弗雷德•科恩：如何科学地构建全球信息标准

凤凰科技讯 9月24日消息，2014中国互联网安全大会今天上午在北京举行，计算机病毒之父、弗雷德科恩公司首席执行官弗雷德•科恩在会上谈了如何通过科学的构建全球信息标准。

他表示，人们需要一种源自于政府、企业、专家等各方力量的保护，信息安全防护技术还并不是一门确定性的科学，它是理性头脑下的艺术，像炼金术一样，需要通过不断的实践调整。

弗雷德•科恩讲话实录：

大家好！今天我们要阐述的话题是如何构建全球信息标准，我们如何通过科学的构建这样一个系统。这是我的一个摘要，大家可以在互联网上阅读，有中文版的PPT，大家现在在网上可以直接看到英文版的PPT。这里我要谈的是信息保护的艺术，合理决策，还会讲一下实践标准SOP的更新、思考和探讨。首先谈一下，我们恐惧和不确定性的怀疑的问题，我们简称为FUD。

为了更好的理解为什么要说FUD，所有的业务都是为了赚钱，我们的计算机业务和电子商务都是为了赚钱，我们要了解赚钱是商业的主要目的，当然我们还要考虑到你是否能够安全的运营，如果不能安全服务和供给我们就会觉得受到了威胁。反之，我们不能做到很好的安全服务，谁会来购买你的产品呢？当然我们还要考虑的就是，我们怎么样向消费者推销我们的安全软件，这里有三个问题：恐惧、不确定性和怀疑的问题。

恐惧就是坏事即将发生在你身上，已经在别人的身上发生过了，不确定性是你怎么知道自己是安全的，谁在看护你，第三是怀疑，不仅是你本身存在这个问题，即使是国家安全局也不能保证你的秘密。比如我购买每个产品，但是在美国你说相信我们吧，因为我们可以保证你的安全，但是你要知道现在我们在电脑安全方面是有很多不确定性的。所以，经常会有商家会说快来使用我们的产品，用了你就安全了，国家安全局都已经使用我们的产品了。所以，我们可以看到这个FUD就是人们普遍面临的一个问题，那也是我们现实面临的一个问题。

无知并不等于幸福，很多的政府更倾向于攻击胜于防御，其实这是一个现实。它包括用于攻击的费用和用于防守的费用，哪个更多呢？其实攻击的费用更多一些，因为他们要收集情报，而且还要用于反间谍的费用会很高，最好的防御他们认为就是进攻，包括对情报的需求超过了对安全操作的需求。比如水的攻击、食品、燃料、电力等系统，这会在大量的基础设施之上，我们现在处于信息社会，计划年代，这些设施越来越依赖于信息系统，那么这些系统越来越依赖于电脑。

我个人的观点，信息保护就是一门艺术，就像炼金术一样，信息保护更像一门艺术而不是基于科学进行的。比如说一个月40天，90天我们就会改一次密码，就像炼金术一样，安全防护的经验法则和概念就是这样，定期更改密码，安全防护措施也会越来越多，我个人的观点，我们认为更多是一个科学的方式，而是我们需要更多的测试，绝大多数的安全概念并不是理论，而是实践中我们有没有更好发挥作用的方法。很好的一个例子就是我的科学法则并没有真正的奏效。

为什么要这样做呢？我们应该考虑合理性的决策，我们首先要知道百分之百的组织做的决策是什么样的？有什么样的选择？是不是选择项有限呢？也就是说你不能从零到一百确认你的电脑被袭击到底是处在什么样的阶段或比例，所以用于决策的因素只限于事实，这是很有限的，你必须要基于你在什么地方或者在什么样的情况下来做出明智的决定。你为什么要做出这样的选择，这是需要决定的，这是你具体的情境，你要做这些或者做那些，还包括一些基本的基础。这就是我们基本的运营方式。

什么样的决策是科学的，目前没有，这是目前的状态，但将来很有可能会有，将来我们可能会让它奏效。例子就是说我们有很多的组织，他们有成熟的模型，他们认为可以有助于减少错误和遗漏，比如说我们有了电脑，并不代表能够保护你的安全和秘密，不是说有了电脑就是有秘密了，但是我们知道经常有了电脑还会有一些漏洞，很多人还会获取你的秘密，你的目的是什么？当然是希望能够有安全性，让其他人无法获得，这样的话我们就需要更成熟的模型帮助我们减少错误。最根本的一个属性就是能够减少这样一种所谓的透明性。

保密性也是我们的目的，所谓的透明度其实是我们的进行决策设计时的一个重要的测量因子，所以我们需要进行更加科学和多元的研究，来进行修正，那就是在系统防护中是否有错误和遗漏的盲点，我们如何进行科学研究来明确这些方面呢？这就是我们现在面临的问题。我们现在所谓标准化的决策过程并不是真正完美的，你可以直接去下载一些标准化的流程，进行秘密保护，你可以直接阅读和使用它的操作方法，但并不是真正所谓的标准或者是万无一失的。比如现在我们有2700多人在使用这样的标准，我们就认为它是非常好的标准，比如在医疗体系当中也是一样的，很多人不会看看你的肩膀就知道你的问题，在安全体系也是一样，你进行所谓的诊断，你有了防火墙就可以解决这种袭击问题。但我们知道有了防火墙一样还会有病毒来解密或者是来打击这个防火墙。所以我们现在要做的事情就是要找到这个病毒的基本的数据库，然后问一些问题，基于我们现在的问题来使用同样的一种机器语言来解决这些问题。所以，我们要找到的这些答案一定是要合理的，我们必须要有专家来做出决策。所以，我们要更加有系统化的来操作这样一个流程。当我们为使用者来工作的时候，我们要进行调整。

