FreeBuf 专访中新网安沈传宝 | 网络安全新时代，不忘初心，脚踏实地

在移动化和大数据与越来越普及的当下，当普通人说起网络安全，往往会想到数据泄露、个人信息保护以及在大大小小的隐私泄露事件中被普及的《网络安全法》；当需要部署安全服务的不同厂商提到安全时，想到的却是安全技术和安全服务对自己业务的影响。对于探索安全技术、创造安全产品和提供安全服务的网络安全从业者来说，保障业务和数据的安全正逐渐成为终极目标。

如今，人工智能、大数据、区块链等新技术带动网络安全市场的风起云涌。以 BAT 为首的互联网公司纷纷开辟安全业务线，或投资新兴安全企业，安全市场一片欣欣向荣。与此同时，以 360 等为首的传统安全厂商则以多年积累的经验为基础，依托强大的技术实力、结合新趋势，以便更好地发展并履行大企业的职责与使命。中新网安就是这众多安全厂商之一。

在 ISC 2018 大会上，我们得以有机会采访中新网安的副总裁及 CTO 沈传宝。他原本受邀参加 ISC 分论坛之一的“网络安全产业资本高峰论坛”，但因为公司临时有国家领导人考察，便只好匆匆改了行程。我们见面时，已经是大会的第二天了，他穿着简单的便装，笑起来一脸亲切，说起话来也是有条不紊：

昨天我还没到会场，就从朋友圈感受到了热烈的气氛。今天来了在会场转了一圈，感觉的确不错，从会议规模到议题到参会者反馈，都能真切感受到整个网络安全产业的发展进步。下午我还打算去云安全论坛看看，正好跟我们业务相关。

二十年不短，难忘初心

在做 CTO 之前，沈传宝曾做过五年的安全工程师，十年的安全顾问，一路在安全这条路上砥砺前行，见证了国内网络安全行业的兴起与成长。早在大学时，他学的就是正宗的计算机科学与技术，专业课中涉及不少与信息安全相关的知识，在实习时也恰巧从事反病毒相关的工作，因此便顺其自然地走上了安全这条路。

在做安全工程师时，他一直站在一线，遇到过知名的红色代码病毒和 Nimda 病毒事件，也因此中深刻明白了漏洞对系统的危害，并对于网络安全局势形成了自己的判断：

后来微软推出Windows Vista的时候，很多专家说以后将没有病毒问题了，我压根就不相信。

事实证明，他的判断是正确的。十几年过去了，我们的技术一再革新，却依旧躲不过各种漏洞或者病毒的侵袭。而对于当时是安全工程师的沈传宝来说，应对病毒与漏洞所积累的一线经验为他以后的安全顾问之路打下了扎实的基础。

做安全咨询的时候，跟各行各业的安全主管、业务主管聊过，深刻体会到做安全是一种平衡。这段时间投入时间最长、也最有收获的项目是央视新址的安全体系设计，属于等级保护四级系统，当时在国内还没有成熟的技术和成功案例的借鉴。项目技术要求很高，我们压力很大。很多问题在当时是没有现成的技术手段能解决的。比如为了高清视频文件在不同的业务系统间安全的迁移，我们专门找了一家做FPGA的将网络协议进行剥离和转换，用高清SDI传输协议的高带宽进行传输，然后在业务系统上加入了协议重组与视音频文件的可信安全校验，真正将安全功能融入到业务之中。这个方法后来产生了专利，并进行了产品化，到目前在广电行业还有应用。项目后来也获得了广电行业的科技进步特等奖和一等奖，我也因此获得了广电行业科技创新优秀个人和广电影视科技青年奖。

说到这里，沈传宝难掩激动。正是有了这个契机，他负担起了国内首个等级保护四级系统的建设，也成为广电行业信息安全等级保护标准起草人。也正是因此，他对等级保护有着比旁人更深刻的感情与见解：

