信息安全的核心競爭力

      縱觀信息安全領域，在紛繁復雜的安全體系和林林總總的安全技術中，總有一些東西處于發展的前沿，作為安全廠商而言，不求全求大，在其中之一頗有建樹，便具有了信息安全技術的核心競爭力。這里暫且羅列，反映個人觀點。

     首先是有關***對抗的知識。不知攻，焉知防。對系統漏洞、惡意代碼及***手段的認知基本決定了安全防護的水平，這是信息安全的第一大圣杯。******引發的安全事件是信息安全技術發展的原動力。從莫里斯蠕蟲的始作俑，到紅色代碼、沖擊波蠕蟲的喧囂，再到當今震網病毒等APT的暗超涌動和“棱鏡門”事件背后NSA武器庫的曝光，人們對信息安全的認識和重視隨威脅的發展而加深。這也是一個需要不斷更新的領域，緩沖區溢出、XSS等各種漏洞利用技術隨著操作系統、瀏覽器、應用平臺和編程語言的發展而潮起潮落，時至今日，移動互聯網、工控等高價值領域的漏洞和***利用又成為研究的熱點。大數據、云計算等新的技術也用于漏洞和惡意代碼的分享和挖掘之中，甚至形成互聯網上有關***對抗海量知識的處理平臺，能夠及時為無數的終端、網絡設備、安全設備提供服務。這個領域既需要快速的應急響應，也需要長期的積累，更需要***那種對技術的極致追求。

      其次是有關安全的基礎——密碼。密碼學是信息安全中唯一完備的理論，是加密、認證、授權、防篡改等許多安全機制依賴的基礎，在移動通信、IPSEC、數字防偽、數字版權管理、電子貨幣等領域都有著廣泛的應用。就漏洞而言，***的天平傾向于***一邊，漏洞總是會出現，總是還有未知，防護需要彌補所有的漏洞，而***只需要找到一個漏洞。但密碼而言，卻恰恰相反，***的天平卻神奇地傾向于防護一邊，保護花費的計算開銷遠小于破解，這是由密碼學的數學性質決定了的。然而遺憾的是，理論上的牢不可破絕不意味著實現上的萬無一失，密碼在實現、使用、管理等環節有著太多太多的薄弱，弱密鑰、密鑰管理的不慎、不正確的實現、密碼軟件的漏洞等都有可能導致一招不慎，滿盤皆輸。因此，密碼受制于有關***對抗的知識。更為可怕的是，由于相信理論的嚴密而忽視現實的漏洞，密碼的使用有可能帶來一種安全的假象。這個領域也是一個相對封閉的領域，有著太多的管制，太多的Security by obsecurity，這種違反Kerckhoff原則的安全太不讓人放心。以開放的心態，構建廣泛使用和久經考驗的安全基礎，應該是密碼所追求的目標。

     最后是對信息系統和業務的掌控與結合。防火墻對Cisco等高端網絡廠商不在話下，微軟們也可以輕松地在操作系統中集成殺毒軟件，Vmware們更可以成為云安全和虛擬化安全解決方案的核心。當然現實存在著一定的偏差，IT巨頭們并沒有一手遮天，安全廠商們仍然有著自己的生存空間，這與前兩大核心競爭力不無關系。然而，對系統的掌控終究可以構建一個更完美的“一體化”安全解決方案，這也是安全業界總是頻繁出現有關安全廠商與系統廠商合從聯橫的原因。對于那些安全需求突出的互聯網巨頭，早已不滿足第三方安全廠商的產品，他們不惜重金構建自己的安全研究團隊，結合自身系統和業務開展針對性的研究。對網銀這些業務而言，安全不再是安全，安全已是真金白銀，這應該是安全的終極目標。