造一个“钢铁侠”帮你揍黑客，有没有搞头？

文 |史中 浅黑科技

夜晚越陷越深,铁柱还在工作。

妻子安睡在他身边。

他特意把膝头的电脑屏幕调暗,借着幽暗的光芒,他能看到她隆起的小腹。

还有几天,他就要做爸爸了。

铁柱是好梦公司最重要的人物——IT运维工程师,按理来说,他一天也不能离开岗位。

但老婆生娃可是人生大事,领导得知情况,特批他居家工作。

一个礼拜前,他刚给自己开好了远程端口。此刻,他只要在家连上这个端口,输入之前设定的密码,就能进入公司内网日常维护了。

他噼里啪啦拍动键盘,眼睛扫过每一行参数,一切正常。

“嗨,公司的网络防火墙我都配置好了,就算黑客偷偷进来,也会被拦截的嘛!干嘛这么紧张。”他嘟囔。

铁柱合上了电脑,良夜中传来妻子均匀的呼吸。

“一生中总有几个特别美好的夜晚,人间值得。”想着想着,他也沉沉睡去。

翌日早晨八点半,手机铃声大作。

“你怎么搞的!”领导劈头盖脸,“公司电脑全被锁住了,上面显示着英文,说什么交钱才能解锁电脑,我们被勒索了!勒索了你知道吗?!”

铁柱一个鲤鱼打挺,光速冲到公司。

老板电脑上一个猩红的提示框,下面有一行比特币收款地址,旁边是炸弹一般的倒计时。

黑客写得很清楚,公司重要资料都被加密,倒计时之内如果不打钱,所有资料就会永久消失。

末尾,还留下一个近乎嘲讽的诡异表情“0_0”。

铁柱紧急连接公司的网络防火墙,调出昨夜的日志。

他全明白了。

问题正出在几天前他给自己开的远程端口上。

因为觉得全世界只有自己知道公司网络开了这个端口,所以他就随便用“123456”做了密码。

没想到,黑客通过暴力尝试很轻松地就破解了密码,几天前就长驱直入。

但黑客很狡猾,没有直接作案,而是植入了后门程序,方便随时进出。

夜里三点,就在铁柱熟睡的时候,黑客光临了公司网络,开始向电脑植入勒索病毒。

防火墙不是吃素的,第一时间探查到了非法入侵,把攻击指令尽数拦截。

黑客无功而返。

然而,诡谲的事情发生了。

凌晨四点,黑客换了个面具再次蹑手蹑脚摸了进来。由于掌握了铁柱的管理员密码,这次,黑客一上来直接用铁柱的身份把防火墙给关了。

刹那间,网络空间所有的“摄像头”熄灭,恰和夜晚一样漆黑。

记录戛然而止。

后面的故事,也用不着看日志了,看看眼前几十台电脑上齐刷刷的勒索信就都明白了。

铁柱呆坐在原地,灵魂出窍,像拖进度条那样一遍遍把世界从午夜拽到凌晨。

问题到底出在了哪儿??

他先是恨自己设置了弱密码。

可是,就算设置了更强的密码,也难说就一定不会被破解。况且,仅仅一个密码就导致网络被一锅端,也太不科学了。

他又恨自己没有在防火墙上打开强提醒功能。

探测到黑客进攻,防火墙应该给自己拨电话的。可是防火墙存在一定误报率,如果事事都提醒,那肯定不堪其扰。

他又恨自己睡得太早。

如果昨晚再熬几个小时的话,在防火墙被黑客关掉的一瞬间,肯定能发现不对劲。想到这儿,他自己都笑了,世界上有早晨四点还不睡觉的运维工程师吗??

