订阅数:963916今天下午参加这个电信安全峰会.
ppt浏览和下载：http://www.slideshare.net/jordanpan/2009116
-----------------------------------------------------------------------------
开会听别人讲的时候，画了几幅图，娱乐一下。
另类的木桶原理
云计算的幽默
今天，2009年10月23日，在天津召开了2009年中国计算机大会。下午，我主持了信息安全专题的分会场。
下午的讲者有：
论坛主席：潘柱廷（启明星辰 首席战略官）
政府代表：王军（中国信息安全测评中心 总工程师）
《信息安全前瞻》
用户代表：王代潮（中国长城资产公司信息科技部 总经理）
《浅谈安全管控平台的使用和发展》
用户代表：季昕华（盛大在线首席安全官、副总裁）《互联网开放平台与安全》
科教代表：郭莉（中国科学院计算技术研究所 研究员级高工
信息内容安全技术国家工程实验室 常务副主任） 《网域安全研究》
厂商代表：毕学尧（联想网御 首席技术官）《Web安全防护》
厂商代表：吴鲁加（深圳市大成天下信息技术有限公司 总经理）
《互联网安全新挑战》
厂商代表：杨宁（北京趋势引领信息咨询有限公司信息
副总经理兼安全技术总监）《信息安全技术与管理的有效融合》
... PPT下载在评论中。
原 文章:RSA大会2009印象记
今天下午，参加中国计算机学会信息安全专业委员会的高层论坛。主要的话题就是RSA2009大会。沈昌祥院士介绍了美国最近的网际安全对策、翟起滨老师介绍了RSA大会的历史以及从本届RSA大会看美国对于网际安全的政策、绿盟科技的吴云坤介绍会议动态和热点问题、联想网御的李江力谈了会议对国内安全企业的启示，最后是我[潘柱廷]
讲了一个怪异的题目《U势和V势》。PPT分享在这里www.i170.com/Attach/1F45EFAD-2DE0-476C-BF81-940E1577BBD8
。
整个PPT，启示最最重要的观点，就是我国的信息安全产业界的同仁们，要合作，一定要合作。要建立信任，在信任的基础上合作。我们必须合作，技术理念上也给我们创造了条件。
2009.04.21-24, Moscone Center, San Francisco
安全措施的君臣佐使
［潘柱廷原创］
# 引子，安全五步法
谈论一个“安全五步法”已经有很多年了，现在还常常在演讲中提到。这个五步法就是：
其实，上面这个五步法，最值得称道的就是第四步——检查副作用。而常常被用户们和安全顾问们疏忽的，也许是有意也许是无意的，就是这个对于“副作用”的思考。
# 所有的安全措施都有副作用
所有的安全措施都有副作用，这还是能够得到广泛认同的。比如，
上面这些例子，还不包括加强安全措施所带来的业务性能下降、资金大量投入。
这种对于副作用的关注，其实很像医学中看待“药”的副作用。“是药三分毒”，这是没有错的。我们都知道盲目服药，常常会带来较大的副作用。比如，某降血脂的药，就会伤肝；过度服用抗感冒的药，可能导致凉性太重。有的时候，两种药单独服用没有什么问题，但是一起服用就会抵消药效甚至于产生较大毒性。比如，人参不能和萝卜一起服用，否则人参的效用就大大降低；人说，菠菜和豆腐不能一起吃，否则会有麻嘴的感觉，不利于营养的吸收。
对于药物的副作用，我们人还是比较重视的。而到了IT领域，在看待一堆安全措施的时候，往往忽略副作用。一个典型的情况，从合规性要求和高层管理要求中，就单单强调一定要上某种安全措施，比如，一定要采购和部署防火墙、入侵检测，等级保护三级以上系统一定要采用强制访问控制，等等。一般来说，只要求上措施，而不管措施的副作用。
今天整理自己手边积累的很多杂志和书籍，捐给公司的阅览室，让陈在我书柜里的财富能够给更多的同事分享。其中就有几届Xcon安全焦点峰会的会议资料。在2004的会议资料中，夹着会议日程，还有我在上面的致辞草稿。于是，就录了下来。
