微慑信息网

给信息安全行业从业者请个愿!

写这篇文章之前我先内心问自己,如果黑客不再挖掘漏洞,没有人去披露漏洞就不会有人学会如何利用,那么互联网就真的安全了吗?

 

答案肯定不是这样,因为这个逻辑根本不存在,能管理能约束的永远是愿意遵纪守法的那一群人,没了这群人在行业里的制衡,作恶的人门槛变得更低了,而黑产只会更猖獗,这场看不见的网络战争可能就真的提前结束了。

 

规则是用来约束愿意遵纪守法的那一类人的。

 

预警的本质

 

与其思考预警的本质,不如问我们自己为什么要预警?

 

预警是为了更敏捷更快的应急,在这个什么都快的时代,一个安全事件的爆发,背后的本源其实是一场企业的安全运维与不法分子在抢时间的战斗,这场战斗是不对等的。

 

毫不客气的说,除了大厂以外大部分企业中从业的安全技术人员,在技术能力上和不法的黑产分子相比,完全只配被他们按在地上吊打的份儿,更何况在这种看不到的网络战争里,敌人就像潜伏的狙击手一样,他在哪?瞄准谁?从哪登陆?先干掉谁?完全是未知的。

 

更有甚者,企业是连基础的安全运维人员都没有,都是普通的研发岗位、程序员在做这些事,专业的人做专业的事儿,就像安全测试人员不一定会有很好的代码能力一样,大部分程序员的安全基础自然也是很弱的。

 

门槛变高?

 

岗位就不对等,就算是知道爆发了这样的漏洞,怎么排查自己的业务?怎么复现自己的业务是否存在问题?对于大部分的程序员都是懵的。

 

因为有巨大的利益链驱使,不法黑产分子对技术的投入和漏洞获取的情报体系,本来就远快于企业,甚至相比今天混乱的互联网创业环境,很多安全公司的能力与其相比其实也都不一定跟得上。

 

这样的结果就是本来应急响应就比不法分子慢半拍,因为大部分企业都没有配备专业的安全人员,过去给了pocexp可能都不是很流畅的快速搞的定,这条路都封锁掉以后,等他们到处网上搜索、学习研究掌握了这项技能,业务不知道都沦陷多少次了。

 

细节披露必要性

 

各安全公司在漏洞预警中的披露漏洞细节,提供的pocexp向来都是给这些准备不足的企业,服务于那些信息闭塞能力不对等的技术人员的,以专业的黑产分子的技术水平和经济投入,根本用不上这些东西,在安全事件发生的时候,安全公司接收到这些情报信息的同时,黑产分子也早就拿到了这些情报,甚至还要早于安全公司。

 

就算我们在这个环节强行对等,我们假设安全公司和黑产分子同时拿到了漏洞细节,安全公司也永远在这个环节比黑产分子慢半拍啊,作为攻击方黑产分子拿到漏洞是直接写脚本开始攻击进行获利,而安全公司不但要写攻击脚本辅助企业复现,还要去思考如何修复这个漏洞给出解决方案,发现问题容易解决问题很难,这个道理很明显大家都明白。

 

更有甚者在一些数据泄露的预警中,都是不法黑产分子先黑掉了某些企业,拖走了这些数据库在暗网上、底下黑色链条公开售卖的时候,安全厂商拦截到了这些情报再预警的,那时候黑产分子都不知道卖了多久了。

 

公开的利与弊

 

从我的角度来看公开漏洞细节这条路如果被阻隔,更大的影响其实可能是对受害者的影响大于作恶者!

 

有没有作恶者通过这些细节获利呢?当然有,不过那只是在不法黑产圈子里的小鱼小虾,说的更直白一些,就是黑产分子里的那些业余选手。

 

也许让犯罪的成本变高,触犯法律责罚变的更重,开放的让更多正向服务于企业,帮助企业建立安全体系的服务公司加入进来,与不法黑产分子正面对抗,可能才是更好的选择。

 

在这个过程中,对正向的安全公司适当开放一些,少一些约束,行业也许发展的就会更良性一些,只要价值观是正确的,敢于放开手脚去干,国内的安全行业整体水平才会更好的进步。

 

需要遵循的条条框框多了,越是“合规”的大一点的安全公司,做事情就越畏首畏尾,生怕前几天和同行的兄弟还是竞争对手关系,一不留神踩了哪条规则,分分钟变成了同期同监同病相怜的狱友。

 

如果是这样,这行业可能不但不会有好的发展,连原有的业务都不好干了,那行业可能就会变成退步的。

 

写在最后

 

希望这个行业从业者的声音,相关负责部门能权衡的考虑一下我们的这个角度,细细斟酌一下,作为一个民间的安全组织,我们向来都是为各大互联网厂商发现与披露安全问题为目标,一直都在帮助各大互联网充分发现安全风险,在互联网上我们的痕迹也算是蛮有体量的一个小组织。

 

从我们的角度,从愿意将厂商的安全问题提交给平台,其实本身就已经做了选择站在正确的梯队的一面了,在加上之前络尖刀团队在行业里,无论是隐私、漏洞、数据泄露还是安全事件,多多少少我们也确实披露过很多东西,从安全组织的角度目前新产生的很多规则,都已经让我们内部的技术成长,受到了很多约束。

 

不知道自己的能量这篇文章能传播到什么程度,但终究还是想要表述一下内心中,对目前的一些制度问题、规则问题,从一个从业者的角度表达一下自己的苦衷与诉求,我在文章的开头就提了这样一句话:

 

规则是用来约束愿意遵纪守法的那一类人的!

 

 

在规则面前,我们都是正向去做企业安全服务愿意遵守规则的那一类人,如果遵守这些规则的过程中,它有可能会牺牲掉我们技术成长的能力、更有可能阻碍企业快速响应去解决安全问题。

 

那能不能思考一个更好的平衡呢?

 

感谢!

 

 

原文始发于微信公众号(网络尖刀):给信息安全行业从业者请个愿!

本文标题:给信息安全行业从业者请个愿!
本文链接:
(转载请附上本文链接)
http://vulsee.com/archives/vulsee_2019/1122_9506.html
转载请附本站链接,未经允许不得转载,,谢谢:微慑信息网-VulSee.com » 给信息安全行业从业者请个愿!
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

微慑信息网 专注工匠精神

访问我们联系我们