Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

谈一谈自己从事网站漏洞安全研究的工作



     今年的工作重点是跟随团队的方向调整,从业务安全转向安全研究。说到安全研究,很多人

想到的是分析漏洞,挖洞,写利用。当然,这是其中之一,安全总是与漏洞有着千丝万缕的联

系,但漏洞只是结果,研究本身包括更多。在企业研究其实有点尴尬。原本安全队是企业不产

生利益的边缘支持作用,忙的时候灭火,闲的时候背锅的安全研究是边缘的边缘,每天做奇怪

的东西,不知道有什么用。最重要的是,对上司来说,没有量化研究性工作的好方法。
 
 
安全研究的表现成果分为两部分,一部分对外,主要包括刷漏洞/感谢,写技术分析文章提高

影响力,写PR文章提高曝光度,另一部分包括在内,但业务方向本身也有自己的局限性。优

秀的设计不一定是新的,但一定是好的,优秀的研究不一定是好的,但一定是新的。正因为

如此,在企业中做安全研究有点像《进击的巨人》中的调查兵,不仅吃力不讨好,而且经常

死在半路上。结果,大家面临的是荒芜的未知,没有人的境界,一条路是黑色的,还是马上

停止损失?
 
 
既然是工作,就必须生产吗?无论是KPI还是OKR,都需要能量化结果的指标。优胜劣汰是

社会不变的规律,这没什么好说的,任何评价指标都是双刃剑,在指标的压力下容易只关注

结果。例如,挖掘脆弱性本身是寻找安全问题,但指标关注脆弱性的数量而不是脆弱性的品

相,很多人有可能把软件的错误作为脆弱性提交。一旦只追求结果,人们很容易想办法抄近

路。在抄近路的过程中,人们很容易迷失真相,他们的工作能力也会逐渐消失。虽然有很多

吐槽,但是要做一行就要做,所以经常考虑如何做安全研究。研究二字本身包含了不可预测

的投入,目标很重要。没有人能告诉我这个方向是否能做到。即使站在他们自己的角度,

也许不适合你。

 
 
应用学术界研究的四个阶段:
 
第一阶段,在领导指定的领域做,不必考虑方向,只要把事情做到极致。
 
第二阶段,自己找方向,在领导的建议下筛选,最后选择方向取得研究成果。
 
第三阶段,自己探索方向,自己判断能做什么,自己选择的方向有研究成果,这个阶段完全

独立完成,不需要领导的参加。因为比你知道这些领域的人少。

 
第四阶段,带着第一阶段的人,指导他们取得自己的研究成果,也就是说让自己成为领导人。

但是,社会和学校的大不同之处在于,很少有合适的领导人,大部分人都是自学才能,这也

是安全研究和学术研究的大不同。漏洞本身随着系统实现的变化而变化,实现是工程化的领

域,因此对安全研究更加赞同。
分享: