如果我告诉你，一本写于2500年前的中国古代兵书包含了提升网络安全的钥匙，你会怎么想？这本书的作者生活在人工智能、互联网、计算机甚至电力出现之前的时代，但他已经弄清楚了保护网络所需的一切。听起来有点疯狂，对吧？这个人就是孙子，他的著作《孙子兵法》几个世纪以来一直被军事领袖们研究。
对于这个视频，我从这篇历史文献中挑选了八个原则，并将它们应用到我们今天保护最高科技基础设施的方式上。为什么是八条？因为在中国，“8”被认为是最幸运的数字，这是因为在普通话中，它听起来与“繁荣”或“财富”这个词相似。几年前我在中国生活时了解到
，包含数字8的电话号码比不包含的数字更贵。而拥有很多个8号码的价格则要高得多。这里还有一个有趣的事实：当夏季奥运会在北京举行时，它们是在2008年8月8日开始的。你猜几点开始？没错，晚上8点08分。所以在这个“中央王国”，他们真的很喜欢数字8。
为了尊重这一传统，让我们来看看孙子教给我们的关于网络安全的八个教训。孙子写道：“知彼知己者，百战不殆。”他在这里说的是什么呢？基本上，这是一场关于知识的博弈。它是关于了解自己并了解你的敌人。所以让我们从“知己”开始说起。
从网络安全的角度来看，我们基本上要在对手之前绘制出自己的攻击面地图。因为如果我们知道弱点在哪里，就可以修复它们。如果让他们先找到这些漏洞，他们就会加以利用。然后我也需要了解敌人，也就是攻击者。我需要知道威胁行为者的身份并研究他们。
我想知道他们的工具、战术、程序和技巧，以及所有我们称之为TTP（战术、技术和程序）的东西。他们会做什么？他们的动机是什么？为什么他们要做所有这些事？我将所有这些信息收集起来，这就构成了我的知识。在现代网络安全术语中，我们称之为威胁情报。
这就是我们要变得更聪明并能够进行更好战斗的方式。同样地，2500年前，有人已经弄清楚这有多重要。他写的下一句话是：“胜兵先胜而后求战，败兵先战而后求胜。”这似乎违反直觉，但意思是你必须先获胜，然后再投入战斗。看起来应该是反过来的？
先打仗再赢吗？不，他说顺序是相反的：在战斗之前你就已经赢了。所以最好的安全措施基本上是在攻击落地之前就将其阻止。那这意味着什么？我们如何将其转化为网络安全术语呢？我们会做一些事情，比如修补漏洞。如果我修补了我的系统，那么我就没有漏洞了。
如果我对这些系统进行加固，那么就消除了其中可能存在的所有后门、其他人可能使用的其他功能类型，并更改了所有默认设置等。系统变得难以入侵得多。我将使用预防性能力，如多因素身份验证和通行密钥（Passkeys）。
我还将采用零信任原则来开发此环境的架构，即假设已经发生入侵并围绕它建立防御。因此底线是：在安全领域，我们要做的是预防、检测和响应。而2500年前就已经弄清楚的是：预防优于检测和响应。你可以这样看待它：如果你正在进行事件响应，那么你已经输掉了第一回合。
孙子写道：“兵者，诡道也。”故能而示之不能……设下诱饵引诱敌人。欺骗。现在，这是什么意思呢？他说欺骗就是一切。然而，我们在网络安全中可以做的例子是什么呢？一个例子是我们称之为蜜罐的东西。它基本上是一个诱饵系统，吸引攻击者的注意力。
他们被引诱进入我们的系统，但我们在一旁观察他们在做什么。这样我们就能看到他们正在针对什么样的东西以及如何攻击它们。然后我们可以通过从他们的特定攻击中学习来修改我们的防御措施。另一个例子是所谓的蜜令牌（Honey Tokens）。
蜜令牌本质上是凭证，可以是密码或API密钥。例如配置文件中的假AWS密钥。我们将其放置在那里并观察谁尝试使用它。因为每当有人使用时，我们就知道那从来都不是合法的，因此我们知道他们获取了该密钥以及从哪里获取的。
这种欺骗的另一个例子是我们称之为金丝雀文件的东西。这些是虚假的文件，充当早期预警系统，有点像煤矿中的金丝雀（如果你熟悉这个典故的话）。这些可能是名为password.xls或salaries.csv的文件。这是攻击者会看到并试图获取的目标类型。
一旦他们这样做，我们就吸引了他们的注意力并且可以弄清楚他们在做什么。这完全是孙子的策略：引诱攻击者暴露自己，同时浪费他们的时间在虚假目标上。这对他们不利，对我们有利。所以他写的另一件事是：“兵贵胜，不贵久。”速度是战争的本质。
我会加上适应性，因为他也谈到了这一点。但让我们先谈谈速度。攻击者行动迅速，而现在有了人工智能，他们会移动得更快。他们将以机器速度运行。我们的防御不能以人类的速度运作。我们必须提高我们响应方式的处理时钟频率。
