2019年度总结
不“夜郎自大”、不“妄自菲薄”、坚持“自我批判”
结束亦是新的开始！按惯例，在2020年即将到来的时候，对自己的2019做个总结。不“夜郎自大”、不“妄自菲薄”、坚持“自我批判”。
翻看2018年年底总结，当时对2019年提出了以下期望，在后面的总结中也看看这些期望是否达成。
- 戒骄戒躁戒吐糟，在岗位上，不计个人得失，在做事的过程中要收获、求成长；
- 利用业余时间依旧要不断学习新的知识；
- 综合能力方面，学会拒绝、与人争辩；
- 更多的担当，尤其是对家庭的担当；
- 其他方面的提高，如读书、分享、运动。
2019年的帷幕是在新旧工作的更替中拉开，新岗位、新环境注定了2019较之前要有很大的挑战和变化。
一、始于变化
工作内容有着很大的区别，期间一直在琢磨当前的工作与之前有哪些本质的区别，一句话概括就是“企业安全VS产品安全”。之前的工作经历都做企业安全，目前工作则是专注于产品安全。
1、 企业安全
企业安全包括产品（企业内部信息系统）安全，但同样侧重于安全内控建设，比如安全组织建设、制度流程、安全意识、内部泄密等等，企业安全的业务范围可以用下图企业安全架构概括。
2、 产品安全
目前在物联网服务产品部，是基于公有云面向物联网场景提供的云服务，自己的工作职责就是负责这十来个云服务的安全，包括基础的设备接入、设备管理服务，以及车联网、V2X、智慧园区等行业解决方案服务。对比之前的企业安全，最直接的变化是工作面变窄，由面向整个企业变成面向一个产品，而且产品的安全更侧重于研发阶段（线上安全目前还未覆盖太多），因此企业的内控建设、终端安全、安全运维、安全运营等很多事情目前是接触不到的，时间久了，一定会跟不上企业安全的发展节奏，虽然现在也没跟上。这方面也是当前面临的一个重要问题！当然这个问题也要结合当前岗位带来的收获综合考虑。除了工作面变窄外，日常也要基于物联网场景考虑安全方案，学习一些企业安全可能涉及不到的解决方案。
二、物联网安全的理解
万物感知、万物互联、万物智能。毋庸置疑，物联网正在改变这个世界，同时也正在面临着复杂的安全风险，这些风险也正在被人们认知和重视。虽然自己不一定会在物联网安全走的太远，但它一定是未来安全的一个重要分支。
在“端、管、云”整个物联网安全的解决方案中，简单总结下端和云的安全特点：
1、 设备安全能力
几百亿的物联网设备中，不仅包括智能手机、智能家、智能汽车等我们熟悉的具备一定计算能力的智能设备，还包括水表、电表、烟感、停车场等资源受限、处理能力受限的NB-IOT设备。无论哪种类型的设备均应该具备一定的安全能力。具体包括：
- 抗攻击能力
设备自身不应该存在高危漏洞、弱口令、明文密码、明文传输等常见的安全风险，以防止被恶意人员轻易攻击。同时，设备应该具备安全启动、异常检测等高阶能力，确保软硬件不被非法篡改，以及遭受攻击时可以及时告警。
- 数据安全与隐私
终端上的数据安全最重要的是数据安全存储，无论是密钥、敏感配置参数等设备本身的数据，还是设备产生的用户数据，设备端应该提供基于硬件的安全存储和处理的能力，防止数据被非法窃取和篡改。隐私问题更倾向于对物联网企业的合规要求。
- 安全连接能力
无论是设备to设备，还是设备to云，彼此一定会互相连接，因此安全的连接非常重要，否则就会出现仿冒等安全风险，安全连接包括设备身份认证、认证凭据加密存储、加密传输等。
综上，物联网设备从芯片到OS，在到设备应用，应该要具备相应的安全架构，如下图所示。
2、 云服务的安全能力
很多物联网厂商是传统的设备制造商，安全起步晚、投入少、能力有限，因此物联网云服务商不仅要考虑云服务自身的WEB安全、DDOS攻击、主机安全、容器安全、隐私保护等所有产品都会面临的风险，还要结合物联网场景，向物联网厂商提供一些安全能力，尽可能通过云、端的联动，为设备的安全赋能，因此物联网云服务需要提供以下能力：
- 身份标识与认证
利用芯片的安全能力，把标识和认证凭据烧录至芯片的安全可信根。
- 安全启动&远程证明
