加入观安信息意味着将成为一支专业、创新并且在行业中具有重要影响力的团队的一部分。您将有机会参与最前沿的网络与信息安全技术的研发，为公司的多元化安全产品和服务做出贡献。

公司介绍

观安信息是一家专注于大数据和泛安全领域的高新技术企业。公司致力于数据安全、网络空间安全、5G安全、工业互联网安全、人工智能安全及公共安全等核心方向。拥有强大的技术储备和专业团队，其中85%以上为专业安全技术研发和服务人员。

公司的文化和价值观强调团队合作与共同成长，旨在保护客户的数据安全，发现并解决网络安全问题。公司已经通过多轮融资，市场估值近60亿元，受到众多知名资本和国资基金的青睐。

作为求职者，加入观安信息意味着将成为一支专业、创新并且在行业中具有重要影响力的团队的一部分。您将有机会参与最前沿的网络与信息安全技术的研发，为公司的多元化安全产品和服务做出贡献。

岗位通用介绍

• 工作地点

• 北京：北京市朝阳区安贞街道裕民路12号中国国际科技会展中心A座8层

• 上海：上海市静安区江场路1401弄上海大数据产业基地9号楼

• 其他：特殊人才可不受工作地点限制

• 联系方式

• E-Mail: zhouqun@idss-cn.com

• Wechat: b1ngzl
  

安全开发工程师（数据安全）

职位描述

1. 负责开发数据安全类相关产品/分析工具；

2. 负责安全类产品架构规划、选型、设计；

3. 参与数据安全产品设计、功能模块设计、代码实现、编码集成、系统改进与优化；

4. 跟踪最新数据安全主流技术、产品、行业标准为产品提供参考;

职位要求

1. 熟悉数据生命周期中各阶段风险、常见漏洞，并掌握对应解决方案；

2. 精通一种或几种以下语言，C/C++/Python/Go/Java；

3. 具备数据安全领域知识，熟悉数据加解密、脱敏、分类分级，防泄漏等相关技术；

4. 熟悉风险识别、分析、研判、管控，良好的业务感知和理解能力；

加分项

1. 具有网络安全技术岗位工作经历者优先，如：安全研发，策略运营，风险分析等；

2. 有安全产品开发背景优先，如：DLP，终端Agent，UEBA，上网行为管理产品等；

安全开发工程师（流量安全）

职位描述

1. 负责开发流量安全相关产品/分析工具；

2. 负责安全产品架构规划、选型、设计；

3. 参与网络安全产品设计、功能模块设计、代码实现、编码集成、系统改进与优化；

4. 维护安全产品检测规则库和漏洞库；

职位要求

1. 精通一种或几种以下语言，C/C++/Python/Go/Java；

2. 熟悉http、https、TCP、UDP等网络协议；

3. 对协议栈开发或高性能网络开发具有丰富的经验；

4. 熟悉流量过滤技术，能在流量中分析协议并提取信息

5. 熟悉流量过滤技术，流量解析技术，代理转发技术

加分项

1. 具有网络安全技术岗位工作经历者优先，如：NTA开发，协议分析，反爬虫类产品研发等；

2. 有安全产品开发背景优先，如，终端Agent，EDR，IDS等；

Java安全后端研发工程师

职位描述

1. 参与安全产品的后端研发工作，如蜜罐、waf、数据分类分级、敏感数据流转、DAST等产品；

2. 负责安全类产品架构/模块设计，研发，性能调优，数据存储，服务、中间件部署；

3. 紧密协作于前端、引擎端、测试、产品团队；

4. 具备分析和解决问题的能力，对具有挑战的问题有良好的主动性、求知欲，抗压能力；

职位要求

1. 本科或以上学历，计算机相关专业;

2. 年以上工作经验，熟悉线程、jvm、spring、mybaties等Java相关技术栈;

3. 熟悉mysql，Innodb引擎，索引相关原理，有模型设计能力;

4. 熟悉kafka消息队列，如果有kafka相关数据同步及处理经验加分;

5. 熟悉es，具备集群搭建能力，对集群相关节点，索引数据处理，大数据量查询有相关经验;

6. 有OLAP数据库，如clickhouse有部署和使用经验;

7. 有CI/CD、Docker、Kubernetes经验者加分;

安全开发工程师（蜜罐）

职位描述

1. 蜜罐安全产品的研发与维护：负责公司蜜罐安全产品的设计、开发与维护，确保产品性能稳定，满足安全要求;

2. 蜜网、蜜罐和探针的开发与维护：开发和优化蜜网、蜜罐和网络探针的功能，提升系统的安全性能和响应能力;

3. 安全事件分析与响应：监控和分析安全事件，及时响应和处理安全威胁，提出有效的解决方案;

4. 技术研究与创新：研究最新的网络安全技术和趋势，探索新的安全防护方法和技术创新;

5. 团队合作与知识分享：与团队成员紧密合作，共同解决技术难题，并分享最新的安全领域知识和技术成果;

职位要求

1. 学历与经验：计算机科学或相关领域的学士学位，至少两年以上安全产品研发经验;

2. 专业知识：对网络安全、系统安全有深入了解，熟悉常见的安全攻击手段和防御策略;

3. 编程技能：熟练掌握至少一种编程语言（如Python、C++、Java等），有良好的编码习惯;

4. 分析与解决问题能力：具备优秀的问题分析和解决能力，能够独立处理和解决技术问题;

5. 团队协作精神：具有良好的团队合作精神，能够在团队环境中高效工作;

6. 适应能力：能够适应快节奏的工作环境，对工作有高度的热情和投入;

加分项

1. 大型蜜网系统经验：具有大型蜜网系统的设计、开发和维护经验者优先考虑;

2. 安全认证：拥有相关安全认证（如CISSP、CEH等）者优先。

产品经理（蜜罐）

职位描述

1. 负责蜜罐产品、欺骗诱捕技术体系的功能规划，产品设计工作;

2. 制定并跟踪产品开发时间表，确保项目按时交付;

3. 协助市场营销团队，制定产品推广策略，包括文案、演示和市场资料;

职位要求

1. 本科或以上学历，信息安全、计算机科学或相关领域背景优先;

2. 3年或以上的产品管理经验，包括蜜罐产品经验;

3. 深刻理解信息安全领域，熟悉蜜罐技术和网络攻击方式;

4. 出色的沟通和团队合作能力，能够协调跨职能团队合作;

5. 具备市场分析和竞争分析的能力，能够制定战略决策;

产品经理（数据安全）

职位描述

1. 进行市场调研，定义和细化产品需求，确保产品满足市场和客户的需求;

2. 制定产品路线图，优先排序产品特性和里程碑，与工程团队紧密合作，确保按时交付高质量产品;

3. 制定和实施产品上市策略，包括定位、竞争分析和目标市场;

4. 与销售和市场营销团队合作，支持销售渠道，提供产品培训和销售工具; 监控产品性能，收集用户反馈，不断优化产品;

职位要求

1. 拥有计算机科学、信息技术或相关领域的学士学位;

2. 至少3年产品管理经验，优先考虑有敏感数据处理或数据安全产品经验的候选人;

3. 熟悉数据安全领域的法规和标准;

4. 强大的团队合作和跨部门沟通能力;

5. 能够在快节奏的环境中有效工作，具有出色的项目管理和组织能力。

产品经理（流量安全）

职位描述

1. 市场洞察与产品规划：深入分析市场趋势、竞争对手和客户需求，定义产品愿景和发展路线图;

2. 产品设计与开发：制定详细的产品需求文档，与工程团队合作，确保产品设计符合技术标准和用户期望;

3. 项目管理：跟踪产品开发进度，管理时间表和预算，确保按期交付产品;

4. 市场推广策略：制定产品上市计划，包括定价、宣传和销售策略，与市场营销团队合作执行;

5. 客户关系管理：收集并分析客户反馈，定期更新产品，持续提升用户体验;

职位要求

1. 拥有计算机科学、网络安全或相关领域的学士学位，硕士学位优先;

2. 至少5年在IT或网络安全领域的产品管理经验，具备漏洞扫描系统产品经验者优先;

3. 熟悉网络安全领域的最新技术和行业趋势;

4. 具备出色的分析、解决问题的能力，以及强烈的业务洞察力;

5. 优秀的沟通能力和团队协作精神，能够在跨职能团队中有效工作。

前端开发工程师

职位描述

1. 负责安全类产品前端开发，如蜜罐、waf、数据分类分级、敏感数据流转、DAST等产品；

2. 参与技术可行性分析以及方案讨论；

3. 紧密协作于后端、引擎端、测试、产品团队；

4. 具备分析和解决问题的能力，对具有挑战的问题有良好的主动性、求知欲，抗压能力；

职位要求

1. 本科或以上学历，计算机相关专业;

2. 熟练HTML5、CSS3、ES6、TS等前端技术独立进行页面开发

3. 熟练掌握Vue2、Vue3、React以及周边生态，能快速搭建框架

4. 熟悉echart、AntV、Map API、D3.js等可视化库

5. 熟练使用git，了解流程规范，能够高效地协同开发

6. 具有中大型前端项目设计、开发、全链路问题排查能力

7. 掌握前端模块化开发方式，封装业务组件，能够灵活的运用MVC、MVVM开发思想

8. 了解大屏开发以及适配方案

阅读原文

跳转微信打开

中国电信招聘攻防专家&工具研发，观安信息招聘产品&安全研发&Java后端，等你来～

“天翼安全科技有限公司（中国电信安全公司，简称“电信安全”）是中国电信集团开展网络安全业务的科技型、平台型专业公司，依靠中国电信云网资源禀赋，始终以科技创新带动安全能力的全方位布局。作为中国电信建设安全型企业的主力军和骨干力量，电信安全承担中国电信网络安全关键核心技术创新的主体责任，是国家关基安全的重要科研力量。电信安全以研发运营一体化的方式，整合全集团云网、安全、数据等优势资源和能力，进行统一运营，为内外部客户提供云网安全、数据安全、信息安全等各类安全产品和服务。拳头产品云堤·抗D稳居行业第一。电信安全秉承“传承红色基因，守护安全中国”的使命，致力于成为数字时代最可靠的网络安全运营商。”

阅读原文

跳转微信打开

GPT的出现实在让人大受震撼。

简介

GPT的出现实在让人大受震撼，出于好奇笔者也注册了一堆应用进行了许多尝试，实在令人着迷。正如同它出世之后被人翻出的上古科幻所说，人类存在的目的只为发明出人工智能。

所以，由于近期我的GPT被封号，就写一篇小文总结一下近期看到的观点。

用最浅显的方式理解GPT的模型即是：通过数据训练，预测下一句。这也是GPT现阶段问题和争议的核心，就如同两人激情对线一般，对线的不是话语，是情感和共鸣，所以即便回一百句完全不同的话，核心的情绪表达仍是相同的。仅是因为它见过无数次类似的回答，所以它得出的是语言结构相似的回答，它不关注话语本身的意义。

GPT本身并没有设计逻辑推理的功能，虽然相关论文和测试显示出简单逻辑的逻辑推理能力，但在功能上确实没有设计这个功能。所以，如Hinton感慨一般，它完成了我认为不可能的常识性推理。也如Lecun阐述的，GPT对现实的理解仍很肤浅。

GPT的任务仅仅是满足统计的一致性，并不包含对现实的理解。

相信使用者都感受过GPT“幻觉”的存在，即是一本正经胡说八道。它生成了一个正确结构的文本和错误的语义。比如你问一个不存在的城市，它生成一个胡编乱造并栩栩如生的城市介绍。在实际的测试中，虽然可以不断通过提示工程的方式一定程度修正幻觉，但仍然是一个缺陷，在极大程度上限制了模型的场景。

GPT出现后不久，基于其局限性有了新的尝试。第一种观点，认为所有复杂的逻辑即是简单逻辑的堆砌，那么GPT以迭代的方式逐步由简单逻辑不断推理就可以解决复杂任务。第二种观点，认为幻觉来源于知识的短缺，那么定向增加知识即可最大限度规避幻觉的出现。

那么基于第一种方向的探索，AutoGPT以及各类实验，如游戏创建虚拟环境和社区交流，第二个方向的探索更为商业化，通过企业数据库让GPT的回答更加定向，生成领域内结论。

当然，与机会相比，GPT的担忧也与日俱增。从各类监管的动向和讨论来看确实如此，从模型本身并没有确切的管制方向，大型语言模型也并非是什么独家拥有的技术。从传统的过滤到 模型本身的微调，或在训练之初减少有害内容的进入，都并不能让人放心，从事实来看也有越狱的发生。

总结而言，人们认为未来有几种方向，来自于构成算法产品的四要素，模型、数据、算力、工程。

1 模型派认为GPT代表的大语言模型已经到了极限，只有更先进的模型才能进一步突破，如Lecun推崇的【世界模型】。

2 数据派认为，通过更精确和专业的数据以及模型交互过程中的微调，可以增强GPT的性能，使其能够更深入地涉足各个领域的专业范畴。

3 算力派认为，既然现阶段的成果是大力出奇迹，那就加大。

4 工程派认为，对环境的感知与互动能力是重要的，这个过程GPT能够配合人工反馈自主修正错误并增强。

技术

当然，作为安全从业者，安全还是要聊的。

总结来说，我并不认为GPT类算法会给安全技术带来革命性的变化，但对部分场景下的生产力提升是不可小瞧的。

开始具体讨论场景前，我想读者都认可的是，我们所有的安全知识的前提是对所在领域的软件的原理和机制的理解。编程语言、操作系统、数据库以及各类的服务，抛去社工这种非常规类别。所有的安全都是在各类软件和系统上进行，黑白测试、留存、横向、钓鱼、木马后门以及对应的WAF、各类终端检测、邮件检测。

