印巴戰爭讓我們看到體系化作戰能力的重要性，單件武器裝備的能力再強，在體系化作戰面前，只有被碾壓的份。

——聯軟科技CEO 祝青柳

1.網絡治安好，或許只是個“錯覺”

近期，銀狐勒索病毒大爆發，爆發的背景是比特幣的大流行以及中美地緣政治對抗，使得勒索病毒產業投資收益能力超過了幾乎任何產業。

比特幣大流行，使得黑客攻擊勒索無法通過資金鏈被追溯到，黑客攻擊變現成為一件現實可行的事情。

地緣政治緊張加劇，使得網絡攻擊追溯變得異常困難，黑客可以將自己隱藏在對方的勢力范圍內，去攻擊對手。

現在，勒索病毒已發展為一個產業，有人制造攻擊工具、有人建立SaaS平臺分發攻擊、有人出售攻擊入口、有人負責攻擊、有人負責收錢，然后進行分贓。（黑客控制1900萬主機，通過出售主機訪問權限牟利，在新加坡被捕，這是網絡攻擊黑色產業鏈的冰山一角，一個人如何快速積累1900萬主機的控制權，這是非常值得思考的問題）

由于中國最近20多年來，社會治安越來越好，身在中國的人們非常容易產生一種錯覺，網絡上的治安也不會太差。其實，如果要打個比喻，現在網絡上的治安情況，好比有人背著大量現金，出現在九十年代的廣州火車站。九十年代末，我曾經有一次在廣州火車站幫助一個親戚買火車票，剛拿到火車票和零錢，就被人搶了，然后他們還拿出匕首，要求我給錢，而離售票窗口不遠的警察轉頭看向外面。現在的網絡治安，絕不是大家憑直覺想象的那樣“歲月靜好”。在去年，我曾經簡單寫過一篇短文說明勒索病毒的泛濫程度，上市公司被多次勒索已經成為常態。

2.網絡黑客已開始利用“地利”優勢，發動攻擊

由于網絡安全防御理論研究的缺乏，現在大多數單位，對網絡安全的理解還是買個防火墻、殺毒軟件解決問題，少部分單位覺得要買EDR、建立態勢感知系統、請網絡安全公司派人保護、加強數據備份。這些措施是否有效果？當然有比沒有強，但是在面對已經體系化作戰的勒索病毒產業面前，當下的防范措施基本可以說作用不大。要論對網絡安全最為重視的，肯定是大金融機構、大制造業單位。然而，近幾年，我國銀行業龍頭單位、家電制造業龍頭單位被勒索事件時有發生，支付贖金以億計。這些單位，大都已經部署了市場上各種類型的網絡安全產品，而且請了非常專業的人士做網絡安全管理，仍然頻繁出現問題。

網絡安全中的名詞非常多，廠商也熱衷于創造各種名詞，創造各種新產品，各個大單位也買各種各樣的網絡安全產品。如果打個比方，這些大單位好比印度，買了一堆武器裝備，卻缺乏統一的軍事理論，面對集團化、系統化攻擊黑客，吃敗仗幾乎難以避免。

銀狐病毒的出現已有多年，首次發現是2022年底，我們聯軟科技UniEDR在2023年上半年就在大型機構檢測到了銀狐病毒的木馬樣本，然而兩年半過去，該病毒最近有愈演愈烈的趨勢。這個勒索病毒比較特殊，它熟悉中國網絡安全市場，利用了中國網絡安全環境特點進行木馬的內部擴散，簡單來說就是黑客知道如何利用網絡環境中的“地利”，提升自己的攻擊效率。

然而，今天很少有高校或者安全廠商，明確提出要利用網絡中的地利、人和、技術優勢的結合，來防范勒索病毒。

我從1995年開始學習計算機網絡，1999年因為幫助證券交易所建設交易網絡，開始思考如何保護網絡的安全，2004年和一幫志同道合的技術人員創辦了聯軟科技(http://www.2vc80.cn)，目標是通過管理和技術解決，讓計算機的網絡安全實現可管可控（我們叫：構建可控的互聯世界）。有十五年的時間，我們常聽客戶提出網絡安全問題，然后和客戶探討解決辦法，如果市場上缺乏相關的產品和技術，我們就和客戶共創，十五年下來雖然做出了不少安全產品，但離真正解決安全問題還比較遠。我們現在定義，真正解決安全問題要實現兩個目標：實現底線風險管控（不敗）、安全助力業務發展（獲勝）。 