物联网的设备通常是物理暴露的，所以容易遭到近场、可接触攻击，因此为防止设备软硬件被非法篡改，应向设备提供安全启动或远程证明的能力。
- 证书发放
车联网、V2X等场景，不同的终端设备（车端、RSU）会使用X509数字证书进行身份认证和传输加密，很多车企没有CA，因此需要提供证书签发的安全能力。
- 异常检测
云服务应为终端提供异常检测的能力，以便企业客户可以及时发现哪些设备被攻击或存在被攻击的风险。
- 安全运营中心
基于物联网设备的安全运营中心。
三、工作中的收获
为尽可能显得“高大上”一点，所以“厚颜无耻”的把当前的工作“包装”为以下三个方面：
1、 安全竞争力规划
美名曰“安全竞争力规划”，无非也就是“东拼西凑”，对比对比业界友商，分别看看各家在安全方面有哪些可以在客户面前吹牛的东西，然后把各家的东西合起来，确认自己家的服务是不是也要做。这些方案在正在落地的时候，自己要负责方案的详细设计，但是类似远程证明这种技术型方案，一般公司也会有部门提供相应的方案设计参考，技术方面自己不需要有太深的研究，只需要结合业务，把方案融入自己的业务即可，具体技术研究和实现可能会依托研究所，一些基础的编码工作会由部门研发实现。思考这项工作的收获是什么，可以学习到一些物联网的安全解决方案，不过这些方案在其他场景下可能不适用。同时详细的方案设计要考虑业务流程、接口实现、字段规划等细节，相当于安全产品经理的角色，可以增加对研发工作的了解，但是在技术上收获甚微。
2、 云服务安全架构
这项工作的目标是要确保云服务自身的安全与合规。通常是在公司各类产品安全规范的要求下，开展威胁建模分析，输出存在的风险，并制定消减措施。这些消减措施与云服务的架构组合在一起，就构成了云服务的安全架构。总结这项工作的收获包括：
- 系统化的学习了公司的产品安全设计规范，包括《身份认证与访问控制》、《会话管理》、《密码管理》、《密钥管理》、《隐私保护规范》等。这些规范在产品设计上覆盖了各种安全风险，并给出了详细的要求和方案。当具体到某个安全功能的细节时，产品安全要比企业安全考虑的深，一方面是因为企业所处的外部环境，容易在安全方面遭受别人的质疑，所以内部在安全方面对自己要求比较苛刻。另一方面是产品安全是要把产品卖个客户，客户有要求，而企业安全要考虑安全与研发的投入，首要选择可能是在边界规避风险。所以产品安全比企业安全的要求严格，举个例子，比如企业里面会把连接数据库、内部接口认证、开源软件认证的口令明文存在配置文件，但产品安全禁止任何口令的明文存储。再比如证书的算法套是否安全、加解密是否使用了强安全算法等等。这些安全的规范的含金量很高，可以全面的了解一个产品在设计中应考虑的安全风险和如何消减这些风险，并且会覆盖到很细的细节（比如安全加密算法的选择）。
- 威胁建模分析，比如STRIDE，这方面在之前的工作中没有接触过，通过威胁建模确认可以帮助我们系统的分析产品（系统）存在的安全风险。
- 安全特性设计，这里特性指的是安全的特性（功能），设计工作是与安全强相关的，比如KMS、隐私保护、接口认证等，这些工作以前是直接给研发人员提要求，现在不只是提要求，也要提供设计方案，研发根据设计方案实现。
- 合规方面，比如ISO、等保相关的认证，以及GDPR隐私保护相关的工作。
仔细想了想，这部分工作中还有很多可以改善的地方，包括：
- 对业务了解的少，业务的商业模式、发展规划这些其实都是与工作相关的，不能只关注安全细节；
- 只关注与安全的功能，对产品的架构了解的不多，比如产品的并发、容灾、可靠性等方面如何实现的，当前并不清晰；
- 对产品的部署、运维了解的不够，一方面也是因为产品刚上公有云，所以安全还没完全覆盖到产品的部署、运维环节，部署和运维是安全中很重要的一部分，这部分的经验需要好好的总结学习；
- 对自己产品之外的安全了解不够，比如整个公有云的安全体系。
3、 安全工程能力建设
