三分技术七分管理是错误的

     以前听很多人说，三分技术七分管理，似乎真的是正确的，只要打好了补丁，贯彻了安全策略，基本就可以保证一个信息系统的安全了。
 

      现在才看到，这里面有多大的误区，有多少懒惰的因素，有多少拍马屁的成分在里面，只是拿了井底之蛙的眼光，去简单地看一个复杂的信息系统。实际上，完整的话应该这样说，三分技术七分管理，管理要以技术为依托。没有了技术，管理就无法贯彻下来，就没有实现的途径，就会受限于你的视野，实际上，管理上也并不是思想上、哲学上的那种管理，而是对每一个安全策略，每一个数据流，每一个访问路径的管理，是对信息资产的有效管理，是以技术手段实现的管理。而不是官僚们给你安排你应该如何如何的那种管理。

 

      有许多事情就这样耽误了，可能会出大问题。不知道还有许多人相信"三分技术七分管理"，奥运保障是否也是基于这个出发点，许多人躺在一堆安全设备上悠闲自得。很长时间以前我就说过了，现在的安全防护模式，远远落后于现实的网络攻击手段，除非那帮有恶意目的人不掌握，只要掌握了，就会造成很严重的后果。现在的情况是，我们无法预测对方到底掌握了多少东西，可以利用多少资源，可以造成多大的危害。

 

    前几天在新疆的汽车炸弹，死16人伤16人，2名嫌疑犯最后终于逮到了。新闻里忽略了一个细节，我猜测应该是对方假装失火，武警们出于责任，跑上去扑灭大火的时候才炸的吧，不然就那么冲过来一辆车，一下子就炸了？而且嫌疑犯最后还跑了？

 

     和所有的网络攻击一样，最难预防的是，一切的操作隐藏于正常行为之中，以前的多篇blog中也有描述，这是网络攻击的最高境界，也是最难防御的。而一般的杀毒、IDS、ips、防火墙一类的安全设备，都是通过特征匹配的，所以，只要攻击行为换套马甲，安全设备就需要升级特征码，如果攻击行为更有创意，更有思路，安全设备几乎就全部废了。 这就是咱们的安全现状，这就是我们最担心的地方。大家以为许多问题已经解决了，终于可以休息一下好好睡一觉了，实际上，危害正在发生，有些已经深入内部了，管理者不知道，技术人员也没有觉察，一切正在悄悄地进行着。

 

    现在别跟我再提三分技术七分管理，听着就生气，恨不得海扁一顿。我们的世界，自己做主。