百度科學家韋韜：別讓安全行業的腳步趕不上黑產

11月3日，騰訊舉辦的首屆中國互聯網安全領袖峯會在北京舉行，峯會大咖雲集，思想觀點交融碰撞。百度首席安全科學家、百度安全實驗室負責人韋韜博士，也在峯會上對目前互聯網安全行業發表了自己的看法，頗有新意，值得從事互聯網特別是安全的同業們借鑑。

讓安全跟上互聯網的腳步

與自身高速發展形成對照地，互聯網幾乎每年都會爆出一些駭人聽聞的安全漏洞。比如2014年爆出的heartbleed，讓全球無數網站中招；2015年的爆出的XcodeGhost，讓無數用户處在安全威脅中，也讓一向以安全著稱的iOS顏面掃地。除此之外，不少互聯網公司包括互聯網巨頭，也不時爆出一些影響成千上萬用户的安全漏洞，在互聯網安全圈似乎已不是什麼新鮮事。

對此，韋韜認為：“現在信息安全生態是附加在IT生態之上的。而目前的互聯網的高速發展，導致了軟件生態的摩爾戰爭比硬件摩爾戰爭更慘烈。安全不能跟上IT、互聯網的發展速度時，安全問題就會隨之而來。”如何應對這種安全和互聯網IT發展不匹配的情況？韋韜認為：

一、現在的安全問題是巨型複雜系統處於一個長期複雜變化過程中面臨的問題，並不是某一時刻把某個安全問題解決了，就一勞永逸了。新的威脅和挑戰層出不窮，而老的威脅很多還沒有好的解決方案，需要國家、社會、公司的高度重視。

二、用新技術提升管理能力。現在很多IT體系的點突破特性非常顯著，一個薄弱點被突破，整體安全就被破壞。而傳統的安全管理技術無法提供有效的覆蓋。在安全管理上，一樣急需顛覆性的新技術出現。

三、整個互聯網生態鏈應該給安全廠商應有的位置。應該把安全納入到業務發展中，成為業務中重要的一環。否則，一旦出了安全問題，安全廠商卻不能幫助到出問題的互聯網廠商，讓雙方都處於被動局面。比如雖然iOS生態比Android生態安全態勢好很多，但當發生安全危機事件是，由於生態上沒有安全廠商的位置，反應和處置就明顯不力。比如此次iOS爆出的XcodeGhost事件便是如此。

讓“白產”趕上黑產的腳步

大規模DDoS攻擊、盜取賬號、釣魚攻擊、電信詐騙……隨着人們對互聯網的依賴日益增加，人們對這些典型的網絡違法犯罪行為——所謂的黑色產業，已經不再陌生。這些黑色產業，由於利益的驅動，研究和利用安全漏洞的速度、安全情報分享的速度，甚至超過了以維護網絡安全為己任的正規安全行業，即所謂“白產”。

韋韜認為，目前“白道”的安全情報共享水平比黑產還有很大距離。目前常見的安全威脅情報聯盟，要求加入聯盟的廠商和組織之間每天都必須分享一定數量的安全情報，但這種硬性分享，還缺乏立體的生命力，跟不上黑產高速發展和變化的速度。

韋韜同時認為，儘管在安全威脅情報共享、共同對抗黑產方面存在很多挑戰，比如商業規範導致一些安全相關數據難以分享，相關法規還需完善以允許和鼓勵廠商分享情報等，但不妨礙我們先確立這樣的安全觀念並將之付諸實踐，摸索中前行：當今的互聯網時代，沒有哪家能靠一己之力做好安全，必須相互合作，建立新的安全生態，才能共同面對新的安全威脅。

讓安全跟上市場的腳步

近年，隨着互聯網安全事件的頻發，人們對安全的重視度在不斷增加，國家也把互聯網安全上升到了國家戰略的高度。這些，都為中國安全行業創造了一個前所未有的、有利的發展環境。

據相關機構預計，到2018年，國內信息安全市場總體規模有望達到37.13億美元。但和發達國家相比，我國網絡安全產業的現狀仍不容樂觀，信息安全投入佔整體IT投入僅為2%左右，遠低於歐美成熟市場8~12%的水平，不僅產業規模較小，安全廠商在全球市場份額中的佔比也相對偏低。

韋韜認為，在歐美國家，很多廠商特別是大廠商都很鼓勵創新，讓安全廠商獲得應有的地位，把市場對安全的需求真正釋放出來。為此，韋韜呼籲，在互聯網環境日益複雜的今天，廠商們應該更加重視安全，增加安全投入，給安全以它應有的市場地位，讓中國互聯網行業擁有一個相對安全的生態環境，不至讓安全問題成為企業發展的絆腳石。