安全路透社
当前位置:安全路透社 > 网络转载 > 正文

首席信息安全官是怎样炼成的:FreeBuf专访联想CISO Richard Rushing

跨国企业的CISO平常究竟在做些什么?这个职位对于企业安全来说意味着什么?面对各种无法避免的攻击,CISO又是如何应对的?从企业安全这个严肃的角度来说,CISO(首席信息安全官)或者CSO现如今扮演的角色对任何企业而言都已经越来越重要。他们理应是群不苟言笑,并且应该在高层会议上为安全争取预算拍案而起的人。这一点,在FreeBuf与联想全球CISO Richard Rushing的聊天过程中看来,却并非如此。

我们有机会接触到Richard Rushing是在去年年底的FIT2017大会上,这位来自美国的大个子应邀参加本次大会,分享了他的议题《网络犯罪如何突破企业安全防护》。虽然Rushing看起来是个相当有气势的CISO,我们原以为需要和大佬谈谈“治国方略”和“下一个五年计划”这类型,却没想到职位“C”打头的人也可以这么随性和诙谐。

RR snap 1.png

从创业的过程汲取营养

起初几分钟的严肃被Rushing很快化解,我们询问Rushing,联想在过去一年中是否发生了重大的数据泄露或安全事件。Rushing开口道:“我要想想怎么给你个好的回答,同时保证我的饭碗不会丢。”这一言就将气氛打造得愈发轻松了。

Richard Rushing的职业生涯和很多安全从业人员类似,他也并非在职业生涯伊始就选择了安全行业。“大多数安全从业人员都把它视为一种爱好、一种热情。我先前是学经济学与金融的,跟信息技术没有太大关系。但是我从80年代开始就一直接触PC。”所以Rushing的第一份工作是西门子的高级网络管理员。

但在做了这份工作6年之后,才在通用电气开始从事与安全相关的工作。1996年,他与伙伴共同成立一家名叫SecureIT的公司。自此安全一词开始伴随Rushing至今。SecureIT面向政府、企业和非盈利机构提供网络安全管理咨询和技术服务,涉及相关企业安全的面还相当广泛——这家公司很快被VeriSign收购;Rushing在2002年再度与伙伴携手创办AirDefense,这家公司主营无线网络安全,在Rushing作为公司CSO(首席安全官)的第七个年头,AirDefense被摩托罗拉收购。2009年Rushing升任摩托罗拉移动CISO,自此跟随摩托罗拉几度易主,一直到现在联想麾下。

startup.jpg

在此期间,创办SecureIT和AirDefense大概对Rushing产生了莫大的影响。所以Rushing饶有兴致地与我们聊了聊他对初创企业的诸多经验。“创业者可以学到不少东西,比如整个组织架构,从CEO,到销售,到市场,再到物流、财务等等,可以从上至下整体学习。创业是一场竞赛。如果有人告诉你,在创业公司里每周可以只工作20个小时——那是不可能的。初创企业总是在赛跑,因为如果你成功了,你会看到其他竞争者马上就会提出类似的想法,而你必须打败他们。”

创业为Rushing带来的不止是冲劲儿,更在于对变化的洞悉,和对现有条件的平衡把握。这恰巧也是从全局掌控安全必须的重要理念:及时了解攻击者TTP变化,在企业内权衡安全与性能、预算与投入。“初创企业若要成功,就必须在对的时间、地点和环境下,推出对的产品。如果技术过于先进,没有人想买,等到两年后,市场才注意到你的产品,你又得重新评估自己的产品,并进行调整。初创企业要取得成功有很多要素:你的产品必须可行,价格须与市场环境相匹配,而且要有较强的可用性,宣传营销,还得有市场需求。”

另一方面,“初创企业更要考虑优先级的问题,毕竟人员有限,而这些人在开发新功能的同时还需要回过头来解决之前的问题。所以初创企业必须要把握平衡。管理层必须要意识到一点:你是初创企业,做不了太多事情。我们常常会听到初创企业盲目做出承诺,应允客户新产品将很快发布。很多初创企业都没有意识到,作出这样的承诺,也不能赢回客户。”

