老烦答疑之系统化问题

对于系统工程而言，其强调的是不要从某一个角度或领域去考虑安全问题，而安全问题不仅是在原始的C.I.A层面，还应该充分考虑系统在运行过程中的弹性和可靠性以及如何解决合法的滥用问题。

首先讨论的第一个问题是多角度问题。从计算机系统结构而言，一个软件的运行首先受到操作系统的影响和干预，然后需要与硬件建立接口和关系，随着云化的问题，这种关联在逻辑上被用户忽略但是在物理上他们的关系更加紧密。尤其是在多租户和资源池虚拟化的情况下级联故障成为未来云面临最大的风险，而不是简单的人的对抗问题。同时攻击者在同等成本下收益更大，因为在捕获一台虚机后，通过虚拟机逃逸有可能拿到整个资源池的权限。这是一个恐怖的问题，而且云的高带宽和集群处理能力将控制机本身的消耗消强于无形之中，使得即使被攻击，用户也是无感知或者弱感知。在综合讨论一个安全问题时候需要充分考虑软件自身安全问题，软件依赖的操作系统兼容性、调度硬件的水平和能力以及操作系统作为一种代码组成的操作系统漏洞问题。同时还需要从硬件处理能力以及操作系统、应用软件可调度的水平进行决策，当然，产生网络化之后，网络通信问题变得必不可少。随着通信信道的不断增加，通信技术的不断更新，本身通信协议，通信介质、通信设备设施带来的安全风险同样在影响着综合化的安全问题。当我们讨论完技术角度之后自然要回到核心的问题，业务问题。业务滥用会使得传统的保护机制完全失效或者形同虚设，每个业务执行者都在关注业务的有效性和重要性，同时他们并不会更多的考虑业务风险和合规性问题，这使得业务从开始就处于一种不可预见的风险之中。即使叠加式的安全像堆积木一样高入云端，看起来恢宏靓丽，但是一阵微风吹过都可能让它毁于一旦。所有的安全设备被绕过最头痛的不是设备本身的漏洞，而是无所不在的业务缺陷。最后就是人的体系化问题，如果把人与管理、流程置于同一个纬度的时候我们会发现，“技管并重”其实是一个悖论，任何时候都很难真正把技术和管理剥离开去讨论，它们本身就是在水乳交融之中，这就是系统化的基础。总之永远需要记住的是安全不是一个部门的问题，必须将所有部门纳入其中，业务部门不是受害者而是责任者。

第二个问题其实不应该是一个问题。很多年前曾经有人问过我“能不能做公式化的咨询”“你为什么会开放你的模板和思想”。安全真的能复制吗? 能够复制的可能只有技术原则，但业务不可复制、管理不可复制、人不可复制、架构不可复制甚至连用户都不可复制，这时候问题产生了，一切不可复制的情况下风险亦不可复制，请问，这时候我们面临的安全问题如何复制。这就使得即使你拿走了我的模板，拿走了我的思想，但是要想系统的运用在实际工作中依旧需要根据组织实际情况进行完善和修订而不是一味的套用。但是这种思想时至今日依旧是很多公司的基本原则，我要漂亮的模板，我要可公式化的流程，我要可复制的实施，最终我们把安全构建一个完全镜像的空中楼阁，击溃一个平面，整个镜像世界都被打碎，这可以称之为”镜子迷宫”那么在安全领域中可以复制什么?架构可以复制但需要裁剪:技术可以复制但是需要根据具体的情况改变部署的模式和策略的设计，人可以复制但是需要规范能力和水平，管理可以复制，但需要依据组织的实际行政架构和管理水平和能力建立一种可迭代的管理模式，不要需求一蹴而就:流程的复制应充分考虑业务差异化，求同存异而不是一味的标准化:当从这些层面考虑问题的时候，一个典型的系统化问题就达成了一致。

原文始发于微信公众号（老烦的草根安全观）：老烦答疑之系统化问题