2018安全行业发展5大趋势
发布时间：2018-02-25 17:15

最近思考人生比较多，对行业的发展也有些自己的思考。

唯一的例外，就是业务持续性和业务安全这两个是可以和业务部门沟通的。前者最常见的就是被D了，业务中断了，一小时损失多少PV，多少流水，业务部门比安全部门算的清。但是前者安全部门可以做的很有限，大多数情况下还是要以来安全厂商来解决。后者除了依赖安全厂商，安全部门也可以有发挥余地。常见的业务安全问题多与黑灰产对抗有关系，比如虚假点击、虚假注册，恶意爬虫之类。这些业务安全问题，业务部门是比较容易理解的，安全部门的价值也是容易体现的。2018年，甲方安全的同学如果觉得自己做的事情价值业务方不理解，不认同，不妨尝试下业务安全。

整个行业范围的去解决这些安全问题，我个人理解比较靠谱的方式，是类似大型公有云平台解决客户安全问题的方式，就是在物联网的操作平台层去统一解决大部分问题。设备厂商只要使用统一的几种OS或者开发套件就可以解决大部分安全问题。2018年这方面大家拭目以待。

另外在AI赋能安全产品领域，我个人理解在更加细分的领域，漏洞发现类的产品发展会快于防护类和监控类产品。因为AI尤其是深度学习，最大的一个特点就是不可解释性，虽然最新的发展已经可以部分解决卷积处理的结果，但是对于MLP、RNN这些还是难以以人类可以理解的逻辑去解释。这对于防护类和监控类产品非常尴尬，你拦截一个包，判断一个交易申请是欺诈，你还没法和人解释，这就尴尬了。但是对于扫描类，或者说智能渗透，这个问题就没有那么尴尬了。另外扫描类产品对于误报的容忍性比其他产品要强，偶尔误报也可以忍了。但是阻断类产品就没那么轻松了。我个人理解扫描类AI产品值得期待。

从几个头部公司到众多独角兽公司，从互联网公司到传统企业和政府，都接触到大量的个人隐私数据。基于大量客户数据二次挖掘，提升用户体验甚至直接产生经济价值，已经成为很多公司的选择。但是一旦这些隐私数据没有妥善的保存、处理以及操作审计，出现信息泄露事件后果都是很严重的。这两年基于个人隐私数据的PR战只是冰山一角。基于个人隐私数据的犯罪以及司法刑事案件已经层出不穷。典型的就是基于隐私数据的互联网欺诈。立法层面对企业搜集、保存和处理个人隐私数据进行约束已经逐步进行。尤其是国外，公司层面的个人隐私泄露将遭受巨额罚款。国内这方面还在起步，不过趋势肯定也是向国外看起。与个人隐私相关的大数据软件安全、SGX、TEE、差分隐私、同态搜索等技术将普遍使用，有兴趣的可以关注这块。隐私保护已经从制度和审计层面，走向了攻防对抗阶段。