需要“知己知彼”的CISO

上面这些大概都是CISO达成火候所需的前期准备,而在Rushing看来,安全最重要的还是“热情”。

“先前我大部分时间都在处理与PC相关的问题,搭建网络,保证设备能够正常运转。后来安全就成了我的爱好,很多和我同时代的人也是如此……人们常常会问我对信息技术如何理解。我觉得在信息安全行业取得成功,最重要的就是要有热情,要学习新的事物,学会分享,并且热衷于动手解决问题。热情才是最大的动力。我们常听到有人说,我在某某公司,做某某应用。一做做了20年。这时候就有人觉得,我不想20年如一日地做同样的事情。而在安全这一行,也就是在这里,你会看到许多不同。当你看到新的事物,你就需要去了解它。”

hacker4.jpg

“如果有新的恶意软件,那我就会去做分析,然后再组合起来,去理解它的行为,并不是说打败它就完事儿了。在拆分和重组的过程中,我可以学到黑客的思路,从而了解他们如何利用现有的漏洞等等。这是人们学习新技术的一种重要方式。不管是软件定义的网络,软件定义的无线网络,还是云相关的,你不能沉浸在自己的世界当中,因为现在技术正在蓬勃发展。”

此间Richard Rushing反复提到以黑客的视角来看待问题。在Rushing看来,黑客技术本身就是安全人员的必备技能之一。安全方面的工作很大一部分是由渗透测试等方式构成的。安全从业人员大多理应具备一种心态,即安全从业人员自身会如何攻击某个目标,如何绕过某个安全措施。

“自己尝试之后,就能够了解如何利用和操纵相关的漏洞。如果能像黑客一样思考,就可以预测他们要攻击的位置,相应地去设计防御措施阻止他们获取信息。每次有数据泄露之类的新闻曝出,管理层也总是会问,同样的状况是否会发生在我们身上。而作为信息安全官,就必须要能回答这样的问题——比如我们没有使用相关平台或技术,或者我们也会遇到相似的问题,我们如何缓解或者修复。”

“知己知彼,才能百战不殆。”(You’ve got to understand how attackers are going to attack you to make yourself a better defender.)

在Rushing看来,即便风平浪静、一派祥和的情况下,CISO也不能放松。“没有条件,也要创造条件去了解攻击者的想法。”“你需要创造一些事件,去了解具体的风险是什么,需要知会哪些相关人士,以及如何进一步处理该事件。举例来说,有些数据泄露可能是某人的一台笔记本丢失,有些是恶意软件感染,有些则是攻击者入侵公司系统,企图窃取信息。这些情况所要求的控制程度是不同的,需要通知的人员也不尽相同。”

RR FIT 1.jpg

“没有必要关注攻击本身,因为攻击总会发生”

“CISO的角色在过去几年中已有很大的变化。CISO原先更侧重于合规性的实现,现在则更关注应急响应和与企业管理层之间的沟通,告知管理层,具体的风险是什么,如何缓解威胁,如何事后补救。要做一个成功的CISO,你必须要结合业务,了解企业环境中存在哪些风险,并与执行层沟通。这就是CISO的职责所在。”

如我们所知,当代的CISO经常需要处理各类数据泄露、事件响应和网络攻击。Rushing认为扮演这样的角色,自然不该寄希望于攻击事件的减少和消失,而应当准备好此类事件的频繁发生。所以,CISO需要了解事件响应的常规程序,来明确自己的职责,并且特别重视事件响应这一环节。

enterprise-security-cybersecurity-data-breach-hack-centrify-survey.jpg

先前Gartner的全球研究部门高级副总裁Peter Sondergaard曾经说过:我们每天都会面对新出现的安全漏洞,我们需要对检测和响应做更多的投入,而不是试图完成不可能的完美防护目标;企业组织应该从先前在投入方面90%的防护和10%的检测与响应,过渡到60%的防护和40%的检测与响应。Rushing与我们探讨的大致上也是这个问题。

