中國網財經9月24日訊 9月24日至25日，亞太資訊安全領域最權威的年度峰會——2014中國網際網路安全大會(ISC 2014)在北京國家會議中心召開。

　　大會由360網際網路安全中心與網際網路協會網路與資訊安全工作委員會主辦，國家電腦網路應急技術處理協調中心(CNCERT/CC)、中國資訊安全測評中心、國家電腦病毒應急處理中心和中國網際網路協會作為指導單位。

　　ISC 2014大會主題為“互聯世界，安全第一”，聚焦在網際網路時代、大數據背景下的資訊安全所面臨的全新挑戰和問題，峰會深入探討了智慧城市、網際網路金融、數字醫療、可穿戴計算等業界關心的問題。

　　在今天上午召開的“産業領袖峰會”上，電腦病毒之父、弗雷德科恩公司首席執行官弗雷德•科恩做“Developing a Global Standard of Practice Supported by the Science of Information Protection”主題演講。

　　以下為科恩演講全文：

　　大家好！今天我們要闡述的話題是如何構建全球資訊標準，我們如何通過科學的構建這樣一個系統。這是我的一個摘要，大家可以在網際網路上閱讀，有中文版的PPT，大家現在在網上可以直接看到英文版的PPT。這裡我要談的是資訊保護的藝術，合理決策，還會講一下實踐標準SOP的更新、思考和探討。首先談一下，我們恐懼和不確定性的懷疑的問題，我們簡稱為FUD。

　　為了更好的理解為什麼要説FUD，所有的業務都是為了賺錢，我們的電腦業務和電子商務都是為了賺錢，我們要了解賺錢是商業的主要目的，當然我們還要考慮到你是否能夠安全的運營，如果不能安全服務和供給我們就會覺得受到了威脅。反之，我們不能做到很好的安全服務，誰會來購買你的産品呢？當然我們還要考慮的就是，我們怎麼樣向消費者推銷我們的安全軟體，這裡有三個問題：恐懼、不確定性和懷疑的問題。

　　恐懼就是壞事即將發生在你身上，已經在別人的身上發生過了，不確定性是你怎麼知道自己是安全的，誰在看護你，第三是懷疑，不僅是你本身存在這個問題，即使是國家安全局也不能保證你的秘密。比如我購買每個産品，但是在美國你説相信我們吧，因為我們可以保證你的安全，但是你要知道現在我們在電腦安全方面是有很多不確定性的。所以，經常會有商家會説快來使用我們的産品，用了你就安全了，國家安全局都已經使用我們的産品了。所以，我們可以看到這個FUD就是人們普遍面臨的一個問題，那也是我們現實面臨的一個問題。

　　無知並不等於幸福，很多的政府更傾向於攻擊勝於防禦，其實這是一個現實。它包括用於攻擊的費用和用於防守的費用，哪個更多呢？其實攻擊的費用更多一些，因為他們要收集情報，而且還要用於反間諜的費用會很高，最好的防禦他們認為就是進攻，包括對情報的需求超過了對安全操作的需求。比如水的攻擊、食品、燃料、電力等系統，這會在大量的基礎設施之上，我們現在處於資訊社會，計劃年代，這些設施越來越依賴於資訊系統，那麼這些系統越來越依賴於電腦。

　　我個人的觀點，資訊保護就是一門藝術，就像煉金術一樣，資訊保護更像一門藝術而不是基於科學進行的。比如説一個月40天，90天我們就會改一次密碼，就像煉金術一樣，安全防護的經驗法則和概念就是這樣，定期更改密碼，安全防護措施也會越來越多，我個人的觀點，我們認為更多是一個科學的方式，而是我們需要更多的測試，絕大多數的安全概念並不是理論，而是實踐中我們有沒有更好發揮作用的方法。很好的一個例子就是我的科學法則並沒有真正的奏效。

　　為什麼要這樣做呢？我們應該考慮合理性的決策，我們首先要知道百分之百的組織做的決策是什麼樣的？有什麼樣的選擇？是不是選擇項有限呢？也就是説你不能從零到一百確認你的電腦被襲擊到底是處在什麼樣的階段或比例，所以用於決策的因素只限於事實，這是很有限的，你必須要基於你在什麼地方或者在什麼樣的情況下來做出明智的決定。你為什麼要做出這樣的選擇，這是需要決定的，這是你具體的情境，你要做這些或者做那些，還包括一些基本的基礎。這就是我們基本的運營方式。

