百度科学家韦韬：别让安全行业的脚步赶不上黑产

11月3日，腾讯举办的首届中国互联网安全领袖峰会在北京举行，峰会大咖云集，思想观点交融碰撞。百度首席安全科学家、百度安全实验室负责人韦韬博士，也在峰会上对目前互联网安全行业发表了自己的看法，颇有新意，值得从事互联网特别是安全的同业们借鉴。

让安全跟上互联网的脚步

与自身高速发展形成对照地，互联网几乎每年都会爆出一些骇人听闻的安全漏洞。比如2014年爆出的heartbleed，让全球无数网站中招；2015年的爆出的XcodeGhost，让无数用户处在安全威胁中，也让一向以安全著称的iOS颜面扫地。除此之外，不少互联网公司包括互联网巨头，也不时爆出一些影响成千上万用户的安全漏洞，在互联网安全圈似乎已不是什么新鲜事。

对此，韦韬认为：“现在信息安全生态是附加在IT生态之上的。而目前的互联网的高速发展，导致了软件生态的摩尔战争比硬件摩尔战争更惨烈。安全不能跟上IT、互联网的发展速度时，安全问题就会随之而来。”如何应对这种安全和互联网IT发展不匹配的情况？韦韬认为：

一、现在的安全问题是巨型复杂系统处于一个长期复杂变化过程中面临的问题，并不是某一时刻把某个安全问题解决了，就一劳永逸了。新的威胁和挑战层出不穷，而老的威胁很多还没有好的解决方案，需要国家、社会、公司的高度重视。

二、用新技术提升管理能力。现在很多IT体系的点突破特性非常显著，一个薄弱点被突破，整体安全就被破坏。而传统的安全管理技术无法提供有效的覆盖。在安全管理上，一样急需颠覆性的新技术出现。

三、整个互联网生态链应该给安全厂商应有的位置。应该把安全纳入到业务发展中，成为业务中重要的一环。否则，一旦出了安全问题，安全厂商却不能帮助到出问题的互联网厂商，让双方都处于被动局面。比如虽然iOS生态比Android生态安全态势好很多，但当发生安全危机事件是，由于生态上没有安全厂商的位置，反应和处置就明显不力。比如此次iOS爆出的XcodeGhost事件便是如此。

让“白产”赶上黑产的脚步

大规模DDoS攻击、盗取账号、钓鱼攻击、电信诈骗……随着人们对互联网的依赖日益增加，人们对这些典型的网络违法犯罪行为——所谓的黑色产业，已经不再陌生。这些黑色产业，由于利益的驱动，研究和利用安全漏洞的速度、安全情报分享的速度，甚至超过了以维护网络安全为己任的正规安全行业，即所谓“白产”。

韦韬认为，目前“白道”的安全情报共享水平比黑产还有很大距离。目前常见的安全威胁情报联盟，要求加入联盟的厂商和组织之间每天都必须分享一定数量的安全情报，但这种硬性分享，还缺乏立体的生命力，跟不上黑产高速发展和变化的速度。

韦韬同时认为，尽管在安全威胁情报共享、共同对抗黑产方面存在很多挑战，比如商业规范导致一些安全相关数据难以分享，相关法规还需完善以允许和鼓励厂商分享情报等，但不妨碍我们先确立这样的安全观念并将之付诸实践，摸索中前行：当今的互联网时代，没有哪家能靠一己之力做好安全，必须相互合作，建立新的安全生态，才能共同面对新的安全威胁。

让安全跟上市场的脚步

近年，随着互联网安全事件的频发，人们对安全的重视度在不断增加，国家也把互联网安全上升到了国家战略的高度。这些，都为中国安全行业创造了一个前所未有的、有利的发展环境。

据相关机构预计，到2018年，国内信息安全市场总体规模有望达到37.13亿美元。但和发达国家相比，我国网络安全产业的现状仍不容乐观，信息安全投入占整体IT投入仅为2%左右，远低于欧美成熟市场8~12%的水平，不仅产业规模较小，安全厂商在全球市场份额中的占比也相对偏低。

韦韬认为，在欧美国家，很多厂商特别是大厂商都很鼓励创新，让安全厂商获得应有的地位，把市场对安全的需求真正释放出来。为此，韦韬呼吁，在互联网环境日益复杂的今天，厂商们应该更加重视安全，增加安全投入，给安全以它应有的市场地位，让中国互联网行业拥有一个相对安全的生态环境，不至让安全问题成为企业发展的绊脚石。