2023年8月24日，2023CCS成都網(wǎng)絡安全大會在天府之國成都如約舉行。大會開幕式重磅嘉賓云集，安全感拉滿，科技感爆棚。
(資料圖片僅供參考)
北京賽博英杰科技有限公司創(chuàng)始人兼董事長、高級工程師、正奇?安全創(chuàng)業(yè)營創(chuàng)始人譚曉生（譚校長）在開幕式上對《2023年中國網(wǎng)絡安全十大創(chuàng)新方向》和《2023中國網(wǎng)絡安全八大趨勢》進行了解讀，讓我們一同重溫。
非常榮幸第三次參加CCS，從第一屆CCS開始我都是來積極參與的。我手下的一個研究機構數(shù)說安全前幾天發(fā)布了《2023年中國網(wǎng)絡安全市場年度報告》，這個報告的內(nèi)容比較多，我今天主要為大家介紹一下技術趨勢。
首先我們認為2023中國網(wǎng)絡安全產(chǎn)業(yè)有八大趨勢，分別是數(shù)字經(jīng)濟、人工智能、頂層設計、數(shù)據(jù)安全、信創(chuàng)加速、服務化轉(zhuǎn)型、關基保護和密碼應用。
首先數(shù)字化轉(zhuǎn)型大家都知道，現(xiàn)在我們國家、以及全世界范圍都在做數(shù)字化轉(zhuǎn)型，數(shù)字經(jīng)濟是當下被特別強調(diào)的一個點，這個是一個新的經(jīng)濟動力。
第二，人工智能的發(fā)展其實帶來了兩方面的問題，一是人工智能本身的安全問題，今天下午百度的分論壇討論的就是人工智能大模型的安全問題。第二個是人工智能怎么樣能幫到網(wǎng)絡安全，不管是像微軟的Security Copilot，還是360現(xiàn)在做的安全助手等等，這些嘗試都是把人工智能用來解決安全問題，所以這也是一大趨勢。
第三個趨勢是咱們國家在過去的這么多年，網(wǎng)絡安全相關的立法都已經(jīng)先后出臺，咱們今天的網(wǎng)絡安全是在法治的基礎之上，尤其是像數(shù)據(jù)安全法等一系列有針對的立法出臺，以及關基保護護條例等，都對產(chǎn)業(yè)會產(chǎn)生非常深遠的影響。
第四個是數(shù)據(jù)成為重要的生產(chǎn)要素，數(shù)據(jù)安全立法出臺了，但是數(shù)據(jù)安全相關的技術手段、產(chǎn)品還都遠遠達不到要求，我們預測未來“數(shù)據(jù)安全”可能會發(fā)展成和如今的“網(wǎng)絡安全”相媲美的產(chǎn)業(yè)規(guī)模與空間。
第五個是信創(chuàng)。在當下復雜的國際條件之下，信創(chuàng)需求的加速是對于產(chǎn)業(yè)影響非常大的。在過去的兩三年里面，信創(chuàng)產(chǎn)業(yè)在網(wǎng)絡安全中間占了一個非常大的比重。
第六個是服務化轉(zhuǎn)型，今年ISC期間360所宣布“為中小企業(yè)提供網(wǎng)絡安全托管服務”，這就是其中一個典型的體現(xiàn)。其實在過去的兩年里面，深信服、安恒等這些企業(yè)，都在把它的安全由產(chǎn)品向服務化做轉(zhuǎn)型。
第七就是關基保護條例等相關政策的出臺，讓關鍵信息基礎設施保護這件事得到了足夠的重視。
第八大趨勢是商用密碼。前幾天剛剛在鄭州召開了商用密碼大會，商用密碼的市場地位越來越高。在2020年1月份密碼法出臺之后，經(jīng)過三年的疫情，到現(xiàn)在國產(chǎn)化密碼的應用實施會進入到一個快速發(fā)展的階段。
簡單講了八大趨勢之后，我們來看一下《中國網(wǎng)絡安全產(chǎn)業(yè)的十大創(chuàng)新》。
