<mark id="oztn4"></mark>
1
| 本文作者： 李勤 | 2018-04-11 17:06 |
3月 22 日，雷鋒網編輯見到了京東安全掌門人 Tony Lee，那天，是他加入京東的第 571 天。
歷經賽門鐵克、微軟后，2011年，Tony 從美國歸來，創(chuàng)建了安全寶，直至安全寶的大部分業(yè)務被百度收購，Tony 成了百度云安全首席架構師 。但是，一年多后，Tony 的陣地就轉向了京東。其中只有一個原因，Tony 說，他在尋找一個最激烈的戰(zhàn)場。
“縱觀行業(yè)過去20年的發(fā)展，安全博弈是不成功的，來到京東，我想是不是可以做點事情，能夠真正解決一些問題。”
Tony 對安全行業(yè)的現狀有些失望。
首先，大公司靠著長年積累和投入，建立了安全能力，有話語權，但小公司卻沒有這種安全能力，在“一視同仁”的信息安全威脅前，顯然小公司處于劣勢。其次，市場提供的安全服務大多是單點建設，并不能完全解決一個企業(yè)面臨的安全問題。
Tony 認為，國外的開源氛圍濃厚，國內雖有少量大公司在安全開源技術上有所涉獵，但遠遠不足，他希冀的是，一個在安全上有所需求的企業(yè)能在開源平臺（技術）上進行定制，就能適應企業(yè)自己的框架和需求。
比如，TensorFlow 最初由谷歌大腦小組的研究員和工程師們開發(fā)出來，用于機器學習和深度神經網絡方面的研究，但這個系統(tǒng)的通用性使其也可廣泛用于其他計算領域。
他希望可以在京東提煉出一種安全能力，無論最終以怎樣的形式呈現，對安全行業(yè)發(fā)展產生影響。“對京東來說，我們并不靠賣技術賺錢。很多公司靠做技術賣一個東西給你，我們更崇尚的是對互聯網的貢獻和影響力。”
但是，這事為什么在百度或其他地方不能做，卻被他認定可以在京東完成？
年少的 Tony 喜歡守在電視機前，看美國電視臺 CSPAN 專門播放國外辯論。他一看就是幾個小時，因為“有一些人與生俱來對一些東西比較有傾向性，他對終極意義的東西比較感興趣”。Tony 覺得，從終極問題可以倒推事情的本來面目，從而可以找到自己的路徑。也因此，Tony 不會繼續(xù)滿足于在相對成熟的平臺工作，他想要的是從 0 開始，披荊斬棘。
如果去一個相對成熟的平臺，什么都很光鮮，看上去很專業(yè)。但是，這都建立在前人的成就上，所面臨的問題也更固化。而安全行業(yè)，穩(wěn)定就意味錯失很多問題和戰(zhàn)斗的機會——沒有經歷大量的戰(zhàn)斗，無法培養(yǎng)出以一敵百的力量。
Tony 認為，他找到了理想的戰(zhàn)斗地：“因為京東現在就是一個最大的盤子，海量的數據和豐富的業(yè)務場景，會面臨各種各樣的問題，數據安全、IoT安全、AI安全、賬號安全、業(yè)務安全等，而隨著無界零售等新業(yè)務模式的飛速發(fā)展，在這里還可能遇上你不曾想到的最前沿、規(guī)模最大、最激烈的安全問題，就跟打仗一樣，最激烈的戰(zhàn)場就在這里。”
Tony 入局京東時，就在尋找“創(chuàng)造先行”的人。每面試一個人，他都會問對方：“你愿意從 0 開始和我做起來嗎？”
這個問題，Tony 問了很多人。
組建團隊的過程并不容易。一是人就這么多，二是京東龐大的業(yè)務安全的戰(zhàn)場就在這里，來的人和這個新生團隊都要在短時間內扛住壓力，直面這個已經存在的戰(zhàn)場——無數安全威脅盯著的電商帝國。
首先，這類安全人才本來就很稀缺。
Tony 尋找的真正做安全的人需要有逆向思維，“Think outside the box”，這種人不多，幾年之前，學校甚至都沒有相關信息安全專業(yè)，正規(guī)的安全訓練是缺失的。現在，很多從事安全行業(yè)的人才其實是安全愛好者，從初中、高中開始就對這個行業(yè)傾注了心力，但是堅持下來的人不多。Tony 希望，具備這種思維、真正熱愛安全的人能跟隨自己“內心的聲音”，像保存火種一般加入這個“軍隊”中來。
