神秘、很玄、很時(shí)髦，也很前衛(wèi)。人們對(duì)待網(wǎng)絡(luò)安全就像對(duì)待火箭科學(xué)，甚至是像對(duì)待犯罪現(xiàn)場(chǎng)取證的學(xué)問(wèn)一樣，但事實(shí)是，計(jì)算機(jī)和網(wǎng)絡(luò)安全真的是一件相當(dāng)簡(jiǎn)單的事情。
安全不是做多復(fù)雜多聰明的事情，而是不要做些蠢事。我們想安全地做一些危險(xiǎn)而又蠢的事情，付出的代價(jià)必然很高。現(xiàn)實(shí)中，這條規(guī)則是如此清楚地影響到我們的生活，吃野生動(dòng)物是危險(xiǎn)的，有帶來(lái)SARS的危險(xiǎn)；如果非要吃，付出的代價(jià)將是巨大的。
這條規(guī)則也反映在人的健康問(wèn)題上，一個(gè)人吃得太多了，就會(huì)長(zhǎng)胖，身體的健康程度就不會(huì)太好。想保持自己的健康，控制飲食可能是好辦法，而不是減肥，減肥不是健康的好辦法。同樣的道理，要保持計(jì)算機(jī)和網(wǎng)絡(luò)的安全，少干一些不必要的應(yīng)用如聊天、游戲等，可能是最好的辦法。不要指望，干很多危險(xiǎn)的事情，將自己處于危險(xiǎn)之中，然后再想辦法來(lái)免遭威脅和保證安全。
馬爾科斯說(shuō)自己在“浪費(fèi)時(shí)間”，原因是他從事的是“減肥”安全。等他發(fā)現(xiàn)了這個(gè)問(wèn)題才恍然大悟，于是提出了一個(gè)有趣的理論，“低碳安全（low-carb security）”，即低碳水化合物，就像素食一樣。說(shuō)到素食，它肯定有效，但實(shí)際上是一個(gè)很難的選擇。難就難在讓人們都去吃素食，都不吃大魚大肉。另外一個(gè)簡(jiǎn)單、經(jīng)濟(jì)、有效的選擇是，少吃點(diǎn)，多鍛煉。
在網(wǎng)絡(luò)安全問(wèn)題上，人們往往不是安全地去運(yùn)行少數(shù)必要的網(wǎng)絡(luò)服務(wù)，而是開放很多的不安全、不必要的服務(wù)，甚至是一些特別不安全，如隧道的應(yīng)用，然后耗費(fèi)大量的時(shí)間和金錢，企圖把這些不安全的應(yīng)用變成安全的。就像胖子一樣，先痛快地大吃，變成了胖子，然后，再花錢來(lái)減肥，企圖保證自己的健康。馬爾科斯本身在這種模式下努力了16年，也沒有看希望。最近一個(gè)網(wǎng)絡(luò)上的帖子詢問(wèn)，為什么安全這東西這么難？有沒有什么簡(jiǎn)單有效的辦法指南？他才突然地意識(shí)到這個(gè)道理。他把這套安全理論總結(jié)為“少吃點(diǎn)，多鍛煉”。
馬爾科斯基于這套理論，對(duì)網(wǎng)絡(luò)安全開出了安全藥方。其基本的內(nèi)容是：
所有缺省的安全策略是拒絕所有（Deny All），然后只準(zhǔn)許哪些是必須的服務(wù)。盡可能少地提供服務(wù)，記錄這些服務(wù)的使用日志，對(duì)應(yīng)用的錯(cuò)誤進(jìn)行檢測(cè)，當(dāng)然你也可以進(jìn)行入侵檢測(cè)。了解網(wǎng)絡(luò)上在跑些什么，如果管理員不知道網(wǎng)絡(luò)上在跑什么東西，怎么保安全？?jī)?nèi)部盡可能隔離。隔離往往是最好的辦法。不安全格式的內(nèi)容盡可能不要流入內(nèi)部，除非它是從可靠渠道來(lái)的。了解防火墻上流出的流量是什么，如果你了解了，你就不需要什么高級(jí)東西來(lái)判斷木馬、間諜軟件、病毒、非授權(quán)訪問(wèn)等。最好全部七層都進(jìn)行控制，而不只是一層，深層防御不是只在一層。不要浪費(fèi)時(shí)間天天打補(bǔ)丁，如果你天天在大補(bǔ)丁，你已經(jīng)被誤導(dǎo)。移動(dòng)辦公隔離到一個(gè)獨(dú)立的區(qū)，移動(dòng)辦公很好，可是不安全。防病毒軟件很好，但不要指望天天升級(jí)。最好了解內(nèi)部網(wǎng)絡(luò)上使用的都是些什么軟件。不要指望用戶理解你的安全策略是什么，簡(jiǎn)單地說(shuō)明該怎么做。安全外包是一個(gè)壞辦法，除非你可以接受你的安全可以交給別人把握。
馬爾科斯相信這是一個(gè)簡(jiǎn)單而強(qiáng)大的主意。假如你采取了這些措施，你可能永遠(yuǎn)不會(huì)被黑。
“少吃點(diǎn)，多鍛煉，相信我，它非常有效”。
