未来越来越多的组织,会改变以往盲目进行安全建设的风格,转而更加关注网络安全所带来的实际效果,并会有越来越多的人开始考虑安全建设的本质。那么,安全建设的根本目标是什么呢?
我认为在2.0时代,安全建设的目标有两个,一个是解决传统安全所不能解决的问题,也就是提高主动安全防御能力;另外一个就是让安全工作变得更方便,安全工作变得更有效率,提高整体安全运营的能力。

基于主动防御能力,建设安全运营中心的一点思考

我将办公网安全全貌划分成三大部分本篇为基础能力,算是对上一篇的一部分前置条件的补充;第二大部分我称之为横向拓展,设计监控与运营(SOC)、网络准入、文档安全、设备管理、终端检测&响应(EDR)、数据防泄漏(DLP)以及一部分认为在建设中后期才需要做的事情;最后一部分称之为温饱之外,主要是阐述一些可以集成提供的IT服务能力,近期应该会紧随发出下一篇。

浅谈BeyondCorp(二)-标准化是办公网安全的基石

在今年不同的安全会议中大家都开始宣讲一种之前国内关注不多的模式-零信任架构概念,在全球领域内该概念下实践较为前沿的是Google BeyondCorp项目。我目前所在的团队一直在各细分领域学习并对标Google&Amazon等厂的优秀安全架构方案,并有幸参与、设计公司的零信任架构项目并去实践落地,也会在不涉密的情况下持续分享一些我的拙见。

浅谈BeyondCorp(一)-受管设备与分层访问

在互联网企业移动端业务发展到一定规模后,移动安全方向所输出的解决方案也需要更加贴合到保障公司业务的层面上,而非将自身及团队局限在传统意义的攻防对抗困境中。所以,在将上文所述的移动安全基础组件上线完毕后,我们除了在已有领域的深耕之外,会持续进行一些与业务紧密贴合安全方向的探索,分享从更多角度出发,在更多领域业务安全保障经验。

漫谈互联网公司移动安全体系的探索与实践

很高兴看到前几天360主办的互联网安全大会(ISC2018)有单独的分论坛关注“零信任”,也有点吃惊,毕竟几个月前认真谈这个的还挺少。不过,我觉得只从“身份”的角度谈“零信任”过于局限,甚至可以说“零信任”相关理念和实现框架的核心恰恰在于超越“身份”。

“零信任”的产品化路径(一)