人工智能会使这种情况变得更糟，那我们为什么不利用人工智能来防御呢？因为检测和响应必须更快。我们可以这样看这个问题：如果你认为攻击……发生在这里，X标记了地点，那么在我们要意识到发生了什么之前会有一段延迟时间。
我们将这段时间称为平均识别时间（MTTI），即我们完成此类操作所需的平均时间。一旦我们发现，现在我们将响应并最终试图遏制这种情况的发生。我们把这称为平均 containment 时间（MTTC）。嗯……这对大多数组织来说其实相当长。
据我们了解，平均数据泄露事件几乎需要两年半的时间。这种情况已经持续了十年之久。这需要压缩时间。我们将只能以工具允许的速度进行操作，并且……
坏人行动迅速，我们必须具备适应性。适应能力意味着我们不能仅依赖僵化的合规检查清单式工作，因为面对不断尝试新攻击的自适应对手时，那些安全措施会失效。所以要合规，但不要认为这是全部答案。“不战而屈人之兵”是战争的最高艺术。换句话说，要挑选你的战斗。永不输掉战斗的一个可靠方法是：当冲突发生时不要在场。所以想办法让自己不在场，去保护对你最重要的事物，因为你无法防御一切，这就需要优先排序。
你需要确定组织中哪些是最重要的资产，这意味着你要理解什么是你的“皇冠明珠”并优先保护它们。这些是真正重要、构成组织生命线的数据和系统。你想保护一切，但可能无法同等程度地保护所有事物。因此要确保了解哪些是关键资产。如何确定这些优先级？通过风险分析。你要理解如果其中任何一项受损，其相对风险是多少，从而基于真实数据和深入理解来制定策略。这是以风险为基础的安全，而非“安全表演”。
孙子接着说：“先处战地而待敌者佚，后处战地而趋战者劳。”换句话说，你需要控制地形和位置优势。你要抢占高地，以便在攻击来临时能提前发现。如何实现这一点？广泛监控是其中重要的一部分。你需要能够看到环境中各个角落发生的一切，但这会产生海量数据怎么办？你可以使用人工智能等工具帮助从噪声中过滤出信号。这样你就能理解真正的攻击何时到来，并处于能够全面监控的位置。
因此，你要通过网络分段和DMZ（非军事区）来保护你的网络。如果这是公共互联网，那是内部网络，那么在两者之间放置一个区域称为DMZ。这借用了军事术语，这是一个不可信的区域，因为我不清楚那里发生了什么；而这边是我相对可信的区域。如果你信奉零信任原则，那么在验证每一件事之前不存在真正的信任，但这里是相对经过验证的。这种网络分段的优势在于：发生在此处的攻击不会直接蔓延到彼处，并且我们设有瓶颈点使进攻更加困难。
我们将迫使攻击者通过这些瓶颈点，在那里我们有“天眼”俯瞰并严密监控这些流量，从而知道该关注什么。孙子说：“将者，国之辅也。”如果堡垒在各个层面都完整无缺，国家就会强大。换句话说，防御者、盾牌、国家的壁垒决定了局势。“谋定而后动”，如果没有愿景，人民就会灭亡。领导者的职责是在团队内传达这一愿景，凝聚力量，让所有人达成共识并全力投入。
同样重要的是在网络安全语境下，首席信息安全官作为领导者，需要获得高层的支持。他们不能独自运行一切，就像将军不是国王一样。因此，从上级那里获得支持同样重要。安全文化自上而下流动。可以说，缺乏训练的领导者比未打补丁的软件是更大的漏洞，因为糟糕的决策和资金不足会随之而来。如果你作为领导者或将军，必须向上管理和向下管理，以获得整个团队的支持。
孙子还写道：“知彼知己者，百战不殆。”另一种说法是保存你的资源。不要浪费任何东西，否则坏人将获得优势，因为你会将有限的稀缺资源消耗在特定的攻击上。底线是：防御者预算有限、时间有限、资源有限；而攻击者在这些方面不受限制。他们 collectively 拥有无限的预算、时间和创造力，在这方面具有优势。因此你必须谨慎地保存资源并明智地使用它们。
底线是：防御者必须每次都正确，而坏人只需要成功一次。这种不对称性意味着我们需要节约资源。如何克服这种不对称？每当你有机会时，都要自动化或利用人工智能来处理人类通常关注的例行事务。这能解放人力，让他们去关注其他事物并从事更具创造性的工作。从2500年前从未碰过键盘的中国军事领袖身上，我们能学到什么网络安全知识？答案是很多。有些东西永远不会改变，经典战争智慧就是一个例子。现在你有了八条永恒的课程，帮助为现代基础设施设计更好的防御体系。对于孙子，我说谢谢。