Open mylamour opened 6 years ago
安全这么多年了，似乎是没有什么实质性的变化。而唯一的诀窍似乎也是层层防御。我这么多天来一直在思考传统安全的变革何在，如何用新的技术改变。无论是从方法论还是从架构实施等方面。也读了一些文章。在这个行业中，加之从业人员水平参差不齐，大多数更是水的全靠一张嘴。
传统安全的改进点，纵观这几年。只能说是整个防御线提前，伸出触角。比如说之前的安全防御在威胁情报上不是很强。然后现在把其作为防御能力或者说感知能力提到安全防御的最前面（不一定是指落地的最前面，而是指整条防御线的最前面）。然后落实纵深防御，可是方法还是那一套。只不过是随着时间的变迁，技术的变迁。从收集log到存储log的方式都发生了变更，同样在架构上也产生了新的变化。比如redis和memcache的使用，elasticsearch的使用。有能力的公司则是根据自己的实际情况，进行造轮子，或者研发出新的产品。然而随着这些产品的使用，又会不断的暴露出新的安全隐患。而"吹嘘"正胜的AI呢，在这个环节中，似乎已经是开始助力的时候，但也没有大规模的落地，不过我相信AI作为基础设施，在未来一定是会无处不在的。
至于安全运维，似乎也是没有大的进展，AIOPS的概念可以吹一年。当然也不排除大厂落地的可能。看到大厂分享的文档上说利用怎么怎么样达到AutoOPS。据我思考来看，也只是对一些metric数据进行了分类，避免传统过程中仅仅是通过单项或几项指标去手动操作，而可以通过自动分类的情况下进行扩容等操作。
应急响应的话，老一套，如果能预先感知，在落地前发现，在网络层拦截，去避免掉攻击，那也就没有应急响应了，至于应急响应的系统，似乎是没有什么大的改进，无论是Google的FIR还是GRR等，都不是很好用，也谈不上智能，仍然是需要团队去运营的。
方方面面，均未看到有什么新的发现，在应用安全和业务安全上的对抗随着技术的变更都在不停的变化，其他方向也是，但是技术虽有变化，传统安全却依旧如此。 AI引入也确实能解决问题。或者，是不是说，我们已经身处变革之中，却未有所意识，但传统安全的新变革绝不是将已知的各个模块在防御的时间线上，拉长或者扩大。变革的出路在哪里，有待思考。
Other: 据之前看到的一篇文章说，安全行业的下一个风口应该是做对抗模拟。
小公司的话需要面面俱到，都能独挡一面。不过现实中更多的是在小公司中没有很好的接受系统化工程化的项目，导致野路子出身。对于安全来说，似乎不是很明显。但是当一旦进入大公司之后，可以明显的看到，从之前的发散式立马转变到了专一的，或者乏味的，重复的拧螺丝之中。
俗话说的招人造火箭，进去拧螺丝就是这个意思。对我而言，刚刚进入饿了么，接触到团队类型的安全工作。之前的安全工作可以说只局限到1-3个人。而现在安全团队内纯职能就有20多人，各个分工也是明确。于是乎，接到的任务也就颇为单调。似乎会让人觉得无奈，和开始思考职业道路，人生道路。
于是，经过思考，我决定，把这份有点单调的工作，先自动化流程起来。然后去推进集团内改进该平台。与此同时，继续学习安全架构，及整体的安全大局观。当然，这也就是我为什么一直在思考传统安全的变革之处。在之前，我所建设的整体的安全，和此处来看，就是他把我要的做得全部落地了。从量上发生了变化，但是质的变化，还是有待变革。整个安全行业均是如此。
似乎是安全的发展步伐慢了点。我怎么这么菜！！
福利，关于我对反爬的思考面面观，大部分是经过实操的。
有时候，想要变革或者说创新真的很难。
mylamour
commented
6 years ago mylamour
commented
6 years ago
传统安全的思考
安全这么多年了，似乎是没有什么实质性的变化。而唯一的诀窍似乎也是层层防御。我这么多天来一直在思考传统安全的变革何在，如何用新的技术改变。无论是从方法论还是从架构实施等方面。也读了一些文章。在这个行业中，加之从业人员水平参差不齐，大多数更是水的全靠一张嘴。
传统安全的改进点，纵观这几年。只能说是整个防御线提前，伸出触角。比如说之前的安全防御在威胁情报上不是很强。然后现在把其作为防御能力或者说感知能力提到安全防御的最前面（不一定是指落地的最前面，而是指整条防御线的最前面）。然后落实纵深防御，可是方法还是那一套。只不过是随着时间的变迁，技术的变迁。从收集log到存储log的方式都发生了变更，同样在架构上也产生了新的变化。比如redis和memcache的使用，elasticsearch的使用。有能力的公司则是根据自己的实际情况，进行造轮子，或者研发出新的产品。然而随着这些产品的使用，又会不断的暴露出新的安全隐患。而"吹嘘"正胜的AI呢，在这个环节中，似乎已经是开始助力的时候，但也没有大规模的落地，不过我相信AI作为基础设施，在未来一定是会无处不在的。
至于安全运维，似乎也是没有大的进展，AIOPS的概念可以吹一年。当然也不排除大厂落地的可能。看到大厂分享的文档上说利用怎么怎么样达到AutoOPS。据我思考来看，也只是对一些metric数据进行了分类，避免传统过程中仅仅是通过单项或几项指标去手动操作，而可以通过自动分类的情况下进行扩容等操作。
应急响应的话，老一套，如果能预先感知，在落地前发现，在网络层拦截，去避免掉攻击，那也就没有应急响应了，至于应急响应的系统，似乎是没有什么大的改进，无论是Google的FIR还是GRR等，都不是很好用，也谈不上智能，仍然是需要团队去运营的。
方方面面，均未看到有什么新的发现，在应用安全和业务安全上的对抗随着技术的变更都在不停的变化，其他方向也是，但是技术虽有变化，传统安全却依旧如此。 AI引入也确实能解决问题。或者，是不是说，我们已经身处变革之中，却未有所意识，但传统安全的新变革绝不是将已知的各个模块在防御的时间线上，拉长或者扩大。变革的出路在哪里，有待思考。
Other: 据之前看到的一篇文章说，安全行业的下一个风口应该是做对抗模拟。
拧螺丝的工作
小公司的话需要面面俱到，都能独挡一面。不过现实中更多的是在小公司中没有很好的接受系统化工程化的项目，导致野路子出身。对于安全来说，似乎不是很明显。但是当一旦进入大公司之后，可以明显的看到，从之前的发散式立马转变到了专一的，或者乏味的，重复的拧螺丝之中。
俗话说的招人造火箭，进去拧螺丝就是这个意思。对我而言，刚刚进入饿了么，接触到团队类型的安全工作。之前的安全工作可以说只局限到1-3个人。而现在安全团队内纯职能就有20多人，各个分工也是明确。于是乎，接到的任务也就颇为单调。似乎会让人觉得无奈，和开始思考职业道路，人生道路。
于是，经过思考，我决定，把这份有点单调的工作，先自动化流程起来。然后去推进集团内改进该平台。与此同时，继续学习安全架构，及整体的安全大局观。当然，这也就是我为什么一直在思考传统安全的变革之处。在之前，我所建设的整体的安全，和此处来看，就是他把我要的做得全部落地了。从量上发生了变化，但是质的变化，还是有待变革。整个安全行业均是如此。
似乎是安全的发展步伐慢了点。我怎么这么菜！！
福利，关于我对反爬的思考面面观，大部分是经过实操的。
有时候，想要变革或者说创新真的很难。