網(wǎng)絡(luò)安全流行語(yǔ)多如牛毛。對(duì)于信息安全這種快速迭代的創(chuàng)新行業(yè)而言，流行語(yǔ)是不可避免的現(xiàn)實(shí)，往往用于簡(jiǎn)化復(fù)雜的術(shù)語(yǔ)，或者促進(jìn)銷售和營(yíng)銷活動(dòng)。然而，這些術(shù)語(yǔ)并非總是有所幫助，可能是不準(zhǔn)確且過(guò)時(shí)的，具有誤導(dǎo)性，甚至可能造成傷害。例如，利用恐懼、不確定性和懷疑（FUD）來(lái)最大化盈利的流行語(yǔ)可能具有破壞性，而曾經(jīng)有用的合理術(shù)語(yǔ)可能會(huì)過(guò)時(shí)，繼續(xù)使用和依賴這種流行語(yǔ)會(huì)阻礙對(duì)根本問(wèn)題的深入理解。
以下是11個(gè)容易產(chǎn)生誤導(dǎo)作用的網(wǎng)絡(luò)安全流行語(yǔ)：
1. 勒索軟件
Orange Cyberdefense安全研究主管Charl van der Walt表示，盡管勒索軟件是常見(jiàn)網(wǎng)絡(luò)攻擊討論中最常用的術(shù)語(yǔ)之一，但從技術(shù)上講，這是一個(gè)不合適的定義，不再適用。“在當(dāng)前的新聞議程中很難避免提到勒索軟件，這個(gè)詞雖然足以概括主題，卻并沒(méi)有完全體現(xiàn)出這個(gè)實(shí)際上復(fù)雜且不斷演變的問(wèn)題。”
勒索軟件的真正含義已經(jīng)變味了，這個(gè)詞現(xiàn)在被用于描述比其真正定義更加寬泛的網(wǎng)絡(luò)攻擊，也就是掌控計(jì)算機(jī)數(shù)據(jù)以勒索贖金的那類惡意軟件。“這就混淆了執(zhí)行加密的惡意軟件、勒索軟件攻擊團(tuán)伙使用的一般惡意軟件，以及勒索軟件攻擊團(tuán)伙本身。勒索軟件的核心在于勒索行為，而網(wǎng)絡(luò)罪犯將企業(yè)視為容易勒索得手的目標(biāo)：你只要看看數(shù)據(jù)顯示有多少公司支付了贖金就知道情況有多么糟糕了。”
隨著這種威脅的不斷發(fā)展，van der Walt提出了新的術(shù)語(yǔ)：網(wǎng)絡(luò)勒索（Cy-X）。他認(rèn)為，這個(gè)詞更能涵蓋這波犯罪潮的歷史、當(dāng)前形式和可能的未來(lái)，還可以區(qū)分犯罪行為本身和用于執(zhí)行此犯罪行為所用的工具。
2. 零信任
零信任描述的是“默認(rèn)不信任任何事物”的一種方法，用于保護(hù)用戶和設(shè)備。該術(shù)語(yǔ)在最近幾年里迅速躥升成最為流行的市場(chǎng)營(yíng)銷熱詞之一，并在大幅轉(zhuǎn)向遠(yuǎn)程辦公和后續(xù)加強(qiáng)遠(yuǎn)程網(wǎng)絡(luò)訪問(wèn)安全的需求推動(dòng)下愈加火熱。然而，佳能歐洲分公司信息安全總監(jiān)Quentyn Taylor認(rèn)為，零信任這個(gè)詞過(guò)于模糊不清。“你根本沒(méi)辦法知道自己是否切實(shí)做到了零信任，事實(shí)上，我不認(rèn)為有誰(shuí)已經(jīng)做到或者能夠做到零信任。讓我對(duì)這個(gè)概念敬謝不敏的是，很多人把它當(dāng)成個(gè)新概念來(lái)討論，但實(shí)際上我們?cè)缭诙嗄昵熬驮谡務(wù)撊ミ吔缁恕Ａ阈湃尾贿^(guò)是個(gè)新造出來(lái)的市場(chǎng)營(yíng)銷詞匯，用來(lái)描述我們?cè)缫褔L試多年的一種方法。”
Qualys英國(guó)首席技術(shù)安全官Paul Baird對(duì)此觀點(diǎn)表示認(rèn)同，并補(bǔ)充道，零信任是個(gè)好概念，但作為流行語(yǔ)，這個(gè)詞被過(guò)度使用了，而且往往表述不清。“零信任這個(gè)詞在使用時(shí)常常脫離了上下文，給負(fù)責(zé)實(shí)現(xiàn)這一概念的人造成了混亂。零信任是個(gè)涵蓋人員、過(guò)程和技術(shù)的思想體系。這可不是個(gè)你可以直接從貨架上買(mǎi)來(lái)就用的產(chǎn)品。”
3. 白名單和黑名單
