所有的安全漏洞是否均是可預(yù)防的?

作為一個(gè)相對(duì)較新的安全領(lǐng)域，信息安全較為復(fù)雜，我想，我可能仍然在某些方面缺乏直接的經(jīng)驗(yàn)，我需要以開放的心態(tài)彌補(bǔ)經(jīng)驗(yàn)的缺乏，大膽的進(jìn)行一些“非常規(guī)”的思考。

我的工作內(nèi)容的很大一部分是開發(fā)系統(tǒng)和進(jìn)程檢測(cè)，以便能夠在產(chǎn)品的體系結(jié)構(gòu)和程序設(shè)計(jì)階段盡可能早的發(fā)現(xiàn)并防止產(chǎn)品漏洞(并以最低的成本代價(jià))。

改變心態(tài)

幾年前，我曾在一處制造環(huán)境中工作，工作人員在其中必須非常小心周遭的能源原料、化學(xué)品的危險(xiǎn)。這種風(fēng)險(xiǎn)是非常真實(shí)的，有可能在錯(cuò)誤的地點(diǎn)和錯(cuò)誤的時(shí)間進(jìn)行了錯(cuò)誤的操作，就可能會(huì)導(dǎo)致嚴(yán)重的慢性疾病或急性損傷。但在現(xiàn)實(shí)中，實(shí)際的工作場(chǎng)所的風(fēng)險(xiǎn)是很低的。

所不同的是心態(tài)。在某些工業(yè)環(huán)境中，工人們只是已經(jīng)就“事故是不可避免的”這一默許的想法達(dá)成了共識(shí)。他們認(rèn)為，正因?yàn)樽约核鶑氖碌氖俏ｋU(xiǎn)工種，因此危險(xiǎn)是工作固有的一部分。但經(jīng)驗(yàn)表明，這種觀念是完全錯(cuò)誤的。正確的心態(tài)應(yīng)該是：“一切事故都是可以預(yù)防的。 ”在工業(yè)環(huán)境中，系統(tǒng)和程序可以而且應(yīng)該到位，以降低風(fēng)險(xiǎn)，防止事故的發(fā)生。而且，如果有意外發(fā)生，系統(tǒng)應(yīng)進(jìn)行檢查和改善，以確保事故不會(huì)再次發(fā)生。所有的事故都是可以預(yù)防的。這種心態(tài)的變化已經(jīng)隨著時(shí)間的推移顯示出非常有效地減少事故和傷害的功效了。

安全漏洞是可以預(yù)防的

今天人們可以讀到許多關(guān)于“黑客是可以預(yù)防的”的文章，就好像所有的黑客攻擊都不能預(yù)防一樣。以及“許多設(shè)備的漏洞是可以避免的”，就像一些漏洞是不可避免的。

但是，不是說產(chǎn)品在設(shè)計(jì)過程中已經(jīng)經(jīng)過測(cè)試，規(guī)避了安全漏洞嗎，所以這些只是在開發(fā)過程中的“事故”?不是所有的安全事故都是可預(yù)防的嗎?現(xiàn)在是時(shí)候需要我們作為一名產(chǎn)業(yè)人員向產(chǎn)業(yè)安全管理中添加與我們們業(yè)務(wù)相關(guān)的內(nèi)容了。正如工業(yè)事故是可以預(yù)防的一樣，安全漏洞也是可預(yù)防的。隨著我進(jìn)一步就軟件和硬件的脆弱性進(jìn)行檢測(cè)，并采取相關(guān)防治措施之后，我認(rèn)為我們需要采取更加積極的心態(tài)。我相信這也適用于構(gòu)建自動(dòng)化系統(tǒng)。

“所有的漏洞都是可以預(yù)防的。”

僅僅只是改變心態(tài)就能夠保證沒有安全漏洞發(fā)生什么嗎?當(dāng)然不。系統(tǒng)并不是完美的。當(dāng)相關(guān)的問題發(fā)生時(shí)，必須努力理解和解決其根本原因。但如果我們接受了我們可以不斷的學(xué)習(xí)和提高系統(tǒng)和流程的運(yùn)作，不斷消除漏洞，我們將至少能夠推遲某些必然性危險(xiǎn)的發(fā)生。因此，我們說所有的漏洞都是可以預(yù)防的。

我在英特爾的一個(gè)同事喜歡說的一句話是：“安全問題并不特殊。”在某種意義上，他是對(duì)的。從許多方面來看，信息安全難道不是那些傳統(tǒng)的生產(chǎn)環(huán)境安全問題的一種延伸嗎?企業(yè)仍然需要就風(fēng)險(xiǎn)的緩解問題采取持續(xù)的改進(jìn)措施，只是變化到一個(gè)新的背景而已。