第二天,公司支付了几万元赎金,铁柱被记了大过,黑客满意而归,消失在黑暗里。

这是个悲伤的故事,也是个真实的故事。

除了铁柱和好梦公司是化名以外,其余情节完完全全来自一份“赛博案件卷宗”,而且,这起攻击事件就发生在2021年。

普通人也许不了解,在广袤的网络空间里,这样的黑客戏码就像魔鬼的舞剧一样一刻不停上演。

黑客吃着薯片动动手指就能发起偷盗和勒索,而“铁柱”们要想守卫自己公司的领土,却连媳妇生孩子的当口都提心吊胆。

事实背后,是两个残酷的结论:

1、虽然现在很多公司都会购买“防火墙”、“入侵检测系统”等等一堆安全产品,但安全产品就像枪、炮、坦克这类武器——武器再好用,也需要战士来操作。而且要日夜坚守,才能荡清敌人。

2、绝大多数中小公司,根本雇不起“战士”,像铁柱这样了解一定攻防知识的工程师已经是稀有物种。于是,无数公司就像黑暗森林里的小鹿——尚未成为黑客的猎物,仅仅因为还没轮到你。

那……这个世界会好吗?

中哥不敢说,但我知道起码有一群人在为此努力。

这群人组织了一支热血军团,日夜巡逻,专门帮企业胖揍图谋不轨的黑客,犯我强汉者,虽远必诛。

如果仅仅是会打架,还不够高级,最牛的地方在于:他们不是那种穿西装塞耳机的只有总统才有资格用的黑衣特工,而是老百姓都能用得起的“亲民钢铁侠”。

钢铁侠咋还能亲民呢?你看看下面的图就知道了。

黑衣特工个顶个都得是优中选优,拳上能站人,臂上能走马,还得经过007一般的训练,那选拔成本和日常开销肯定都杠杠的,一点不亲民,光亲邦女郎了……

但钢铁侠就不同了。

它的核心奥义是,不需要每个战士都有007一般的战斗力,而是“把一整套黑科技固化成机甲战衣”。

普通战士穿上了机甲战衣,立刻拥有飞天神力,Buff拉满不比詹姆斯邦德差。如此,既有人的灵性,还不失机器的效率,岂不美哉?

今天中哥就给你讲讲:“钢铁侠”是怎样炼成的。

(一)“钢铁侠”还是“背锅侠”?

2018年的一天,深信服公司大楼。

产品研发负责人胡斌被领导叫到了公司的打印房里,讨论一件“机密事宜”。

老浅友应该知道,深信服是一家我蛮喜欢的公司。

要我说,他们的核心技能就是一招儿:研发出干净利落的IT产品,然后通过遍布全国的销售渠道迅速推进各个企业。

这一招儿看上去确实平淡无奇,但世上的事怕就怕“认真”二字。

在中国IT历史上,深信服把这一招儿用得出神入化,接连做出很多“爆款”。就这样一边缓慢抬高广大中国企业(尤其是中小企业)的技术水位,一边自己成长为无法被忽视的 IT巨头。

这波操作在20年的时间里从未变形,一度让围观群众目瞪狗呆。

回到那个打印房,胡斌接到的任务正是研发一个神秘的“新品”——MSS。

MSS的官方翻译一点都不性感,叫做“安全托管服务”,Managed Security Services。我不喜欢这个翻译,要我说,MSS应该翻译成“没啥事”。

因为,MSS的功能就是:

派一群专家天天在线帮客户盯着网络安全,没事儿帮你巡逻,有事儿帮你摆平,那客户不就“没啥事”了么?

胡斌

话说,胡斌可是从2013年起就负责深信服的产品研发,很多爆款都是他从头规划的,大风大浪全见识过,妥妥地算是“老炮儿”了。

可是那天听到 MSS,他却皱起了眉头……

这么说吧,原来深信服就像是“卖武器的”。

我把一整套枪炮卖给你,你自己去用,后面我作为厂家就只管保修了,你得真的学会用枪才能抓到小偷。

(就像下面这样,瑞克把枪卖给莫蒂,莫蒂自己去搞定怪兽。)

可 MSS却不是这样。本质上它卖的不是“武器”,而是“抓小偷”的服务——我得实打实派出一群“保安大队”日夜在人家公司巡逻。

这种情况下,如果小偷来了我没逮着,那人家肯定要问:你是干啥吃的?

(所以“卖服务”的话,就像下图,瑞克姥爷要亲自下场。)

如果让中哥选,我肯定选择卖武器,我才不想做抓小偷的服务呢。

又累又麻烦,抓住小偷是钢铁侠,抓不住小偷秒变背锅侠,你说是不是这个理儿?