　　什麼樣的決策是科學的，目前沒有，這是目前的狀態，但將來很有可能會有，將來我們可能會讓它奏效。例子就是説我們有很多的組織，他們有成熟的模型，他們認為可以有助於減少錯誤和遺漏，比如説我們有了電腦，並不代表能夠保護你的安全和秘密，不是説有了電腦就是有秘密了，但是我們知道經常有了電腦還會有一些漏洞，很多人還會獲取你的秘密，你的目的是什麼？當然是希望能夠有安全性，讓其他人無法獲得，這樣的話我們就需要更成熟的模型幫助我們減少錯誤。最根本的一個屬性就是能夠減少這樣一種所謂的透明性。

　　保密性也是我們的目的，所謂的透明度其實是我們的進行決策設計時的一個重要的測量因子，所以我們需要進行更加科學和多元的研究，來進行修正，那就是在系統防護中是否有錯誤和遺漏的盲點，我們如何進行科學研究來明確這些方面呢？這就是我們現在面臨的問題。我們現在所謂標準化的決策過程並不是真正完美的，你可以直接去下載一些標準化的流程，進行秘密保護，你可以直接閱讀和使用它的操作方法，但並不是真正所謂的標準或者是萬無一失的。比如現在我們有2700多人在使用這樣的標準，我們就認為它是非常好的標準，比如在醫療體系當中也是一樣的，很多人不會看看你的肩膀就知道你的問題，在安全體系也是一樣，你進行所謂的診斷，你有了防火牆就可以解決這種襲擊問題。但我們知道有了防火牆一樣還會有病毒來解密或者是來打擊這個防火牆。所以我們現在要做的事情就是要找到這個病毒的基本的數據庫，然後問一些問題，基於我們現在的問題來使用同樣的一種機器語言來解決這些問題。所以，我們要找到的這些答案一定是要合理的，我們必須要有專家來做出決策。所以，我們要更加有系統化的來操作這樣一個流程。當我們為使用者來工作的時候，我們要進行調整。

　　這是一個圖片，那就是我們現在所謂的實踐標準SoP。最上面是我們的業務如何操作的，大家可以看到我們如何做出決策。因為我們要預防的根本目的就是讓我們的業務能夠成功、順利、流暢地運作，因為我們希望我們的業務能夠成功運作，所以我們需要有這樣一個標準，所以最上層就是我們要理解我們的業務。接下來就是左上角，我們的職責就是要進行保護，我們需要一些技術進行保護，你要理解你的職責，為什麼要有這樣的職責，這樣你才能有非常合理的方式進行保護，你會有風險管理方式，能夠把你的職責做出保護的決定，你要理解是什麼，你要在操作的時候理清你的職責和功能所在，包括有些人會影響到其他人來做一些決策，那麼這些人我們首先要分析，然後才去分析其他人做出什麼樣的舉措，然後做出應對的反饋意見。

　　當然我們還要進行架構的管控，技術的安全架構是我們要考慮的第三個層面，比如我們要考慮問責制的問題，以及我們如何獲得資訊的問題，如何做出信任的決策，我們為什麼要信任他們，為什麼要信任這個組織，是因為他們有長期合作的經驗嗎？歷史嗎？為什麼？一旦我們理解了為什麼才能做出決定。

　　這裡你做出決策是取決於你組織的能力、還是成熟度，如果你是很高風險就是紅色這塊，我們建議你就不要這麼去操作，不管你做什麼可能都是高風險的，那麼這種情況下我們會讓你更加謹慎。這樣的話，你要做一些事情，看看是不是對你的組織有益，但是我認為你首先要了解這樣做是不是合宜高風險的情況，當然還要考慮中等風險和低等風險的時候。我再次回到這個幻燈片，我還是相信科學，因為我之前有一個很好的對話，就是很多人對一些哲學，比我對哲學的理解要更多，因為我只是一個科學家，所以你必須要了解到一些實驗能夠帶來的一些經驗和標準，這樣的話你才能夠確保你做的是有依可循。