简而言之，安全的技术体系是取决于基础设施的形态。基础设施的形态、它的输入和输出的模式的变化才有可能带来本行业革命性的变化。

从现阶段各类同行的尝试来看，有三个方向，黑白盒的漏洞挖掘、自动化攻击、运营增强，更多在于基础生产力的提升，第一点是代码能力，如github-copilot类的自动化代码生成和检测，提升攻防领域的生产力。第二点是认知辅助，提升信息搜索、多任务协同、反馈执行的效率。

从实现来看三类，一类是建立新的数据集做二次训练；一类是将数据集Embeding成一个向量库，每次对问题近似度搜索后提交给算法做整理和扩展；一类是AutoGpt式的实现，迭代执行、长短期记忆、系统交互指令。还有一些衍生的技巧，如问题本身先通过GPT转换关键词，然后做近似查询；如原生数据通过gpt自动进行对话式数据的转化，再提供给模型二次训练；或者AutoGpt的基础上集成一些现成的工具。

具体的实践有微软做的安全copilot，用于辅助安全运营；VT出的 code Insight，用于样本分析时提供功能解读；开源项目gpt3_security_vulnerability_scanner、hackgpt、beelzebub、FinGen各类的小项目就多了。

总结来看，几个较为清晰的方向。

社工领域：GPT在测试中可以很灵活地进行欺骗性社交，从网络收集各类型的自然语言信息并进行基础的整合与分析，反之也可以作为一类工具降低欺诈信息的审核。

自动化测试：相比过往成熟的工具和规则的累积，AutoGPT类工具的实验提供的基础推理能力赋予了复杂任务更好的灵活性，即是不断根据反馈修正自身。

安全运营：目前看到的实践在于信息整合、分析辅助层面，过往运营领域降低分析成本的方式一般是标准化分析流程和硬编码关联查询，微软的copilot相当于对该过程的加速。

关于Copilot：

我理解有两个模块类，一类是企业日志流的关联查询，一类是对外部安全知识的关联和微软自身安全数据库的查询。前者，看介绍猜测的两种方式，一种是Embeding了企业日志和自身的威胁数据，好处是攻击活动的时间和链路上下游的关联性更容易发现，坏处是贵。另一种是索引查询然后交给Chatgpt。

猜测一个未来的方向是强限制和审核式的AutoGPT类，用于整合各类运营工具，包含微软安全生态，自动化运营。在此之前也见有人吐槽微软的sentinel很难用，定制性成本很高。

以上的实践基本都是基于gpt接口实现，但从生产角度，安全数据的外传是不可接受的。所以我们看一下自研模型，Openai被人扒来扒去总结出了大力出奇迹，一则是大算力、大参数、好的计算架构，一则是鼓了一千个劳动力做后期的标注反馈。

但如果要自训练模型，算力、模型、数据仍是问题，虽然现阶段有很多低成本开源方案声称可以达到接近GPT3的能力，但该结论的核心是测试数据跑分跑出来的接近，跟实际投产不同。在数据层面，中文的数据欠缺是一个问题，openai的中文语料核心也是维基百科中文，如果要达到安全领域的专用模型，那只能自己准备数据。而且对话式数据是核心，数据本身要体现安全知识，并且要体现中文语义和关键代码的关联性，这又是一个难点。

总的来说，前景还是在的。

行业

以上看起来似乎是一个充满趣味的方向，我所知的范围内已经有一些国内同行在做各种尝试。但我认为，它带来的影响力最终是更广泛的，更多层面的变化。

因为安全行业的规模取决于信息技术产业的规模以及攻防的生产力。前者是广义范围下的各类终端以及信息化的规模和信息公司的规模，而后者而言，攻防本就是一本经济帐。

基础效率和自动化提升带来的是攻击成本的降低，可以在更短的时间、更为自动化的手段、完成对一个企业的攻击，并进一步提升APT攻击中信息收集、边界探测等攻击手段的效率。试想一下0day的利用过程，从APT级的团队利用、到公开后快速被市场化、工程化、最终沦为大范围端口扫描都自带的小插件，试想一下连垃圾邮件都比以前更打动人心还能互动的时代。

攻击成本的降低带来的结果是逐层升级，更大范围的企业面临更高级的攻击。相比攻防不对等原则和攻击团队的小作坊模式来看，攻击方的升级可能会快一些。

所以该过程是否会进一步引发防守方在GPT领域的迭代，其实不一定。于攻击者而言，只需要技术成本低于攻击收益，就会产生技术迭代，他们可以大方地使用各类公开工具，享受低廉的API收费。

对于防守方而言，除了基础工作的提效外，GPT能带来的只有运营阶段的辅助，而这个运营辅助也是建立在全链路的告警/日志打通后，才可能会有好的效果。相比其成本而言，实在是划不来，另一个视角来说，GPT并不会改变攻防的手段，而大部分企业的安全建设的问题也不在于自动化。

扯远了，总结来说，攻击成本降低会带来安全需求增加。但于防守方而言，损失不变，攻击手段的复杂与频次与否，攻破后遭遇的损失是一样的，安全预算常常是由下限决定而不是上线。

其他

抛去安全，其他领域也有各类型有意思的尝试。如彭博社设计的金融领域专用的BloombergGPT，用财报、股票、新闻以及常识性数据训练的新模型，用于测试一些基础的金融任务，如分析裁员对企业股价的影响是正面还是负面。如卡耐基梅隆大学提出的化学实验类Autogpt，在docker里跑了一个模拟实验环境，提供实验操作功能、上网、python解释器、化学数据库，能自己反复实验最终合成布洛芬。在消费领域就有更多的产品推出，图像生成的midj5、音频的audiogpt、市场营销的markinggpt。

除这些之外，更早之前非生成模型领域，deepmind提出了AlphaFold，基于蛋白质的基因序列，预测蛋白质的3D结构，我还特地去咨询了下，获得的评价是革命性的进展。

前一阵与朋友喝茶，提出一个有趣的观点，或许机器学习技术已经成熟到达到了某个基准线之上，在这个基准线上，许多基础科学领域过去成本高昂的模拟和计算将被极大地压缩，从而带来质的改变。

阅读原文

跳转微信打开

文章将结合在甲方企业中从事信息安全治理、推动以及如何与业务达成共识的角度来理解ISO/IEC27001相关内容具体内容。

不同角度看待信息安全管理制度与标准的正确使用

阅读原文

跳转微信打开

阅读原文

跳转微信打开

上海观安信息招聘售前数据安全方向，诚聘精英。

数据安全方向

1. 配合销售对客户进行需求分析，提供数据安全整体解决方案，包括但不限于数据安全管控、敏感数据识别、脱敏、安全审计、数据水印溯源等；

2. 行业深入评估分析以及项目信息挖掘；

3. 常规的售前以及咨询工作（产品、项目、招投标）；

任职要求：

1. 熟悉信息安全行业，负责售前技术支持工作，配合销售人员参与项目的运作，熟悉招投标流程，能够完成技术方案编写、标书的准备、讲解及用户答疑等工作；

2. 熟悉部分行业（金融、运营商、政企、互联网等）的信息安全现状，能够给出行业性安全解决方案；

3. 持有CISP/CISSP/CISA证书者优先；

4. 大专以上学历，计算机等相关专业；

5. 良好的沟通能力、团队合作和敬业精神；

薪酬待遇：

基础薪资范围25000-30000/月，特殊优秀人才不受此限制，项目结项提成另行计算。

阅读原文

跳转微信打开

“鲜衣怒马少年时，不负韶华行且知，这里是网络安全最前线，平均每起安全事件损失金额最多的行业，欢迎同样优秀的你

“鲜衣怒马少年时，不负韶华行且知，这里是网络安全最前线，平均每起安全事件损失金额最多的行业，欢迎同样优秀的你加入我们一起对抗全球顶尖黑客和国家级黑色产业链。”

公司介绍

• 公司所处朝阳行业、黄金赛道，全球Top10区块链交易所。

• 一支年轻的安全团队，成员均来自国内的一线互联网企业、世界顶尖网络安全公司和国际顶级网络安全组织。

• 工作地点：上海、北京、深圳、成都可选。

• 简历投递邮箱：elio@gate.io，有任何问题欢迎邮件沟通，“秒回”。

安全运营——入侵对抗方向

安全运营——基础安全方向

工作内容：

负责规划和设计集团全球范围内的生产网/办公网整体网络安全策略，  完善基础设施中偏网络部分的安全建设。

任职资格：

1. 5年以上安全从业经验，大型互联网公司同等职位2 年以上经验；

2. 深入理解 TCP/IP 协议，熟悉常见网络协议；

3. 熟悉交换机、  路由器、防火墙、  无线设备的工作和运行原理；

4. 熟悉网络架构设计，熟悉路由、  交换、负载均衡、  overlay和网络管理等技术；

5. 熟悉大规模IDC及骨干网络架构，对于中大型网络安全规划有实际的工作经验；

6. 熟悉主流的网络安全产品和解决方案；

7. 具备良好的问题分析与解决能力，工作积极主动、有责任心，具备较强的团队合作意识。

加分项：

1. 熟悉主流云如AWS、  阿里云等；

2. 具有 CCIE 或同级别证书优先；

3. 熟悉DDoS 攻击检测与防护基础原理者优先；

4. 熟悉主流云如AWS、  阿里云等。

   
   

安全运营——数据安全方向

工作内容：

负责集团内部系统的数据安全防护方案设计, 推动业务线共同建设的数据安全防护体系。

任职资格：

1. 熟练掌握至少一门语言；

2. 3年以上大型互联网公司数据安全领域治理或运营工作经验；

3. 熟悉常见安全攻防技术以及闭环风险管理思路，  针对数据安全风险发现与治理有丰富的 实践经验，有数据敏感度；

4. 熟悉数据安全产品设计与落地  （包括数据分级治理、数据资产地图、数据血缘跟踪应 用、数据加密、数据共享、  数据防泄露、  UEBA、  权限管控、安全审计、基线建设应用   等）  ；

5. 熟悉企业级数据仓库、流式数据处理技术架构，如Hadoop、  Spark、  Flink等；

6. 利用技术手段验证现有数据安全控制措施有效性；  跟进数据安全事件识别、响应、处 置、调查、  取证；

7. 自我驱动力强，有独立的跨部门推动项目的能力。

加分项：

1. 有面向企业产品的数据安全解决方案和实践经验的优先；

2. 有信息安全数据挖掘、数据分析、情报分析、人工智能实践经验者优先。

安全运营——应用安全方向

工作内容：

1. 应用安全开发生命周期的体系化治理建设；

2. 熟悉主流应用框架的风险点和安全方案，  可以根据业务现状动态进行适配；

3. 输出及维护统一的应用安全解决方案，以结果为导向制定&推动安全方案落地。

任职资格：

1. 5年以上安全从业经验，  至少 2 年以上互联网公司所属产品与应用安全工作职能;

2. 熟悉运维、  变更、  开发流程中所需要的基础服务及安全防护；

3. 熟悉应用开发生命周期中各阶段安全风险，  并掌握对应解决方案;

4. 自我驱动力强，有独立的跨部门推动项目的能力;

5. 熟悉SDL常见的解决方案，  包括但不限于SAST、  DAST、  插件、  IAST等；

6. 熟悉Web 安全漏洞分析与防范，  包括 SQL 注入、  XSS、  CSRF等 OWASP TOP 10 安全风险；

7. 至少掌握一门主流编程语言。

加分项：

1. 熟练掌握源代码试工具及测试流程，有源代码安全审计实战经验。

安全运营——DeFI/公链/智能合约/钱包

工作内容：

负责集团全球范围内 DeFI/公链/智能合约/钱包相关业务的风险消除与工具开发。

任职资格：

1. 5年以上安全从业经验，  至少 2 年以上相关领域经验;

2. 热衷区块链技术，有安全攻防相关背景，  关注区块链行业发展；

3. 熟悉区块链智能合约执行机制，  了解目前智能合约安全问题原理及其解决方案；

4. 熟悉区块链技术原理，  了解以太坊、  EOS.IO、  Fabric 等平台和架构；

5. 至少精通 Golang、  Python、  Node.js、  Rust 等一门编程语言；

6. 具有较强的团队协作精神、  执行力、  学习能力、  沟通协调能力，  并能够进行自我驱动；

7. 对P2P通信、  RPC 调用、  密码学组件、共识机制、  资产交易等模块的安全研究有一定积累。

加分项：

1. 掌握一种智能合约开发语言，如Solidity；

2. 对比特币、以太坊、门罗币等公链有一定的安全研究经验；

3. 有大型智能合约项目开发和漏洞挖掘者优先。

安全实验室——红蓝对抗

工作内容：

负责集团安全攻防能力建设，  以攻促防，  体系化量化评估纵深防御能力的有效性，  检验 现有安全运营能力和安全事件响应手段效果，  掌握APT攻击所能造成的最大危害和影响。

任职资格：

1. 研究国内外最新安全漏洞、  黑灰产情报、  APT及攻击手法，  并分析转化为攻防演练攻击 能力；

2. 熟练掌握攻防对抗所需的攻防能力（前端逆向、  移动端逆向、  模拟人机等）  ，良好的业 务理解及技术抽象能力；

3. 熟练对应领域 Kill Chain，  精通常见攻击手段和防御措施，  精通各类漏洞成因、渗透思路 和方法，有丰富攻防对抗经验；

4. 至少精通 1 种脚本或高级语言，具备源代码审计漏洞挖掘能力。

加分项：

1. 有区块链相关领域漏洞研究经验优先；

2. 有 APT 攻防实战或甲方攻防演练经验优先；

3. 0day挖掘机、攻防比赛荣誉、SRC 核心白帽子、github 开源项目、打击网络犯罪的经验等、国家级/省级实战演练攻击经历、漏洞花式利用经验、丰富的社工经验等。