3.《戰爭論》給予的啟發：防御戰優勢明顯

2018年的一天，我和我們CTO王志在討論聯軟科技網絡安全產品到底應該怎么做才能既提升客戶的安全又不影響業務效率時，發現一個很有趣的事情，蘋果手機十億人使用，不用安裝殺毒軟件、不用安裝安全管家、不用設置個人防火墻。通過分析，我們發現iOS從戰略上就說利用了“手機是信息消費終端”這個特點，構建了一套安全保護體系，也就是說，喬布斯用“手機是信息消費終端”這個“戰場”環境的地形環境特點，設計出一個充分利用”地利、人和、技術”優勢的保護方法，讓iOS系統又安全、又方便。當然，iOS系統并非絕對安全，但是對其99.9%的用戶來說，其安全性已經足夠好。

通過這次討論，讓我意識到，我們聯軟科技不應該只是單維度地開發安全產品，我們要從幫助客戶做總體安全規劃出發，幫助客戶充分地利用自己的”地利、人和、技術“優勢，提升防御一方的作戰效率，改變攻防不平衡的態勢。為此，我們研究了戰爭中的案例和戰爭理論，最典型的是南宋末年的釣魚城之戰。它是中國古代軍事史上極具標志性的防御戰役，因其對蒙古帝國擴張進程的重大影響，被譽為 “上帝折鞭處”。南宋守將王堅，充分利用地利、人和、技術優勢，以弱勝強、以少勝多。

同時，我們從卡爾·馮·克勞塞維茨的《戰爭論》中得到啟發，防御方是有優勢的。《戰爭論》是軍事理論的經典之作，對后世的軍事戰略和理論產生了深遠的影響。在這部著作中，克勞塞維茨提出了許多精彩且深刻的思想。克勞塞維茨認為，一般來說，防御戰比進攻戰有更多的優勢。

無論是釣魚城之戰還是《戰爭論》，都說明防御方是有優勢的。為什么到了網絡戰（網絡安全的本質是對抗），大家就常說攻擊方有優勢，攻防不平衡呢？我們進行了深入思考。通過思考，有幾個發現：

戰爭不以傷亡多少為判斷輸贏，以最終誰達到作戰目標作為判斷輸贏的標準。

換句話來說，傷亡一些將士，乃至短期損失一些土地，只要最終獲勝，就說贏了。典型的例子是中國解放戰爭中，1947年黨中央根據敵強我弱的戰場態勢，提出主動放棄延安的戰略決策，將國民黨的部隊牢牢地牽制在陜北戰場，為解放戰爭的最終勝利發揮了重要作用，真正實現了用一個延安換取了全國的勝利。

網絡安全中，大家經常講的進攻容易，防御困難，指的是防御方做到零傷亡。

如果以“防御方零傷亡”這個標準來衡量戰爭輸贏，我想無論是王堅的釣魚城之戰，還是中國的解放戰爭，大家都會認為是非常荒謬的。

網絡安全防御中，廠商普遍被動采取措施，被攻擊方牽著鼻子走，所以成本極其高昂。

按照當下主流的安全理論，防御方需要找出所有網絡軟硬件資產，找出其中的漏洞，對漏洞打補丁，持續不斷進行監測發現攻擊。這些都是成本極其高昂的建議，而且很難做到“實現底線風險管控”，即，"不敗"，更不要說實現“安全助力業務發展”，即，"獲勝"。

網絡防御戰，如何定義是否實現了"底線風險管控"？

我們認為標準是核心業務系統的連續性是否受到嚴重影響，是否影響到了企業經營的可持續性？用戰爭的話來說，防御方是否失去了繼續作戰的能力？網絡防御戰中獲勝如何定義？我們認為標準是：讓對方失去攻擊價值，即對方認為繼續攻擊沒有意義，或者，在保障業務連續性的前提下安全投入低于可能的安全損失，即安全防御符合經濟性原則。

4.改變網絡安全防御目標：保護業務連續性

通過上述的討論和思考，我們認識到，安全防御的目標變了，不再以“零傷亡”為目標，而是以“業務連續性保護”和“經濟性”為目標。如果這樣，我們就沒有必要把所有的漏洞都補上，讓所有攻擊方式都無法入侵進來，我們只要抓住主要矛盾的主要方面即可。怎么抓住主要矛盾的主要方面？我們可以參考學習古代的城市防御系統，以唐朝的長安城為例，我們看看其是如何防御的。