　　如果你看我們現在做的一些案例，你可以了解很多的理論，他們都強調我們為什麼要這麼做的原因。我們這麼做是因為其他人以前做過，當然還有一些其他的元素，也是我們覺得有很多數學方面的理論支援。比如在四十年代的時候，就會有一些資訊流控制元素，還包括密碼學元素，以及科恩實驗表明的一些惡意軟體的元素，還包括一些其他例外的情況。所以，我們認為現在即使我們的資訊保護理論並不存在成熟的理論，我們聽到過一些理論，但離我們現在的拓撲學和實踐的情況並不能一一匹配，所以現在存在很多的錯誤，很多的錯誤都是實際存在著，都是在數學演算的時候存在著的，所以我們有很多問題需要研究，我們還需要更多的資訊，比如流程式控制制中需要更多的資訊才能更好的控制我們的運程的標程的流程，所以我們的探索實踐是一個標準的出發點。

　　現在很多都是關於惡意軟體和病毒的，幾千個、上萬個。但是很少有理論告訴你什麼是可用的，所以有很多理論，但你肯定要做一些研究，無論別人曾經告訴你哪些不好用，但總比沒有好。還有其他的一些因素也是具有它的局限性。為了能夠獲得足夠的資訊來進行保護，我們必須要進行一百多個不同領域的理論的進展，這裡我們不要説有更多的領域了，我們要明白怎麼進行人力資源管理，我們知道如何管理庫存或者是管理工作流，我們需要理解如何能夠更好的控制資訊以及使用，我們需要去理解如何去降低我們的這種脆弱度，我們需要了解怎樣進行轉移，等等幾百個我們還不能理解的領域，為了把這個工作做好，我們必須把剛才説到的這些內容都得到良好的理解才行。

　　所以，科學之下的一個機制實際上就是英國，通過一定的機制和原因可以産生影響，這是一個後續的基礎。如果你需要一個科學的理論，必須要經過實驗，我必須要做一個實驗，這個實驗的結果能證明一個理論是錯誤的，那麼另外一個角度，就説明這個理論可能是對，也可能是錯的，但我們知道，我們只能來證明如果出現不能用的這種情況下，這個理論才能是錯的，這就是基本科學的一個理論。

　　實驗能夠證明一個理論是錯誤的，但對於普遍的規律來説，實驗並不能證明理論的正確性。當我們不知道如何來測量某些事物的時候，我們對於數字暫時沒有能夠從科學角度來證實的一些方法。另一點，當我們發現一個理論被推翻的時候，我們就會對理論做出調整或者嘗試其他的一些理論。我這裡給大家舉一個例子，這是一個科學的理論——地平論。大家有多少人認為地球是平的，請大家舉手？沒有人這麼想吧，為什麼呢？400多年、500多年前所有人都認為地球是平的，之所以現在我們不認為地球是平的了，就是麥哲倫進行了環球履行，這已經被證實了，地球不是平的。在這之後沒有人認為地球是平的，原因是這個理論有實踐被證明是錯誤的。科學有證實世界是圓的，看起來也不是真，因為它也不是完全的圓，它還有一些橢圓，所以也要不斷的調整我們的理論，我們現在得到的結果就更加的正確。但我肯定，不會有人去真的擔心地球是圓的還是平的，因為大多數的這些建築蓋在這些圓的地球上，你也是可以把地給平好了，就可以蓋大樓。

　　這裡我們再談一下關於拒絕服務。問題在於我們怎麼做呢，我們如何去解決拒絕服務的問題，這裡我們的理論據我所知，Webster大學在這個方面有一些研究，Webster大學有一些研究和合作，你可以做這種拒絕服務，那麼在sblve裏面有一些拒絕服務的，為了幫助我們能夠實現這種科學實驗。拒絕服務的理論，也就是DoS的一個理論，就是資源枯竭造成拒絕服務。比如説，有這麼多的資源，我用太多了，到最後就不剩下太多了，那麼我的資源要耗盡了，這時候服務就會被拒絕，這也不算是某種程度的理論，應該是顯而易見的，但是它就是一項理論。我們有不同的資源，所以，隨著我們使用不同的資源，電腦就越來越慢，我們再去用服務就會被停止。這裡是有一個線性資源使用的增長，直到性能和資源耗盡。我們必須對這個理論用一些科學的方法進行驗證，我們在進行驗證的時候要把一些資源鼓勵出來，比如CPU時間、磁片空間、記憶體空間、介質中的條目等等，對它進行隔離，我們可能一次有一百多個進程，一百多個進程中一次只用一個進程，兩個三個四個，依次進行下去，來看看整個性能是不是下降了。我們用到101的時候可能所有東西就停止了，如果這樣的話就確認了我們這樣一個理論。 我們也用其他的資源再來進行驗證。我們曾經做過一些實驗，而我們發現在某種有限的程度下，它是有道理的，它不是一個完美的理論，但還是能夠找到一些不同因素之間的互動。