第一個肯定是AI。今年是AI非常爆發(fā)的一年，我們這里想講的是AI驅(qū)動安全，沒有去講AI自身的安全，而是AI怎么樣能幫到網(wǎng)絡安全的威脅檢測、響應處置、安全運營等等這些方面。那么最需要關注的就是像Security Copilot這樣，在網(wǎng)絡安全的運營中AI怎么樣能夠幫到大家，從現(xiàn)在我看到的結(jié)果來說我認為是非?？梢云诖?。在網(wǎng)絡安全的運營上，它也許能夠替代中低端的網(wǎng)絡安全運營的工程師。
在威脅檢測方面，其實從2009年360第一個做基于機器學習的惡意代碼檢測，到后來嘗試過用深度學習解決安全問題，到今天AI的大模型、用多模態(tài)這些技術來做的檢測大多數(shù)是可以做到三個9以上（99.9%）以上的準確度，它的誤殺率也是可以得到相當好的控制的。
所以在下面一個階段，各大安全公司去擁抱AI幾乎是變成了一個不得不做的一件事情。
第二個是安全平行切面，這個是現(xiàn)在螞蟻金服在力推的一個方向。這項技術源自于我們今天數(shù)字化的應用越來越多，同時要解決安全問題，就面臨著安全和業(yè)務邏輯的解耦合問題。如果你不能做到很好的解耦合，那么應用系統(tǒng)的安全開銷就非常之大。
螞蟻金服的韋韜提出來了安全平行切面的概念，試圖在應用系統(tǒng)和安全之間去做一個安全的平行切面，而實現(xiàn)應用邏輯和網(wǎng)絡安全的一個解耦合。其實就像現(xiàn)在開發(fā)安全里面用的IAST和RASP這種就是一種安全平行切面的一種應用。
當然螞蟻金服在這方面做了很多的實踐，它的現(xiàn)在也在有限度的給合作伙伴在開放它的全套的代碼，這個我們認為是在網(wǎng)絡安全的領域近年來提出來的一個具有革命性的一個東西，大希望引起足夠的關注。
第三個是隱私計算，是數(shù)據(jù)安全的一系列要求和需求帶來的創(chuàng)新。數(shù)據(jù)安全立法都出來了，但是數(shù)據(jù)安全到底怎么解？尤其數(shù)據(jù)的確權問題、分類分級問題等解決不好，你的數(shù)據(jù)一旦流轉(zhuǎn)起來都會帶來很大的麻煩。
那么現(xiàn)在就用隱私計算這種方法去做，數(shù)據(jù)價值可以分享，但是避免原始數(shù)據(jù)的分享，這是在現(xiàn)在這個階段解決數(shù)據(jù)安全問題可以立馬能夠去用的一種方法。隱私計算在近幾年里面變成了一個創(chuàng)業(yè)的熱點，這是這樣的一個原因。數(shù)據(jù)安全的問題要得到很好的解決，我認為還是需要可能8~10年以上的時間。在現(xiàn)在這個階段隱私計算是能幫助我們解決數(shù)據(jù)安全問題的一些有效方法。
第四個是可信數(shù)字身份，也是全社會數(shù)字化轉(zhuǎn)型的重要環(huán)節(jié)。其實身份的問題原本就是網(wǎng)絡安全中一個非常大的領域， IAM這個領域是本身就非常大，零信任方法的提出也是基于身份來解決問題的。
今天早上方院士也講到，網(wǎng)絡安全其實一開始我首先要確認你的身份是可信的，然后你的行為是和你的身份是符合的。所以構建可信數(shù)字身份就是一個非常大的需求。你包括現(xiàn)在一些新的創(chuàng)業(yè)公司就在做這個，比如領信數(shù)科，他是把大白互聯(lián)給收了，然后以可信身份當做一個切入點來做創(chuàng)業(yè)。
第五是CSMA，這是gartner大概在兩年前提出來的概念，它是指網(wǎng)絡安全運營的結(jié)構。其實就是怎么樣的把已有的網(wǎng)絡安全能力、各種安全產(chǎn)品通過標準化接口，拿到一個分析的平臺上，然后通過在上面進行管控等行為。 其實網(wǎng)絡安全的運營就應該這么做的，但是中間的問題想要全部解決在中國尤其困難，尤其是各個 安全產(chǎn)品的標準接口和分析等等會是一個比較大的工程。我認為圍繞著CSMA架構，也是咱們安全從業(yè)者往后要忙活個10來年時間的一件事兒。