安全实验室——漏洞研究方向【二进制和Web方向】

工作内容：

研究区块链领域具有现实威胁、影响广泛而深远的安全问题。

任职资格（二进制方向）：

1. 在任何一个操作系统 (Android、Linux、macos、Ios、Windows）环境下有丰富的逆向和调试经验，并熟悉相关操作系统的安全机制和底层架构；

2. 能熟练使用一种编译语言和一种脚本语言；

3. 有现实漏洞研究/公司经历实际挖掘过漏洞，写过利用代码，能熟练地分析漏洞；

4. 熟练掌握漏洞研究所需的各种能力，包括 IDA插件、Fuzzer等漏洞研究相关工具的开发、代码脱壳解密、网络协议分析等。

任职资格（Web方向）：

1. 对各类 web 安全漏洞的原理、危害、利用有较深入理解，日常对相关漏洞保持关注；

2. 熟悉常用的相关安全工具，并了解其工作原理；

3. 有良好的代码审计能力和挖掘新漏洞的能力；

4. 熟悉绕过 WAF 的方法和思路；

5. 熟悉内外网渗透相关知识；

6. 开发过 Web 渗透相关工具。

加分项：

1. 公开发表过高质量的代码、技术文章等；

2. 知名CTF战队主力

安全合规与治理

工作内容：

1. 信息安全策略、制度、流程、指南的制定、编写、推动、运营、审计和优化，  支持各类法规、第三方认证、 资质等需求的落地；

2. 推进核心安全控制/解决方案/安全产品及工具的落地。

任职资格：

1. 5年以上安全合规经验，至少2年以上互联网公司相关岗位经历；

2. 熟悉各类安全标准包括但不仅限于ISO2700X/PCIDSS/COSO/COBIT/ITIL等；

3. 熟悉安全工程方法论和各种信息安全模型、  架构、体系 (P2DR、  SDL、  IT 治理模型、  风 险管理模型、应急响应过程）；

4. 具有良好的沟通协调能力、  较强的团队合作精神、优秀的执行能力；

5. 有一定的安全技术背景，有贴近业务的一线安全管理或运营工作经验；

6. 良好的文档编写、  展示以及跨部门沟通能力。

加分项：

1. 有大型互联网ISMS落地实施或海外合规经验者；

2. 英语能力。

安全平台研发——平台研发

工作内容：

负责研发世界一流的安全能力平台，  服务集团全球业务风险消除。

任职资格：

1. 5年以上安全研发经验，  至少2 年以上互联网公司相关岗位经历；

2. 熟悉各类安全解决方案，  包括但不限于SAST、  DAST、  插件、  IAST、  DCAP、  DLP、 IAM、  SDP、  IDS、  WAF、  防病毒、  EDR、  HIDS、  SOC等；

3. 负责设计平台的系统架构、  端到端的解决方案、  功能模块的开发实现，  开发基础框架、 组件等基础设施，优化并提升研发效率和系统稳定性；

4. 具备良好的基本功，  扎实的编程能力，熟练使用各类数据结构和算法，熟悉前后端基础 技术，  精通至少一门主流编程语言 Golang/Python/Java 等，全栈更佳；

5. 熟悉研发流程，能够分析并优化研发流程，  提高工程效率；

6. 积极乐观，责任心强，具备良好的服务意识，  落地导向和团队沟通与协作能力。

加分项：

1. 有SDLC流程管理平台、  XAST检测平台、  SOC、  隐私工具、  自动化渗透等开发经验

2. 具有红蓝对抗类项目经验者。

阅读原文

跳转微信打开

京东集团信息安全部安全运营团队招聘，期待与优秀的你一起共事

2021/06/21 发布，长期有效

安全专家/架构师（基础安全方向）

安全工程师/专家（账号安全方向）

工作内容：

1. 负责京东的账户安全建设，涵盖产品、策略、运营闭环；

2. 设计账户安全解决方案，平衡体验与安全；

3. 安全数据挖掘，设计&优化策略与模型，持续提升安全水位；

4. 挖掘账号业务安全风险、回溯攻击路径，定位安全问题归因。

任职资格：

1. 3年以上数据挖掘或风险管理相关工作经验，具备良好的数据敏感度，能够将业务问题抽象为数据问题；

2. 自我驱动力强，有独立的跨部门推动项目的能力；

3. 熟练使用至少一种专业分析工具，具备机器学习在安全领域应用经验优先。

安全工程师（网络安全方向）

工作内容：

1. 负责规划和设计生产网/办公网整体网络安全策略，完善基础设施中偏网络部分的安全建设。

任职资格：

1. 本科及以上学历，计算机相关专业，三年以上工作经验；

2. 深入理解TCP/IP协议，熟悉常见网络协议；

3. 熟悉交换机、路由器、防火墙、无线设备的工作和运行原理；

4. 熟悉网络架构设计，熟悉路由、交换、负载均衡、overlay和网络管理等技术；

5. 熟悉大规模IDC及骨干网络架构，对于中大型网络安全规划有实际的工作经验；

6. 熟悉主流的网络安全产品和解决方案；

7. 具备良好的问题分析与解决能力，工作积极主动、有责任心，具备较强的团队合作意识 ；

8. 具有CCIE或同级别证书优先；

9. 熟悉DDoS攻击检测与防护基础原理者优先。

安全工程师（SDL方向）

工作内容：

1. 参与和推进公司SDL流程和优化以及SDL支撑工具和平台的产品架构设计；

2. 对公司业务系统进行安全测试，漏洞挖掘及安全扫描，并协助和推动开发人员修复 ；

3. 熟悉主流应用框架的风险点和安全方案，根据业务需要提供支持；

4. 输出及维护统一的安全解决方案，并能够推动方案的落地。

任职资格：

1. 能够深入理解常见的安全漏洞的原理、危害、利用方式及解决方案（在各漏洞平台上报过漏洞者优先）；

2. 具备独立对应用系统进行黑盒测试的能力；

3. 熟练掌握一门开发语言（如Java、Python、Golang等）；

4. 快速的学习能力、良好的沟通能力和团队协作能力。

阅读原文

跳转微信打开

起码现在是季更博主了呢

在2014年，我曾经写过一篇文章夸微软的“新产品”—Hololens，没想到一口毒奶把这款产品奶在娘胎里出不来了。在此之前还有Google Glass（同样难产）这款被誉为下一代智能设备的产品，直接带起来一波可穿戴设备的浪潮，刚开始造势的也是秒天秒地秒空气，老夫一度有买一个玩玩的打算吗，结果到现在反而是手表成了大众产品，诸位可以想想是为啥。

当时为什么会看好这两款产品，当时年少轻狂的老师这么认为：它们在尝试解决互联网到人脑“最后一公尺”的问题。也就是信息如何从互联网终端（手机、电脑）到人脑的输入，节省时间，提升信息传递速率。

两者虽然产品上略有差异，但目标都是一致的，只不过由于视觉边界的不同导致信息带宽略有差异。相对于Google Glass只能通过极小的一块显示屏（都不能说是屏幕，就一个小破显示器），Hololens通过AR的方式可以展示更多的信息，也正是那次的发布会我第一次看到了AR这个概念。

无论半死不活的VR也好，只能看初音未来的AR也好，亦或是胎死腹中Google Glass，这类设备存在的意义都是为了人和互联网之间进行更有效率的信息传输。但这类设备有个局限性：只考虑了信息对人脑的输入，没有考虑人脑向设备信息的输出。

因此效率的提升仍旧是有限的，当时甚至有个想改变世界的idea作为信息输出的替代方案，后来总理中关村3W喝了杯咖啡，烧了把万众创业的火，然后就创投资本寒冬了，刚靠忽悠融到的钱，还没到手就泡汤了。我也直接滚去实习，成为了一名伟大的网络安全教育家。

为什么想起这段往事，是因为最近马一龙那边又搞了个介入式人脑交互设备，其实也是为了解决人脑和计算机/网络之间信息交互的问题。刚看到新闻，总理又开始万众创业烧火了，冥冥之中又有种天道好轮回的感觉。不过资本寒冬也持续这么多年，咱们也特么都冻习惯了。

马一龙这位同学整天一惊一乍的搞事情，电动车、发火箭、打地洞之后，这次自媒体们是这么说的：马一龙要直接给人脑里面插管子了。

咱们回顾一下马一龙同学一步步走来都干了啥：

1.电动车+太阳能，也就是现在的特斯拉（Tesla电动车+退市被收购的SolarCity），解决的问题是通过拓展直接使用太阳能的路径，降低人类对地球上存量能源的需求，简单来讲就是续命。

2.发火箭（SpaceX），再怎么续命，地球上的存量能源/物质/太阳的寿命都是有限的，你总得往外走，按照人类目前的发展速度和糟蹋东西不要命的架势，续命也续不了多久。探索太空是唯有的出路。私企造火箭，这是一龙同学被吹为神的主要原因了。

3.至于打地洞这事，其实没什么好吹的，没意思，我看早晚得凉。

接下来就是最近这个大脑插管子。从某种意义上来说，脑机接口这次搞事情比前三件事的的影响大多了。不过脑机接口这玩意儿一直都是前沿研究里持续攻坚的领域，2018年曾有幸做几个中科大少年班学生的老师，聊天中无意了解到其中一位小朋友的母亲就在研究脑机接口，而且在这个领域已经研究了好多年了。

至于脑机接口的分类、实现方式、优缺点，有好多人都讲过了，找个靠谱的文章看看就行了。

马一龙通过自己的影响力，把大脑插管这个极具话题性方案给大众做了次科普。而且估计也只有他提出来，大家不会喷反而高呼Amazing了。如果是一个学术界的人突然发个文章吹牛逼，外界知道不知道不说，就算知道了估计也是骂声一片，贫富差距啊人将不人啊什么的。

毕竟，他起码已经在新能源汽车，航天两个领域化不可能为可能了。大家都习以为常，相信、崇拜就差成立特斯拉教了。突然间，我又想起了那个叫做穆·拉·弗拉格的男人。

而脑机或者说脑网接口，解决的根本问题是人类或者说生物一直以来对信息极其低效的获取与输出，指数倍的提升大脑处理信息的能力。在计算机系统的发展历程中，整体性能的桎梏始终都是IO而并非是处理器。换句话说，是人类跟不上计算机与网络的节奏了。眼前可见的只有两条路：

1.深入研究脑科学，建立完整的人脑研究体系。提升自身与计算机系统/网络的有效带宽，在架构上逐渐融合，人脑成为中心处理节点。

科技修仙gogogo

2.在现有互联网架构的前提下，以传感器、摄像头为主要数据输入点，通过算法进行决策协助甚至代替人类进行决策。也是目前社会演进的主流方向，以城市大脑、无人驾驶带头兵。

无论哪一种选择，都是进化。但这次的进化不是单个的人，而是整个人类社会。

每一次革命性的技术演进，都伴随着新的技术体系的建立，相关产业链的形成。尽管计算机与互联网技术变革（俗称第三次工业革命，呵呵）的速度已经很快，但仍然通过了几轮泡沫多次起伏，在百年的跨度不断发展，才走向大众占有一席之地。

而我们这些吃瓜群众，更大可不必看到一两个新闻就胡思乱想展望未来，马斯克嘴炮拉盘的习惯也不是一天两天了，这个时候放出来的消息仅限于营销价值，自媒体日常高潮而已。

醍醐灌顶学知识只会存在于童年科幻文学中，迎接我们的根本不用学习，躺着数钱的美好的未来。而是新一轮更加残忍的教化、奴役和剥削。

最终，信息作为权力、资本的载体，将掌握在少数“人”脑中，而这些“人”的力量，将比肩神明。

这一轮的变革，无论是技术难度、影响范围与深度，都注定将是一场粉碎与重建的漫长过程。更完全不是由一个人或者单一的技术就能完全颠覆的。而在其中酝酿的机会，也需要经过几轮伪高潮或者说泡沫之后，才会进入主升浪。无论是互联网、光伏或者炙手可热的电动车，无不如此。从投资上讲，远未到火候。

观察，判断机会，切入，猎杀收割。

投资就是一场狩猎，人生亦如此。

不断厮杀，方可进化。

阅读原文

跳转微信打开

又被人催稿了，写安全不知道写什么，写历史没有动力，主要最近空闲时间都在看漫画或者打游戏，那就写个漫画吧。

又被人催稿了，写安全不知道写什么，写历史没有动力，主要最近空闲时间都在看漫画或者打游戏，那就写个漫画吧。

把以前的一些笔记整理了下，要是你觉得不对的，不要怀疑自己，一定是你对。

任何故事都是由角色、剧情、世界、主题这四大元素组成，而文字、图像、影像则是用于统筹这四大元素的工具。

文字传达的是一种抽象的概念，而图像传达的是一种精确的视觉。

主题

主题，各个故事都有主题，比如《教父》和《冰与火》的主题是“权利”，比如Jump系列的主题通常是“友情”，“热血”与“梦想”。

可以明显看到的是，比如《冰与火》中各个人物因权力欲望各自产生的故事和走向的结局，这就是故事主题所呈现出来的形式。

再讲个明显的例子就是网文，网文的主题其实很简单，就是“草，主角牛逼！”，有的时候几十万字的剧情最终都为了带来一个主角牛逼的高潮。所以简单来说大部分网文的节奏就是，几十万字让你觉得主角牛逼，然后再来几十万字告诉你主角更牛逼了，这理论你解释《海贼王》也行其实。

比如《海贼王》中的每个章节，别看故事的题材多的不像样子，其实很多时候跟网文类似。读者们最终感受到的情感要不就是“主角牛逼！”，要不就是“梦想万岁！”。

关于深度，很多人觉得好作品必须有深刻的主题，至少历史地看，能不能写出传世的名作和这个没有必然关联，完全看优秀的作家想不想在作品中表达什么。想表达的作家太多了就不说了，说个反面，莎翁写的戏剧是通俗，金庸和古龙是通俗，《鲁滨逊漂流记》是作者当年穷疯了为了恰饭逼出来的，冯古内特觉得写作的目的就是取悦读者。

中庸一点，按海明威的说法，一个事情只要写得足够真实自然能有多重含义。

剧情

有时候看动画片，经常看到有人在弹幕里刷剧情太水，好烦啊….

