7月14日，2022北京網(wǎng)絡(luò)安全大會(huì)（以下簡(jiǎn)稱“BCS”）在京召開(kāi)。作為國(guó)內(nèi)頂尖的網(wǎng)絡(luò)安全領(lǐng)域會(huì)議，一年一度的BCS早已成為北京重要的戰(zhàn)略窗口與科技名片，每年都匯聚全球智庫(kù)學(xué)者、網(wǎng)絡(luò)安全行業(yè)領(lǐng)袖、頂級(jí)技術(shù)專家，共同探討最前沿的網(wǎng)絡(luò)安全問(wèn)題，分享最新的技術(shù)動(dòng)向和成果。今年的大會(huì)，采用XR直播形式在云端展開(kāi)，北京賽博昆侖科技有限公司創(chuàng)始人兼CEO鄭文彬到場(chǎng)，以“數(shù)字安全的基礎(chǔ)設(shè)施用漏洞來(lái)驅(qū)動(dòng)量化安全”為題，分享了自己對(duì)網(wǎng)絡(luò)安全新的觀點(diǎn)。

2021年1月，在全球網(wǎng)絡(luò)安全領(lǐng)域享有盛譽(yù)的“技術(shù)大神”鄭文彬（MJ），創(chuàng)立了北京賽博昆侖科技有限公司（以下簡(jiǎn)稱“賽博昆侖”），開(kāi)啟了自己的創(chuàng)業(yè)之路。今年，已經(jīng)是鄭文彬創(chuàng)業(yè)后第二次出席BCS并發(fā)表演講。

在演講中，鄭文彬首先明確了“量化安全”的概念。他認(rèn)為“量化”與“可測(cè)量”是人類在科學(xué)探索過(guò)程中一個(gè)非常重要的工具。具體到網(wǎng)絡(luò)安全領(lǐng)域，“量化安全”并非新概念，美國(guó)安全戰(zhàn)略公司MITRE在將近20年前，就已經(jīng)提出“可測(cè)量安全”的概念，并提出了枚舉、語(yǔ)言、庫(kù)等用于量化測(cè)量安全的工具。

鄭文彬認(rèn)為，截至目前，“安全”仍然停留在“定性”的階段，而“定性”只是“定量”的前提，如何“定量”，目前仍然缺乏標(biāo)準(zhǔn)。這關(guān)系到在攻防演練、滲透測(cè)試，以及真實(shí)的黑客攻擊中，安全架構(gòu)是否被攻破，能否被用于判斷其價(jià)值等實(shí)際問(wèn)題。

鄭文彬表示，“安全”有點(diǎn)像打疫苗，在起到防范作用的同時(shí)，也會(huì)為廠商的性能、穩(wěn)定性、兼容性等方面帶來(lái)問(wèn)題。而如果沒(méi)有好的方式來(lái)評(píng)估安全能夠帶來(lái)多大的正向價(jià)值，也就無(wú)法以合理方式，消解“副作用”帶來(lái)的負(fù)面價(jià)值。

同時(shí)，定性安全還牽涉到責(zé)任問(wèn)題。例如在很多0DAY漏洞攻擊事件中，一些高危漏洞及水下0DAY漏洞幾乎是無(wú)解的，防護(hù)再?gòu)?qiáng)或軟件安全做的再好也會(huì)被攻破，所以做防護(hù)是否還有意義？鄭文彬認(rèn)為，這主要是由于更多從“定性”角度思考問(wèn)題導(dǎo)致的，將“安全”變成了“非此即彼”的問(wèn)題，體現(xiàn)了“定性思維”的弊端。

鄭文彬說(shuō)，中國(guó)擁有最頂級(jí)的安全攻防能力，但卻很難擁有與之匹配的安全產(chǎn)品，這就是由于定性結(jié)果無(wú)法轉(zhuǎn)換成定量的結(jié)果，而安全產(chǎn)品所需要的，事實(shí)是“定量”。從目前來(lái)看，網(wǎng)絡(luò)安全面臨的問(wèn)題只剩下了0DAY漏洞，除此之外，其他問(wèn)題已經(jīng)解決好了，所以解決0DAY漏洞威脅就成了當(dāng)務(wù)之急。國(guó)內(nèi)雖擁有超強(qiáng)攻防能力，但技術(shù)能力只能轉(zhuǎn)換成“定性結(jié)果”，即只能做攻擊，缺乏定量的標(biāo)準(zhǔn)與具體落實(shí)。

