Question

自古以来，安全问题就是人类所要解决的最基本问题。小到每个人的安全，大到整个国家的安全，每个时代都无法回避这个问题。解决安全问题给人类生存和社会发展提供了基本保证。

自从互联网诞生以来，人类的生产力水平有了极大的提高，人们的生活随着互联网的出现变得越来越美好，但随之而来的安全问题，也以全新的面貌出现在我们面前，这带来了一系列新的挑战。

互联网、云计算、IoT、机器智能，这四项技术在短短二十年内的兴起，正在极大地改变整个世界。因为摩尔定律，计算和存储的成本每十八个月降为一半，也因此我们有能力将整个物理世界进行数字化，而数字化后的数据，通过互联网即时地传输回云端进行大规模计算的处理，从而诞生出了过去从来没有过的机器智能，而借助机器智能，我们真正拉开了一个时代的序幕。这个时代就像 19 世纪时人类进入电气时代一样，对我们的影响将无比深远。

我们所有安全从业者的责任，是很好地解决这个时代的安全问题，推动时代的进步与发展，而非让安全问题变成保守派与既得利益者的一种借口，阻碍社会的发展。先进生产力的出现，一开始往往是脆弱的、不完善的，也意味着肯定存在安全问题。但不能因安全问题的存在，因噎废食，彻底否定先进生产力。过于保守将极大地延缓人类进步的节奏，这与我们生活的环境息息相关。我想帮助先进生产力解决好安全问题，让新时代更快、更稳定地来临，正是我们安全从业者存在的意义。

在 19 世纪晚期，电气照明替代煤气照明的过程中就出现过种种争议，有人认为电气照明会带来不安全，让整个夜晚的城市照亮会方便罪犯在夜晚犯罪，甚至有报纸公开宣称照明是对神灵的亵渎。然而种种噪声终将消失在历史长河，但是这些争议却是工程师们设计一套稳定、安全系统的最佳磨刀石。出现安全问题必然意味着损失，甚至有牺牲，但需要整体保持乐观，不断总结经验就能向前走下去，终达彼岸。

安全问题是一个信任的问题。我们无从解决一个没有任何信任基础的安全问题，怀疑主义者如果怀疑一切，那么就失去了出发点。基本的信任就像一个世界中的原点，只有从原点出发，才有可能推导出一切。就像可信计算中的信任链传递，在最底层最基础的部分，一定有一个可信任的芯片，它是一切的基础。如果这个基础的信任假设不成立，那么构建的一切上层建筑将随之崩溃。

安全问题是一个研究对抗的科学。没有对抗，就没有威胁，也就没有安全问题。所谓安全，一定是有需要保护的一方，与形成威胁的一方。勿论这种威胁是来自于内部，还是来自于外部。人与人之间的关系，构成了现代社会，因此安全问题在很多时候，最终依旧要回归到研究人与组织上面去。只有研究清楚了威胁一方的能力、动向，才能有效地调动我方的资源、部署。在对抗中，安全问题被不断解决。所以从宏观上看，我们要解决的安全问题，与军事上的很多思想有共通之处。而在互联网安全问题中，则衍生出了“威胁情报”这一分支。

安全问题是一个概率问题。安全事件往往是小概率事件，但在一个大规模环境下，小概率事件却往往又会变为常态。比如小行星撞击地球、地震、战争等灾害的破坏，很可能会影响到数据中心的数据安全，但这些极端的事件是一个小概率事件，不是每时每刻都在发生的，在设计系统时需要从全局考虑，更要平衡好对应的投入产出比。一个安全方案决定的是有限资源的分配，要把资源分配在概率最高、风险最大的问题上。但我们日常面临的种种安全问题往往不是那么极端，那么如何评估概率、分配资源，对安全架构师的能力提出了很高的要求。

安全是一门应用科学。从业十多年，我感受到安全这门学科并不像物理、数学一样有很多的基础理论需要去研究和探索。安全从对抗中来，最终还是要回到对抗中去，到底好不好，要看疗效。在不同时代、不同环境下也会衍生出不同的安全问题。因此如果说安全问题研究的是什么，我认为最终还是会回到研究人与人之间的关系。但在这个过程中，随着每个时代的不同，可以有很多不同的技术手段、工具应用到安全的对抗过程中，就是为了完成各自的安全目标。

安全工作者永远对新技术保持敏感、乐于接受先进生产力。无论是攻击还是防守，先进生产力都能带来很多新的视角、新的能力。比如新出现的机器智能，让我们对概率这一问题能够做到更加的心中有数，更加精细化地管理我们面临的一切。而对概率的计算越精准，就越能有效地分配资源，从而实现对抗中的优势，这不失为当前最需探索的一条新的道路。同样，区块链的出现，在可以预见的未来中，将成为极其重要的基础设施。在整个世界数字化的基础上，人类的一切行为有可能被全量记录在区块链的账本中，通过加密技术保证无法被篡改，这让我们有可能第一次真正解决数据共享中的信任问题。而信任的门槛被降低后，会像打开一个潘多拉的魔盒一样，改变人类生活的方方面面。这种对社会的推动与改变，正是安全工作者所应当追求的。

所有这些安全技术、安全问题的解决，都要立足脚下、放眼未来。作者们根据多年在金融企业的工作经验，写下了这本书。这本书对整个金融安全工作乃至各行各业的企业安全工作，都有着非常重要的指导意义。这是因为金融行业本身对安全的要求就非常高，是一切业务的基础，在严格的要求下才能形成高水平的队伍。另一方面金融本身研究的就是概率，对于安全问题会有着天然的敏感性，更勿论区块链技术最早就是在金融行业出现。也因此本书是从真正的一线中来并服务于一线的，书中既有理论思想指导，又有可落地的实操经验。

在本书中，我看到了作者们满满的诚意。将若干年的工作经验总结成文字是一件费时费力的事情，殊为不易，我们要感谢作者们的无私分享，而他们对于技术的谦卑心态值得我们所有人学习。

吴翰清，阿里云首席安全科学家

2018 年 8 月 26 日