我个人认为等级保护对我国各行业的网络安全能力提升起到了非常重要的作用。一方面的提升了人们对网络安全的重视程度，另一方面用非常简单粗暴的方法，让关键基础设施和重要行业有了一个合规的基线（基本要求）。而在网络安全法颁布之后，相关规则的细化会将网络安全带入一个新时代。因此，等级保护2.0应该聚焦于解决具体问题的方法论和标准，比如云计算安全、IoT安全等等。与1.0时代大家一窝蜂的去做防火墙不同，这个时代，每一个细分领域都可能出独角兽。

在沈传宝眼里，网络安全的发展历程主要分为萌芽、普及、夯实和进阶四个阶段。其中普及阶段的安全需求主要由“合规驱动”，这其中等级保护的推广起到了很大作用。在夯实阶段，以公安部为主导的国家重大活动网络安全保障、重点行业重要信息系统的网络安全攻防演练等，将网络安全工作变成了例行工作，进一步提升了整体网络安全能力。而目前一些走在前面的行业和网络安全技术公司，都开始从“业务”和“数据”两个视角来解读安全，这是未来的必然趋势。保障业务、保护数据的安全才是安全的终极目标。

因此，做了十几年安全顾问之后，沈传宝又从更贴近用户需求的角色走进了厂商的角色，为的就是将自己对业务的理解应用在厂商的解决方案和产品中，让传统安全厂商在技术和经验优势的基础上，更贴近业务需求，更好地发挥作用：

要想让安全有价值，必须找到它对业务的促进作用。抛开业务需求谈安全都是耍流氓。而网络安全厂商，有时候离业务挺远的。BAT这些互联网公司的安全能力在最近几年迅速超越了传统安全公司，除了高薪吸引网络安全顶级人才外，跟他们有真实的业务场景有很大的关系。正是这个原因，我很想将我对业务的理解应用在厂商的产品和解决方案中，所以才来到我现在的企业，当然公司在某些方面技术的积淀也是我最认可的，这也是重要原因。

将近二十年的时光里，沈传宝一直坚守着做好安全、做好业务的初心，在摸爬滚打中形成了独到的见解。同时，为国家机构服务、参与制定等级保护标准的经历也让他沉淀出更大的格局。而他的个人理念与情怀，又与中新网安这个原本就服务于国家机构的厂商融合，碰撞出闪亮的火花。

新时代网络空间信息安全守护者

在中新网安的介绍上，“新时代网络空间信息安全守护者”的标语格外亮眼。我原本疑惑这样的标语对于一家低调的传统安全厂商而言是否会过于高调，但看到他们的成果后，我收回了疑惑，也不禁暗自感叹。

事实上，自 2002 年成立以来，中新网安深耕安全领域十多年，现在已经成为安徽的网络安全龙头企业，成立了网络安全产品研发中心、网络安全技术研究中心，同时，与清华大学网络行为研究所合作成立了北京研发中心，与合肥市公安局共建了合肥市公安局网络安全技术研究中心，与合工大共建了合肥市网络抗拒绝服务攻击工程技术研究中心等。他们的核心业务围绕着国家关键基础设施保护、重要信息系统、重要公众服务展开，还服务于多个国家监管单位，保护的是切切实实的网络空间资产。在中共十九大、2018数字中国建设峰会、2018青岛上合组织峰会等重要活动的网络安全保障现场，都活跃着他们的身影。

沈传宝介绍说，参考SANS™的 “网络安全滑动尺模型”，中新网安的核心能力主要集中在检测响应、情报预警和进攻反制。在本届 ISC 大会的军民融合论坛上，360 企业安全集团总裁吴云坤也提到这个概念。他说很多安全厂商的能力都集中在前两个或前三个能力，而服务于国家机构的厂商，则更需要后两种能力，也需要有足够的实力来做到这些能力。沈传宝也认为，“海、陆、空、天、网”五大空间中，唯独“网”离不开民间力量，网际空间的安全离不开民营安全企业以及民间社区安全力量的参与。民间安全企业有责任为有关部门提供情报，并以攻促防，助力国家对抗安全威胁，打击网络违法犯罪。这是军民融合的一个要点。当这些能力落到实处，就是中新网安目前的核心工作之一：他们常年为国家相关机构提供风险评估、渗透测试、数据分析、威胁情报、高级持续性威胁防御等服务；霸榜CNNVD 和CVND 的原创漏洞排行榜前三；还承担了多个国家重大专项工程和项目，获得的奖项与荣誉也数不胜数。