故事其实水不水可以看每一个情节，每一个线索的目的。比如《白鹿原》《活着》为首的一系列传统文学基本都是公认的干货，每一个线索互相呼应，最终主题升华，但这些都是短篇小说。

诺兰的《蝙蝠侠》，《星际穿越》又或《肖申克》这些电影名作剧本拉出来也就几万字，可以让作者设计一个精妙的结构。

与之相比很多长篇的漫画和网文，有时候就会显得非常水，一个确实是篇幅原因。海贼王、火影、柯南这种动不动几百上千话的很容易发现作者一些重复的套路。

简单来说，这个类型的题材除了少数脑回路奇特的基本都跟随，主角遇到困境，主角解决困境，主角牛逼这个路线。

有人总结过，故事的核心其实就几十种，有人总结是7种，外壳上不同的只是故事的题材，比如蝙蝠侠三部曲，总结的话它的核心就是“平民罗宾汉”，一个没有特殊能力的人穿上铠甲拯救世界。

所谓，任何人都能成为蝙蝠侠。

比如海贼为例，阿龙海贼团，阿拉巴斯坦篇，司法岛篇，顶上战争篇还有鱼人岛篇要以故事核心来说其实都是一个“英雄救美”的情节，某个人物深陷困境然后主角去救他。

但故事的题材，还有剧情的安排能力都能让读者每次都能情绪爆炸，从阿拉巴斯坦的国家的意义，到后期鱼人岛的种族冲突，再到德雷斯罗萨的群体记忆的缺失。

综合来说这十多年来，超长篇能写得好的，水平还一步步上升的，日漫里面公认的只有《海贼王》，《猎人》，还有《进击的巨人》。

世界

经常可以看到有人说某某故事的世界多么不合理，但说白了。没有一个故事的世界是合理的，故事不是科学，不是历史，故事只是故事。

故事的世界多么荒谬和不符合常理也没有关系，但只要世界建立出来，故事就必须符合世界的约束。

没有一个作者可以通达人类所有的真相又或者知晓世界所有的真理，套用纳博科夫的说法，小孩说狼来了而狼真的来了不是故事，狼没来才是故事。作者就像一个魔术师一样，在你面前玩着高明的骗术把一个兔子变没，而你的故事世界就是魔术舞台。

彼得汉德克和尾田荣一郎的真正区别可能就在于，尾田荣一郎在你面前上演了一场华丽的表演让你的情感上获得了极致的满足，短短的一场魔术里让你的喜怒哀乐都达到了一个极致。

而彼得汉德克无聊而老套地变没了一只兔子，但其实谁都不知道他真正变没的是他自己，当你以为魔术师还在现场玩兔子的时候实际上魔术师已经在外头喝上了奶茶。

为了延续故事把世界炸裂重建的情况也不是没有，比如火影什么的…

繁与简

文有简与繁的写法，画也有简与繁的画法。

但其实，某种意义上我认为只有一种，繁与简都是作者对于本质的认知或者是写作的目的。

比如牛是什么？猪是什么？两个角的生物，胖的生物？那我吃胖一点头上插两冰淇淋算不算。

要怎么写一个东西？要怎么画一个东西？

文字的繁与简

“写简洁就看海明威，写细节就看茨威格。”

不管是小说或者漫画的顶端基本都可以找出一些两类风格的作者。一种是习惯于用最简洁的方式，一种是习惯于堆砌细节。

海明威最著名的例子就是他写《老人与海》的时候，草稿打了一千多页，村子里每一个人都有自己的故事和人生，但真正到了故事中的时候，基本上就一行字。

《老人与海》的结尾：

“在大路另一头的窝棚里，老人又睡着了。他依旧脸朝下躺着，男孩坐在他身边，守着他。老人正梦见狮子。”

他自身管这种写法叫“冰山理论”，读者能看到的只有真正内容的八分之一。总结来说也可以直观看作一种白描，通过最简洁的方式传达最精确的概念。

而茨威格则是繁的诠释，比如《人类群星闪耀之时》。

“对一只坚定的手来说，这颗宝石确实是没有保护的，近在咫尺，伸手可及。拜占庭帝国，也就是东罗马帝国，它的疆域一度宽广无垠，从波斯直至阿尔卑斯山脉，又延伸到亚洲的荒野。那是一个费时数月也难以从一端到达另一端的世界帝国，如今步行三小时，轻轻松松，便可横越全境：可怜盛极一时的拜占庭帝国，只剩下个没有身躯的脑袋，没有国土的首都；甚至君士坦丁堡这个古老的拜占庭帝国的京城本身，属于巴西列乌斯皇帝的也就只有今天斯坦波尔这弹丸之地，加拉太已落入热那亚人之手，城墙外面的土地尽属土耳其人所有；末代皇帝的帝国只有一个小碟子那么大，正好有一座环形大墙，把教堂、宫殿和杂乱无章的住宅围在里面，人们就管这叫拜占庭。从前，该城一度被十字军士兵洗劫一空，瘟疫肆虐，十室九空，为抵御诺曼民族的不断侵扰疲于奔命，又因民族不和、宗教纠纷而陷于四分五裂之中，因而该城既不能组建军队，又缺乏依靠自己力量抗击敌人的英勇气概。敌人早已将它团团围困；拜占庭末代皇帝君士坦丁·德拉加塞斯的紫袍无非是一袭清风织就的大衣，他的皇冠不过是命运的戏弄。然而，恰恰因为拜占庭业已陷入土耳其人的重围，又由于它与西方世界有千年之久的共同文化而被视为神圣，因而对欧洲来说，拜占庭乃是欧洲荣誉的象征；因为只有罗马天主教国家同心协力保护这个业已倒塌的东方最后堡垒——圣索非亚，东罗马基督教的最后、又是最美丽的大教堂才能继续成为信仰的殿堂。”

当然如果换海明威来，也许就两行字，当然一行也不是没可能，比如“在西班牙内战时期….”，我记得哪本是这个开头。

网文里大部分的作家都是追求简的，我见过最极端的是九把刀，当年的《猎命师》描述一百个大石头落下的场景，把“轰”写了一百遍。

画的繁与简

简

呵，我就举两个人作为例子，一个是《一拳超人》和《灵能百分百》ONE，一个是《猎人》和《幽魂白书》富坚义博。

这两个人生动的解释了，就算画得烂，就算你的画只交了原稿，只要故事有趣，这些都不是问题。

这是ONE的原画。

这是富坚的草稿和动画的对比，这事有条趣闻不知道真假，富坚当年第一次了猎人的草稿的时候编辑死活不发，然后编辑被人威胁了“走夜路小心点”…….

客观来说，ONE老师是因为画工差，这是他自己承认的。富坚交草稿或常年断更，一半是腰痛，另一半….丫懒。

但他画简的能力是巅峰级的，比如当年他让无数人泪目的九页黑。真的，只有黑页和字，但一大堆人哭的稀里哗啦。

繁

也是两个例子小畑健和富坚义博。

小畑健的原画，随便找了一页，ONE老师被改完一拳也算。

富坚义博的…..插图小说，这是往死里压缩信息量了。

我说的，都是错的。

阅读原文

跳转微信打开

争取从年更博主变为周更博主。

阅读原文

跳转微信打开

关于安全服务的所见所闻

前言

        本文观点脱胎于笔者近一年从业的所见所得具有较为强烈的主观色彩，无法保证客观亦无法保证准确。可能会很片面请各位见谅，毕竟我也只是ToB安全业务的一个新人，仅代表个人观点与笔者所在公司及业务无关。

安全市场必将向“服务化”转型

        抛开安全这个属性B2B行业由来自古，以我肤浅的阅历实在无法窥视全貌，但在信息安全这个垂直领域内笔者以一个新人的身份来谈谈看法。在笔者所经历的差不多一年的短暂时间内，从需求方的角度来看客户类型可以分为三大类：计划花光预算型客户、实际需求型客户、战略投入型客户，每种客户的特点有不尽相同。

        计划花光预算型客户的特点是偏重销售渠道以合规为导向，少有真正关心安全的客户，多聚集于政府部门、大型国有企业等；实际需求型客户的特点是自身业务有安全或合规需求，侧重并关心服务质量，多聚集于互联网行业、强监管行业（金融、证券）等；战略投入型客户的特点是出于对网络安全的重视进行对应的前瞻投入，也可以说并不关注你当下是否有可用的交付能力，侧重于研究型、战略型产品，多聚集于·特种(军/警/航天/等)行业。

        但供给方也就是安全公司一方很有趣，或许因需求方的原因大家陷入一种混乱的狂热自嗨不断通过，安全厂商在新技术领域不断研究推出新型产品，但此类产品对于实际使用人员的要求未降反升，产品距离用户需求没有拉近，相反更远。而需求方呢？在安全建设的过程中采购了大量安全产品，但是缺乏专业使用人员导致无法确认产品是否在正常发挥作用；产品的无效部署带来的虚假安全感可能会因为问题处理不及时，造成更大的损失。无论是需求方还是供给方都需要认清一个因为认知偏差造成的供需不对等：用户的自有水平是有限的，不然不会需要向你付出金钱解决问题，安服专家是平衡产品和客户的纽带，如果只买产品再好的产品、再多的钱也解决不了用户的实际痛点。

传统安服业务的弊端

        在目前我所看到的国内安全公司单以安全服务的业务来看各家厂商间其实不分伯仲，或许也正因为这种状态大家彼此之间并没有造成太强的刺激来优化自己，如果不是未来市场发生某种不可预知的变化，或许只有当一条“鲶鱼”出现时才会发生改变。初入这样的业务让笔者发现了一些显而易见的问题，将其总结为工具链支撑不足、服务意识欠缺、协同能力弱、可替代性强、更迭成本低。首先，不同技术工种间的工作经验未沉淀成为方法论、工具链，人员能力上存在技术壁垒，往往交付服务质量取决于实施工程师的个人能力水平的高低；其次，行业缺乏对标甲方安全运营服务标准、一线实施人员缺乏对业务可用性的敬畏之心，往往敢于“线上解决问题”；再者，安全情报获取缺乏体系化建设、一线人员缺乏全局评估能力、修复方案缺乏统一性、及时性，往往同部门间的工程师都做不到信息共享，内部尚且如此如何取信于客户；最后，传统ToB重度依赖销售体系服务品质不可量化、可替代性强、缺乏服务意识，安全服务未深入甲方业务，客户更迭成本低。

        在笔者视角下以为配套基础工具链赋能一线工程师可以显著的提高人效，同样价位的服务可以解决更多类型的问题也从客户视角下提升了服务的性价比；建立行业服务标准、应急响应SLA提高客户满意度，降低安服事故发生概率获取更多的信任感；安全服务知识库建设、评估SaaS化提高服务质量、应急工单自动化提升响应速度，以专业度、体系化的安服提高用户粘性、预防因质量问题带来的客户变更风险。如果安服可以深入了解企业痛点也将为后期销售产品埋点，方便后续用产品化、信息化的方式将安全与客户深度耦合绑定。

        我始终无法相信安全公司的从业人员没有发现这些弊端，没有改变的原因大概率是因为业务历史包袱过重吧。比如不得不说的绿盟这位安全公司的老大哥，其内部服务流程的标准化文档之详尽确实值得学习，或许曾经的绿盟安全在执行这套建立不易的标准化，但最近这一年我看到的是仅剩文档的可悲。

安全服务的理想状态

        政企客户最关心的莫过于机密资料不外泄、系统可以正常的运转、符合监管部门的需求以及不被通报安全事件，在政企客户眼中“网络安全=尽职免责”，网络安全工作首先要维稳。客户存在客户特色需求（以网站监控为例），主任/部长/司局长/CIO：告诉我整体情况，我的要求，数据上的来下的去；处长/主科/CSO：你告诉我那个时间、他们的情况，我要求有话柄，我要求不出事；科员/工程师：你告诉我什么时候、什么事情、怎么办？这代表客户对“技术”、“手段”并不关心，“结果”才是客户的关注点。

        安全服务其内包含多个细分的服务，服务之间通过相互依赖最终提供一系列可交付的服务，各服务间以独立的形式存在但又互相依赖。如果把安全服务看成一个大型产品，借鉴架构设计的方法论SOA（面向服务的架构,Service Oriented Architecture）进行业务梳理更便于理解。在做好服务解耦的基础上进一步将SOA体系推动升级到微服务化概念，将常规服务彻底组件化提供自动/半自动的能力集成以此提高用户视角下的安全服务性价比，通过标准化的服务规避传统安服业务模式的弊端。