　　所以，我們在Webster大學，這是一所全球性大學，他們在五大洲都有課程，在中國有課程，在北京、哈爾濱和上海。所以一些商學院的學生可以去Webster大學學習一些課程然後回到中國。我們希望能夠建立一個網路安全項目，同時也是希望能夠是全球性的。我告訴過大家，這是科學實驗條件比較簡單，大家可以看到這個圖片，我們這裡是怎麼做的呢？我們想看一下我們被度量的一些實驗現象等到正確響應花費的時間，實驗的結果是我們必須要知道如何測量實驗結果，這樣兩個電腦，三個電腦，持續下去進行拒絕服務的測試，直到服務被拒絕，然後我們就會問一個問題。到底實驗和理論是不是一致，我們希望能夠進行科學的測量。在大學裏面與一些研究生一起做這樣一些研究，那就是説我們不見得以前真正嘗試過這樣一些問題的解決，對一些專業的學校來講，他們不是真的自己去進行問題的解決，一般都是把問題提出來讓學生去解決。這是一個實驗室的任務，學生是不是能夠找出自己的資源有哪些，然後做一些實驗，然後進行單獨的測試，進行組合的度量去看一下他們之間是不是相連的，能夠建立一個預測的方程，然後為這個方程來找到一個參數，看一下這個等式是不是能夠成立，如果不成的話再做出一個方程。我曾經有一些學生，他們在進行服務方程的驗證是非常強的，我們這個結果甚至都可以發佈給全世界。

　　現在回到科學問題，我們在科學中不能只做參數的實驗，我們需要反饋，在這個等式之後需要有一些反饋，要了解到對參數的控制，在更加複雜的環境中是不是可以使用，這些理論的更新，然後把結果進行公佈，讓其他人從中獲益。下面我想給大家談一下如何進行標準實踐的實現。對於實踐標準來講有一百多個不同的元素，其中有一些是關於在資源耗盡方面的服務拒絕，這是比較細的內容，更多的告訴我們像DDoS的理論，我們知道如何減輕影響，我們知道如何實驗的結果，我們要知道這些等式是不是可以用，取得我們的成功，如果我們找到更好的等式之後，我們必須要有數學方面的一些驗證，但有時候出現問題的時候，我們提出一些問題，對這個理論進行證實。另外我們利用SoP把它進行科學化的擴展，但要更加廣義的進行。

　　因為整個標準實踐是和我們之前的大學進行合作，我相信和中國也有合作，相信在中國的檔案中也能查到一些實驗的結果，中國作為一個代表方開始參與到全球研究中，就有來自30多個國家的專家來一起進行檔案的管理，像政府的還有私營部門的。我們從標準的實踐當中拿出很多公司多年以來的最佳實踐，然後開始進行審閱管理和檔案管理文獻。基於我們的文獻研究基礎上，我們發現在電腦安全理念會存在一些問題，比如在透明度方面，之前我已經給大家提過了，如果你把所有的電腦安全文檔都讀一下，然後讀一下這些標準的話，我並不認為你能找到任何關於透明度作為保護定義的這種論述，但它已經變得非常重要了。

　　我們現在需要記錄的系統是透明的，這樣所有人對這個系統才會是信任的。我們現在考慮了透明度方面的問題，我們又從電腦安全的角度把透明度放了進來。但同時通過應用電腦安全到審閱檔案管理裏面，我們可以做更好的這種檔案管理。我們可以把所有的電腦安全內容都融合在內，通過來增加對於檔案的管理和保護，我們也增加了一些在資訊保護方面的內容。