当然，强大的安全能力也通过产品体现出来。中新网安在2002年就推出了抗 DDoS产品，到目前为止是国内首个单台设备突破320G防御能力的企业。就在不久之前，又发布了单台设备防御能力达到500G的抗拒绝产品，这在国内抗 D 类产品中已经遥遥领先。此外，在高级威胁防御方面，他们也推出了国内首个基于用户异常行为分析并实现加密恶意流量检测的APT防御产品“猎潜者”。猎潜者实际应用了AI技术，通过2000多万个的样本的持续训练，提升恶意软件和APT攻击的识别能力。

这两款产品在 ISC 2018 大会现场都有亮相，吸引了不少参会者的关注。

近年来，DDoS 攻击的确愈演愈烈，FreeBuf 近期发布的一项 DDoS 研究报告就指出，2018 年上半年的一起 DDoS 攻击峰值高达 1.7 bps 创造了新历史记录，给多个行业都带来了严峻威胁。而自 2015 年以来，高级持续性威胁已经成为各大企业乃至政府无比头疼的问题。从厂商到需求者都在苦苦寻求解决之道。这两款产品恰巧抓住了业内痛点，使用了当下热门且实用的技术，切实践行了贴近用户业务需求的理念。

准确来说，我们有两大核心能力，一是研发抗 DDoS 及 APT 检测防御等类型的商业化产品；二就是在不断服务于国家过程中积累的核心技术。我们当前主要做的就是把之前服务于非商业市场的技术转化为服务于商业市场的产品。我们正在积极筹备更加完善的产业布局，参与组织中国（合肥）安全谷的筹建工作，打造国内最大的网络空间安全产业集群。同时，我们也专注于国家关键基础设施、重要信息系统的网络安全仿真环境；建设国家级网络安全众测平台，打造国际级网络安全社区；举办世界级网络安全攻防大赛和主题峰会……

说起未来的发展规划，沈传宝语气再次兴奋，多次提到“国家”、“国家级”等字眼。在这位副总裁兼 CTO 的眼里，企业的发展与壮大是每一家企业在商业上的追求，而服务国家则是网络安全企业的使命与担当。他与他身后的中新网安，都秉承这一信条，砥砺前行，不辱使命。

网络安全新时代：从0 开始，脚踏实地

谈话间，我们又聊回到眼前的 ISC 大会。沈传宝认为，“安全从0开始”的标语可以从两个方面解读，一就是大家都提的“零信任安全”的概念；二则是跟整个网络安全产业有关。虽然目前网络安全市场的估值达到几百亿，但跟实际的需求比起来依然有很大的鸿沟。确切来讲，安全还没有真正开始，未来需要逐步完善。这也许是“从0开始”的另一层含义。也正因为如此，他对整个行业的未来发展有着更多希冀：

1.希望国家的政策对网络安全行业有更加具体的支持，从细分行业着手加大资金投入；落实法律法规和行业标准，同时设立国家级、省级乃至区级的重大工程项目等资源性支撑；

2.希望同行更加务实，摒弃浮躁，脚踏实地做好安全；促进行业内的良好协作与良性发展，真正推动整个安全产业的进步；

3.希望安全从业者扎扎实实做研究，勤勤恳恳练技术；如今我国网络安全人才缺口依然很大，只要抵挡诱惑，不误入歧途，总能发光发热。

言语之间，不无恳切。这大约也是如今很多安全行业管理者的心声。他们不只关心自身和企业的发展，更关心整个的行业的未来。