        这样做的明显好处是通过战术经验的标准化新兵可以快速经验累积，以专业的安全精英团队，对各类安全服务进行深层次的实施。将安全服务标准化、全面化，提高用户粘性。整体服务内容可管、可控、可查。使不同层面客户得到其真正想要的服务。以自动化工具和安全专家的技术沉淀，对前场实施人员进行安全赋能，达到人机共智的安全服务效果，一定程度上实现7x24小时的持续安全运营服务，提高整体安全服务的质量与观感。使客户在购买相同的工具情况下，得到更极致的服务。

安服未来三到五年的市场预判

        就像上文所阐述的观点，客户对安全服务的品牌忠诚度并不高，主要因为购买安全服务的决策者一般级别较低但专业性较强，因此很有机会替换。各地方区域市场应以安全运营落地为抓手与传统安全市场进行差异化竞争，避开拼产品价格的红海，逐渐成为地方政企客户的“安全管家”。面向小型的央企、国企客户也可尝试与大的国资背景合作，输出安全运营。鉴于目前国家对网络安全的日渐重视，绝大多数小白客户都在寻求类似保安外包的合作方式，无自我安全运营能力的客户对此服务的期待和接受程度都比较高。一方面利用安全运营差异化竞争获取市场空间，另一方面通过良好的安全运营服务布局未来的网络安全市场。

        未来3-5年服务即安全产品，可分为三个层次：安全研究、安全服务、安全运营。安全研究主要从攻击者角度研究问题，发现安全防御的薄弱点，构建合理的安全服务；安全服务从防御者角度研究问题，构建不同客户场景的防御体系，为客户提供安全咨询、应急响应、渗透测试、护网支撑、重保等服务；安全运营从客户角度研究问题，为客户的日常安全运维提供支撑服务，帮助客户合理化事件的执行流程。各安全公司将基于知识库和人才体系指导培训体系，通过校企合作源源不断的输出初级安全运营人才解决安服人力缺口问题。同时可以构建面向不同行业、不同场景的安全运营知识库，用以支撑标准化的安全运营服务。辅以分层级的安全运营人才体系，各司其职形成标准化、流程化的服务机制和管理流程，满足不同业务模式的需要。

        安全公司最终会从传统的“设备提供方”角色转型成为“安全服务运营商”，由原来的“事件触发驱动”转为“陪伴式响应”，从而化“响应式服务”为“周期性服务”，从“安全实施角色”逐步转变成为“企业安全顾问”最终实现强依赖我方的企业自主运营安全。安全服务的业务形式将替代CISO/CSO介入企业组织层，实施企业整体安全计划，全面提高客户公司的整体安全性。在此基础上安全公司作为企业的安全合作伙伴，通过“分行分层” 构筑多维安全生态联盟可能有希望重新定义安全服务市场。

写于最后

        就像上次说的一样，想记录下的东西很多但时间不够，而笔者是个懒鬼也是个事实。当懒鬼很忙的时候，断更一段时间也就是必然的结果。最近疫情期间在家终于空了一些时间，将一些自己的之前的思考记录下来呈现此文。

        最后打一个广告，我目前在360企业安全集团安服事业群体验生活。疫情期间对于大多数本就不富裕的安全公司来讲是个难关，如果工作并不如意或遇到困难欢迎来聊支持线上入职，目前我们北京、上海、广州、深圳、重庆、成都、武汉、沈阳、郑州、石家庄、新疆......太多了我就不写了（正在陆续覆盖全国），如果你是从事安全服务、安全研发、攻防相关的同学请联系 zhouqun1#360.cn。

阅读原文

跳转微信打开

前言之前忘了哪个逗比说，让我定期推荐一些书。今天突发奇想，弄个书单。

网图，侵删

前言

之前忘了哪个逗比说，让我定期推荐一些书。今天突发奇想，弄个书单。罗马史一直是我的薄弱项，去年开始偶尔抽空读一些关联的书籍，结果今天发现好多资料找不到了，干脆就整理一下。

这只是第一版本，最终希望整理出一个较为全的书单。有很多没上，还有一些外文的也没加。后续版本会陆续加入强化一些内容，比如罗马时期的经济，习俗，军事。还有罗马崩溃后对后世的影响，当时的，后世的文学作品。

简介是我随手豆瓣复制的。

王政时期

这荒无人烟的旷野，连猫都没有。

共和国时期

《罗马史》

[德] 特奥多尔·蒙森

本书详尽叙述了自远古至共和国末期将近1000多年的罗马历史，阐述了罗马从偏于一隅的弹丸小国如何一步步成为地跨欧亚非三洲的国家的过程及其原因，并指出了罗马在日渐强盛中已经蕴含衰亡的种子。本书视野开阔，论证严密，在涉及这一古代时期的各个领域都达到了百科全书式的广度。作品文笔洗练，叙事生动，富于戏剧性，人物形象鲜明，达到了历史性和文学性的完美结合。

注：19世纪第一的罗马史研究者，兼具考究和文学描述的高手。研究以共和国时期为主。

《罗马革命》

罗纳德·塞姆 (Ronald Syme)

罗马共和国向帝国过渡的权威之作，20世纪英语世界最出色的古罗马史家所著。《罗马革命》的最大价值在于对所谓“革命”的领导人奥古斯都及其追随者的细致入微且生动形象的叙述，在于对他们彼此之间通过婚姻、血缘和共同利益编制成的家族关系网，在“革命”过程中的关键作用的深入分析，从而为罗马史研究提供了新视角，对20世纪后期的罗马政治史研究产生了深远影响。

《罗马共和国》（牛津通识）

(英) 戴维·M.格温 (David M. Gwynn)

罗马共和国的兴衰在西方文明史上占有独特的地位。在本书中，戴维·M.格温从罗马的起源以及建城传说开始，一路写到汉尼拔跨越阿尔卑斯山和凯撒在三月十五日遇刺，为我们呈现了罗马共和国引人入胜的历史画卷。其中，他审视了共和国独一无二的政治结构，描述了它的文学和物质来源，生动地刻画了罗马共和国的文化和社会。他还思考了罗马人的价值观和信仰，以此来解释共和国跌宕起伏的兴衰史。最后，格温还反思了罗马共和国留给后世的非凡遗产，包括它作为典范和灵感及一种警醒，在今日文学和影视作品中的再现。

注：这个和下面那个都是牛津通识系列，都是由年轻一辈罗马史的佼佼者操刀的作品，比起大家更能吸收容纳一些新的观点。

《卢比孔河》

[英] 汤姆·霍兰

卢比孔河是一条分界河。根据罗马共和国的法律，任何将领不得率军越过卢比孔河，否则就会被视为叛变。公元前 1 世纪，正是在这条小河面前，恺撒做出了叛变的抉择。身处权力顶峰的恺撒为什么这么做？当他在卢比孔河岸边犹豫时，又是什么使他下定决心，将共和国的荣耀抛诸脑后？恺撒麾下的罗马将走向何方？罗马以外的世界又将发生怎样的转变？

注：不知道，随手搜到的。

帝国时期

《罗马帝国衰亡史》

[英] 爱德华·吉本

《罗马帝国衰亡史》从政治、经济、军事、文化等角度，展现了罗马帝国1300多年由盛而衰、直至毁灭的全过程。博大雄伟的史观加上优美典雅的文字，使得西方人一谈及罗马帝国，必定会想到此书。此书也自然而然成为了了解罗马帝国不可不读的至高经典。

注：帝国时期最全的史书。涵盖东西罗马。

《罗马人的故事》

盐野七生

《罗马人的故事》（15册套装），完美收官。最值得收藏的罗马史经典。在这平庸年代，人人渴望英雄，日本女作家盐野七生，决然出走日本，远赴罗马，寻找英雄。定居罗马三十多年，十五年写就15册巨著《罗马人的故事》，还原一个意大利半岛的小国成为世界帝国，持续1300年的辉煌历程，再现一个英雄辈出的时代……读懂了罗马，才能读懂过去的欧洲和今天的世界。

注：盐野七生不是史学家，她更像小说家，但是是罗马史的高手。其作品也通俗易懂，覆盖了王政时代到东西罗马。

《罗马帝国简史》（牛津通识）

克里斯托弗•凯利

本书以全盛时期的罗马帝国史为经，以征服者和被征服者之间错综复杂的政治关系为纬，既展示了古罗马帝国的辉煌成就，又揭露了其征服和统治过程中的血腥和残酷，既有对古罗马人民日常生活的微观描写，又有对古罗马帝国运作机制的宏观分析，是一本引领读者走进神奇的古罗马世界的上佳读物。

政治，思想，制度史

《剑桥希腊罗马政治思想史》

[英]克里斯托弗·罗 / [英]马尔科姆·斯科菲尔德

该书为英语世界第一部综合与全面研究古代希腊罗马政治思想的著作，始于荷马，止于古典晚期，以基督教和异教对神圣的与人类秩序的思考终篇。主题是对柏拉图、亚里士多德，以及一系列其他或重要或次要的思想家——诗人、历史学家和哲学家——的研究，同时通过广泛征引他们的论证也凸显了其个性。

注：如果不是做研究的话，政治思想领域这本就够了。

《庞贝》

自从 18 世纪得到发掘以来，庞贝是如今世界上最著名的考古遗址之一，每年有 200 多万人参观。然而，从公元前 6 世纪到今天，它拥有一段令人困惑而又无比诱人的历史，长期吸引着历史学家、考古学家和古典学家的关注。

本书作者英国著名古典学家玛丽·比尔德走上庞贝的街道，她像一位导游一样，带领我们参观了这座在罗马帝国早期被维苏威火山灰冻结在了时空中的城市。从房屋、...

注：新一代史学家。走的是以小见大的路线。

《罗马法与帝国的遗产》

【法】菲利普·内莫

 本书首先围绕着罗马共和国的兴盛与罗马帝国的崛起，线条鲜明地勾勒了整部罗马人的历史。在向读者论述罗马历史的同时。本书作者着重介绍了罗马法的各项重要内容，包括其起源发展，各个历史阶段的诉讼程式，以及罗马公法和私法的各项内容。

《罗马帝国的元老院》

[美]理查德·J.A.塔伯特

本书研究了古罗马帝国早期帝政时期（公元前30年—公元238年）元老院的构成、会议程序及相关职权。其作者为当代历史学家和古希腊罗马文学研究专家、美国北卡罗莱纳大学历史学及古希腊罗马文学教授理查德.J.A.塔尔伯特。塔尔伯特教授长年致力于古罗马政体相关研究，本书可谓是其多年潜心专研古罗马政体的综合研究力作。

《沉思录》

《沉思录》是古罗马皇帝奥勒留写给自己的书，内容大部分是他在鞍马劳顿中写成的。作品来自奥勒留对身羁宫廷的自己和自己所处混乱世界的感受，追求一种冷静而达观的生活。这部著作是斯多葛学派的一个里程碑

注：闲书。

艺术史

《剑桥艺术史：古希腊罗马艺术》

[英] 苏珊·伍德福德

注：一窍不通，姑且放上来了。

《古罗马戏剧史》

作者江澜以扎实的拉丁语、英语、德语训练，搜集一手材料，历时十载，完成这部一百三十余万字的古罗马文学史（包括《古罗马戏剧史》、《古罗马散文史》和《古罗马诗歌史》）。全书以历史为纲，以戏剧为目，把古罗马戏剧史划分为萌芽时期、发轫时期、繁盛时期、衰微时期、转型时期和不朽时期。作者的这一划分既考虑到了古罗马戏剧自身发展的规律，还兼顾了语言、经济、政治、文化等诸多因素，因而具有独创性。

注：一窍不通，姑且放上来了。

《古罗马散文史》

作者江澜以扎实的拉丁语、英语、德语训练，搜集一手材料，历时十载，完成这部一百三十余万字的古罗马文学史（包括《古罗马戏剧史》、《古罗马散文史》和《古罗马诗歌史》）。本书为中国第一部原创的古罗马文学史之散文卷，按照历史演进进程下的文学体裁分类叙述，分别叙述渊源、特点、代表人物和代表作品，详尽细致，完整全面。

注：一窍不通，姑且放上来了。

其他

《罗马的命运》

凯尔·哈珀将宏大的历史叙述与最为尖端的气候科学和基因研究结合在一起，指出罗马帝国的命运不仅是由皇帝、士兵和野蛮人决定的，也是由火山爆发、太阳周期、不稳定的气候以及致命的病毒和细菌决定的。他从罗马帝国的二世纪的巅峰时期一直叙述到七世纪拜占庭帝国的支离破碎的局面。哈珀描述了罗马人在巨大的环境压力下如何复苏，又如何再次面临危机，直到再也无法承受“小冰河时代”和反复爆发的鼠疫的打击。

注：环境史，从环境变化寻求对历史发展的影响。我一直。不太感冒。

阅读原文

跳转微信打开

关于我来到乙方业务后的所见所闻

前言

抉择、思考与沉淀

选择ToB/G业务的原因

• 首先我们值得肯定的是在全球大环境和国内政策影响的情况下，市场规模并不需要担心且客户分布不存在高度聚合，避免了很大的不确定性，潜在客户数量是决定ToB/G的业务有足够的上升空间和可能出现的不可控的因素；

• 其次ToB/G的客户分布密度足够广阔，头部、垂直、特种、区域有足够的施展空间，虽然还是有较强的地域性但是未曾深度开拓的区域市场仍然呈较为健康的全国平均分布；

• 最后安全市场的利润空间足够广阔不然不会有那么多人前仆后继，就像我刚刚入职说过的一句话一样“经过深思熟虑构想后的业务模式哪怕失败了也不见得证明模式就是错误的，它可能只是时间上不那么合适，暂时性的未被市场与资本所接受”。