黑名單和白名單的歷史可以追溯到網(wǎng)絡(luò)安全最早期的時(shí)代。通過(guò)將“白”與良好、安全或允許聯(lián)系起來(lái)，而將“黑”與不良、危險(xiǎn)或禁止聯(lián)系起來(lái)，白名單和黑名單這兩個(gè)術(shù)語(yǔ)仍常常應(yīng)用于允許或拒絕使用/訪問(wèn)與密碼、應(yīng)用和控制措施相關(guān)的各種元素上。
網(wǎng)絡(luò)安全顧問(wèn)Harman Singh認(rèn)為，因?yàn)椤昂诎住倍謳в蟹N族色彩，需要盡快替換掉這兩個(gè)術(shù)語(yǔ)，建議使用允許列表和拒絕列表來(lái)服務(wù)于相同的目的，從而摒棄與族裔和人種相關(guān)的有害內(nèi)涵。“這是個(gè)微小卻又重要的改變。英國(guó)國(guó)家網(wǎng)絡(luò)安全中心（NCSC）去年特意做出這種改變來(lái)規(guī)避種族口吻。不過(guò)，現(xiàn)在業(yè)內(nèi)仍只有少數(shù)公司考慮過(guò)替換掉這兩個(gè)詞。我們?yōu)槭裁床蝗甲駨腘CSC的樣板杜絕此類術(shù)語(yǔ)呢？”
在一篇博客帖子中，NCSC建議與指南主任Emma W寫(xiě)道：“你可能沒(méi)注意到為什么這件事很重要。如果你沒(méi)有受到種族成見(jiàn)的負(fù)面影響，那算你走運(yùn)。但對(duì)你的某些同事（或者潛在的未來(lái)同事）而言，這真的是一項(xiàng)值得做出的改變。”
采取這一步驟的少數(shù)公司當(dāng)中就包括微軟，微軟將非包容性語(yǔ)言視為保持和發(fā)展網(wǎng)絡(luò)安全多樣性的障礙。微軟首席安全顧問(wèn)Sarah Armstrong-Smith表示：“英國(guó)金融、安永和微軟最近發(fā)布的一份報(bào)告發(fā)現(xiàn)，改變網(wǎng)絡(luò)安全和更廣泛的職場(chǎng)中的非包容性語(yǔ)言可以有力支持多樣性。”因此，微軟不再在技術(shù)論壇上使用或提及白名單/黑名單，選擇采用允許列表和阻止列表代替。
4. 基于人工智能（AI）的安全
近十年來(lái)，圍繞人工智能（AI）和機(jī)器學(xué)習(xí)技術(shù)改變網(wǎng)絡(luò)安全的話題一直十分火爆。盡管沒(méi)有哪位安全主管會(huì)不承認(rèn)自動(dòng)化在現(xiàn)代信息安全領(lǐng)域中日益加碼的重要性，但大量安全供應(yīng)商無(wú)限贊美最新AI或機(jī)器學(xué)習(xí)解決方案的論調(diào)還是讓人頗為膩煩。
青少年理財(cái)平臺(tái)gohenry首席信息安全官Guillaume Ehny稱：“如今，無(wú)論哪種解決方案，大多數(shù)安全供應(yīng)商都會(huì)馬上提到他們的產(chǎn)品是智能的，集成了AI和機(jī)器學(xué)習(xí)來(lái)驅(qū)動(dòng)決策過(guò)程。他們似乎認(rèn)為我們想聽(tīng)到這些內(nèi)容，但實(shí)際上他們就好像是在毫不了解自家產(chǎn)品實(shí)際運(yùn)作方式的情況下在玩賓果游戲。“很遺憾，這種話也就僅限那一句了。只要問(wèn)到關(guān)于模型的更多信息，答案永遠(yuǎn)是‘這就是個(gè)引擎中的黑盒，自行運(yùn)作，我們啥都不用操心’。我知道AI/機(jī)器學(xué)習(xí)輔助的產(chǎn)品作為優(yōu)勢(shì)值得一提，但這種表達(dá)方式真心沒(méi)啥用處。”
5. 網(wǎng)絡(luò)9/11
2001年9月11日，激進(jìn)的伊斯蘭組織基地組織對(duì)美國(guó)發(fā)動(dòng)協(xié)同恐怖襲擊后，“網(wǎng)絡(luò)9/11”一詞首次出現(xiàn)。這個(gè)詞指的是可造成恐懼、暴力、傷害和死亡等廣泛重大影響的潛在恐怖相關(guān)網(wǎng)絡(luò)攻擊威脅。