　　我們對於標準實踐進行了更新，專門針對檔案管理的一些實踐，然後對它進行這種相互的評審。希望能夠應用SoP到全球已存的ARM實體中，所以下一個星期三我們將會做第一次的檔案管理，我們將會把這個標準實踐應用在這個檔案之中，我們將會對全世界30多個不同的檔案進行實踐，看一下到底誰對於審閱管理和檔案管理真正有用。如果不適用的話我們將會對它進行修改，如果確實能用的話，人們可以在ARM系統裏做更好的實踐，我們這些都是可以得到驗證的。在下周之後我們將會對比成果，將會和研究生進行兩個月的研究，可能還有另外的三年要繼續研究，另外我們也會根據評論改寫SoP，最後會發表在因特網上，全世界大家都可以來讀，我們希望所有的人能夠獲得這樣一個結果，來在ARM裏使用這樣一個最佳實踐。

　　這樣一個研究的結果等於是更新、SoP，讓SoP幫助我們反映最新的科學成果。這裡有一個完全不同的例子，就是我們如何把科學和服務結合在一起，比如説保險業人們可以將風險和網路攻擊進行轉換，比如你可以安裝一些防火牆，可以購買保險，讓別人替你來做擔保，這裡在保險公司會面臨一個問題，我應該收多少保費，我可以給你支付的保額又是多少。RISCO是一家保險公司，它開始提供網路安全保險，有很多的公司也開始和它共同擔保，他們的聲譽非常好，只要你花得錢夠多都可以進行保險，他們還曾經對幾十億美元的衛星發射進行過保險，如果發射失敗的話將會賠付20億美元，後來發射成功了，所以這家公司從發射當中掙了10億美元，但如果發射失敗他們就要損失20億美元，所以他們通過這種系統的方式來進行網路安全的保險。

　　我們怎麼做呢？我們和他們進行合作，我們應用剛才説的SoP評估放在網路保險中，我們也不知道能不能用，我們只能做科學的，我們也不知道未來有怎樣的變化，我們只能進行最大的努力。這有一個最大的目標，當你買了這個保險後，你必須告訴保險公司你在做什麼，你在採用的這種保障是什麼樣的。就像你想買車險的話，必須要告訴保險公司你的車是什麼狀況，可能在北京你的保費是要付更多，因為北京開車不太安全，如果是一些比較安全的地方，保費就會比較安全一些。你必須要告訴他們你在哪兒開車，是什麼樣子，另外是你的年齡，如果你是年輕人的話可能比老人支付的保費要多一些，因為老人可能開車更慢一些，我現在就開車更慢了。但我覺得你可以看得慢一些，這樣就不會有太多的事故也不會對你傷害很大。

　　之所以保險公司要了解，就是知道我比年輕人需要賠付的機率更小一些，因為有保險公司資訊的這些報告，它就獲得了一些資訊。我想問一下，到底有多少在座的人了解在自己組織內部保護失敗的一些情況，如果你知道的話請舉手？如果你們知道在你們公司如果有安全問題存在的話，你知道有多少？沒有人知道。這就是問題所在，因為你不知道風險保障能不能成功，你怎麼能夠改善呢？至少在現在很多組織了解他們自身的一些情況，但是暫時沒有進行這種資訊的分享，因為我們想保證它是一些保密的資訊，肯定是有商業方面的原因的，但是你必須作為保險公司來講需要知道這些內容，保險公司是需要進行幾千個公司的保險，他們有足夠的幾千個公司關於這些問題的資訊，看看他們是怎麼做的，然後出現了一些什麼問題的資訊。

