忙忙碌碌又一年过去了，年终岁尾，终于有时间让工作停下来，但在假期前的这个时间，大部分人都在为年终总结、来年的工作如何做而绞尽脑汁吧。零信任、DevsecOps、SASE、拟态防御，这些热词我们已经耳熟能详，如果将这些理念应用在工作会怎么样呢？本篇文章不给答案，只提供一些启发和思考。

• 零信任：保持怀疑，持续验证。

巴菲特说曾说，如果你在错误的路上，奔跑也没有用。同时验证你怀疑的点，并把这种能力养成习惯。

举例：假设现在有人告诉你，SaaS化安全云服务现在在国内行不通，你是选择相信他还是会反驳他？得出某一项结论是需要支撑的，你可以调研用户是否准备或者已经使用还是不想使用安全云服务，以及相关厂商的营收数据才能得到更为符合实际的结论。

• DevsecOps：加入安全的开发流程闭环，特点是敏捷、闭环、迭代。

DevsecOps   图片来自网络

举例：我们的工作是否实现了敏捷、闭环和迭代？如果你是一个项目经理，你负责的项目是否按期交付，并在项目结束后进行了总结，为下一个项目进行了积累。如果未完成，是哪些问题阻碍了项目进行，失败的经验应用到后续的工作中；如果你读了一本书，是否对你产生了某些触动，你是否写了某些读后感进行了积累，最后增长了你的见解，为读更深层次的书进行了准备。是否可以仅听概要和精华内容，然后吸取转化为自己框架中的一部分，实现敏捷的输入。

• 拟态防御：用一套系统模拟另一套系统，安全界的“伪装大师”

举例：拟态防御使用动态冗余构造的方式，对传统安全防御模式进行了改进。拟态给我们的启发是，实现目的的方式有很多，你可以使用防火墙对内部进行防护，也可以使用拟态设备增加攻击难度。在工作中，如果一种解决手段不行，可以思考从别的维度实现目标。

• SOAR：安全编排与自动化响应。

举例：SOAR的出现实现了安全运营的自动化和智能化，那工作中是否可以使用自动化和智能化的工具优化流程，提高效率。安全编排则是具体的流程的细化，每一个事件都有对应的操作，假设你的产品下周即将发布，那你就可以使用安全编排的思想，对每一个可能产生的事件做好对应决策，比如突然出现的bug，让发布推迟等等。

• 中心化还是去中心化

举例：如果你是一个部门甚至是一个公司的管理者，你会选择中心化（中央集权）还是去中心化的思路进行管理？

中心化、去中心化与分布式

中心化可以理解为权利集中在管理者手中，在内部推动某些工作时具有强有力的管控，比如公司要进行XDR的产品研发，那么需要的可能是EDR、NDR、TDR等几个产品线的整合，如果公司是中心化的管理模式，将利于产品开发。

去中心化其实不是消除中心，而是中心多元化，任何部门/产线/人都可以成为中心，且中心并非永久不变，中心对每个人没有强制作用。这种模式有利于发挥每个部门/产线/人的主管能动性，加强了期间的联系，更有利于创新。

总结

创新性的理念产生了创新型的产品和方案，而创新是可以“跨界”的，好的思路和想法可以用到其他维度。最后送给大家一句话：“你不能以你战术上的勤奋掩盖战略上的懒惰”，思考后再进行的行动远比不动脑的价值多得多。

作者：安全牛分析师 林海静