我非常荣幸能受邀参加焦点峰会。
我个人也是第一次参加类似的会议。我每年都会参加很多演讲、研讨会、技术大会。但是，大部分的会都是一种自吹自擂的厂商介绍和产品介绍。
而焦点峰会是一个真正的技术人的真正的技术大会。在这里没有厂商，没有商业的味道，没有我们技术人员平时难于摆脱的束缚，这里只有技术和分享。
希望焦点继续努力坚持自己的风格，树立自己纯技术民间组织的品牌。
祝愿焦点越来越焦，焦点峰会越来越峰。
有幸作为企业界的代表、特别作为信息安全届的代表，成为了中国计算机学会(www.ccf.org.cn)的理事，并作为《中国计算机学会通讯》CCCF的编委表达大家的声音。如果大家注意到《中国计算机学会通讯》编委会的组成，只有我一个是来自于企业的。所以，我觉得有责任代表大家发出更多更大的声音。
如果大家好的文章、好的思想、对于学术界和教育界有强烈的要求，我都愿意尽我之力，为大家呼喊，为大家营造一个平台和桥梁。让中国计算机学会成为一个能够为产业界服务的学术圈／教育圈，让《中国计算机学会通讯》成为一个沟通产业界和学术圈／教育圈的桥梁。
约稿过程：
１、大家可以把成熟的文章发给我
２、也可以把初步的思路发给我，我们互相探讨文章
联络邮件地址：jordan@venustech.com.cn
原 文章:信息安全五大检测机制对比分析
潘柱廷 启明星辰
一、检测技术在信息安全中的关键地位
检测技术是信息安全的三大技术门类之一，也是一个非常大的一个分支。检测技术，与攻击技术和结构技术相互影响，从某种程度上决定了信息安全技术的发展，进而决定了整个产业的走向。从上世纪末开始，病毒检测技术、入侵检测和漏洞扫描技术就与防火墙技术几乎三分了信息安全市场的全部份额，成就了信息安全市场的“三大件”。
对于检测技术的持续研究是非常必要。那些认为检测技术已经完全成熟、或已经过时的想法都是非常错误的。一个典型的错误观点就是“IDS无用论”，这种错误观点是源于对检测技术及其内在机理的不理解所带来的误解。
当我们将信息安全与其他一些领域进行对比，就更能了解到检测技术的重要地位。在医疗和保健领域，诊断是首先要做好并且要务求准确的一类活动，甚至于几乎完全决定着之后的处置过程；在军事领域，在作战中无非攻与防，而攻防都需要具有足够的情报才能做得“知己知彼，百战不殆”。其实，任何复杂系统的正常运转和管理，都必须有好的检测手段来保证。
希望产业界和学术界多多重视检测技术的研究和应用。
二、五大检测机制
从检测的机理上，可以分为五大检测机制：
l
旁路监听
：对网络上的数据流进行监听分析，如IDS网络入侵检测系统等。
l
日志记录
：服务器或其他系统对自身上的操作进行记录并报告，如日志系统等。
l
主动扫描
：从外部对网络上的各个节点进行检查，如漏洞扫描系统等。
l
举报投票
：对自身遇到的异常进行举报和评判，如垃圾邮件投诉系统等。
l
汇总分析
：对各种检测机制的结果进行综合分析，如安全管理平台等。
对于这五种检测机制，可以将前四种理解为检测的数据发现而第五种作为检测的综合决断。下图中模式化地按照“3+1安全域”模式，将网络分解成服务域、互联域、终端域加上管理域。图中的颜色线条基本表达了5种检测机制的模式。
旁路监听
在信息安全领域中，最典型的旁路监听就是IDS入侵检测系统。旁路监听就是要在服务者和被服务者之间，或者其他数据交互之间默默地听着。IDS听着网络而不影响数据包在网络中流过。除了IDS之外，网络审计系统、网络协议分析系统sniffer类也都属于旁路监听的系统。
如果将旁路监听功能强行嵌入到网关中，就相当于强制流量必须通过规定的旁路监听功能。比如，防火墙、IPS、UTM等就都是这样。所以，把网关检测和旁路监听看成一类也可，看成别类也可。但是，其核心检测技术是非常相似的。所以IDS和IPS如同孪生兄弟，没有IDS能力而做出来的IPS肯定是不靠谱儿的。
