9月8日，2023外灘大會網(wǎng)絡(luò)安全分論壇在上海舉行。論壇由螞蟻集團(tuán)和《信息安全研究》雜志社聯(lián)合主辦，以“開啟原生安全范式，護(hù)航網(wǎng)絡(luò)空間安全”為主題。會上螞蟻集團(tuán)與浙江大學(xué)網(wǎng)絡(luò)空間安全學(xué)院重磅首發(fā)了一項引領(lǐng)性網(wǎng)絡(luò)安全成果 “原生安全范式框架v1.0”。這是探尋網(wǎng)絡(luò)安全本源的技術(shù)思想和方法體系的集成，主要包括“OVTP可溯范式”和“NbSP零越范式”兩大安全范式，一大技術(shù)創(chuàng)新“安全平行切面”。

“現(xiàn)代化數(shù)字企業(yè)已經(jīng)成為不斷演變和進(jìn)化的數(shù)字生命體，其架構(gòu)復(fù)雜性會爆炸式增長，正在加據(jù)企業(yè)內(nèi)部數(shù)字化風(fēng)險。網(wǎng)絡(luò)安全保障，本源還是要回到訪問是否合法的問題。我們希望通過原生安全范式框架，為企業(yè)安全架構(gòu)設(shè)計提供指引，讓原生安全從宏觀要求，走向可落地實踐”。從事多年重要網(wǎng)絡(luò)安全保障工作，螞蟻集團(tuán)副總裁、首席技術(shù)安全官韋韜，對網(wǎng)絡(luò)安全的新態(tài)勢和安全工作的本質(zhì)有深刻見解。

(圖：螞蟻集團(tuán)副總裁、首席技術(shù)安全韋韜發(fā)表主題演講)

面對網(wǎng)絡(luò)安全新挑戰(zhàn)，螞蟻集團(tuán)從2019年開始便探索了原生安全范式，并通過迭代升級，實踐驗證不斷完善，凝聚成了 “原生安全范式框架v1.0”。主要包括兩大安全范式、一大技術(shù)創(chuàng)新。兩大安全范式包括“OVTP可溯范式”(Operator-Voucher-Traceable Paradigm，即OVTP)和“NbSP零越范式”(Non-bypassable Security Paradigm，即NbSP)。一大技術(shù)創(chuàng)新主要是“安全平行切面技術(shù)”體系，是從兩大安全范式出發(fā)創(chuàng)新的方法體系。二者相輔相成，讓原生安全理念得以落地。

(圖：原生安全范式框架v1.0)

兩大安全范式在原生安全思想下，對網(wǎng)絡(luò)安全訪問問題提出了創(chuàng)新解法。簡單來看，OVTP就是確保網(wǎng)絡(luò)訪問敏感操作可追溯可研判，如客服人員調(diào)用客戶信息時依賴的服務(wù)工單，不致產(chǎn)生越權(quán)漏洞;而NbSP就是類似機(jī)場安檢，攻擊者不會通過各種漏洞形成的隱蔽通道(比如下水道或者通風(fēng)管)繞過安檢點(diǎn)。

螞蟻首創(chuàng)的“安全平行切面”可以為現(xiàn)代數(shù)字化機(jī)構(gòu)實現(xiàn)OVTP可溯范式與NbSP零越范式提供高效的方法體系與基礎(chǔ)平臺，實現(xiàn)了網(wǎng)絡(luò)安全治理效果和效能跨越式提升。例如，2021年雙十二大促期間，針對 log4j2漏洞攻擊，螞蟻集團(tuán)安全平行切面體系實現(xiàn)了小時級全站止血，安全應(yīng)急人力從 fastjson應(yīng)急時的6000人日降低到30人日，效能提升達(dá)到百倍，止血加固雙管齊下，業(yè)務(wù)0打擾化解危機(jī)。

在論壇上，圍繞“開啟原生安全范式，護(hù)航網(wǎng)絡(luò)空間安全”，奇安信、平安集團(tuán)、之江實驗室、北京煉石網(wǎng)絡(luò)、北京知其安科技、Certik公司等單位的嘉賓也分享了行業(yè)實踐和最新研究。

中國電子科技委副主任、奇安信集團(tuán)總裁吳云坤認(rèn)為，現(xiàn)代企業(yè)網(wǎng)絡(luò)安全是從業(yè)務(wù)出發(fā)的內(nèi)生安全，這樣的安全防護(hù)體系具備三個關(guān)鍵要素：第一，從關(guān)注業(yè)務(wù)出發(fā)，構(gòu)建內(nèi)生安全體系;第二，從關(guān)注“人”出發(fā)，將安全機(jī)制內(nèi)置于數(shù)據(jù)全鏈條;三，從關(guān)注運(yùn)營出發(fā)，構(gòu)建實戰(zhàn)安全運(yùn)營體系。這些能力幫助奇安信“零事故”完成了2022年北京冬奧會網(wǎng)絡(luò)安全保障，吳云坤介紹。

(圖：中國電子科技委副主任、奇安信集團(tuán)總裁吳云坤發(fā)表主題演講)

平安集團(tuán)首席信息安全總監(jiān)陳建分享了原生安全典型實踐 DevSecOps：代碼即安全，在編寫代碼的過程中將安全性視為一個核心要素，以確保開發(fā)出的軟件應(yīng)用程序在安全方面具有高度的可信度和防御性;上線即安全，在應(yīng)用程序上線之前，必須確保應(yīng)用程序具有高度的安全性和可靠性，減少后期修復(fù)漏洞和問題的成本;運(yùn)營即安全，在軟件系統(tǒng)和業(yè)務(wù)運(yùn)營的過程中，將安全性視為一個持續(xù)的需求，確保在運(yùn)營階段保持高水平安全性，降級遭受攻擊風(fēng)險。

北京煉石網(wǎng)絡(luò)創(chuàng)始人、CEO白小勇介紹，基于安全平行切面技術(shù)，煉石網(wǎng)絡(luò)在數(shù)據(jù)流動的切面上重建安全規(guī)則，實現(xiàn)了安全與業(yè)務(wù)在技術(shù)上解耦、能力上融合。“免改造應(yīng)用落地原生數(shù)據(jù)安全，兼容多、交付快、防護(hù)好、省成本”，白小勇表示。

公安部第三研究所副所長金波，第十三屆全國政協(xié)委員、上海市信息安全行業(yè)協(xié)會名譽(yù)會長談劍鋒，對于原生安全范式開帶啟的網(wǎng)絡(luò)安全治理表達(dá)了殷切期待。

原生安全范式的核心思想是讓安全能力融入業(yè)務(wù)的毛細(xì)血管，這一思想也正在重塑現(xiàn)代企業(yè)安全治理。論壇參會嘉賓一致認(rèn)為，原生安全范式這一高效能的安全實踐，強(qiáng)依賴于范式認(rèn)知與安全基礎(chǔ)設(shè)施的演進(jìn)，需要更多的企業(yè)、機(jī)構(gòu)參與技術(shù)共建、應(yīng)用探索，共同打造高安全水平的網(wǎng)絡(luò)空間。

免責(zé)聲明：市場有風(fēng)險，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。