“老炮儿”胡斌当然更明白,抓小偷这个活儿,挺难干的。

讲到这儿,不妨暂停一下,中哥先给你普及一下“世界大势”:

从天空俯瞰,这几年随着全球经济增速变缓,各个产业都迎来一波巨变。

别的不说,单说“黑客”行业:

过去,黑客专注于搞大企业,因为大企业钱多嘛。

所以大企业没办法,不仅要买各种防火墙、入侵检测,还会雇佣一堆昂贵的“御林军”(全职网络安全人员)来保卫自己的安全。

现在,经济形势不好,黑客也学会了“拓宽业务”、“精细化运营”,于是盯上了更多中小企业。毕竟蚊子肉也是肉嘛,有枣没枣打三竿子。

结果,中小企业躺枪。

安全形势急转直下,他们买不起那么多设备还雇不起那么多人,又必须挡住黑客。

所以, MSS这种远程帮你揍黑客的“高性价比模式”悄然迎来春天。

讲完这个“大势”,我们回到现实。

这不,已经有很多客户快抵挡不住了,明确表示:你们深信服能不能帮我们抓黑客?只要别太贵,我们肯定买!

这次领导特意把胡斌找来,就是为了告诉他一件事:都知道安全服务这摊事儿难做,但为了人民的幸福和公司的发展,MSS已经箭在弦上,不得不做了。

面对这么艰巨的任务,几位团队里的“老师傅”浮现在胡斌脑海里。

蔡成志和李焕波先后被派去,组成“敢死队”。

要说这两位,可是深信服内部的“资深 CP”。

2012年左右,他俩曾作为搭档,蔡成志负责技术产品,李焕波负责市场运营,搞出了深信服的神作——“下一代防火墙”。

举个不太严谨的例子。

“下一代防火墙”对于深信服来说,就像苹果的 iPhone4,是个里程碑级别的超级爆款。

自从有了下一代防火墙,腰不酸了背不疼了,深信服在网络安全这片江湖里浪荡才有了沉稳的压舱石。(当然防火墙是另一个曲折的故事,今天先不展开了。)

总之,这次把蔡成志和李焕波这样的功勋大牛都调动起来了,可见深信服在 MSS上想押一把大的。

可是把时间拉回到2018年,两眼一抹黑。

到底这个钢铁侠应该怎样设计,才能以最高的效率干掉黑客呢?蔡李两位老湿也很头大……

蔡成志(左)和李焕波(右)

(二)搞出“钢铁战衣”,拢共分几步?

2018年的深圳,蔡成志和产品团队围坐在桌子前。

两个雷打不动的事实摆在面前:

1、黑客并不遵守劳动法,他们的上班时间是007。

如果要保证客户爸爸的绝对安全,巡逻队就必须24小时无死角值守。也就是说,防守队伍必须三班倒,有人要上夜班。

2、这么一支三班倒的专业队伍,如果还一对一专属贴身服务,那成本肯定高得吓人,只有“贵族”企业才用得起,这不好。

所以正常情况下,应该像饭店的服务员一样,站在大厅里,哪桌有需要我就去服务哪桌。

咱都是下过馆子的人,你想象一下这个场景。

既然“服务员”是一对多服务,那就需要有两个素质:眼疾、手快。

眼疾,就是第一时间发现哪家企业正在被黑客攻击;

手快,就是用最快的速度把黑客干掉。

你懂的,相比机器,人类的眼睛和手速都十分弱鸡。所以,“眼疾”、“手快”这两个素质,恰恰要靠之前说的“钢铁侠战衣”来加持。

到底要怎么搞呢?