除少數(shù)案例外，人類社會(huì)尚未實(shí)現(xiàn)對(duì)此類事件的預(yù)測(cè)，在Taylor看來(lái)，“網(wǎng)絡(luò)9/11”和涉及重大新聞事件的其他類似網(wǎng)絡(luò)安全詞匯都不應(yīng)使用。“這類詞不尊重現(xiàn)實(shí)生活中受到這些事件影響的人。此外，此類詞匯常被認(rèn)為是純粹的夸張。值得慶幸的是，我們還沒(méi)有看到有哪起網(wǎng)絡(luò)安全事件產(chǎn)生的影響堪比9/11事件或某些評(píng)論員喜歡提到的任何其他事件。我們應(yīng)盡早摒棄將網(wǎng)絡(luò)事件與導(dǎo)致重大生命損失的現(xiàn)實(shí)世界事件聯(lián)系起來(lái)的做法，這樣我們的行業(yè)才會(huì)受到更多重視。”
6. 數(shù)字化轉(zhuǎn)型
盡管數(shù)字化轉(zhuǎn)型是當(dāng)今云驅(qū)動(dòng)時(shí)代的流行語(yǔ)，但Exabeam安全工程副總裁Matt Rider認(rèn)為，提及數(shù)字化轉(zhuǎn)型不過(guò)是在描述企業(yè)在過(guò)去50年里所做的事情。“事實(shí)上，轉(zhuǎn)型早已有之。一切都在不斷發(fā)展，不斷變化。這個(gè)詞并不是突然之間就席卷整個(gè)行業(yè)的思想頓悟。”
我們回顧上世紀(jì)初工業(yè)革命時(shí)代，亨利·福特對(duì)裝配流水線生產(chǎn)進(jìn)行現(xiàn)代化改造的時(shí)候。他對(duì)于新興技術(shù)和變革型領(lǐng)導(dǎo)的理解激發(fā)了新的工作方式。“這是一次技術(shù)性的變革，具有巨大的影響力，改變了他們當(dāng)時(shí)所了解的職場(chǎng)。我所看到的成功企業(yè)無(wú)不具有正確的文化，而非正確的工具。如果你現(xiàn)在還沒(méi)‘?dāng)?shù)字化轉(zhuǎn)型’，那你就出局了。這種觀點(diǎn)是不對(duì)的，我認(rèn)為我們應(yīng)該跳出數(shù)字化轉(zhuǎn)型的潮流了。”
7. 安全信息與事件管理（SIEM）
安全信息與事件管理（SIEM）定義了將安全信息管理（SIM）與安全事件管理（SEM）結(jié)合起來(lái)的軟件產(chǎn)品和服務(wù)。作為首字母縮寫(xiě)詞和一類產(chǎn)品，SIEM似乎被無(wú)數(shù)網(wǎng)絡(luò)安全供應(yīng)商大力宣揚(yáng)。
然而，佛瑞斯特研究所安全與風(fēng)險(xiǎn)分析師Allie Mellen表示，SIEM在合規(guī)方面歷史悠久，卻未必能夠昭示如今的地位。“SIEM現(xiàn)在專注于威脅檢測(cè)和響應(yīng)，結(jié)合安全用戶行為分析（SUBA）和安全編排、自動(dòng)化與響應(yīng)（SOAR）來(lái)處理事件響應(yīng)生命周期的每個(gè)步驟。在佛瑞斯特研究所，我們將SIEM稱之為安全分析平臺(tái)，以便更好地表征這類產(chǎn)品的功用：對(duì)數(shù)據(jù)執(zhí)行安全分析，并作為平臺(tái)連接第三方產(chǎn)品連接進(jìn)行事件響應(yīng)。”
8. 人員是最弱一環(huán)
CREST Australia總裁兼新南威爾士大學(xué)網(wǎng)絡(luò)安全研究所所長(zhǎng)Nigel Phair表示，全球幾乎每次安全會(huì)議都舉出將人視為安全鏈中最薄弱環(huán)節(jié)的概念，但這種提法應(yīng)該馬上停止了。“人是信息安全和保護(hù)企業(yè)網(wǎng)絡(luò)及其上數(shù)據(jù)的最強(qiáng)大力量。點(diǎn)名怪罪到人的頭上沒(méi)用，也永遠(yuǎn)不會(huì)有用。正確的理解是，由于在線犯罪沒(méi)有放之四海而皆準(zhǔn)的技術(shù)萬(wàn)靈丹，我們需要將員工也納入防御能力的一部分，向他們解釋為什么設(shè)置某些控制措施，強(qiáng)調(diào)他們?cè)谄髽I(yè)網(wǎng)絡(luò)防護(hù)當(dāng)中的作用。”
9. 網(wǎng)絡(luò)安全意識(shí)