关于ToB/G业务为我带来了怎样的体验

关于人的挑战

关于人员组成模式

我所看到安全服务业务的天花板

• 1）质量和规模决定平均服务水平，为什么会有这样的判断？好的技术人员都是在大数据、高并发的情况下训练出来的，ToB/G业务中的安全服务业务也是一样，所面对的潜在客户数、活动半径、规模差距，决定了作业模式和管理根本上的差异；

• 2）核心能力必须自建不容外部插手，它是业务的核心竞争力，虽然我们不能拒绝引入外部力量，但可以节制保证其无法触碰业务根本；

• 3）庞大的团队必然需要前置培养潜在管理人员，提前参与一些管理工作，等到真正做管理的时候不至于手忙脚乱，但哪怕是现在在位的管理者也未必都尽如人意，优秀管理者的二八定论现实情况下可能不足一九，在这个问题上我持悲观态度。

后记

阅读原文

跳转微信打开

前一阵看了长安十二时辰，真好看。

网图，侵删

前一阵看了长安十二时辰，真好看。

特别作为一个了解一些历史皮毛的人，在看着许鹤子在花车之上的悠扬的歌声，看着影视塑造的大唐盛世。不免让人有些感慨。

天宝十四载，安禄山掀起史称“安史之乱”的反叛。至此，大唐进入数百年的乱世。藩镇割据时代。

高墙之内

我见过各式各样的说法关于为什么发生，玄宗傻逼、安禄山傻逼、李林浦阴险、藩镇独立、非我族类其心必异，天命已断卦象成乱。现在我们看看别的东西。

藩镇是个唐代形成的词汇，初期的意思只是个军事单位，后面成了单独的政治单位，意味藩镇的最高指挥官节度使拥有对所在地的民政，财政和军事的全权管理。再往后，这词就成了半割据军阀的代名词。

唐代的各个藩镇或者说节度使的设立时间为714-733年，为玄宗初期和中期。许多人批判玄宗的好大喜功与毫无价值的军事扩张，毕竟安西那边都打到波斯去了。但严格来说，几大藩镇的设立更主要的原因可以说是防御外部的威胁。

从大唐初期乃至后期，契丹，突厥和吐蕃等强大的游牧民族一直是大唐各个朝代的一个核心问题，他们有着强大的战略和战术优势。靠着四条腿的马带来的强大的机动力，和千百年来沉淀下来的“抢了就跑”的战略计划。成功的困扰着一代又一代的大唐皇帝，在大唐动乱之时还能混进来当一把优秀的搅屎棍。

这是藩镇设立的一个重要的背景，几大藩镇，河东和朔方，范阳和平卢对抗突厥，契丹等部落。陇右，剑南对抗吐蕃。北庭和安西控制中亚地区。换句话说，这是一堆有着明确的战略目标和防御区域及自主权的军区。

大唐初期的军制设计中战争的前提形式是大规模的入侵和反攻，由中央选取将领并大规模征兵，临时协调各方资源形成补给线。但人都是游牧民族，抢了就跑也没想多走几步。抢只母羊就回家等你动员完小羊都可以下锅了。

可以说从更早期开始，大唐的军事策略就开始了转变，因为威胁形式的变化而带动的军事变革。从中宗，武则天开始边境就开始修建永久式的军事工事，睿宗后期出现了边境的统一协调部门，为的是遭受攻击的第一时间就能部署军队发起反攻。剩下的，只需要一个想作为的皇帝和一些有能的臣子就能让藩镇最终成型。到了玄宗后期藩镇的兵力已达全国八成以上。

在李林浦时期，政策有了进一步的变化，在原有的制度中，文官短期的任职节度使然后提拔回中央，并由宦官监军，这是惯例。但李林浦认为，拥有军权的文官与只有军事才能的外国人比起来前者的威胁更大，对他也对帝国而言。就是这个时期，高仙芝，安禄山等外国将领开始上位。也差不多是同一个时期里，以李林浦为首的中央文官开始遥领节度使权，并由亲信在地方管理。

也许右相察觉到了在新的制度下藩镇越来越大的离心力，也许单纯为了把控政权。但以时候结果来看，他在位的时候的帝国上层高度的凝聚力依靠的是他高超的政治手段，从位高权重的文官到手握重兵的节度使都恐惧他，而这一些在他死后都变得四分五裂。

战场之上

我比较懒，所以就不详细做当时的战局分析了，因为要拉出古地图来一条条的标注解释实在太过折磨人。为了让大家更有感觉我拿现代地图做个粗糙快捷简单的解释。请注意，因为我随便画的所以地理位置不一定准确。

图中黄色是安禄山叛军，蓝色是唐军主力，绿色是义军和零散的政府军，白色是皇家逃亡路线，黑色是外国援军。

战争的初期安禄山的战略其实是明显的，由河北出发快速进攻拿下长安（西安），同时派出另一路下江南一带，瘫痪大唐的后勤。

初期玄宗的第一阶段的战略是依靠与东北军事集团齐名的西北军事集团来抗衡，包括高仙芝，封常清为主的西北将领，由高，封在主战场长安前构建主要防线，次要的河南战场由同西北军出身的张介然担任。与此同时，安禄山寄予厚望的颜家兄弟在太原拉起了起义的旗帜，而下江南的军队在河南一带也被卡住了。同时为了支持颜家兄弟的起义，西北军之外的主力郭子仪，李光弼的朔方军与嘉山一带展开决战，大破史思明，斩首四万级。

可惜没过几天，潼关失守，西北军溃败，朔方军被迫回撤，河北刘正臣被击溃，颜真卿溃败，河北全面沦陷。而逃出京城的皇家小队分裂成两波，玄宗进入四川，太子去了灵武，在一段时间的政治两极后，政治军事权利逐渐过渡到以灵武为中心的大本营。

自此进入第二阶段，此时的玄宗的策略开始了转变从“边将到皇子”，我猜西北军被切掉后他伤透了心，在他入蜀之后发布了“三王令”，太子为天下兵马大元帅，同时另外三个儿子分别在其他地方统领军队，但他不知道此时太子已在灵武开始掌控全国政权。在蜀的玄宗和灵武的太子形成的政治两极，可以说一定程度上造就了初期的混乱，但玄宗很快就决定放弃掌控向太子过渡。

但前期的三王令已经发布，被派去江南的是永王，大家可以看到地图下面有一条比较飘的线，对，他叛变了。无论如何这个志大才疏的人并没有掀起多少风浪就被切掉了。但我们可以看到的是在秩序崩溃后的不久从顶层开始已经由无数的野心家开始蠢蠢欲动。

在永王的故事里还有另外一位人物，李白，在安禄山叛乱之后他一直怀抱着一颗救亡的心。为此他特地加入了没叛乱之前的永王，期待在他的旗下施展抱负。战后因罪入狱，在好友解救之下才得以出狱。这是个历史长河中的大人物，也是时代冲突之中挣扎的小人物。

结束之后

以上或许能看到大唐数百年的乱局的一部分开端，但对于为什么是安禄山，为什么是河北依旧没有答案。可不可以是高仙芝？或者其他节度使。

南宋末期的贾似道任命他的亲信独领了军政大权建立了以襄阳为边境的藩镇，为了建立藩镇的战斗力他清洗了每一个反对派将领。明朝的辽东也是一样的，为了对抗满洲和蒙古的威胁而形成的辽东军镇。

也许是偶然，只是一个有着欲望的人走到了那里，在其他地方也是一样的。

也许是必然，在安禄山死去后的百年里许多的河北百姓还会拜祭他。

无论如何，安禄山打破了盛世以来维持着藩镇和中央的脆弱的平衡，自此藩镇可以世袭继承，宦官可以更替皇帝，禁军可以因为得不到奖励而弑君，将领可以因为不满足奖励而叛乱，皇子不过傀儡棋子被随意利用，宰相被当街刺杀割下人头。

所有过往的秩序都化为灰烬，伴随着大火燃烧下的长安城一起消逝。

阅读原文

跳转微信打开

打了三天游戏。太堕落了。

网图，侵删

打了三天游戏。太堕落了。

特别是打个单机还被电脑吊打的时候。太难了。

算法

除了近一年来都在打游戏外，之前一直在关注机器学习的进展，以及在安全领域的应用，也在同行手中见到了很多很有价值的实践。就准备写写一些见闻，再过两天该忘光了。想到哪写到哪。

与机器学习已经大放光彩的搜索，翻译，推荐领域来说，安全领域实践基本显得暗淡无光。理论来说，当问题足够复杂多变时，机器学习与规则系统相比前者更优。但即便今天来看，百分之八十应用了机器学习的安全产品也没有逃脱人力的规则运营。

比起其他更加“现实”的应用，安全所处理的领域更加的“有限”。比如翻译所面临的世界各地的语言的差异，其中的词法，谚语，修辞，典故。这种理论上的有限最终在几十年前证明为了现实中的无限而放弃了规则系统的路线。

与之相比安全领域所面临的咋看之下是一种有限，我们所应对的场景是程序，从底层的硬件开始一层层往上，所提供的可能性是有限的，就像你的电脑不会飞起来夹你的脑袋一样。但实际来说它已经在逼近无限。这种有限的集合具有足够的能力提供无数的可能性，足以让每个安全工程师绝望的可能性。而在更多的场景下机器学习的问题并不在于发现威胁，而在于定义威胁。

终端

扯远了，说回来实践领域较早的几个领域，网络，终端，比如杀毒，终端层面的恶意软件检测。这是顶级的安全厂商包含微软，360，腾讯，百度等都有摸索的一个方向。在算法层面通过文件特征+行为特征而输入机器学习。通过黑白名单及一个庞大的规则+沙盒系统的动静态分析，从机器学习及规则系统的结果中提取异常的样本进行分析去改进系统。

目前所见到的特征提取层面还是以系统调用，文件特征，网络操作为主，这几年在特征工程和算法领域有很多创新，可以说得益于深度学习的兴起。比如前几年看过一个把软件映射成图片输入cnn的，很骚。在算法层面又有两种场景，对于是否恶意软件的正负判别，和恶意软件家族的聚类。后者对于那些工厂式的恶意软件作坊通常有着不错的效果，特别是那些一天生成上千个不同哈希的货。

严格来说在聚类层并不会提取太多的特征，一种是计算的规模，一种是大部分用的是近邻模型，计算量比较大而价值没那么高。所以省事的做法是相似度hash再聚类。估计是早年大家都穷所以那时候诞生了很多类型的相似度hash算法，不论如何核心都是抽取关键特征形成可近似比较的唯一hash。

网络

而在另一个层面的网络层，也有很多实践，记得最早的实践都可以追到几十年前的美国军方了。核心的问题还是一样的，关键在于什么是威胁，比如国内有很多针对识别vpn的实践。前几年360宫老师的团队就分享过一个流量分类的工作，大家有兴趣可以去翻一下前几年的bh。

但因为量的原因，很多的工作是针对细分的流量类型来做的。比如DNS，流量五元祖等。说到DNS安全的机器学习，国内的佼佼者是Phunter大牛。几年前他在上家公司的时候做过一个工作是参考了word2vec的思路将域名映射成一组向量，十分优秀。这几年他的猫胖了，也更厉害了。这个领域还有其他不错的工作，比如通过企业内网的dns流量结合一些其他特征来识别大规模的感染。

DNS安全领域的机器学习很多实践都是针对DGA进行的，更加核心的意义上来说，针对DGA的变化，机器学习有更强的适应性。从最基础层面的域名随机性，到网络结构的特殊性，时序上的近似等等。比如opendns的安全团队就有很多图算法博士出身的选手，喜欢玩各种很数学的技巧。严格来说包含很多DGA在内形成的网络结构，要是存储在图数据库里那就是几条sql的事。还有人做了一些传播算法上的尝试，可以说可玩性还是很强的。

除此之外林林总总的实践就多了，即便是抛去风控领域和一些相关场景。当然也有一种最不过脑子的搞法，就是不管来什么都改成One Hot然后扔进模型。有不少时候我都这么干，如果你是识别sql注入这些形式特征较为明显的攻击的话，还真有效。

情报

威胁情报也是个杂项，某种意义上。核心层面上算是一种“数据赋能安全”的思想的体现。作为这个行业混过两天的人，虽然没什么建树，但思考总是有的。

在进一步的层面上我认为威胁情报的价值应该在于算法，规则，运营，数据多者的结合，形成持续的数据运营流程。但在现实的层面上有那闲工夫搞算法真不如多充多洗个几百G数据来的划算。不然客户查询关联的时候你什么都没有，而竞对有几百条关联信息。真是尴尬的不能自己。

某种意义上堆数据也是一种路线的体现，就是“只要我数据够多就能抓得到你”。在很多领域，比如杀毒很早就形成了数据共享联盟，只要每天交几千个还是多少没发现过的恶意软件就行。

分析

其中威胁情报领域分析溯源上来说，核心在于如何有效的辅助人工分析，这个层面有多种方式和搞法。最常见的就是关联图。基于现有的摸索，对于威胁情报数据最多的展现是关联图。相较于其他类型数据不说，对于域名和ip来说他们本身就是作为一种网络结构而设计。最符合认知也最自然的展示就是图。

图分析的层面在我看来有两种路线，认知科学和网络分析，其优点各不相同。最早的需求应该都是以解决图的信息爆炸的问题为核心出发。认知科学的路线偏向通过交互，展示，关联建立最符合人类认知和习惯的分析方式。现在主流的应该是VT的方式，可以通过简单的操作扩展，删除，标记节点。还有xforce的方式我觉得也值得参考，在查询的时候可以关联到各类的安全报告。这种文本信息有时候也是很关键的证据，之前团队内还讨论过要不要爬vt的评论。

