大潘的网誌 Jordan's Blog

在安全领域，极端些说，我认为只有三类技术：结构技术、攻击技术、检测技术。

结构技术

　　我心目中的结构技术包括：加密、鉴别认证、访问控制、管理体系等等。其特点就是要将很多保护机制互相关联、互相支撑、互相制约、互相呼应，通过相互之间的结构性关系，来加强强壮性，抗击破坏。

　　比如，非对称密钥的加密，其加密算法、密钥管理分配、嵌入到应用系统的应用等等，其是就形成了一个结构性关系。如果将非对称密钥加密技术应用于鉴别认证功能，那又是在ID管理、认证识别、授权、审计等等安全功能形成一个功能系列，以期全面。这些都是非常典型的结构性的例子。

　　再比如，网络访问控制技术，或者称为安全网关。只有形成一个“安全域”的结构性体系，才能有效形成网关组成的边界防护体系。如果没有结构的话，一个单独的网关难于发挥作用，一个结构有缺陷的网关阵列也会被轻易突破。

　　可以看出来，结构安全技术重点就在于结构之间的结构性。这种结构、这种关联、这种关系，是其中的关键。

攻击技术

　　攻击技术是一个破构的技术，是对于结构性的一个对立面。就像六国军棋的ＡＢＣ三原则是生存原则、平衡原则、协同原则，攻击技术就是要造成被攻击者的生存困难，平衡丧失，关联协同遭到破坏。所以，攻击常常是出乎意料的、违反原则的、如扎针般压强集中的．．．

　　缓冲区溢出、ＤＤｏＳ、ＳＱＬ注入、社会工程等等攻击方式，都看出这种破构的思路倾向。

检测技术

　　结构技术是防御技术，但是，如果没有检测能力的配合的话，结构性技术就是死的，是非常容易被规避的。就像即使再漂亮的防御阵型，如果阵势不因势利导随机应变，也就只能被看成一堆兵马俑而已。只有配合了检测技术，结构技术才能成为一个主动防御体系。

　　典型的检测技术如：ＩＤＳ、扫描器、审计、日志、渗透性测试、风险评估服务等等。

　　在这三项技术中，老实说我最最看中的就是检测技术。因为作为乙方，总不能提供攻击能力给甲方吧。对于攻击技术的了解和能力，其实是融入到检测技术中的。而结构性技术也必须有检测技术才能有活力。如果再深究，其实所谓的结构技术，也是把很多的检测技术组合起来呢。比如说防火墙，不就是检测和判断通过的数据包是否合法吗。认证技术不就是检测主体是否是所声称的主体吗。

这个对于结构技术、攻击技术、检测技术的看法，仅仅是一个分类视角而已。可以帮助我们更好地看到检测的地位和作用。