这是一个图片，那就是我们现在所谓的实践标准SoP。最上面是我们的业务如何操作的，大家可以看到我们如何做出决策。因为我们要预防的根本目的就是让我们的业务能够成功、顺利、流畅地运行，因为我们希望我们的业务能够成功运行，所以我们需要有这样一个标准，所以最上层就是我们要理解我们的业务。接下来就是左上角，我们的职责就是要进行保护，我们需要一些技术进行保护，你要理解你的职责，为什么要有这样的职责，这样你才能有非常合理的方式进行保护，你会有风险管理方式，能够把你的职责做出保护的决定，你要理解是什么，你要在操作的时候理清你的职责和功能所在，包括有些人会影响到其他人来做一些决策，那么这些人我们首先要分析，然后才去分析其他人做出什么样的举措，然后做出应对的反馈意见。

当然我们还要进行架构的管控，技术的安全架构是我们要考虑的第三个层面，比如我们要考虑问责制的问题，以及我们如何获得信息的问题，如何做出信任的决策，我们为什么要信任他们，为什么要信任这个组织，是因为他们有长期合作的经验吗？历史吗？为什么？一旦我们理解了为什么才能做出决定。

这里你做出决策是取决于你组织的能力、还是成熟度，如果你是很高风险就是红色这块，我们建议你就不要这么去操作，不管你做什么可能都是高风险的，那么这种情况下我们会让你更加谨慎。这样的话，你要做一些事情，看看是不是对你的组织有益，但是我认为你首先要了解这样做是不是合宜高风险的情况，当然还要考虑中等风险和低等风险的时候。我再次回到这个幻灯片，我还是相信科学，因为我之前有一个很好的对话，就是很多人对一些哲学，比我对哲学的理解要更多，因为我只是一个科学家，所以你必须要了解到一些实验能够带来的一些经验和标准，这样的话你才能够确保你做的是有依可循。

如果你看我们现在做的一些案例，你可以了解很多的理论，他们都强调我们为什么要这么做的原因。我们这么做是因为其他人以前做过，当然还有一些其他的元素，也是我们觉得有很多数学方面的理论支持。比如在四十年代的时候，就会有一些信息流控制元素，还包括密码学元素，以及科恩实验表明的一些恶意软件的元素，还包括一些其他例外的情况。所以，我们认为现在即使我们的信息保护理论并不存在成熟的理论，我们听到过一些理论，但离我们现在的拓扑学和实践的情况并不能一一匹配，所以现在存在很多的错误，很多的错误都是实际存在着，都是在数学演算的时候存在着的，所以我们有很多问题需要研究，我们还需要更多的信息，比如流程控制中需要更多的信息才能更好的控制我们的运程的标程的流程，所以我们的探索实践是一个标准的出发点。

现在很多都是关于恶意软件和病毒的，几千个、上万个。但是很少有理论告诉你什么是可用的，所以有很多理论，但你肯定要做一些研究，无论别人曾经告诉你哪些不好用，但总比没有好。还有其他的一些因素也是具有它的局限性。为了能够获得足够的信息来进行保护，我们必须要进行一百多个不同领域的理论的进展，这里我们不要说有更多的领域了，我们要明白怎么进行人力资源管理，我们知道如何管理库存或者是管理工作流，我们需要理解如何能够更好的控制信息以及使用，我们需要去理解如何去降低我们的这种脆弱度，我们需要了解怎样进行转移，等等几百个我们还不能理解的领域，为了把这个工作做好，我们必须把刚才说到的这些内容都得到良好的理解才行。

所以，科学之下的一个机制实际上就是英国，通过一定的机制和原因可以产生影响，这是一个后续的基础。如果你需要一个科学的理论，必须要经过实验，我必须要做一个实验，这个实验的结果能证明一个理论是错误的，那么另外一个角度，就说明这个理论可能是对，也可能是错的，但我们知道，我们只能来证明如果出现不能用的这种情况下，这个理论才能是错的，这就是基本科学的一个理论。