第一步,为了发现黑客,蔡成志他们设计了一个精巧的“钢铁侠千里眼”。

假设面前有1000个企业,每个企业内部都安装了网络安全产品(杀毒系统、防火墙等等),这些安全产品会实时产生日志。

把这些日志汇总起来,传到云端的“威胁分析平台”进行分析。

一旦分析出日志有异样,平台就会发动告警。

注意,告警不等于就真的有攻击,因为之前说过,机器判断存在失误的可能,此时切勿急躁,要人类进行二次确认。

所以,这个告警会瞬间传到“人类分析师”面前。

分析师需要在几分钟内完成检查,然后给出“真”或“假”的判断。(当然,这里不一定是一位分析师,如果任务多,可能增加分析师。)

如果是假威胁,就不再继续追究;如果是真威胁,则马上“立案”,进入下一步骤。

所以,威胁分析平台和人类分析师串起来,就是“钢铁侠千里眼”。

第二步,当然就是干掉黑客,这里就要用到“钢铁侠机械手”。

蔡成志告诉我,干掉黑客必须分为两步:调查和处置。

先说调查。

调查的意思就是,弄清楚黑客是怎么进来的,比如用了什么漏洞、破解了谁的密码等等。

注意!!调查,其实是整个环节里最难的一步。这就像柯南探案一样,要想揪出凶手,必须有高超的调查技巧。

在网络安全这一行,最有经验丰富的老师傅才负责调查案件,他们就相当于柯南。(工资水平也相当于柯南。)

可是,问题来了:

如果每一桩案件都让“柯南”来查,固然很好,但“柯南”的数量终归是有限,忙不过来。

这里就必须借助科技的魔法——让柯南把自己的调查步骤写成脚本,让普通侦探来执行脚本。

脚本咋执行呢?举个栗子吧:

假如“柯南”要调查一个凶杀案,拢共分三步:

第一,需要先查看关键位置(窗户、门)有没有破坏的痕迹;

第二,需要查看隐秘的角落里(门背后、床底下)有没有藏凶器;

第三,查看关键位置(门把手、杯子)上有没有指纹。

这些步骤就组成了“脚本”。

中哥拿着柯南的脚本,也是先看破坏痕迹,再查隐秘角落,最后看关键位置,也能八九不离十地找出凶手。

当然,在反黑客攻击的世界里不看指纹,看的是:关键漏洞、攻击程序、异常行为等等。

针对不同的进攻形式,老司机们总结出了不同的脚本,他们专业术语叫做“库”。

比如A类攻击,工程师就启动“A库”来调查;B类攻击,工程师就启动“B库”来调查。

调查之后,工程师就能知道:1)黑客是从哪进来的,2)黑客进攻到哪一步了。

接下来就是处置。

处置有很多方法,这里你可以简单理解为“堵门”和“抓人”。

堵门的意思是:

黑客用哪个漏洞进来的,就把漏洞赶紧修好,黑客使用哪个IP攻击,就把这个 IP的全部指令拦截;

抓人的意思是:

不是真的去把黑客抓到,要想抓到黑客肉身,只有报警让警察叔叔去抓。

这里说的抓人是指把机器上黑客安装的进攻软件清除掉,并且收集到黑客的特征数据,如果再敢来,就第一时间认出来,削他。

当然,处置的一系列动作也可以由脚本来完成,老师傅们根据不同情况做了200多个告警处置脚本。

以上,就是蔡老师给我讲的,MSS的基本工作流程。

给你一张完整的图感受一下↓↓↓

你注意到没,整个流程虽然挺长,但是逻辑很严谨。

总的来看,就像个糖葫芦:

机器自动执行的“库”,就是一颗颗山楂;而人类的指挥,就是把山楂串在一起的竹签。把幸福和团圆连成串,没有愁来没有烦。

硬核糖葫芦

李焕波告诉我,这种“安全系统”和“安全工程师”相亲相爱、各自发挥优势的系统模式,就叫“人机共智”。

听完他俩一通科普,我盘算了一下,这群老师傅不简单啊,人机这么一“共智”,起码从两个角度提高了效率:

第一,工程师可以一个顶过去十个。

安全工程师每天上班8小时,原来是有活儿就干,没活儿只能闲着。现在就跟打地鼠一样,处理完A公司处理B公司,效率拉满,多劳多得。

第二,问答题都变成了选择题。

过去,安全工程师遇到问题,得依靠经验查来查去,就像做“问答题”。

现在,只要从“库”里选择一个脚本执行就好。就像做“选择题”。

做选择题肯定比问答题快到不知哪里去了。

等等!