原 文章:比较研究：人体健康、IT健康和企业健康
要保障人体健康要进行评估、诊断，之后才能采取针对性的保健和治疗措施；对于一个信息系统的安全也要进行安全评估以便能够恰当地评判现状、发现问题，以便进行加固、整改；企业也同样需要进行整体健康评估，判断组织、运行、绩效等方面是否处于良性发展中，进而作出组织调整、业务调整的决定。不管是三类复杂系统中的哪一类，要想做好，都要有一个较好的评估。
［ＴＢＤ］
＃部件和系统的评估
复杂系统（人体、ＩＴ系统、企业）都具有比较复杂的结构，都是由很多不同类型的部件有机构成的。对其评估就会有两个方面，一个是对于部件的评估和对于组合的结构的评估。
人体健康的局部检查和全面检查
其实我们现在接受的常规医学检查基本上都是局部检查，比如：验血、透视、验尿等。当然，通过验血可以反映多个脏器的情况。但是，要想描述人体整体的情况，就必须由医师综合各种检查数据来进行整体诊断。要想简洁方便快捷地获得人体整体评估，并不是一件容易的事情。在当前的医疗健康领域中，有一类技术称为量子医学、生物能检测等。我个人接触过这样一个很神奇的健康评估服务——加年健康。其体检方式不需要抽血透视，主要通过类似心电图检查的模式（外行人的描述），能够在20分钟的时间就给出人体全局的各个系统和脏器的健康评价。不过，细究其原理，也同样是通过局部检查汇总成为整体评估结果。理解其原理，其实和信息安全领域中的漏洞扫描非常相像，通过向人体发出一定的生物波，并检查和分析人体的回波
2009年的热点在哪里？
不管经济大形势如何，在每一个时期总有一些热点（至少是相对的热点）会突出出来。尤其是在整体环境窘迫的时候，认清热点把握机会就更为重要。我国的信息安全产业发展已经超过了十个年头了，在看起来已经格局分明的市场环境中，还有哪些热点可以带来改变和重新洗牌的机会呢？
云＋客户端＋安全，这三个词必将从2009年开始要缠连在一起。云计算已经成为IT业界的热点，除了云计算本身有自身的安全性之外，云模式也成为了改变安全实现模式的新方向。特别是在需要大量特征积累的安全检测功能中，更是成为云模式的用武之地。云模式改变了人们获取计算能力、存储能力等IT服务的方式，其实就是在改变着人们进入计算的大门，改变着人们进入网络的接入点及其方式，也就是说这个改变就是改变了客户端（终端）。当云和客户端缠连在一起的时候，虚拟客户端、外套客户端、云中客户端等形态都会出现并改变人们对于客户端的观念。客户端也许就会像衣服一样，根据不同的时间、不同的场合、不同的身份因需而变。安全则会成为这个外套式客户端的必备能力和突出特色。
U字当道。这个U字是Unified的字头，是“一体化”的代表。防火墙在技术和市场上逐渐被UTM(Unified Threat Management)或者叫USG(Unified Security Gateway)所替代，这已经成为显而易见的趋势。随着芯片技术和相关硬件技术的逐步提升，安全网关类产品逐步走向了一体化，防火墙、防毒墙、入侵防御系统IPS、防垃圾邮件网关、VPN、安全接入等等都不同程度地融合在了一起。同样，随着硬件对于性能问题的支持越来越强，旁路检测类产品的一体化趋势也开始出现，入侵检测、流量分析、网络审计等，也开始走向U的道路，必将融合为以UDS(Unified detection system)为代表的新产品形态。而在用户的客户端上，也一直在进行着对于客户端底层控制权的争夺，每个厂家、每个软件、每个插件都力图全面占领用户的客户端并提供全面的客户端安全保护。由于客户端软件选择的复杂性，所以在客户端安全的U会较难实现；而UTM和UDS会由于技术和性能的原因先期变成市场现实。在2009年UTM会超过防火墙而成为网关的主导，UDS会开始试水IDS和审计市场。