對(duì)很多首席信息安全官而言，提高整個(gè)公司的網(wǎng)絡(luò)安全意識(shí)是非常重要的目標(biāo)。但Votiro首席執(zhí)行官Ravi Srinivasan表示，網(wǎng)絡(luò)安全意識(shí)這個(gè)術(shù)語(yǔ)其實(shí)被誤用了。“網(wǎng)絡(luò)安全意識(shí)這個(gè)詞營(yíng)造了一種用戶應(yīng)該為安全事件負(fù)責(zé)的說(shuō)法，并鼓勵(lì)企業(yè)制定植根于教育和培訓(xùn)的安全戰(zhàn)略，以之檢測(cè)（并最終預(yù)防）網(wǎng)絡(luò)威脅。”
然而，當(dāng)今網(wǎng)絡(luò)攻擊非常復(fù)雜，而且一直在發(fā)展變化，甚至最具安全意識(shí)的企業(yè)都難以保持一直領(lǐng)先網(wǎng)絡(luò)威脅一步。安全和IT主管需要調(diào)整自身企業(yè)安全戰(zhàn)略，關(guān)注他們?nèi)蜻\(yùn)營(yíng)的業(yè)務(wù)。“我建議用提高‘網(wǎng)絡(luò)安全警惕性’來(lái)代替‘網(wǎng)絡(luò)安全意識(shí)’，并鼓勵(lì)公司加強(qiáng)員工與其雇主、企業(yè)和IT主管、私營(yíng)和公共部門(mén)實(shí)體之間的合作，一起努力挫敗網(wǎng)絡(luò)威脅。”
10. 網(wǎng)絡(luò)殺傷鏈
隨著數(shù)字領(lǐng)域與物理領(lǐng)域的聯(lián)系越來(lái)越緊密，與網(wǎng)絡(luò)相關(guān)的軍事風(fēng)詞匯勢(shì)力愈加強(qiáng)大，尤其是網(wǎng)絡(luò)殺傷鏈。這個(gè)詞描述的是網(wǎng)絡(luò)攻擊的各個(gè)階段，且與高級(jí)持續(xù)性威脅（APT）相關(guān)聯(lián)。安永威脅情報(bào)高級(jí)經(jīng)理Leanne Salibury稱：“我不確定這是否完全合適，也不確定是否會(huì)導(dǎo)致我們采用更重磅的語(yǔ)言來(lái)增添沉悶話題的吸引力。而且，我覺(jué)得，對(duì)老兵而言（尤其是真正實(shí)地目睹過(guò)沖突和有戰(zhàn)爭(zhēng)經(jīng)驗(yàn)的那些），在企業(yè)環(huán)境中要求他們與平民分享自身項(xiàng)目經(jīng)驗(yàn)的時(shí)候，這種用詞可能有點(diǎn)問(wèn)題。”
11. 黑客
Acronis網(wǎng)絡(luò)安全分析師Topher Tebow認(rèn)為，在今天的環(huán)境下，應(yīng)該嚴(yán)肅對(duì)待“黑客”這個(gè)詞的用法，雖然未必需要徹底棄用，但不正確的用法必須予以根除。“黑客只是可以找到繞過(guò)給定項(xiàng)目、流程或軟件的正常應(yīng)用而達(dá)到預(yù)期結(jié)果的人。”
Tebow補(bǔ)充稱，這個(gè)詞的問(wèn)題在于，在成千上萬(wàn)的黑客為了更大的利益而進(jìn)行黑客攻擊的時(shí)候，這個(gè)詞就常被用來(lái)描述網(wǎng)絡(luò)罪犯了。“所以，我們需要考慮我們想表達(dá)的意思，使用攻擊者、網(wǎng)絡(luò)罪犯和惡意行為者等術(shù)語(yǔ)，而不是將不良行為者統(tǒng)稱為黑客。”
為網(wǎng)絡(luò)流行語(yǔ)說(shuō)幾句
盡管多位專家表示很多網(wǎng)絡(luò)安全流行語(yǔ)應(yīng)該入土為安或者用別的詞代替，但Byte高級(jí)網(wǎng)絡(luò)安全總監(jiān)年度前歐洲首席信息安全官Ed Tucker認(rèn)為，網(wǎng)絡(luò)安全流行語(yǔ)本身并沒(méi)有什么問(wèn)題，很多問(wèn)題實(shí)際上都源自這些流行語(yǔ)的使用方式。“我們面臨的最大問(wèn)題之一不是流行語(yǔ)本身，這些流行語(yǔ)不過(guò)是商業(yè)化行業(yè)的一部分，而是懶惰的使用方式，以及對(duì)流行語(yǔ)語(yǔ)境理解和實(shí)際應(yīng)用的缺乏。這延續(xù)了流行語(yǔ)不過(guò)如此的主題。”他的結(jié)論是，業(yè)界需要進(jìn)一步了解經(jīng)常使用的流行語(yǔ)，并深入研究這些概念及其適用的場(chǎng)景、時(shí)機(jī)和方式。
來(lái)源：數(shù)世咨詢