有什么地方不对!

“黑客可不会按照你们的套路来,他们的脑洞可大了,万一藏在一个隐秘的角落,用A库B库C库内裤都调查不出来黑客在哪,那怎么办嘞?”我问。

李焕波看到瞒不过聪颖的中哥,呵呵一笑,交代了他们的小秘密。

秘密就在人身上。

深信服的安全工程师团队,虽然都叫安全工程师,但却像战士一样,是有“军衔”的。他们分为三个等级:T1、T2、T3,意思就是:优秀级,史诗级、战神级。

假如你是铁柱,需要深信服 MSS来帮你管理安全运营工作,那么,你将会认识一个“小分队”:

里面的T1工程师帮你摆平日常攻击,他摆不平的话,任务就会自动交给小分队里的T2工程师。

到T2工程师这儿,已经能搞定99%的问题了。

那T3级别的战神工程师呢?他们专门对付疑难杂症,绝大多数客户都是听说过没见过。

(要是T3工程师还搞不定,那估计就是三体人的水滴攻击,需要二向箔来对付了。。。这种攻击不能说没有,只能说极少。)

所以说,下面这张图才是最完整的“没啥事”流程↓↓↓

怎么样,人机配合指哪儿打哪儿,打得黑客跪下叫爸爸,很牛掰吧?

我的眼神逐渐崇拜,两位老师傅赶紧给我浇冷水:其实以上所说的,是钢铁侠的理想形态,但现实嘛,总是和理想有差距。

即便是现在,深信服 MSS还有一些不如人意的地方。如果退回到2018、2019年那会儿,钢铁侠更是初出茅庐。

那时,即便拳脚稚嫩,还要强撑着跟黑客打架,可坑苦了 MSS的同志们。

(三)钢铁侠不听话怎么办?

我们不妨把视线放到长沙。

MSS的服务工程师“根据地”设立在火辣的长沙,一场火辣的“磨合”就发生在那里。。。

画面里有“几股势力”:坐镇深圳的蔡成志产品代表队,驻扎湖南的服务工程师代表队,遍布全国的客户代表队。

当时的局面是酱的,看中哥给你摆一摆:

客户的要求很明确。

第一,有深信服帮忙守卫,不能出现安全风险,这是基本;

第二,即便没有风险,每周我的网络里究竟发生了什么,你要给我一个书面汇总报告。

可问题是,不同行业、不同属性的客户,尤其是大客户,想看的报告内容各不相同——工程师要针对性地给每家公司写报告。

这样一来,就出现了尴尬的局面。。。

每周服务工程师们都要手动查很多数据,还得用 Excel算一下,然后填进报告里。

服务工程师跟产品团队说:为了提高效率,你得针对各个客户给我开发自动提取数据的功能啊。

产品团队跟服务工程师说:你这一个客户一个样,我总不能针对每个客户都开发一套功能吧?累吐血也赶不过来啊。

这时,客户反而很冷静,说:有事好商量嘛,不要吵~反正顾客是上帝,我!就!要!每周看报表!!!

三方就尬在这里。

作为吃瓜群众,估计你都不耐烦了:什么嘛,不就是个报表,看不看的有那么重要么?只要能把黑客抓住不就行了?

问题是,在当时,抓黑客这件事也完成得不够好。

举个例子你感受一下。

你还记得吧,MSS工作流程里有一个“钢铁侠千里眼”环节:

分析平台要汇总数据,然后发出报警,人类分析师对这个报警的真假进行判定。

一个新报警出现,分析师不是看一眼就能判断真假,他要用各种工具进行“调查”才能得出可靠结论。

比如去样本库里搜索一下这个程序连接的网址是不是有“案底”,去综合查看几个关键点位有没有连带异常。

问题来了:

