軟件定義網(wǎng)絡(luò)(SDN)一直以來都是各方關(guān)注的熱點，網(wǎng)絡(luò)世界持續(xù)對 SDN進行前沿、廣泛的報道，但極少呈現(xiàn)有關(guān)軟件定義信息安全(SDIS)的相關(guān)報道文章。然而安全在信息領(lǐng)域一直占有不可撼動的重要地位，重要卻鮮有人涉足，不禁引起了筆者對SDIS這個新概念的關(guān)注、研究、調(diào)查、采訪。以期為讀者從不同角度、客觀地呈現(xiàn)這個概念的概貌。

近日一個由眾多用戶和安全研究人員組成的名為“逐鹿安全”的組織吸引了筆者的關(guān)注與參與，而筆者參與的這次活動正是討論軟件定義與信息安全的關(guān)系。通過近4個小時的深入探討，傾聽了幾位來自大型企業(yè)的應(yīng)用開發(fā)者，新興互聯(lián)網(wǎng)公司的高管，以及幾位安全研究人員的言論，讓筆者對于SDIS有了新的認識。

如何理解SDIS

國內(nèi)外有個別廠商已經(jīng)在研究SDN的安全或軟件定義信息安全(SDIS)的雛形。然而，研究方向基本上是遵照傳統(tǒng)的“軟件定義(SDX)”路線來研究。X可以是網(wǎng)絡(luò)、存儲、數(shù)據(jù)中心等等。但是“軟件定義”與“信息安全”碰撞在一起，是否真的可以按照SDX的路線來研究呢?信息安全的那些特質(zhì)可否改變一般意義上的“軟件定義”形式?

首先簡單了解下目前已有的一些有關(guān)SDIS雛形的研究成果。用友軟件公司資深工程師白小勇(微博@quickbundle)的理念代表了目前IT從業(yè)人員從SDN視角來理解SDIS的部分觀點。他認為，安全硬件設(shè)備從前是一個整體黑盒子(硬件+OS+內(nèi)置安全軟件)，只有管理員操作界面，極少有面向應(yīng)用軟件的API，這無疑把安全硬件設(shè)備和應(yīng)用割裂開了。遵循SDN的思路，SDIS就是要強調(diào)安全設(shè)備打開黑盒子、提升可編程性、向應(yīng)用開放有價值的API、同時確保安全邊界(例如API適當開放)。

上述論點僅代表了一類應(yīng)用開發(fā)者的觀點，如若從安全從業(yè)者的視角觀察，可能會發(fā)現(xiàn)一些不同。目前所謂的軟件定義網(wǎng)絡(luò)、存儲等等全部都依托于硬件。然而，安全的本質(zhì)是“軟”的，對硬件的依賴不是決定性的。一套完善的安全體系不只是涉及硬件，人的因素、管理因素、威脅建模等等都是安全體系中不可分割的重要組成部分。

更進一步，某大型國企的信息安全從業(yè)人員黃晟(@phreaker)表示，信息安全需要遵循的“鐵律”中包含：縱深防御和最小權(quán)限配置。顯然，這兩條安全“鐵律”和之前對于SDIS的認知有些相悖的地方。安全定律是要收窄，而上述的SDIS是要有開放的API。一個要收窄，一個要開放，二者很難相容，因此這樣的SDIS意義不大。

SDIS終歸何處

黃晟表示，安全的本質(zhì)就是要確保一件事情通過IT實現(xiàn)后必須按照原有設(shè)計的方式去執(zhí)行，不被一些蓄意導(dǎo)致的因素所改變。比如需要采用信息安全手段確保一個實現(xiàn)了三級審批的應(yīng)用系統(tǒng)必須嚴格遵循三級審批，而不能因為系統(tǒng)被攻擊而跳過一級審批。這樣的應(yīng)用安全需求是與業(yè)務(wù)風險控制需求緊密結(jié)合的，安全要服務(wù)于應(yīng)用。假設(shè)SDIS技術(shù)提供了上層應(yīng)用可以動態(tài)控制下層防護策略的機制，那么就有人可以利用各種方式去打破已有的規(guī)則，從應(yīng)用威脅到底層。因此，盲目向上層應(yīng)用開發(fā)API控制接口的軟件定義安全形式存在的意義不大。立足加強應(yīng)用安全防護能力的需求，尊重信息安全的特點，以業(yè)務(wù)需求、應(yīng)用特點和風險控制為驅(qū)動，為應(yīng)用系統(tǒng)設(shè)計并實現(xiàn)“貼身”的安全防護體系，從而做到安全服務(wù)于應(yīng)用、安全融合于應(yīng)用的“軟件定義”。

逐鹿安全沙龍成員，明朝萬達總裁王志海認為，軟件定義信息安全本質(zhì)上是強調(diào)應(yīng)用為中心的信息安全，即還是實現(xiàn)安全與應(yīng)用的緊密融合，而不是簡單的網(wǎng)絡(luò)安全硬件API化。他的微博也表示：“軟件定義信息安全”有幾個核心點需要商議：該理念是信息安全防御體系自身整合的需要，是應(yīng)用與安全融合以提升信息安全防護水平和用戶體驗的需要，也將推動以應(yīng)用為中心構(gòu)造安全防護邊界，更是IT異構(gòu)化及網(wǎng)絡(luò)邊界模糊化趨勢的必然結(jié)果。

企業(yè)想打造一套完善的信息安全體系，就要從應(yīng)用系統(tǒng)的視角，進行體系化的安全風險、需求分析，以及安全方案設(shè)計。目前對于SDIS中與SDN相似的一些理念與想法，可能是SDN相關(guān)安全的發(fā)展思路，或者只是部分思路，絕不應(yīng)該是SDIS的全部。