“作为一家全球性的企业,你必须接受这些事情一定会发生。不管你安全做得多好,总是会有各种软件接入,那么问题就变成如何管控企业内部网络中移动的对象,保证其不会有异常行为。”

Rushing把企业的数据比喻为“王冠”,入侵者的目的就是要拿走王冠。“要阻止他们进来很难,但我可以阻止他们偷走数据。在我看来,人们没有必要关注‘入侵(Breach)’本身,因为入侵事件总是会在某个时间点发生,关键是要了解应急响应的流程,及时阻止数据外流——关键在于尽可能管理和缓解相关事件。”

跨国企业做安全的最大挑战

作为一家跨国企业,联想需要承受的攻击面非常大,在Rushing看来这无疑加大了对攻击面监控的难度。因为跨国企业面对的是全球的环境,“北美、南美、亚洲、欧洲都有不同的交流方式,需要设定相应的角色,来沟通各处发生的不同状况”。这其中最大的挑战在两个方面,其一是动态的变化(或许更多在于Shadow IT),其二则是作为跨国企业,“各地的标准”。

“如果你要了解具体情况,就必须亲自去了解,进出企业网络的流量。你会发现企业网络中总会有新的连接建立起来,每天都需要关注和发现这些连接。这样才能发现企业网络中发生的变化,它不一定是危险的,但却是一些未知的变化。

“比如有一群管理员在你的服务器上做样机试验之类的操作,他们可能忘了给服务器打补丁,就把它留在那里;等到三个月后再回来做测试,就发现出问题了。在企业环境中发现这样的服务器是很关键的。你需要观察公司的流量、分辨好坏、发现异常行为——其实也就是可视化。可视化程度越高,监控起来也越简单。如果可视化程度低,那么你就脱离了环境,就会处于劣势。”这种应对快速变化的能力,大概和Rushing前期的创业经历是分不开的。

Cybersecurity_Risks_And_The_Board_Of_Directors.jpg

另一方面,对Rushing和联想的安全来说,“挑战常常不是来自技术层面,更多的是来自于人和流程。在流程方面,各地各有不同的流程,我们需要做出相应的调整。在人的方面,更多地是文化层面的,特别是人们的隐私观。不同地区的人们,对于隐私信息的看法有很大差别。

“比如说,有些人比较重视私人的电脑,有些人比较重视工作电脑,这的确造成了一些挑战。再者就是时间方面的问题,各国的节假日不同等等。在效率方面,如果是处于同一结构下,就基本没有差别,这里需要两周完成的事情,别的地方同样需要。确实有一些需要注意的地方,但我认为在全球范围内的大多数环境中,流程是均衡的。你可能需要多一些计划性,并留意一些细节,比如运输、税务方面的问题。

“真正的挑战在于各地的标准。”

Rushing眼中的2017年

在谈到技术的未来时,Rushing回归诙谐本性:“我预测2017年,电会停,灯会灭。”这当然只是在开玩笑,不过Rushing的态度似乎的确够悲观。Rushing最关心的是未来技术是IoT:“我认为IoT还是会疯狂发展,会有越来越多的新功能。”…“黑客也会继续活跃,DDoS攻击勒索将增多,类似DNS服务商Dyn遭遇基于Mirai僵尸网络的DDoS攻击而瘫痪的事件也会继续发生,损害企业资产。”

此外,“今年应该会曝出更重大的数据泄露,数据泄露的数量也会越来越多,而且连环的泄露事件也会发生,就像雅虎的事件”,“网络犯罪者会攻击更多人,以勒索钱财。这些都不是什么好事,但却是可能的一些趋势”。这大概也是作为一名安全从业人员,对技术发展在安全方面惯有的悲观态度吧。或许也正是这种悲观的态度,才能让CISO面对企业安全工作时保持时刻警惕。

*FB官方报道,本文作者:kuma,转载请注明来自Freebuf.COM

未经允许不得转载:安全路透社 » 首席信息安全官是怎样炼成的:FreeBuf专访联想CISO Richard Rushing

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册