　　現在我們就有潛力能夠了解到這些保障措施出現了哪些問題，找到哪些保障措施是能夠成功的，這是一個非常新的概念。現在人們有時候抱怨，決策者沒有找到一個好的理由花錢，這個問題就在於為什麼。我告訴大家我認為的原因是什麼？這個原因在於沒有人能夠向別人去解釋為什麼這是一個好的投資，如果你告訴別人説，我想花一些錢做廣告，他們可以説我每花在廣告上的一美元都必須帶給我兩美元的銷售，這樣我能掙30美分，我才能夠花10億去做廣告。如果你告訴他們安全方面的問題，他們就會説為什麼我要花錢去做安全保障呢？你的答案是説，因為怕會出現一些問題，但他的答案是我不想付這個錢。假設你可以説，保險公司説了，如果我們用這一項措施的話，它可以花1億美元，每年在保險當中要花5千萬，當我知道我花了這些錢，每年都會就這項具體的保護技術掙錢的話，那可能他們就會做出他們的商業決定了。這不是基於擔心或者恐懼，它是真的有實實在在的錢。所以，保險完全改變了整個事情的狀況，也就是説如果你沒有足夠的資訊獲得數據的話，你就沒有辦法能夠應對這些情況，公司對你來説其實就應該有足夠的資訊，然後再應對這個情況，你應該知道哪個保護措施是能夠奏效的，以及在什麼樣的情況下是奏效的，這個改變其實就是要通過實踐轉化成一種科學，再通過工程學的方式能夠讓我們更好地做出保護的決策，不僅對每個公司，對每個保險還是對整個科學界都是一樣的。因為我們認為科學也是存在很多的競爭者，每個人都在從長期的科學研究過程中彼此的競爭。所以，我們可以看到，企業可能會失利或者是虧損，所以，它要不斷做出應對，去改進來適應新的不斷變化的情境，當然還要不斷的回到市場中做更好的應對。

　　最後我還是想和大家討論一下，我們能做些什麼。我做了我能做的事情，我來到中國，鼓勵大家和我們一起合作，我也想和在座的各位合作，我不是讓你們所有人都飛到美國和我們合作。我想讓大家做的事情，就是能夠從SoP當中學到一些經驗教訓，告訴我們它錯在哪？可能我已經老了，但是並不代表説我就是對的。告訴我你新的想法是什麼，告訴我你有沒有更好更新的做法，中國這種做法不是説你有一個新的方法，而是我要通過科學的測試來找到好的想法，也就是説你要科學實驗來證實你是對的，我是錯的，你要跟我展示你是對的，我是錯的，這樣的話我們會使用網路的一些方法來驗證你的科學假設，因為我是在我的環境進行假設的，你在你的環境裏進行假設，我們可以互相的複製，然後我們還可以競爭，來看一下你的方法是不是錯誤的，然後我們去印證説現在的標準可以進行調整，我們從而找到更好的方式來進行操作。當然我們希望你公佈你的科學結果，這樣你有保障你的安全的方法，大家都知道你在説什麼，然後會邀請你到華盛頓告訴他們怎麼操作。

　　所以我所説的參與不僅僅是説我個人，參與我們，那就是參與我們，跟我們在UBC一起合作，參與我們的項目。當然，在這裡我們也知道在中國我們也有一些合作方，我要找到一些方式來進行合作，共同的開發一個新的全球範圍內的新方法，來獲得更好的資訊保護的措施。我們當然也會和Webster大學來共同研究，來獲得一些實驗的工具，來獲得一些培訓，我們知道很多中國工程師都離開中國到非洲、到美國，那麼我很遺憾有這樣的一個外流的情況，但你要問你自己，這對中國是不是好的事情，我們可以有幾千上萬的學生，很多人他們都犯了錯誤。我覺得中國有很多的學生，他們其實犯錯也是有好處的，能夠從錯誤中學習，能夠向全世界學習，所以，你們所做的事情，那就是能夠和世界進行分享，分享你們的作為，以及提供最好的做法。

　　我的方法，其實我不知道在中國是否奏效，但你們可以測試一下，在中國的網路環境是否可以進行，那你可以有一個風險庫，這樣有一些金融模型，把一些資訊結合在一起，在中國進行測試。全世界可能我們都有相關相似的做法，另外一個就是把美國的一些SoP翻譯成中國的SoP，這只是翻譯工作比較容易，當然你就是進行複製，每個人是不是在全還都説中文呢？這也是一個新的考驗。所以，你們幫助我們來進行證實，我們去進行更新，更新中文的版本，當然你也可以和我們分享最好的一些最佳實踐，我們也可以和你們分享，這樣我們可以共同做到最佳。

　　我想感謝大家的聆聽，應該説這次中國之行非常棒，我非常高興來到中國，我在這裡喝了啤酒，這裡的啤酒非常棒，我飛過去只是為了喝啤酒。我在這裡過得非常棒，謝謝大家。