合规性＋业务安全。基于合规性的安全，还是雷声大雨点小；而当合规性和业务安全需要碰撞在一起，则会迅速变成实际有效的工作。信息安全等级保护、巴塞尔协议、SOX、PCI-DSS、ISO27001等各种类型的合规性要求，都在逐渐向着贴近业务安全要求、应用安全要求的方向转变。所以说，关注合规性，不如说关注合规性与实际业务安全需要的结合。
总体来说，云+客户端将会改变个人安全市场，U化的安全设备将会主导企业安全市场，合规性可以看到安全主管部门的作用力。
2009年是不是个好年景？
2009年全球的经济形势是一个毋庸多言的严峻态势。在这个形势下，说IT投资和IT安全投资不受影响是不可能。所有理性的企业无不在这个时候谨慎从事，卡紧现金流。一方面，IT在大多数机构看起来作为一个非主营业务方面很可能被消减投入；而另一方面，在冬天的时候，也正是加强内部调整，练内功，投入IT的时候。持有这两方面观点的人都有不少，因此，对于整个信息安全产业的形式来看，难说哪个方面更强些。
在经济形势不乐观的时候，一个有效的方式就是，对于任何的投入都多加两道分析，以求更加准确、更加谨慎。要将活动拆分成小步骤、小动作，以加强自身的可调整性和适应性，这样即使判断有误其损失也足够可控。就像将瀑布式的传统软件开发模式变成敏捷迭代的开发模式一样。
而对于经济冬天的趋势预测，我认为可以借鉴气候学中对于春天的定义：“当连续5天日平均气温高于10度的时候，春天就已经到来了”。我们可以静待这一天的到来。
基本上把个人上网可能遇到的安全麻烦都照顾到了。作为一个普通用户，就是跟着它升级就可以了。
摘录其介绍如下：
非常荣幸能够参加庆祝邓小平同志为国家信息中心题名２０周年，也是国家经济信息系统成立２０周年座谈会。
启明星辰公司是国内最大的专业网络和信息安全公司。在１９９６年初创的时候，就与国家信息中心有了非常密切的合作。十多年来，启明星辰一直致力于网络和信息安全工作，为我国各领域各方面的信息工作和信息化工作保驾护航。
近十年来，在我国的政治、经济、军事、文化、社会生活等各个方面，信息和信息化的影响越来越深入。信息已经让这个世界变得更平了，打破了很多藩篱和障碍，为我们带来了很多数不清的好处。这主要得益于信息的加速作用、放大作用、催化作用。加速作用让变化更快，放大作用让影响更大，催化作用让很多结果更加出乎意料。
信息的这种加速、放大、催化作用同时也给我们带来了不少的困扰。这次席卷全球的金融海啸不能不说有信息技术的推波助澜；在网络领域，常常遇到的网络攻击、病毒爆发、信息盗取等也是信息给我们带来的。信息安全工作也变得越来越重要了。
在与国家信息中心的长期合作中，启明星辰也以我们专业的安全能力为国家信息中心所主持的一些关键信息系统提供网络安全保障。如ＤＺＺＷＷＷ的安全监控中心等工作，在国内树立了具有开创性的标杆。
在未来与国家信息中心的合作中，启明星辰会继续尽我们的专业能力，为国家信息中心的信息工作保驾护航。
也祝各位领导身体健康、节日轻松愉快。
原 文章:数码健康（信息健康）
看过了《选择健康》，并将“未病学”“一个疾病、两个原因、六个渠道的想法”“保健胜过医药”等等想法，从人体健康拓展到ＩＴ健康（信息健康、数码健康）上的时候，继续发现，这个想法同样可以应用于“企业管理”这个范畴，得到一个企业健康的新话题。当想到这点之后，自然就开始将这三个领域拿在一起来比较，确实发现很多可以比较研究的地方。
＃复杂系统
这三个研究对象，人体、ＩＴ系统和企业，都是复杂系统，都是由功能各异的各个部分组成的。
原 文章:信息安全产品进化论
一、信息安全产品进化论的意义
我们在讨论一个产品的战略的时候，常常考虑的是：客户的需求、产品自身的功能、产品如何实现。在一般阐述的产品管理方法中，常常会细化这些工作的方法论，比如，如何作用户调研、如何组织产品功能等等。但是，如果仅仅这样考虑，常常会陷入一个自圆其说的局限中。比如，以ＩＤＳ的功能需求为例，当我们询问客户是否需要“有关检测对象的资产情况的时候”，客户当然会回答需要，因为这些功能确实是有价值的，那么我们自然会将这个功能列入ＩＤＳ功能的考虑范畴，如此，经过一番认真的调查，我们会聚集出来非常多的功能需求，而且每个都有客户的真实需求。这样，要为ＩＤＳ找出其核心需求就变得左右为难了。一个没有核心的产品是有问题的，这样的产品战略会是失败的。