前者很多时候的场景通常是针对特定apt团队的跟踪，而后者路线的场景则常见那些广撒网的恶意软件作坊。将恶意软件的活动看作一种数学上的网络结构进行分析，转换。简单的比如提取每个节点的入边和出边输入直方图，比如可以根据图的密度和中心节点进行分析过滤，不同网络活动之间子图的数量特征。

就酱。

阅读原文

跳转微信打开

我始终相信一条路并不会因为它路边长满荆棘而丧失其美丽，旅行者会照旧前进，而那些讨厌的荆棘也终会留在某个时间点枯死。

0x0 前言

本篇文章旨在总结笔者近些年在工作中的一些与技术无关思考与成长，在阅读本章节前，建议结合笔者的另一篇文章进行阅读《职场春秋：君不正，臣投外国》。

对于我的离职朋友们也不必过度解读和猜测，虽然有一些七七八八的事情，但这是个经过深思熟虑后的决定。其主要原因还是源于我对“世界”仍有憧憬、对如何做到更有所作为这件事本身跃跃欲试。当然组织建设到达一定规模后终究会出现一些这样、那样的人或事，但我始终相信一条路并不会因为它路边长满荆棘而丧失其美丽，旅行者会照旧前进，而那些讨厌的荆棘也终会留在某个时间点枯死。

0x1 工作需要平常心

“输不起”到“输得起”的转变

从2006年开始我知道有外挂、有灰鸽子这类东西，我不断的学习、尝试、挑战，在这期间随着一个个或大或小的项目成绩加冕着，然后在曾经的某个时期狂妄的觉得自己什么都做到，一路骄傲（或者说傲慢）的游走在这个江湖式的行业中。

最初时或许因为成长环境或其他什么因素导致我输不起，一分一毫都输不起，也就养成了喜欢赢的“坏毛病”；但经过这若干年的打磨后现在输我会认，也会想办法赢回来。这期间的转变有时间、经历等其他因素的积累，也有一蹴而就的顿悟。最终生活告诉了我：可以输但要赢回来，有时候想想发现近年来不再对行为存在刻意的追求，把天是否聊死、精似鬼或蠢到家、拆穿套路又或看人表演？就真的成了心情下的产物。

争该争的

随着在公司内开始从业后，发觉职场中有着一些很有意思的现象：在组织规模越大的公司、团队中有着一些没人说破但都心里明白的做事方法和操作，当然关于“那些”我觉得也是正常的现象。在组织内部其实必不可少的会有着各个不同的利益群体，大家在为了共同的名、利去抱团取暖、互惠互利，就像那句话说的一样最聪明的处世术是，既对世俗投以白眼，又与其同流合污 —— 芥川龙之介 《侏儒的话》。

既然任何结果均是多方博弈过程中的结果体现，那么不可避免的就会有“不公”落在自己或他人身上。在这件事上我觉得除非你从不享受多方博弈后的胜利果实，不然其实没什么资格在不公落在自己身上时去抱怨和恼怒，当然如果你真的确信拿到的东西和你的付出不成正比，那就是另外一回事了。我曾见过一位同事，其工作业绩晋升可以说是十拿九稳，晋级答辩现场也得到了多数评委的认可，但最终因为某些不可说的原因落选，最终晋级名单中替代他的是一位答辩现场落选的候选人。我厌恶、痛恨在不知道具体情况下去劝人大度的人，我不会在这样的事上去劝其大度，因为我无法体会那个时间点他受到的侮辱，寒天一点水、点点在心头，遇到不公那就去争自己该争的、拿自己该拿的，问心无愧也就是了，根据我的经验来说当你学会以牙还牙时人们反而会尊重你，人不能失去掀桌子的勇气，但也要有不随意掀桌子的教养。。

拿该拿的

在工作中其实除了会遇到晋升的问题，绩效考核、年终奖、涨薪这些也会遇到同上的问题，如果还没遇到那可能有几种可能性：

• 工作年限尚短；

• 公司、团队、组织不大；

• 遇上好领导

我始终相信着事有两面性，如果你的生存环境相对简单，那一定是有一个人在帮你遮风挡雨、抵抗着背阳光面的侵灼。在我所见到的职场环境中关于这几年普遍分为两大类：绩效平摊和狼性绩效，绩效平台相对比较好理解，也是比较容易遇到的情况，在分配比例时对梯队尾部的人员进行照顾，秉承着“没有功劳也有苦劳”及安定人心的想法让大家不会那么难看；但真的应该这样吗？这样做对梯队中部乃至头部的人员真的合适吗？相对优秀的下属是需要认可并给予荣耀的，如此这般最终优秀的人会相对快速的流失，因为这部分人也较容易得到较好的工作机会，而留下来的“老白兔”也终将在漫长的时间中渐渐升入中层，因为其不具备能力更进一步必然会造成的结局就是堵死后来者的晋升通道。我向来拒绝大锅饭，也很讨厌因为某些能力低于团队平均值的同学短期取得涨进后进行奖励这种行为，并认为这是理所应当的事情。

向上管理

除了管理老板的预期外，我认为把该说的话说出来才是担当，这是为人下属该做的本分。关于向上管理这部分我自认为仍缺乏系统性思考，它与老板性格、行事风格、公司环境都息息相关不可一概而论。

同级管理

同级争斗这件事不可避免，毕竟蛋糕大小是固定的你多吃一口有人就要少吃一口，所以同行间的矛盾多半才是真正的不可调和的矛盾。就像前面所说的一样事有两面性，其实可以有更积极的方式来看待这件事。不论再怎么差的人他身上一定有值得自己欣赏的地方，不然他不会可以走到和你相同的位置上，既然如此像所有对手学习然后让自己脱离当前层级，三人行必有我师，去其糟粕的来看待会让自己更舒服一些，至于剩下的人事已尽只待天命即可。

向下管理

向下管理这件事本身其实是怎么工作才能使团队业绩卓越，如何做到卓越这件事我并不清楚但工作不卓越的原因是大多与分心有关，无论是上下分心还是精力未用在业务发展上其结果最终都雷同。团队管理这件事本身与管理者自身性格强相关，从我的角度来看避开其中几条大概率结果可能不会差：

• 尽量保持与优秀者共事，招聘比自己更优秀的人；

• 对所有人保持尊重，礼贤下士；

• 不要视自己的优秀下属为隐患，让自己时刻处于偏见之中；

• 保持开放的心态与团队分享胜利的果实，如果止步于嘴那还不如不说；

• 别用感情捆绑人心，绝大部分人都不甘心一直在别人的光环下，赠人玫瑰手有余香。

0x2 最后的碎碎念

说些不该说的，有时候工作没那么难，有时候人的嘴也没那么严，简单点对别人大家对你就都简单了。

阅读原文

跳转微信打开

随手记的东西。

随手记的东西。

Tip1

外交与商业合作有其差异和共性。差异则是完全不同的利益，立场以及手段。但另一方面又具备相似的活动模式。

Tip2

中国人与人打交道的最基本的特点是，首先设法认清外国官员中谁同情他们的事业，在他们的对手中培养一种友谊和责任感，然后，通过各种计谋来利用这种友谊感，责任感，内疚感和依赖感以达到他们的目的。

理查德 所罗门

Tip3

1967年，柬埔寨外交大臣访华，周恩来表示柬埔寨使馆已经不受控制。

中苏关系 1945-？

Tip1

在二战结束后的国共内战期间，及中国成立后的初期10年。中国都对苏联有着较强的依赖性，以及高度的交流及合作。中国对苏联的依赖是意识形态，政治，及战略意义上的，其中意识形态的价值排在政治及战略意义之后。

Tip2

建国初期的苏联的外交联系成双线，东北高岗与苏联，北京与苏联。

Tip3

以赫鲁晓夫的反斯大林活动为契机，中苏关系开始出现裂缝。进一步的层面上，在欧-亚大量的第三世界及共产主义国家中，中国的国际影响力上涨导致在苏联的领导地位动摇，同时在更多的国际事件和趋势的应对和处理上出现争议。

1960年苏联断绝对中国所有援助。

中美关系 1945-？

Tip1

美国在二战期间中国命题是与日本的战争，以及建立一个亲美的政权。二战末期及结束后的初期的中国命题是追求统一的亲美政权，如不可行，则寻求一个铁托主义式的，保守中立的政权。

美国的整体舆论导向及政治势力的分布以支持国民党为主，受到院外援华集团以及一系列各类立场人物的主导。

Tip2

美国的核心对华政治策略建立在一系列的存在问题的假设。主要便是对于美国自身影响力的自信，他们相信能够在中国的多个层面具有主导性的优势。

1. 二战结束初期，寻求能够让国共共同协调建设一个统一的政体，避免大规模的内战。与苏联共同促成重庆谈判。（对中国的政治格局的判断存在问题。）

2. 国共内战结束后，寻求通过贸易封锁逼迫中国寻求与美国建立进一步的关系。（对中国自给自足的经济环境的判断不足。）

Tip3

英国的外交主导思想并不关心国民党还是共产党获胜，他们关心钱。英国长期在香港及国内进行了大量的投资，是英国的重要的利益点。

Tip4

中国建国标示了美国对华政策全面性的失败，促成了称为美国“文革”的麦卡锡主义的兴起。他们认为以美国对于中国强大的影响力的前提下，却导致了中国共产党的胜利，那么，一定是美国驻中国的外交官援助了共产党。该结论导致了对一大批优秀的拥有长期中国外交经验的外交官的政治迫害。

Tip5

70年代初，中美关系突破。外部形势如下：

• 当时苏联对于中国的威胁性增强

• 美国缩减亚洲防卫力量
  

• 尼克松公开宣布不参与苏联打压中国

基于外部的基础，中美开启了一系列的接触的尝试，但基于两国外部的形势以及内部的政治条件。一波三折。

尼克松访华。

阅读原文

跳转微信打开

周所周知，我在扯淡。

1. 前言

云安全的发展，随着云技术本身的发展，经历了比较长的时间进行持续的演进。

从最早AWS建设出来的安全产品体系开始，到后来的Aliyun的创新以及基于中国特色社会主义环境衍生出来的业务安全和服务的路线，以及类似Google从自由安全能力发展出来的BeyondCorp的云化等。在云计算的领域里面从来不缺乏新的字眼出现。

而现在，几乎是个有规模的常见都有自己的云和云安全中心，传统的生产网安全体系WAF，DDOS，HIDS，数据库审计等等也逐步进行了云化的尝试。

云平台的安全产品，有它自身的基于环境的创新式特性，也有传统方式所继承的方法，也有公司环境导致的设计理念，还有外部环境所促发的战略思想。

反正以后要改，就这样吧。感谢@云辑 和@冰粥 帮忙做的审稿。云安全是个大话题，所以其中肯定有错误的地方，我争取改进，要是懒得改就算了。

2. 可见性

2.1 可见

环境的可见性通常是企业接入云的第一个安全挑战，从最底层的网络，到服务器再到上层的多种形式的服务，日志所能覆盖的广度和宽度，服务的可配置性，可扩展性，服务状态的告警等等都会对安全建设造成影响。

具备规模的甲方生产网角度的所谓防护纵深来说，所覆盖的全链路日志，所对应的WAF、HIDS、RASP、NIDS、SOC、威胁情报，其根本的检测能力都必须依赖各类型的日志来获得对环境变化的感知能力，才可以实现上层的规则系统、机器学习、分析关联可视化等奇妙能力。

所以不可靠的说，云环境的可见性会决定防御纵深的上限。

2.2 日志

对于云平台来说日志的粗分类有三类，平台层日志、服务层日志、系统层日志。

1. 平台层的日志对应了云平台的各类型账户，服务之间的操作和api调用

2. 服务层的日志一般是各个类型的服务根据自身的特性所设计的日志

3. 系统层面则是从原来的各类型软件上云之后原生日志，比如数据库的日志什么的。

例如在AWS中，从平台的Cloudtrail，到服务层面的S3访问日志、VPC日志、DNS日志，再到各类数据库等的原生日志，服务本身的事件通知，这就构成了一个小的生产网日志的体系。安全团队基于这些日志数据建立对应的安全能力，比如AWS自身的Guardduty、Cloudtrail检测盗号和异常操作、从DNS日志检测DGA域名、VPC日志检测SSH爆破，端口暴露等。

2.3 进一步

在云端可见性的命题上，Google做了进一步的尝试，他们推出了Access-transparency和Access-Approval。

• Access-transparency用于向客户透明化谷歌员工对于用户资源的访问过程。用于客户当需要Google员工进行支持时能够保障它的操作访问过程是合理，合规，安全的。整个服务商的支持过程都能够通过日志被可见，能够直接关联到相对应的工单。

• Access-Approval则是用于谷歌员工在访问用户资源的时候让用户进行主动授权。

3. 安全中心

3.1 中心化

一张过期的图

“不负责任的说，SecurityHub是个半残废，Sentinel是个哥斯拉。”

负责任的说，SecurityHub是纯粹以提升运营效率为目的的集中式告警台，Sentinel则代表了更先进的安全概念的实践，包含了安全数仓，图算法，威胁阶段执行等多种想法的尝试。SCC的目标看起来还在摸索。

这两年基于云平台的一种中心化的安全平台成为一种新的趋势，可能是管理类的，运营类的，分析类的。你也可以说是老酒的新包装，但在技术实践还有产品模式上都有一定的创新。包括AWS的SecurityHub，GPC的CSCC，阿里云的云安全中心（这个是安骑士变身的），Azure的Sentinel。

