网络安全：人为缺陷并非用户固有
在谈到网络恶意软件时，常常会强调人为因素，特指用户，而且有时这样做是有充分理由的。但这样做忽略了人为错误也可能源自基础架构的设计。提前着手增强基础架构的稳固性，和向用户宣传网络安全一样重要。
Slvain Guilley是Secure-IC安峪科技公司的首席技术官(CTO)，也是ISO（国际标准化组织）的高级编辑。
网络空间，是危险的放大器吗？
在现实生活中（即“IRL”，即“真实生活中”），肾上腺素所带来的相关感受对每个人来说是特定的：有些人喜欢冒险，有些人喜欢进入未知领域。这些复杂的心理机制取决于每个人的先天和后天特质。在网络空间里，也存在类似的原理，有些访问的地方比其他地方更危险。不幸的是，任何人都可能遇到不好的遭遇（甚至是攻击）：欺诈、虚假电子邮件、有针对性的攻击（社交工程：旨在人们没有意识到的情况下提取信息的操纵行为）等等。在许多情况下，这些行为正是危险的根源，引导每个人了解这些风险将有助于避免许多陷阱。
然而，尽管技术本应服务于人类，但有时技术本身也可能出现错误、缺陷或过度干扰。在这种情况下，即使用户表现出色，他们也可能成为恶意行为的受害者，后者可能依赖于并利用一个或多个已经存在的漏洞。
概念上的缺陷
在这些漏洞中，一些可以由用户自己（或者通过浏览器等）解决，比如不安全的网络协议（https的“s”以及相关的锁图标），而其他的一些漏洞则难以察觉。例如，跨站脚本（或XSS漏洞）是在一个完全合法的网站上的漏洞，它能够执行任何操作，甚至控制浏览器来查看该页面。
在这种情况下，人为错误不应归咎于用户，而是应归咎于设计者。这是基础设施，软件和/或硬件的问题，它们没有被设计成足够具有高质量安全的。但是也不能一概而论地将责任归咎于设计者自身。
确实，随着基础设施日益复杂，确保最大安全性变得越来越困难。另一方面，恶意人士不懈和持续的努力使他们能够在设计阶段发现和利用未知的缺陷。
因此，系统安全是否注定要永远前进，同时希望永远不会受到网络犯罪分子的攻击呢？幸运的是，事实并非如此。正是技术本身在帮助设计者进行良性设计，通过借助检查属性、非回归性、编译层面的形式等价性等工具。当然，这些工具需要正确配置，同时不能防止规范或源代码中的漏洞。
确实，需要谨慎避免任何捷径：尽管人类可能在设计阶段成为安全漏洞，但他首先是其主要资产，正如大多数认证计划所认可的那样，这些计划涉及到文档化的程序（为人类设计）。例如，在汽车行业中，标准化（ISO/SAE 214341）甚至更进一步，要求高级管理层参与其中，他们必须知道如何衡量利害关系，并任命一位安全经理等等。
在设计阶段理解并严格遵守标准，甚至加强标准，对于确保基础设施和系统质量和安全至关重要，从半导体到云端都是如此。通过将这种方法与普及的网络安全问题教育相结合，我们使个人能够更加意识到安全风险，并做出更好的决策，从而将已知的漏洞利用最小化。
如果你对我们的博客或安全解决方案有任何问题? 我们随时乐意解答！