为了能够将一个产品的边界范围符合“突核性和完备性”，我们要对调查所得的繁杂的需求加以筛选。这个筛选过程，需要根据客户需求的优先级进行筛选，也需要根据功能实现的难易程度进行筛选。这两个筛选是我们经常做的，如果用波特的五力来看的话，这就是下游的客户和上游的供应商这两个力。那么波特五力的其他三力呢？也就是怎么考虑业内竞争、潜在进入者、替代品者三个因素呢？他们在产品边界定义的时候到底应当怎么容纳进来呢？而从这个角度看，我们看到这些因素所阐述的都是产品和产品之间的竞争关系，甚至可以称之为弱肉强食的关系。
那么，从广义进化论的角度来分析问题，就是一个很值得尝试的方法。而且，广义进化论也能够包容波特五力所代表的各方利益的错综作用。
二、信息安全产品的“物种”
在生物进化论的研究中中，一个重要的概念就是物种的观念，也就是界、门、纲、目、科、属、种。鸡是一类，狗是一类；鸡属于禽类，狗属于哺乳动物类；鸡和狗都属于脊椎动物，都属于动物。当然，还有另外的分类方式，比如，认为鸡和狗都是陆生动物，而鱼和海豚都属于水生动物。
在有了物种的观念之后，所谓的生存竞争，就会在物种之间和物种之内展开。
要在信息安全产品格局分析中运用进化论，就需要对于信息安全的产品进行物种分类。不同的物种分类方法，会对物种竞争的分析结论有影响。物种内的竞争，就像两个厂商的ＵＴＭ产品所展开的竞争；但是同时还存在着物种间的竞争，也就是两个厂商的ＵＴＭ产品，共同与防火墙厂商间的竞争，两人会共同宣传ＵＴＭ的先进性；还有就是纲目间的竞争，而ＵＴＭ厂商和防火墙厂商也有共同的针对ＩＤＳ类旁路产品的竞争，阐述网关类产品的优势所在；更广泛的就是门之间的竞争，比如，到底是采购产品呢还是采用服务呢；再扩大来看，那就是届之间的竞争，到底应当用安全产品和服务来解决，还是ＩＴ系统自己把它调整好呢。
当我们能够用更宽广的视角地看待信息安全产品物种竞争的关系，会更加具有全局性和前瞻性。
原 文章:《选择健康》——简单的健康之道
任何好的医学和健康的书，看来，都可以对于信息安全产生很好的借鉴作用。毕竟，信息安全没有那么长时间的理论和经验的积累，健康和医药毕竟已经有上千年的历史了。
《选择健康》给我们展示了一个看待健康和疾病的简单道理。这就是一种疾病-细胞故障、两个原因-营养不良和毒素侵袭、六个渠道-营养/毒素/心理/生理/遗传/医药。那么把这种看法应用到信息安全领域，我们看看Cyber系统的健康和疾病问题，也可以思考类似的观点。
从IT安全到IT健康
在最近看得《选择健康》和《中国健康调查报告》等书中，都阐述了对于医学上“症候观”的一个质疑。症候观就是，当有了疾病的症候的时候，就被认为是有病了，而如果没有症候，那么就认为是健康。虽然，有压健康的存在，但是从当代西方医学体系上，并没有系统的针对亚健康的应对之策。
而从这几本书的观点看，不能仅仅从疾病的角度看，而要从人本身的健康状态来看。到底，人在什么状态下是健康的。也就是说，从完全的健康（如同罕萨人那样的健康状态）到疾病状态，是有不同的程度。这中间就是亚健康状态。在这个状态中，人是有能力进行调整和修复的。也就是治未病，在没有疾病的症候的时候，就帮助调整人的健康态。
用类似的观点来看看信息安全领域。我们现在的信息安全，要不就是完全从信息安全事件（已经出事了）的角度看信息安全，比如：防病毒、入侵检测、应急等等；要不就是从所谓的体系结构的高度去看，比如：信息安全管理体系等等。这两个方面，前者陷于“症候观”，而后者则让人难于找到实在的感觉。那么，如果把亚健康的观点引入到信息安全领域，那么就应当在“症候”出现之前，有实实在在的亚健康状态存在，而且这个状态可以检测、评价和调养。