我们可以从常见的一种安全运营的工作流，预防，检测，调查，响应，恢复的视角来切入看待安全中心类的产品，可以看到各类产品显示出的差异。

3.2 AWS

从这个角度来说，SecurityHub简直是个半残废，因为这五个阶段，没有一个阶段SecurityHub是能够独立于任何外部组件的。

SecurityHub将自身的规则打入AWSConfig，由Config进行基线-合规检查，再向SecurityHub吐回去。由Guardduty，Macie，Inspector三大检测产品提供检测能力。虽然提供了数据面板，但从告警事件所提供的信息丰富度来说，还是远远不足的。由CloudwatchEvent和Lambda提供响应能力。就是，你把数据打出去然后用别的东西写响应组件。

SecurityHub合作支持集成列表

所以严格来说，SecurityHub是一个集中式告警台组件。通过多账户和外部安全能力的功能来建立统一的告警平台。与其他云安全中心全流程的可定制化不同，SecurityHub不管是外部安全厂商还是用户，只能往里打告警。除此之外提供的CIS合规检查，则是有一些类基线检查的功能。

从设计思路来说是契合场景的。AWS常见的组织Org模型多对应的多账户是达到了一定规模的企业常见的方案，极端的一个公司500+的账户，这样条件下如何契合环境的统一运营就成了一个重要问题。

3.3 其他云

Sentinel界面

与之对比Sentinel和SCC就成了另一类的极端，抛去Sentinel和SCC一样都实现了产品内的检测能力以外。在检测，调查，响应层面，Sentinal都通过平台自身的Azure Monitor所提供的一种DSL作为规则语法实现了插件化，还上传到了Github，可能有社区化的想法。最后二十多种的可集成数据类型，以及脚本化和界面化的规则编写功能以及现成的规则大礼包，再加上内部安全能力的集成。简直就是个哥斯拉。

SCC的插件类型，中间那排

SCC则与Sentinel类似，也实现了一种执行链路的插件化，但不具备Sentinel的层度，更多是基于现有告警和资产管理等流程的可定制性，并且根据自身的安全能力进行了增强，比如扫描器的集成。

而在另一个方面，SCC进行了资产管理的强化，资产管理和发现一直是安全建设过程中坑比较多的一个问题，而在云环境下，资产管理和发现所需要的成本则被大大较低了。在这个条件下创建统一的资产管理和变化跟踪的能力就成了可能。

3.4 随想

由可视化，指标体系，关联分析，人机交互命题组成的数据化运营能力。对第三方安全厂商，自身安全产品的整合能力。在云环境下对资产的可视，可控的资产管理能力。对生产-办公环境整体数据流的管理关联分析能力。基于甲方视角的安全运营流程的定制化，模版化。云安全中心可以代表对这多种命题的摸索与尝试。

阅读原文

跳转微信打开

众所周知，我在扯淡。

前言

1.1 碎碎念

这篇文章是我乱七八糟的想法，实践，扯淡，别人那看到的，听来的等等玩意堆积起来的结果。理论的理论说，所有试图大一统的理论最终都变成了分类，而我努力一下让这篇文章看起来不那么像分类，虽然起名叫云安全，不过主要讲的应该还是AWS。

要论述云这么庞大的产品中的安全体系，首先要谈论的也许是这个产品，或者这个公司，团队的原则，或者说他们的产品假设，或者说他们的公司理念。

有些人说AWS的产品是基于某些原则做的，或者基于某个竞对，或者出于某个团队的野心和KPI的不饱和。但严格来说，现实世界的产品并不是这么单调具有一致性的事物。每一个产品都对应着所属团队，公司内在的环境，外在的环境，一个集体的世界观的某种形式的糅合，在填上一些随机性的因素。

另一层面的原则来说，基于某种美好的安全理念在现实中设计出来的产品，能达到40%的状态通常已经可以算作及格分了。

这个系列文章分为四个。

1. 《扯淡与权限》 

2. 《数据与加密》

3. 《检测与响应》

4. 《服务与体系》

综上所述，这是一堆草稿。

1.2 云平台安全产品

额，这表格就这样吧，我有点图省事，事实上这表格在某些方面很难反应真实的情况，比如Azure，和aliyun的方面，我其实关注不多，另一个层面来说，很多细致的功能或者细节其实被合并到了其他组件。可以说完全无法反应各家云平台真实的安全实力。

但其中还是可以看到一些较为明显的差异，比如阿里云的业务安全和安全服务，特别国情。比如在账户权限部分，特别是Azure和AWS，GPC都凸显了在融合企业和应用本身的账户权限体系的努力。

但从安全产品体系的角度来说，其中有不少划分肯定是不正确的，比如google在容器安全方面的努力，被我四舍五入划分到了别的分类。

1.3 关于原则

很难说一个企业中的各类文化和原则能够在产品中有多大的体现，不过这里还是提几句我的一些猜想。

1.3.1 Serverless

AWS的Serverless理念“用服务代替服务器”很有名，这几年也在大力宣传其代表作Lambda，其余的比如Facebook的Parse。在我不成熟的眼光看来这很像函数式编程，把所有的AWS服务看作一个函数，用Lambda作为转接器凑一凑一个新产品就出来了。

在这种背景下的AWS安全产品看起来有点最小化的意思，比如他们自己近期写的一个博客谈论了Guardduty的告警没有可视化怎么办，简单，通过Cloudwatch event还有lamdba之类的东西把日志提出来，再拿QuickSight读取一下日志自己建个面板就好了特别智能，感觉跟乐高一样。 

1.3.2 多路径

Amazon自身有一种团队文化，就是多路径失措，比如一个WAF，你可以假设多种它的发展未来，比如一种是规则系统的极致，或者机器学习的智能化，或者从web攻击抽离出来向业务层的风控发展，或者做前后端用户行为的感知层扩展。那AWS就有不同的团队尝试这不同的方向，最后胜利的得到别的团队的资源。

比如KMS和SecretMange，这是两个团队做出来的产品，但在我看来本质是为了解决一个问题。当然，这也是马后炮。

1.3.3 最佳实践

AWS有着安全最佳实践的概念，在AWS的安全产品中，服务器，账户，s3等的安全实践也代表了一种基线，即违反安全最佳实践的操作即代表了一种不安全的状态。类似Adviser还有产品自身控制台，Guardduty，最新的安全中心当检测到违反安全最佳实践的操作或者设置都会进行报警。

关于权限

2.1 前言

云平台的权限设计所要面临核心问题是多方的，用户与平台之间，用户与应用之间，平台与应用之间，应用与应用之间，用户与用户之间，账户与账户之间等等。核心在于三类实体之间的授权，作为人所对应的账户，用户，子用户。以及作为各种类型的服务，以及服务之下的个类型资源。

云平台所能给开发者提供的巨大的赋能机制之一就是平台服务之间的打通。这就对安全提出了各种形式的挑战，如一个账户内的应用与应用之间的授权，以及不同账户应用与应用内的授权。

在完成了基础的平台权限模型之后，更进一步的问题在于，如何在细粒度的策略中平衡组织的灵活性以及权限的安全性，以及如何将云平台的权限机制更进一步于企业本身的组织进行融合。

2.2 权限管理模型

常见的AWS账户权限的管理方式有几种类型，实际上以下几种并不冲突可以很好的互相融合一起使用。

2.2.1 多账户模型

通过Organizations关联到多个账户，比如一个企业有多个部门，那么每个部门分配一个Organizations账户，多个账户之间形成订单绑定，就是说子账户的开销主账户来付。

主账户可以通过SCP策略对子账户进行一定程度的限制，但严格来说，父子账户之间的干涉力是极其弱的，这样就形成了很强的隔离。再进一步的应用层的通信来说，虽然可以根据各个AWS的应用做到一定程度的打通，但这之后的安全性就回归到AWS单账户本身的安全性了。

2.2.2 多用户模型

另一种方式就是通过IAM建立多个用户，IAM本身提供了多种机制来保障单用户的安全性，但坑点就是在于策略配置的过程。

AWS本身提倡一种Serverless的机制，通过组合AWS的应用就可以实现一款小型的服务，比如S3的数据管理，lambed等应用的使用。如果团队技术体系与AWs融合度高的话就需要分配一定数量的用户。为每个用户分配策略的过程可能导致权限边界的模糊。

虽然有一定的对应策略，比如AWS自身的，外部的权限，策略检查机制，用户组，STS等。但实际过程中还是会有意外的情况出现。

2.3 IAM简介

IAM是AWS权限管理最核心的部分。可以说IAM构成了AWS的账户与权限的体系，其余产品都是适应实际需求过程中的辅助品。从设计理念的角度来说类似一种RBAC和ABAC的结合。但从各个平台的发展方向来说，基于角色的访问授权应该是目前的主流的发展方向。基于几种角色类型再向上兼容企业组织架构，是现有较为常见的一种思路。

2.3.1 IAM 用户，组

IAM用户就是AWS账户的子用户，单独的用户是没有任何权限的，只有通过附加策略，用户才能使用AWS的服务。而作为用户，AWS允许设置MFA，和密码策略，密码轮训等机制来保障用户安全。

上面说到AWS权限管理的一个问题就是对于策略的复杂度，AWS的解决方案中组是一种，比如为公司分为运维，开发等等部门，那就为多个部门设计不同的权限组，把新用户放入权限组中，如果该用户转岗，那么移出权限组就好了。

2.3.2 IAM 策略

IAM权限管理的核心是策略，将所有AWS服务想象为一个个孤岛，而策略就是通向不同岛屿的船票。定义你能不能上岛，并且上岛之后能干什么，能不能吃饭，能不能买东西。

而策略的设计由几个部门组成。

1. Service （这项策略是关于什么服务？EC2，S3，VPC等）

2. Action（允许进行什么操作？通常分为 列表，读取，写入，权限管理）

3. Resource （允许操作的资源的限制，比如能操作什么类型的数据？）

实际上这种方法在我看来可以视为一种针对大型平台的权限设计方案。有Service提供入场券，各个服务再根据Action和Resource的标准根据各自服务的特性设计权限体系。比如s3，可以通过resource限制可以操作哪个桶，ec2可以限制允许操作哪个实例，很先进。所以实际上来说，Action就是aws自身的访问控制标准，Resource则是一种对数据和资源的定义方式。

还有一种叫请求调解，你可以限制IP或者只允许开启了MFA的设备使用。

2.3.3 角色

AWS服务之间也是以一种隔离形式存在的，每个账户下的不同的服务都相当于一个单独的实体，如果要操作同账户的别的实体或者别的账户的实体都需要通过赋予IAM角色来获得权限。

IAM角色是一种类似用户的实体，但实际上主要的设计目的是在于为服务，应用程序，第三方AWS账户授予权限。角色不具备账户密码，访问密钥，只能通过临时安全凭证获得授权。这种设计避免了不同应用程序及服务密钥管理的问题，还为本身AWS的服务之间的权限管理提供一种友好的机制。

从安全运营的角度来说，假设企业有多个AWS账户，那么一种较为有效的方式就是通过角色为一个单独安全的AWS账户赋予权限，通过临时访问凭证对多个账户进行审计。

从某些方面来说，这是一种简单有效的控制服务和应用程序权限的方式。但实际上来说，现有的AWS许多服务都允许单独对第三方账户进行授权，这个过程下，服务和数据上下游就很难进行一个有效的管控。特别是加上一个反人类的策略设置过程。

2.4 其他云

2.4.1 Aliyun

实际上这种细粒度的访问策略对管理员提出了一定要求，还有一种方式是应用本身对自身的资源先采取一种分级或者分类的策略，比如Aliyun的MaxComputer有一种Labelsecurity的机制，可以单独给数据设立几个数据分级。实际上MaxCompute的方式相当于抛弃了平台整体权限体系，而设计了独立的权限体系。

2.4.2 GPC

而Google GPC的权限设计和AWS极其相似，都是给用户赋予策略，给服务赋予角色。但整体上更偏向将用户看作组织的一个成员，GPC基于谷歌的环境，设计之初就考虑如何与Google其他的产品的结合。如GPC的账户体系以及账户安全性是基于Google本身的账户体系。以及在产品上也有意识的考虑如何结合goolge的其他产品线，如它的办公套件啥的。

谷歌的基础权限模型由Cloud Identity 和Resource Manager 还有IAM组成，可以说设计之初就考虑了企业权限的集成，Identity完成对企业成员的账户，设备管理，IAM进行细致的云资源的授权，Resource Manager用文件目录的概念进行层级的权限管理。

Google 的IAM还有一种概念，根据设备安全状态、IP 地址、资源类型和日期/时间等属性创建更精细的资源访问权限，很像BeyondCorp衍生过来的概念。先通过设备的安全状态进行判断，之后才有这个成员在企业中对应的角色所能访问的权限。

不是说AWS没有这种东西，只不过AWS把这玩意集成到检测-响应中去了，比如AWS的Guardduty中会通过Cloudtrail的日志判断用户的安全状态并告警，主要是来源ip，不那么情景，也不那么智能。

2.5 其他公司

这里我们应该顺便提一下Netflix，在大型互联网公司中AWS使用度最高的应该算网飞了，网飞的安全团队在这个领域有许多的实践。比如开源工具SecurityMonkey，其实不复杂，就是通过accesskey对AWS各个组件的安全策略进行扫描并报警。还有近期的Repokid会对权限进行扫描并删除多余权限，还附带了权限回滚机制。

往期回顾

• 介绍

1. 公众号微信群-掮客酒馆江湖客

2. 掮客酒馆年终回顾、预告与福利 (2018年文章回顾)
   

   
   

• 安全
  

1. 使用IDA Pro在未越狱机器上替代XCode调试器

2. MacOS上使用Wireshark对IOS设备抓包

3. Clutch的安装及使用方法
   

   
   

• 历史

1. 双极：罗马与中国（上）

   
   

• 思考

1. 连我都不知道在写什么的系列（一）

阅读原文

跳转微信打开