Dr. Lin Clark。网络安全高管、事件响应人员、研究者和作者。
三十年安全领导经验。
其中二十年身处入侵事件之中。
如果您来到这里，很可能有事让您夜不能寐：一场尚未结束的入侵，一个想要答案的董事会，或是一笔买不到多少安全的安全预算。这正是我的工作。事件发生时，我来主导响应；我建设能更快遏制攻击的运营体系；我也给您董事会真正看得懂的证据。
全程保密，每条消息我都亲自阅读，您离开时会清楚首先该修复什么。
面对的是问题的全貌，而不是其中一角。
我曾在大型蓝筹企业、初创公司，以及美国和盟国各级政府中担任总监级安全负责人。其中二十年是亲身动手的一线工作，所以下文讲的是具体做法，而不是一串流行词。
-
安全领导力
我以高管身份负责安全职能，并对结果负责：一份董事会愿意出资的战略，一支能够落地的团队，以及能告诉您究竟哪些资产受到保护的报告。请参阅虚拟首席信息安全官服务。
-
事件响应
当您遭遇入侵时，我从首个迹象到最终简报全程主导调查，让您清楚发生了什么、什么已被遏制，以及接下来您需要决定什么。请参阅事件响应管理。
-
安全运营
我围绕一个无法造假的衡量标准，即遏制时间，来建设并运行 SOC，把原本只是监控成本的投入变成您可以拿出来说明的响应能力。请参阅 SOC 服务。
-
对手模拟
借助与 ATT&CK 对齐的模拟和网络靶场，您能赶在攻击者之前发现防御的盲区。靶场由我搭建，演练由我执行。请参阅渗透测试和红队演练。
-
人工智能安全
如果您正在把人工智能投入生产，我会帮您部署有效的控制措施：它能触及什么、能更改什么，以及让您信任其输出所需的证据。
-
政府与企业
我曾在公共机构和大型企业的约束条件下交付安全工作，也为盟国及国际环境中的资深从业者提供培训。如果您需要一位真正了解政府如何运作的人，那就是我。请参阅 FedRAMP 和 CMMC。
涵盖的领域
安全不会只待在自己的领域里，我也一样。以下是我工作、深入研究并撰写的主题。如果您的问题属于其中之一，我多半见过与它相近的案例。
- 事件响应与取证，深入到内存和恶意软件
- 威胁狩猎与情报
- 红队演练与对齐 ATT&CK 的对手模拟
- 网络靶场：搭建、运行，并用于培训资深从业者
- 网络钓鱼、欺诈与金融犯罪
- 关键基础设施：ICS、SCADA、IoT 与 5G
- 云与平台安全，底层是 Linux
- 软件安全，以及预防入侵的良好习惯
- 人工智能与机器学习：如何构建，如何被攻击
- 密码学、隐私与匿名
- 开源情报、反情报与欺骗
- 网络战、国家级行动与网络空间法
工作如何完成。
以遏制而非告警数量来衡量的安全运营。
SOC 的存在只有一个理由：缩短攻击者第一步行动与该行动不再构成威胁之间的时间。其余一切都是成本。因此我围绕这个循环来设计和运行安全运营：采集值得采集的遥测数据，按真实对手的行为调优检测，让分诊真正得出决定，并以响应补上缺口。
在真正的入侵到来之前，先用真实入侵手法检验防御。
对手模拟像一个有能力的对手那样，分阶段实施一次入侵，并准确记录您的防御看到了什么、何时看到的。我设计这些演练以及承载它们的网络靶场，并与 MITRE ATT&CK 对齐，让您的团队抢在别人之前发现缺口。
我能在这些地方帮到您。
即将出版的新书
Boxing Einstein
How to Control What You Cannot Understand
问题不在于这种智能是否有效，而在于它好用到我们不敢质疑时会发生什么。
关于本书
难题不在于一台宣告敌意的机器，而在于一台有用、通常正确、日益不可或缺，却又强大或不透明到让使用者无法在关键领域加以核查的机器。签字权和否决权仍在您手里，您失去的是让否决真正有效的证据、时间、能力和替代方案。