首先，是要做身份識別，敵我識別。老百姓和士兵要區分，官員和老百姓要區分，士兵和將軍要區分，敵我要區分。

其次，建立外郭城的城墻、護城河，并將城內分成108個坊和東市、西市，坊和坊之間有隔離措施，晚上9點之后不隨意出入。如果有敵方人員潛入，可以將其控制在某個坊內，便于控制風險擴散。對水源，建立防止投毒的管理體系，避免大面積的人員傷亡。

再次，建立皇城和宮城，皇城外有護城河，對重點目標進行進一步的保護，對宮城內人員實現進一步的容錯式保護。對糧倉、武器庫等重點資源進行專項保護，武器庫深藏在皇城的核心區中。

最后，建立哨兵、巡邏(金吾衛每日在街道巡邏)、安全管理體系。

我們可以看到，唐朝的長安城的防御，不是依賴于某個城門，某個武術高手，某支軍隊，他是一個體系，城墻、護城河、坊、百姓、士兵、軍隊，以及百姓的戶籍和身份憑證管理，官員的服飾與"魚符"與"傳符"，乃至監軍等，都是這個體系中的一部分。

（圖片由AI生成）

將今天絕大多數政企、金融機構的網絡安全防御體系，與唐朝的長安城的防御體系對比，我們看到有如下差異：

身份識別，唐朝長安城對百姓、士兵、官員的身份識別管理，有一套清晰的外在（服飾）與憑證管理系統，有相關的授權控制體系。當下的政企網絡，目前還停留在統一的賬號管理階段，在權限可視化（服飾）與權限分層（百姓、士兵、官員）還有很大的差距。

唐朝長安城的防御系統，有外郭城、護城河、網格化的坊等措施，并將人員身份與進出各種“城”，以及“坊”的權限結合，建立了一套完整的權限控制系統。當下的政企單位，絕大多數“城墻”是不完整的，網絡內部做分區分域、分權限管理的更少，對于黑客的橫向移動控制措施普遍不完整。

唐朝長安城通過皇城和宮城等措施，對重點目標、重點資源進行容錯式保護。當下政企單位的網絡中，幾乎沒有區分重點目標、重點資源，還在用“零傷亡”為主的思路進行防御。

唐朝長安城建立了哨兵、巡邏(金吾衛每日在街道巡邏)、安全管理體系。由于國家倡導建立態勢感知系統，近年來關鍵基礎設施單位如公共通信與信息服務、金融、交通、能源、水利、國防科技工業等普遍建立了態勢感知等系統，但是這些系統的建設在信息的信噪比方面普遍存在嚴重的問題，沒有利用自己的環境優勢來優化信噪比，導致安全態勢感知系統價值沒有得到發揮。

對比唐朝的長安城防御體系，可以看到，當下的政企單位在前面三部分的安全防御投資不夠，第四部分的投資雖然很大，但是方法不正確。使得盡管整個社會投入了巨大的資源在網絡安全防御上，但是由于投資方向不完全正確、建設方法不完全正確，這樣漏洞百出的網絡安全防御體系，在面對類似銀狐病毒這種集團化、規模化攻擊組織面前，焉能不敗？

▲聯軟科技TDNA可信數字網絡安全架構理念

5.聯軟TDNA理論，指導網絡安全防御

我們經過討論，聯軟科技在2018年認識到網絡安全需要新的思想、新的理論對網絡安全防御進行指導，指導整體安全規劃，指導網絡安全方案設計，指導網絡安全產品的研發。因此，我們進行了進一步的總結：

1.網絡安全防御理論指導思想：利用優勢進行對抗，實現安全與效率的統一，提升經濟性，不追求絕大安全，改變攻防不平衡。

2.TDNA可信數字網絡安全架構：建立保護、對抗、安全運營的體系，用容錯進行保護，用對抗進一步提升黑客攻擊難度及攻擊成本，建立符合降噪原則的情報獲取系統和自動化的指揮控制系統。

3.安全方案，從身份與授權管理開始，到暴露面管理，到韌性業務安全，到一體化防勒索、防數據泄密以及原生安全建設。

4.產品研發，基于TDNA框架，研發市場上缺乏的產品、功能、特性，形成體系化能力。

5.功能、組件、技術，依據安全方案需要，開發符合防御體系的功能、組件、技術，提升效率、降低成本。