分析师觉得产品团队给的工具很难用,还不如手动查找快。

产品团队觉得分析师用工具的姿势不对,用对了肯定更快。

这个矛盾的本质是:工具是死的,严格按照代码执行,可人是活的,不会百分百按照你设想的方式干活。

要怎样把人类智慧揉进代码流程,当时别说蔡成志,就连深信服也没有太多经验。。。

这样一来,整个系统的效率一直提不上去,这必然会导致在和某些黑客的对抗中慢半拍。

“半拍”的时间极其宝贵。

黑客进攻企业就像下面的水滴这样,会从各个角度尝试,哪怕你挡住了99次,只要有1次反应不及时,就会被攻陷。

然后迅雷不及掩耳盗铃,黑客就可能已经把企业资料盗走,勒索软件可能已经把资料锁住了。

这可不是闹着玩儿的。

类似这样的问题还有很多。

要我看,这些都是“人机矛盾”的例证。

凯文·凯利把人机协作的模式分为四种:奴隶模式、外星人模式、宠物模式、上帝模式。就像下图这样。

无论哪种协作模式,都需要长期的磨合。

MSS的人机协作模式大概应该算是“宠物模式”。

怎么理解呢?

比如你有一匹马,你不能像开车一样,出门的时候骑上它,回来之后拴起来,平常不管不顾。

会骑马的人都知道,你得摸清楚马的脾气,知道它的长处短处,还要和它做朋友,这样才能人马合一,成为优秀的骑手。

你看,MSS的这副钢铁躯壳像不像一匹难以驯服的“野马”?

哪有什么东西一上来就是成熟的?人类驯马还花了好几千年呢。这么复杂的产品,要给时间慢慢来嘛!

可是,历史是个相当没耐心的家伙,最不会的就是“慢慢来”。

2020年1月,一位不速之客降临我们的国度。没错,它就是疫情……

很多公司都猝不及防地开始了居家办公,即便是去办公室,也得分成几组轮岗。

2020年视频会议软件 ZOOM的股价飙涨说明了一切。

这样一来,像铁柱这样的运维工程师,就更没办法天天肉身守护公司网络了。

于是,找人远程帮忙管理网络安全成了新时尚。

这可不得了,MSS团队一抬头,客户们已经排队冲过来了……

但问题是,MSS当时仍然不够完善,还需要辅助不少手工工作。这时候几百个新客户涌来,湖南的工程师团队面前的任务一下子就爆了。

客户本来冲着简单省事选择了 MSS,可是,很多安全响应却比较缓慢,于是有的客户又纷纷放弃了 MSS。。。

口碑就是生命啊!生死存亡之秋,需要一位老炮儿来帮大伙儿稳住阵脚。

胡斌就是这个人。

当时,胡斌接手了 MSS所在的安服业务,带着蔡成志和李焕波飞到长沙,马上跟大家开会。

迎接他们的,是扑面而来的吐槽。

深信服有个传统,越是靠近客户的人,他的意见就越不能被忽略。这些工程师天天被客户爸爸怼,显然最知道问题出在哪儿。

胡斌给大伙儿承诺:两个月内,我把大家需要的工具全部集成在系统里,而且,日常服务客户再也不用自己做 Excel!

很多大佬都告诉过我,Excel是智能化转型的最大绊脚石……

说到这儿,你可能要撇撇嘴:之前都没磨合好的事情,胡斌又不是神仙,他说搞定就能搞定吗?

但胡斌手握尚方宝剑,已经决心杀开血路。

这第一招,就是借来天兵天将。

在公司的支持下,他愣是拽来了好几十号技术大牛。

这第二招,就是集中优势兵力。

他把其他所有开发任务都给暂停了,所有人只进攻一个方向:开发人机协作的模块。

这第三招,就是各个歼灭。

就拿自动化编排报告来说。他让大伙儿先集中精力研究中小客户的需求,把他们的共同需要先开发出来。

在这个基础上,再集中火力对大客户的特殊功能逐一开发。

就这样,一个个功能调研、设计、实现,两个月的时间,还真让服务工程师们用 Excel的次数越来越少。

当然,这些工具全部是给深信服服务工程师用的,客户们感觉不到,他们能感觉到的是自己的网络挺安全,还能定期收到详细报告,钱花得蛮值。

历史奔涌的大潮中,MSS总算没翻船,而且还渐渐开进了主航道。

“钢铁侠”总算造好,也顺畅工作起来。

按理说,应该 Happy Ending了吧?可服务业是这个世界上最难的行业,老天对这帮人的折腾还远远没有停止。

这不,李焕波又成了最纠结的那个人。

(四)钢铁侠“心理学” 