其次，適合甲方業(yè)務安全的人才更稀缺。
雷鋒網編輯和阿里安全曾經的掌門人陳樹華有過一次對話，這位同樣身處電商帝國的 P10 級牛人感嘆，對電商帝國的老板們而言，他們關心的從來不是網站有沒有被 DDoS，而是今天的店鋪是否正常，首發(fā)的手機有沒有被羊毛黨薅走，這是這些公司至關重要的業(yè)務安全點，這樣的安全都是圍繞業(yè)務做。
“業(yè)務安全是業(yè)務擺在前面，不是安全業(yè)務，所以要懂業(yè)務，今天懂業(yè)務的在哪兒？誰懂業(yè)務呢？”陳樹華說。
還有一位甲方業(yè)務安全負責人曾說，他費了好大力氣才把從乙方企業(yè)招來的安全人員一個個培養(yǎng)成甲方所需要的人。
“很多人在乙方公司做安全產品，轉到甲方還可以做些技術，但有多少人能在甲方公司把甲方安全做好？甲方安全人才不是一般的缺失。”Tony 說。
相應的管理人才就更少了。
Tony Lee 大學學的電子工程與計算機，后來又取得了相關碩士學位，主攻數據挖掘，還算“搭邊”，“美國很多安全負責人甚至是音樂、律師出身，可以看出這種稀缺性。”
Tony 一邊尋找在技術、管理能力上與之相匹配的人，一邊“要求很高”。 他曾經把一封內部郵件轉給京東安全的所有人，希望大家都有“拒絕做螺絲釘”的意識。
“螺絲釘來這里會很難受，因為我們總是要求他，這個你為什么不做，那個我們要管的，你趕緊上啊，你坐著干嘛？” Tony 時時刻刻都有從 0 開始的創(chuàng)業(yè)緊迫感，他要求，加入這個團隊的人要有“主人公”意識，不是你的事你也愿意去管。
直到京東安全的人數比開始時翻了 5 倍，Tony 稍微松了一口氣。
“軍隊”和“戰(zhàn)場”都有了，Tony 不滿于現狀，他想要戰(zhàn)斗在最前沿，通過追溯問題本源，來發(fā)現解決問題的路徑。
這也是他慣有問題倒推思路。為什么會有安全問題？弱點跟風險起源在什么地方。如果存在漏洞，漏洞又從哪兒來？是不是在前期研發(fā)、設計考慮的時候不夠周全？他希望，從源頭上提升京東安全的水平。
保障源頭安全能力是基礎，在“行軍”過程中又要根據戰(zhàn)勢及時調整戰(zhàn)術。因此，更要關注安全與京東業(yè)務的貼合：首先是保衛(wèi)核心數據安全，這是底線。他還看無界容錯，關注大量數據交換的安全指數。比如京東關注的智能家居，物流里的無人機、無人車、無人倉儲等新技術是否足夠安全？
除此，數據挖掘背景出身的 Tony Lee 自然很在乎數據。他想構建出如 TensorFlow 一般威力的平臺、框架，或者輸出智能安全能力。
“intelligence”可能是他要做的事情的精準“定義”。一方面，它代表“智力”，一方面，它強調“情報”，而情報背后就是數據。
因此，他在京東主推了一項基于硬件加密的數據加密加速技術，希冀能滿足“京東業(yè)務體量所要求的性能和穩(wěn)定性極高的要求”，同時發(fā)揮京東的數據優(yōu)勢，在不觸碰用戶隱私的前提下 ，促成客戶相關項目的合作。
而面對就在眼前的“戰(zhàn)火”，他繼續(xù)推進應用在風控中的人機識技術，提升在反薅羊毛的整個鏈條上的攻防能力和大數據分析能力。
為了做“IoT 安全”，找到硬件的風險點，他推動國外高校研究機構與京東合作，開發(fā)基于硬件層的自動化 Fuzz 工具。
去年 12 月，京東安全峰會上， Tony Lee 宣布京東將成立安全攻防實驗室，聚焦智能化、人工智能、IoT、云安全。今年，他的目標又擴充了一些，除了美國的京東安全研究院，他想在中國也成立一個研究院。
這個不安于行業(yè)現狀的掌門人在京東朝前走了 571 天，他還將繼續(xù)向前，站在最激烈的安全戰(zhàn)場前沿。
雷鋒網原創(chuàng)文章。
雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。