如果引入这样的观点的话，那么就应当能够将有症候学倾向的“信息安全”，拓展为更加全面的“信息健康Information healthy”, “IT健康IT Healthy”, “数码健康cyber healthy”。
中国计算机学会关于微软公司“黑屏事件”的声明
日前，微软公司声称对盗版的微软操作系统和办公软件采取黑屏的办法，以“打击盗版”行为，维护其知识产权。据了解，微软已经采取了这一手段。
首先，不论微软的出发点如何，这一做法违背了软件开发者的道德底线。在美国所高度重视的软件确保强调可预见性，就是要让用户对软件的任何行为都是可预期的。但是，导致用户“黑屏”显然是用户不可预见的事情，这不符合软件开发者为用户着想的基本原则的。第二，认定盗版软件、治理盗版软件都必须按照中国的法律规定和程序，通过合法的司法途径解决，不能采用非法手段处理此事，采取黑屏的办法无法让广大用户接受。第三，微软的黑屏行为采用了类似黑客的手段，依靠收集终端客户系统中的信息来对客户进行攻击，这不符合道德行为规范，也涉嫌侵犯了公民的隐私权。本学会明确表示反对微软的这种行为。
本学会声明如下：
一、微软应立刻停止任何对用户进行不利于用户的远程操控的行为，不管这种行动的出发点如何。拥有在线软件升级能力的软件开发商，必须遵守软件开发操守，不以任何理由利用在线升级机会向用户注入对用户不利的代码，否则这与黑客的注入恶意代码的行为无异。如果该公司认为有人侵犯了它的知识产权，可以取证，按照中国的法律通过司法程序解决。
中国信息安全测评中心和微软中国主办了这个“国际信息技术安全评估通用准则研讨会”。微软请来了总部的一些安全专家，比如，"The Security Development Lifecycle"的作者Steve Lipner等。
不过，从其中的主要话题，我觉得不是ＣＣ而是软件安全。现在越来越多的厂商和用户都注意到了业界的这个微妙的变化。这样的变化促使安全厂商进一步拓展真正的信息安全能力，而不是在产品上互相抄袭。
Agenda
A Perspective on Thirty-Five years of building and evaluating Secure software
信息安全通用评估标准在中国的应用和实践
Windows Vista and Windows Server 2008 meeting the modern operating system security functional requirements
The role of the development process in software assurance
时间：2008年9月26日
地点：西安 陕西宾馆
原 文章:2008中国计算机大会
方滨兴院士做有关“软件确保”的报告：举起软件确保大旗，将信息安全确保向源头推进。
方院士的报告，可以引申出不少具体的研究方向，完全可以驱动很多博士论文课题。
一、关于“确保”
Assurance目前在业界一般翻译成“保障”，而方院士认为用“确保”更贴切。保障有一点后勤的意思，对于前台工作好像没有那么大的责任，而确保就更加投入，更加担当。所以在谈Software Assurance的时候，就用了软件确保这个术语。
二、信息保障 到 软件确保
信息保障已经被比较大范围的认可和接受了。
发现很多问题最都是以软件确保为核心的。所以，各方面都纷纷开始研究软件确保的课题。
三、介绍了软件确保的框架和一些关键问题
S3R模型
一些重要的话题
今天上午给一个客户作安全讲座。这半天不能算是一个传统的培训，更像是一个讲座和漫谈。从安全意识构建谈开去。先谈什么是安全意识，安全意识应当怎么嵌入到一个体系中，最后再谈谈到底应当把什么样的安全意识嵌入进取。
上午谈得也比较广，也随意地谈到了云计算、云对抗、奥运保障的体验等等。
ＰＰＴ也拿出来分享一下吧。
Powered by Haiwit