这里把DevSecOps的东西都归为安全工程能力建设，包括需求设计评审、安全技术培训（包括设计、研发、测试）、安全测试、安全工具化等所有日常例行的工作。当前自己主要负责设计评审，重点是评审功能设计是否存在安全风险，根据公司安全规范提出整改意见。在整个工程能力的建设中，应该要利用机会锻炼安全测试的能力，但因为精力有限，也没投入太多，所以技术的动手能力仍然很水。这方面是一直欠缺，一直也没找到有效的提升方法，还是因为懒。
四、学习拓展
这方面总是很惭愧，打小就没养成好的学习习惯。技能一直没在某方面有深入造诣，也属于一边学一边忘的那种。今年看的书不多，看了看《Metasploit渗透测试指南》、重新翻了下《黑客攻防技术宝典（WEB实战）》，开发方面学习了《SpringBoot实战》，因为我们的服务是基于k8s集群的，所以重新翻了《Docker入门》熟悉下docker命令，通过《Kubernetes权威指南》对k8s做了入门级了解。出于对数据安全的兴趣，花了些时间了解了Hadoop的一些东西。这些书籍和知识说起来感觉挺牛逼，但好像已经全部忘的差不多了。渗透方面没啥提升，也没有什么输出，这方面没有在18年收获的多。开发方面借助于SpringBoot的学习，当前最多也就是写个最简单的Demo，产品的代码还是太复杂，整体上一看就懵逼，具体到某个类、方法能方能看懂80%。Docker和k8s的命令又好久没用了，也就看书的时候对照书巧了一些命令。Hadoop的组件也没搭建环境去练手，现在已经想不起来有什么知识点了。如果知识不能在实际的工作中运用，最多也就是纸上谈兵，况且自己只是对这些知识做简单的了解，连谈兵都算不上。
表面上在学习某个知识、阅读谋篇文章，但实际上没记住、没把它形成自己的知识、没加入自己的理解，这种状态确实需要改变了，不能在“不求甚解”，务必“寻根究底”。学的时候应该多问一些为什么，多总结提炼，多分享，必要时应按照遗忘曲线，温故知新，更重要的是应该多运用。需要是好好考虑下，最应该提高的是哪个方面，然后多花一些时间把特定的这个面夯实起来。
五、工作历程
回想这一整年的工作历程，还是有很多的心酸和无奈。每个企业在其长期的积累过程中都有一些特有的氛围和方式，这也是由文化、倡导机制间接导致的。员工的身上久而久之就会带着这些特点，当然，因为时间久的缘故，很多人已看不到这些东西。这一年作为一名不争不抢的“旁观者”，见多了推脱和自私，见多了事故和圆滑，也见多了那种“遇强则弱”，“遇弱则强”。作为一个“旁人”，经常会看到一群人去“攻击”一个人，这种“攻击”说的好听点是给你提出一些技术建议，其实这些建议又有多少是有价值的，无非就是抓着一个非关键点，每人都上去“咬一口”，显得自己也给了意见，不失“专家”的身份。仔细观察就会发现这些东西其实很有意思。再比如“议而不绝”，讨论了很久不会有结论，最多就是“我认为有风险”，但具体怎么规避这种风险，提出风险的人他也不知道，但他就认为有风险。再比如“抢话的绝活”，抢话是很多人都要练就的本领，甚至有些领导一句话没说完，可能会被人三番五次的抢过去。
Anyway，总体来看我还是很幸运的。不争不抢让我起初一直处于边缘，默默的去看着这些东西，没有置身之中。当自己已经适应，并用相当一段时间补充了必备知识技能后，因组织结构调整、人员调岗优化等原因，自己顺势被推向了更重要的岗位，百分之七十要归功于运气，百分之三十是自己的综合能力。所以，现在进去厮杀，至少保证不被咬，咬不咬其他人在说。其实，咬人也是一种技能。
六、生活
今年的运动惨不忍睹，一年就运动了三次，总共就跑了三次步，每次还不超过10公里。不找太多借口，还是因为懒。
家庭上，也是经历了很多波折和困难，好在都已经解决，目前也是最好的结果。
回顾18年底的期望目标，总体还是按照当时的期望在走。在家庭方面，因为客观原因，对家庭照顾不够，在读书和分享方面做的比较少。这些问题，以及上述2019总结的不足，后续努力改进。
2020，可以预见会有很多挑战，也有很多期待！无论怎样，希望自己轻装上阵，我本俗人，为何非要激流而上，随遇而安又何尝不是一种生活！
来源：https://www.cnblogs.com/Eleven-Liu/p/12122015.html