安全行业从业10年以上，就会特别注意确保关键基础设施安全可靠。毕竟，如果关键基础设施崩溃，后果不堪设想。
2011年起，针对关键基础设施的大规模攻击威胁，便已频现报端，且不仅覆盖面广，绝对数量也在持续增长。就在最近，恶意软件/勒索软件成了坊间热议话题。坏人真的很有可能控制我们的电网，毁坏我们的污水处理厂，锁定我们的系统要求赎金。
面对这些威胁，如果一家公司没有安全防护，那可真是难以置信了。
然而，从安全部署的角度出发，事实真相是：大家普遍认为安全只需占公司整体预算的一点点。
控制系统安全预算
虽然从数字上看起来似乎是挺大一笔钱，但想想英国石油公司、壳牌公司、艾克森石油公司这样的大企业，这可都是千亿美元级的企业航母。安全预算的极小比例不禁让人深思。在安全实现上，到底有哪些阻碍呢?
1. 鸵鸟算法
当你对某一件事情没有一个很好的解决方法时，那就忽略它，就像鸵鸟面对危险时会把它深埋在沙砾中，装作看不到。在计算机科学中，鸵鸟算法是解决潜在问题的一种方法。假设的前提是，这样的问题出现的概率很低。
其中关键在于“出现概率极低”。基本上，该算法就是对可能出现的任何问题视而不见。
客户中经常能听到这样的言论：“我们不会发生这种事啦。”或者，“我们是小公司，没人有工夫对我们下手。”听到此类观点时，最好想想被藏了勒索软件的承包商笔记本电脑。这已经超出了可以简单地无视可能外部威胁的范畴——我们得积极主动，要有安全防护计划。
2. 有个中央防火墙就够了
有个常见的误解：中央防火墙就是所需的全部。有这种认知的人不少。但实际上，依赖单点故障从来不是什么好事，比如装防火墙的案例。深度防御作为几千年来行之有效的方法不是没有道理的。
基本上，如果按操作逻辑分组分隔了公司网络，并连接防火墙保护每一个区域，就可以限制潜在问题的影响，受到指向问题发生确切位置的警报。而只有单一防火墙的情况下，网络缺乏内部阻断，恶意软件这样的威胁就可以很容易地传播。所以，中央防火墙就是全部所需的说法站不住脚。
3. 安全确认
“我们有防火墙”，或者，“该区域是物理隔离的。”一切看起来都很不错，直到，又增加了一个防火墙，然后发现网络Y的 X IP 地址在发送广播消息，某种程度上穿透了物理隔离……这怎么可能?!
这里面的希望大概是：只要增加一个防火墙，或者异常检测，或者DPI设备，就万事搞定了。但实际上，保护网络安全是一项齐心协力的工作，是永不停歇且非常悲观的一项工作;所谓悲观，是要占满垒包，不给对手留一丝机会，而不是说服自己“好了，没问题了，我们已经物理隔离了。”
很多情况下，都是架构师进场，规划好网络，然后第三方设置起OT部分。最后，总体拥有者来管理网络。因为是由孤立的各方各自完成自己的部分，终端客户便无法真正理解网络的形式和功能，只是简单地被告知有个防火墙。
阅读原文