全球最大的安全会议RSA大会于上周结束，每年RSA大会都有一个主题，今年的主题是“挑战今天的安全思想”。云集的厂商、大量的讨论、众多的演讲者共同阐述着一个故事：你无法制止攻击，但你可以检测攻击。

不得不再次提出一句已经说得很烂的话：这个世界上只有两种机构，一种是被入侵的机构，另一种是还没有发现自己被入侵。

这是一句非常消极的话，失败主义的意味极浓。在我们拥有无数安全厂商和安全工具，并投入了大量人力物力资源之后，怎么会仍然不能真正地击败攻击者呢？如果真是这样，我们的钱又花到了什么地方去了呢？

大量的入侵和数据泄露事件令许多企业处于恐慌之中，不知道自己何时会成为下一个索尼或塔吉特。新兴企业或厂商专注于风险控制和减少潜在入侵带来的影响上，包括可视化工具和数据加密技术。在美国国家安全局（NSA）工作了30年的埃德·乔治欧，在RSA大会上的演讲表示，斯诺登事件之后国家安全局实施了新的信息划分规定，以保护NSA的资源和项目。

黑客永远都是危险，但互联网却不是NSA。相信不少人前两年都看过一本书，《世界是平的》。其理念就是基于科技和通信领域的飞速发展，让世界成为了一个地球村。那么，能够最完美的体现这一理念的互联网则更是平的。试问，在一个信息和科技转瞬间就能遍布全球的，一个以信息分享和自由精神为基石的互联网上，如何能像NSA那样实施信息强制划分的命令呢？

不管你是内部网络还是外部网络，只要网络中的其中一个用户被入侵，攻击者就可以使用某种方法绕过限制进而访问整个网络。

由于在航班上发推特开玩笑要黑掉飞机，因此险些未能参加RSA大会的克里斯·罗伯特，在演讲中详细描述了一个理论场景。在此场景中，错误的配置加上缺乏正确的控制可以导致被攻击者控制某用户的互联网连接，然后借此攻击任何该用户能够联系到资源。

去年的互联网大会上，周鸿祎畅想万物互联的世界，没有边界没有划分没有访问控制的世界。入侵企业网络里的一台设备即可入侵整个企业的基础设施。

现在的世界已经是一个“入侵就在身边”的世界，每一个端口、每一个数据包、每一个IP地址都在被攻击者（讽刺的是还有防御者）扫描。每个人为了自身的安全，都需要检查和识别风险。从防止各种金融、电信诈骗，到谨慎个人信息的泄露，再到使用各种手段保护自己的手机、电脑、平板、可穿戴设备……

但这并不意味着安全的末日，它只意味着安全需要正确的实施。并不是所有的设备都要连接给每一个人，也并不是所有的访问权限都要开放给用户。终端准入，访问授权，行为监控，数据加密，高级持续威胁、社会工程、DDoS、零日漏洞，安全与攻击永远处于博弈之中。

此为现实世界的新常态。