就在2020年,半夜两点,MSS团队发现了一家公司的某台电脑正在被黑客动手脚。

夜班工程师赶紧按照流程处置,可是,就在最后一步——阻断——的时候,他犹豫了。

因为黑客感染的那台电脑在内网中处于一个有些重要的位置,贸然阻断可能会影响客户系统的正常运作,有些投鼠忌器。

按照规程,这时候他应该给客户的运维负责人(也就是铁柱)打电话,确认一下要不要阻断。

于是,他打了。

客户半夜两点接到电话,正睡得昏天黑地,一听,啥?阻断一台电脑也要半夜问我?你们自己干了不就行了?!这是啥服务啊?!

第二天,深信服 MSS团队紧急开会,讨论一个关键问题:以后半夜两点要不要打扰客户。。。

结论是,别打扰了。

过了几个月,还是半夜两点,这位夜班工程师发现一家公司的电脑正在被黑客入侵。

为了不打扰客户,他展开紧急调查,还特意确认了一下没有业务在这台服务器上运行,然后决定直接阻断。

第二天早晨,客户打电话来,很生气:你们怎么不说一声就直接阻断呢?我们当时是在内部测试!!

工程师哭了,还有活路没有啦……

业的一个巨大痛点:不是说你把该做的做了,客户就满意,你得了解每个客户的性格和心理,服务才能更贴心。

李焕波他们痛定思痛,决定在前期就跟客户们约定清楚:

半夜12点到早晨7点之间,哪些级别的入侵事件,我们可以通知你?哪些级别的事件,我们能直接处理?

在?看看黑客

这样的细节改动数不胜数。

到最后,逼得运营团队都开始看起《用户心理学》的书籍了……

不过,李焕波讲这些故事的时候,明显面露幸福,说明他们这么努力,还是有回报的。

这次去深信服,我恰好碰到了一位常年在一线给客户做方案的同学,他叫段雄舰。

他所在的是广东区,在他的记忆里,全是惊心动魄的故事。

有一家医院,原本系统很老旧,也没做什么特别的安全措施,这么多年也没发生问题。

不过,就在2019年,突然有相关部门找到他们,说检测到他们医院有接口对外暴露,存在风险。

段雄舰给我讲。

他就是当时医院找去给检查问题的老师傅之一。

很快,原因找到了。

原来,这家医院想要更好服务患者,添置了几台服务器,开设了互联网医院。可是由于经验不足,这些接口没有报备信息科管理起来,成了“孤儿”。

这张图仅仅以医院为例。很多公司和机构都存在类似情况的“未被保护资产”。

万幸,这个接口还没被黑客盯上,万一……那可不得了啊……

第二天一早,信息科领导紧急把全院很多部门都叫来开会:快说,你们还有谁架设了服务器,统统报备!

你可能会问,让部门自己上报,万一漏报了,不还是有风险么?

没错,靠人报备确实会有遗漏。

段雄舰告诉我,很快医院就上了 MSS,让深信服的同事制定巡检计划,定期扫描医院网络。

如果探查到未知设备,就马上溯源处理,这样就收敛了安全风险。

我记得那年过年的时候,MSS就承担了医院网络重点保护的责任,早七点晚十点各发一次报告,总结半天的安全数据。

后来,医院信息科的同事们告诉我,他们终于可以不像往年一样轮流去医院值班了。那时候,我觉得我们做的事情还是挺牛的。

段雄舰笑。

我听得津津有味,问段雄舰,还有啥故事,再给我讲讲。

他说这样的故事太多了,但时间可不多了。一小时后他就要赶到东莞,跟客户约好了要谈一个问题,有机会再见,漂流瓶联系。

说完,他把电脑夹在胳肢窝,风尘仆仆地冲进了电梯。

段雄舰“人机协同”是一个更本质的未来 

跟 MSS几位老师傅聊完,夜幕已经降临。

会议室外,人们安静地穿行,有人下班,有人仍旧在闪烁的屏幕前凝视。这种低噪声的秩序感是深信服一直以来散发的独特味道,每次来我都能闻到。

我突然想到两个更深层的问题:

作为产品见长的公司,深信服为什么会冒险闯入不那么熟悉的 MSS赛道?

