创业笔记 973：不可忽视的网络安全
吴
吴鲁加约 3 分钟
吴鲁加约 3 分钟考虑明天跟同事们讲讲信息安全，加上昨晚跟 xfocus 的几位老友小聚，也聊了些安全，稍微记一下大家的讨论。
安全面临的困境——之所以现在会被打成筛子，外部大环境的原因是：
漏洞大爆发 + 攻击大爆发。借助 AI 的漏洞发现、利用程序编写非常快，到了软件厂商/开源软件作者来不及处理的地步。 攻击的门槛大幅下降导致攻击者增多。本来安全攻防是一门较深的学问，需要有比较长时间学习、实践才能有效进行高质量的攻击，现在借助 AI 渗透智能体，攻防能力也平权了，谁都可以组织有效的攻击。 攻防成本不对称。仅举一个聊到的真实例子：一位白帽黑客给企业报了个漏洞，token 成本大概 20 人民币。而企业内部拉会、漏洞验证、修复、分发部署同步、外部测试验证等一个闭环走完，涉及的人员、业务成本是攻击者的数万倍。
而且还有内部原因：
企业里新增了大量 AI 生成的代码，这些代码的质量未经验证。 企业里普遍还是传统安全架构——我多年前参与一些安全评估、安全建设过程中，就曾经戏言“跨过这座山，后面就是一马平川”，往往单点被突破后会快速被大范围入侵。 企业长期积累的老业务的潜在风险快速增大。企业内外网往往有大量多年积累的老业务，这些老业务中有开源服务和组件，也有自己魔改过的代码，没有 AI 时，看起来有虚假安全的假象。当 AI 参与渗透攻击时，这就是个大筛子。一个例子是：以往的虚拟机逃逸漏洞比较罕见，而最近半年，某公司闭源魔改的沙箱/容器发生过多起虚拟机逃逸攻击。
在讨论解法的时候，我针对我们这样小团队请教，得到的第一个建议是：梳理自己的核心资产和要保护的东西。
这和我之前建议过的“三板斧”还挺一致的： https://mp.weixin.qq.com/s/TT_KHoKLqSmmjbP3rdoO_g[1]
然后进入到细节，针对线上的业务系统（办公网另说），要考虑的至少有：
建立资产库。盘点硬件 + 软件情况，包括使用的各种 SaaS 服务、开源组件等。这些是前提，没有这个基础，其实就是蒙着眼睛打仗。 做好访问控制。通过 VLAN、防火墙等把 IP 白名单、数据库连接白名单等做好。内网也需要分区做隔离，不能是一通百通。 主机保护。对成熟业务，最理想的其实也是用 HIDS 的白名单机制，有任何新增都作为异常处置。 日志审计。日志集中管理，通过 AI 做审计。 数据加密。对类似用户个人信息之类的敏感信息，必须加密存储。要假定我们就算做了很多安全防御，仍然会有漏洞，仍然会被入侵，仍然会被拖库。 凭证加密。各种 CICD 的密钥、凭证必须通过安全的方式存储、使用或者一次一密。 代码白盒审查。用 AI Agent 对代码做白盒检查，存量代码审核和新代码上线都得做。 黑盒检查/外部扫描。对业务系统进行定期的外部漏洞扫描——这个扫描不是传统的漏扫，应该结合 AI 做发现，或者结合日志做延展。 备份与恢复。
非技术的策略有：
安全日：考虑可以每季度一次，停下来针对 Checklist 看看自己的安全情况，是不是有疏漏。同时也可以做各种备份/恢复、应急响应的演习。
这是一篇我的创业笔记，欢迎你加入我的知识星球——星球创业笔记。有个简单的介绍：星球创业笔记
还可以参考昨晚一起聊天的 Ben 的记录： https://mp.weixin.qq.com/s/qEjdffI3ukAshPEuSssRWw[2]
引用链接
[1]https://mp.weixin.qq.com/s/TT_KHoKLqSmmjbP3rdoO_g
[2]https://mp.weixin.qq.com/s/qEjdffI3ukAshPEuSssRWw