实验能够证明一个理论是错误的，但对于普遍的规律来说，实验并不能证明理论的正确性。当我们不知道如何来测量某些事物的时候，我们对于数字暂时没有能够从科学角度来证实的一些方法。另一点，当我们发现一个理论被推翻的时候，我们就会对理论做出调整或者尝试其他的一些理论。我这里给大家举一个例子，这是一个科学的理论——地平论。大家有多少人认为地球是平的，请大家举手？没有人这么想吧，为什么呢？400多年、500多年前所有人都认为地球是平的，之所以现在我们不认为地球是平的了，就是麦哲伦进行了环球履行，这已经被证实了，地球不是平的。在这之后没有人认为地球是平的，原因是这个理论有实践被证明是错误的。科学有证实世界是圆的，看起来也不是真，因为它也不是完全的圆，它还有一些椭圆，所以也要不断的调整我们的理论，我们现在得到的结果就更加的正确。但我肯定，不会有人去真的担心地球是圆的还是平的，因为大多数的这些建筑盖在这些圆的地球上，你也是可以把地给平好了，就可以盖大楼。

这里我们再谈一下关于拒绝服务。问题在于我们怎么做呢，我们如何去解决拒绝服务的问题，这里我们的理论据我所知，Webster大学在这个方面有一些研究，Webster大学有一些研究和合作，你可以做这种拒绝服务，那么在sblve里面有一些拒绝服务的，为了帮助我们能够实现这种科学实验。拒绝服务的理论，也就是DoS的一个理论，就是资源枯竭造成拒绝服务。比如说，有这么多的资源，我用太多了，到最后就不剩下太多了，那么我的资源要耗尽了，这时候服务就会被拒绝，这也不算是某种程度的理论，应该是显而易见的，但是它就是一项理论。我们有不同的资源，所以，随着我们使用不同的资源，计算机就越来越慢，我们再去用服务就会被停止。这里是有一个线性资源使用的增长，直到性能和资源耗尽。我们必须对这个理论用一些科学的方法进行验证，我们在进行验证的时候要把一些资源鼓励出来，比如CPU时间、磁盘空间、内存空间、介质中的条目等等，对它进行隔离，我们可能一次有一百多个进程，一百多个进程中一次只用一个进程，两个三个四个，依次进行下去，来看看整个性能是不是下降了。我们用到101的时候可能所有东西就停止了，如果这样的话就确认了我们这样一个理论。  我们也用其他的资源再来进行验证。我们曾经做过一些实验，而我们发现在某种有限的程度下，它是有道理的，它不是一个完美的理论，但还是能够找到一些不同因素之间的互动。

所以，我们在Webster大学，这是一所全球性大学，他们在五大洲都有课程，在中国有课程，在北京、哈尔滨和上海。所以一些商学院的学生可以去Webster大学学习一些课程然后回到中国。我们希望能够建立一个网络安全项目，同时也是希望能够是全球性的。我告诉过大家，这是科学实验条件比较简单，大家可以看到这个图片，我们这里是怎么做的呢？我们想看一下我们被度量的一些实验现象等到正确响应花费的时间，实验的结果是我们必须要知道如何测量实验结果，这样两个计算机，三个计算机，持续下去进行拒绝服务的测试，直到服务被拒绝，然后我们就会问一个问题。到底实验和理论是不是一致，我们希望能够进行科学的测量。在大学里面与一些研究生一起做这样一些研究，那就是说我们不见得以前真正尝试过这样一些问题的解决，对一些专业的学校来讲，他们不是真的自己去进行问题的解决，一般都是把问题提出来让学生去解决。这是一个实验室的任务，学生是不是能够找出自己的资源有哪些，然后做一些实验，然后进行单独的测试，进行组合的度量去看一下他们之间是不是相连的，能够建立一个预测的方程，然后为这个方程来找到一个参数，看一下这个等式是不是能够成立，如果不成的话再做出一个方程。我曾经有一些学生，他们在进行服务方程的验证是非常强的，我们这个结果甚至都可以发布给全世界。

现在回到科学问题，我们在科学中不能只做参数的实验，我们需要反馈，在这个等式之后需要有一些反馈，要了解到对参数的控制，在更加复杂的环境中是不是可以使用，这些理论的更新，然后把结果进行公布，让其他人从中获益。下面我想给大家谈一下如何进行标准实践的实现。对于实践标准来讲有一百多个不同的元素，其中有一些是关于在资源耗尽方面的服务拒绝，这是比较细的内容，更多的告诉我们像DDoS的理论，我们知道如何减轻影响，我们知道如何实验的结果，我们要知道这些等式是不是可以用，取得我们的成功，如果我们找到更好的等式之后，我们必须要有数学方面的一些验证，但有时候出现问题的时候，我们提出一些问题，对这个理论进行证实。另外我们利用SoP把它进行科学化的扩展，但要更加广义的进行。

因为整个标准实践是和我们之前的大学进行合作，我相信和中国也有合作，相信在中国的档案中也能查到一些实验的结果，中国作为一个代表方开始参与到全球研究中，就有来自30多个国家的专家来一起进行档案的管理，像政府的还有私营部门的。我们从标准的实践当中拿出很多公司多年以来的最佳实践，然后开始进行审阅管理和档案管理文献。基于我们的文献研究基础上，我们发现在计算机安全理念会存在一些问题，比如在透明度方面，之前我已经给大家提过了，如果你把所有的计算机安全文档都读一下，然后读一下这些标准的话，我并不认为你能找到任何关于透明度作为保护定义的这种论述，但它已经变得非常重要了。