而短短几年,MSS就在中国蓬勃发展,这背后又隐藏了什么逻辑?

其实,只要把视角拉远,就能看到一个非常有趣的现象——“人机协同”正在成为这个时代的标配。

2016年,阿法狗刚虐李世石那会儿,人们相信AI的春天已经来了,未来AI会取代各行各业劳动者。

然而,5年过去了,没有任何一个行业被 AI代替,清洁工还在黎明破晓清扫落叶,工程师还在深夜的屏幕前画图,中哥还在这死去活来地写稿。

但是,机器和智能真的没有渗入我们的工作吗?

随便举两个中哥最近了解的行业:

客服。

你给银行客服打电话,接听的是人类小姐姐。

你不知道的是,在她面前的屏幕上,你问的问题都被实时转成文字。在文字旁边,AI还会给出几个备选答案。

客服小姐姐可以把答案和她的专业技能结合成最终回复说给你。

物流。

如果你日常在学校或开阔的办公园区,这个“双11”可能已经体验过“送货快递车”,而它们是被快递小哥领养的。

小哥指派它们完成路况简单、不需要上下楼的任务,小哥自己则去跑只有人才能送到的场景。

在客服的场景里,机器如果直接合成声音和你对话,你就会觉得傻傻的。但它辅助小姐姐和你说话,你就觉得爽爽的。

在物流场景,机器无法覆盖所有环境,却可以作为小哥的补充,也是一种天衣无缝的配合。

人机搭配之所以干活不累,背后的本质是:机器没有你想得那么好,而人,没有你想得那么差。

我们还是说回网络安全。

我也曾幻想哪家公司发明一个“神器”,就像大片里的银弹一样,可以干掉所有进犯的黑客。

但现实却一再修正我的看法:网络安全对抗终究是人和人的战斗,包含了欺诈、权谋以及不时涌现的灵感。

这些特征都包含了“非理性”因素(非理性和创造力是相联系的),是人类智慧特有的属性,如今计算机和AI的发展水平难以企及。

但黑客的威胁步步紧逼,一种新的安全组织模式必须出现。

这种新模式,除了要“人机协作”,还要“报团取暖”。

自古以来,人类就会“抱团取暖”。部落的形成,就是个人让渡了一些权力,交由一个组织来集中保卫他们的安全。

而 MSS的本质,正是企业们的联合,交由网络空间的“部落安保队伍”来集中守卫自己的安全。

由此,效率可以达到最优。

所以,MSS在原理上可以认为是更先进的组织模式。就像下图这样。

胡斌日常会看到很多中国网络安全的态势数据。

他觉得,如今被 MSS保护的企业只有几千家,还远远太少了,几万、几十万企业仍然在“野外”独自作战。

如果向未来看,当越来越多企业进入“部落”,野兽们就会失去大量猎物,变得更加饥饿。而那时,仍然坚持孤军奋战的企业会面临更加凶险的局面。

没有人会在清晰地认识到形势之后,仍然选择独自和野兽对垒。

报团取暖,于是成为一个确定性的趋势。

如果回到2018年,深信服确实是在冒险,因为当时他们是中国罕有的一支做 MSS的队伍;

而在如今的2021年,一些前瞻性同样很好的安全企业和互联网大厂宣布进入 MSS。友商的进场,也许反而会让深信服更安全一些。

老话说,人生没有白走的路,每一个坑都算数。

胡斌、蔡成志、李焕波这群人以前犯过的每一个错,如今都会变成一根安全绳,在别人“徒手攀岩”的时候,自己能爬得更稳。

冒险者永远值得尊敬。

不过,“善于冒险”比“敢于冒险”更值得喝彩。