第六是數(shù)據(jù)安全沙箱。沙箱本來是在終端上對身份不明的代碼進行監(jiān)控的工具，但是這里說的是數(shù)據(jù)安全沙箱，其實大家現(xiàn)在從業(yè)者把沙箱反過來用了，以應對數(shù)據(jù)安全所帶來的一些挑戰(zhàn)。像數(shù)篷、航天啟星、一知他們都利用沙箱技術，把對數(shù)據(jù)的處理過程放在沙箱里來進行，而它通過外部的程序，能夠從監(jiān)控到沙箱中對數(shù)據(jù)處理的各個過程，從而實現(xiàn)對數(shù)據(jù)處理的過程的可見、可控。
這個技術并不是典型的沙箱應用，這條路線到底今后還會怎么演化，其實還存有變數(shù)。但是在大家想各種方法去解決數(shù)據(jù)安全的問題的當下，這個也是一種很好的嘗試。
第七個是企業(yè)安全瀏覽器。去年RSAC的Innovation Sandbox獲獎的Talon Cyber Security就是做安全瀏覽器的?，F(xiàn)在你在國內(nèi)能看到的360、奇安信、雪諾這些團隊都是從360那一支出來的，他們過去有做面向個人的安全瀏覽器的基礎。其實它是對RDP遠程桌面、云桌面的一種替代，所有的應用都通過瀏覽器來跑。
這種通過瀏覽器的來解決安全問題也是一種現(xiàn)在比較可行的一種方法。
下一個是ITDR。過去微軟操作系統(tǒng)AD的域控是黑客重點打擊的一個點，突破了域控就能拿到系統(tǒng)里面的各個其他系統(tǒng)的權限。ITDR有基于微軟AD的，也有基于國產(chǎn)化操作系統(tǒng)的，還是前面的話題，基于身份對于現(xiàn)在應用系統(tǒng)防護的重要性，ITDR今天也是變成了一個非常重要的領域，可惜國內(nèi)的創(chuàng)業(yè)公司不是太多，一個我老同事出來搞的中安網(wǎng)星，另外就是無脅科技，他們在做ITDR方面的這樣的這種應用。
第九是汽車的網(wǎng)絡安全管理平臺。隨著咱們國家汽車安全的強制性國標出來，汽車安全受到了足夠的重視。
其實在過去這么多年，對于汽車安全我一直持比較謹慎的態(tài)度，因為車廠對于成本控制非常的嚴，而汽車安全問題的解決又相對來說比較困難。那么現(xiàn)在國內(nèi)像為辰信安、云馳未來做的都不錯，他們的產(chǎn)品都已經(jīng)做到了批量化裝車，有車載防火墻、車機安全產(chǎn)品等一些創(chuàng)新產(chǎn)品。還有像犬安科技這類是從設計階段就去解決汽車安全問題，就是從設計階段拿設計圖紙來幫車廠發(fā)現(xiàn)中間的安全問題。
未來伴隨著強制性標準的完善和出臺，汽車安全市場也一定會成為一個新的市場。
最后一個創(chuàng)新方向是開源軟件治理。這里面相關聯(lián)的一個是軟件供應鏈安全，一個是開發(fā)安全。
這個里面就涉及到的技術比較多，現(xiàn)在比較受重視的是SCA（軟件成分分析）。在過去的這兩年發(fā)生了像SolarWinds、log4j2 這樣的漏洞事件，前面小松院長也提到在開源過程中，我們的程序員受訓練不足，有80%-90%的都采用了開源軟件等情況所帶來的安全威脅，到了今天就變成了不得不重視的一個領域。
那么在開源軟件治理里面通過SCA，然后做SBOM再通過IAST這種方法來做軟件的測試，再用RASP做實時動態(tài)的防護等，這類開源軟件的治理技術在今天也是一個創(chuàng)業(yè)的熱點的方向。國內(nèi)做開源軟件治理的企業(yè)也比較多，現(xiàn)在處于一個群雄并起的階段。
前面就給大家分享了我們認為在現(xiàn)在這個階段中國網(wǎng)絡安全產(chǎn)業(yè)的八大趨勢以及十大創(chuàng)新的方向，謝謝大家。
上一篇：工信部：制定促進鋰等資源產(chǎn)業(yè)發(fā)展的實施方案
下一篇：最后一頁
責任編輯：