鄭文彬表示，制定“定量標(biāo)準(zhǔn)”，首先要統(tǒng)一衡量尺度，要有很強(qiáng)的可比性，可輕易分辨哪個(gè)方法“更好”，或者“差多少”。在這個(gè)問(wèn)題上，漏洞無(wú)疑是非常好的“一般等價(jià)物”，可用于評(píng)估基礎(chǔ)設(shè)施，作為標(biāo)準(zhǔn)化量化的衡量工具。漏洞是攻防的起點(diǎn)，也是貫穿整個(gè)攻擊鏈?zhǔn)冀K的核心突破點(diǎn)。同時(shí)，在漏洞攻防領(lǐng)域，本來(lái)已經(jīng)擁有非常好的枚舉與描述，如CVE和CVSS等，經(jīng)歷了幾十年的應(yīng)用，發(fā)展已很成熟，但也同樣存在問(wèn)題。例如，出于安全考慮，近年來(lái)大型廠商更愿意選擇不披露進(jìn)一步的漏洞信息，其結(jié)果是通過(guò)CVSS或者廠商威脅報(bào)告，已經(jīng)很難從攻擊者視角下體現(xiàn)攻擊的真實(shí)威脅程度。

鄭文彬舉了一個(gè)2021年修復(fù)0DAY漏洞時(shí)的例子，雖然一些漏洞的CVSS號(hào)數(shù)字差不多，但真實(shí)的危險(xiǎn)系數(shù)卻不盡相同。有些漏洞就很容易被利用，而有些同樣CVSS數(shù)列數(shù)很高的漏洞，卻很難被利用，威脅程度完全不一樣。目前來(lái)說(shuō)，CVSS只關(guān)注修復(fù)覆蓋度，區(qū)間度太少，會(huì)導(dǎo)致忽略緩解和攻擊利用的問(wèn)題。

對(duì)此，鄭文彬提出，應(yīng)制定更科學(xué)的方法，評(píng)估漏洞和攻擊的量化標(biāo)準(zhǔn)，衡量整體安全效果。目前，業(yè)界已有一些廠家提出了類似觀點(diǎn)，并做出了一些嘗試。如Google Project Zero的 0DAY In the wild項(xiàng)目，會(huì)收集全球范圍內(nèi)被使用的0DAY漏洞，通過(guò)深度分析，告訴大家如何評(píng)估安全程度。而ATT＆CK等公司，以及一些攻防演練如Pwn Games等，也在從“量化”角度衡量攻擊、防守的實(shí)踐效果。但是，目前的這些嘗試仍然存在局限性，如Project Zero更專注0DAY漏洞，而對(duì)于NDAY漏洞等其他安全威脅很難覆蓋。ATT＆CK則更多關(guān)注攻擊后期，對(duì)于漏洞的起點(diǎn)和突破點(diǎn)比較忽視。而攻防演練和Pwn比賽，可歸類為實(shí)戰(zhàn)型驗(yàn)證方式，對(duì)于推進(jìn)安全生態(tài)幫助很大，但更多是短時(shí)間單側(cè)攻防，并不代表未來(lái)的長(zhǎng)期狀態(tài)。安全，重在日常，很多高級(jí)攻擊往往會(huì)持續(xù)進(jìn)行，業(yè)界仍然需要更加持久化、常態(tài)化評(píng)測(cè)的手段。

在演講的最后，鄭文彬表示，安全界需要“量化”標(biāo)準(zhǔn)，從技術(shù)角度來(lái)說(shuō)，希望把技術(shù)實(shí)力轉(zhuǎn)化為更可量化的安全價(jià)值。他說(shuō)，賽博昆侖和旗下的安全研究團(tuán)隊(duì)“昆侖實(shí)驗(yàn)室”正致力于把漏洞價(jià)值轉(zhuǎn)化為具體實(shí)踐，目前正在推“量化安全情報(bào)”、“實(shí)戰(zhàn)利用評(píng)估與緩解”，以及“量化安全情報(bào)門戶社區(qū)”。賽博昆侖希望與業(yè)界公司一道，打造更為普適性的測(cè)量標(biāo)準(zhǔn)，以綜合評(píng)估漏洞的利用難度、攻擊危害，提升整體網(wǎng)絡(luò)安全的效果。