我的论点是：控制是工程与治理问题，而不是对掌控的承诺。这个“盒子”是对系统能决定什么、触及什么、更改什么、持续运行什么所设的一组边界，每一条都需要有负责人、可衡量的证据、失效条件，以及在压力下仍然成立的响应。我提出了七项这样的控制，并且认真对待“求快”的理由，因为在科学、医学、安全或基础设施领域，不必要的延误同样会夺走生命。
- 决策权限
- 访问、工具与权限
- 后果与不可逆操作
- 独立验证与证据
- 保留人的能力
- 依赖、替代方案与退出
- 经过测试的干预、隔离与关停
您聘请我时，我用的也是同一个检验标准：控制措施必须有负责人、可衡量的证据、失效条件，以及在压力下仍然成立的响应，才算真正存在。无论是 SOC、一次入侵，还是一次人工智能部署，都是如此。
我为国家安全领导者、立法者、实验室主任、安全从业者、保险公司和技术高管而写，也为所有想要论证而不是警报的人而写。
阅读改编自本书的一篇短文：
一座写给必须据此行动之人的文库。
十四个合集，收录关于网络安全和人工智能的研究、分析与参考资料。我写它们是为了让人使用，而不是匆匆浏览，每个合集都以一件您周一早上就能做的事收尾。
事件响应与取证
第一个小时比之后的一个月更能决定结果。我如何开展调查，以及证据必须证明什么。
安全运营
遏制时间是 SOC 唯一无法造假的衡量标准。我如何围绕它建设和运行运营体系。
威胁狩猎与情报
不改变任何决定的情报只是新闻。狩猎告警遗漏的东西，从证据中解读对手。
红队演练与对手模拟
没人可能失败的演练只是作秀。我如何按入侵真实展开的方式检验防御。
人工智能安全
人在回路不等于人在掌控。攻击、防御和治理会学习的系统。
关键基础设施与信息物理系统
有些系统不允许停机。能源、水务、交通、医疗、ICS，以及会移动的设备。
云与平台安全
云并没有消除边界，只是把它移到了一个不去看就看不见的地方。
软件安全
多数入侵始于一项设计决策。构建并交付经得起攻击的代码。
网络战与国家级行动
国家不会为好玩而入侵。专业对手想要什么，这对您的防御意味着什么。
网络钓鱼、欺诈与金融犯罪
只要拿到您的应付账款，攻击者就不需要您的网络。调查，以及真正有效的预防。
开源情报、反情报与欺骗
您发布的内容就是他们利用的内容。找到人，保护人，识破谎言。
治理与董事会
没有负责人的控制措施只是一个愿望。作为高管职能的安全：政策、问责与董事会。
隐私与密码学
不持有的数据就无从被盗。让信息留在其所有者手中的数学原理与政策。
网络风险
无法定价的风险就无法治理。衡量安全风险，让您能据此行动。
所有合集均可自由阅读：79 篇附有可查证来源的研究文章，以及 276 篇帮助您快速入门的较短实务文章，其中 183 篇在同一页面上从五个角度讲解一个主题。浏览文章；如果您的问题等不及，请向我预约简报会。
三种合作方式。
如果您想找人向您兜售平台，我不是合适的人。如果您想找一个会告诉您究竟暴露在哪里、并留下来修复的人，请继续往下看。
-
聘请
我愿意接受远程 CISO、总监和首席级职位，无论是私营企业还是政府。您得到的是一位会承担整个安全职能的高管，关键时刻还能亲自主导响应。
Discuss a role -
委托
请我来做咨询、顾问和合同工作：事件响应、SOC 战略与建设、对手模拟、人工智能安全，以及对您的资深人员的培训。您得到的是出自亲手运行过这件事的人的方案。
Scope an engagement -
邀请
我做主旨演讲和简报，参加专题讨论，并就网络安全与人工智能开展合作研究，面向会议、董事会和机构。您的听众听到的是做过这些工作的人，而不是读过的人。
Invite me to speak
从高管简报会开始。
与我进行一次保密交谈，谈谈您真实的处境：风险在哪里，什么能遏制它，以及主导响应需要什么。
用几行字描述问题。每条消息我都亲自阅读，保密回复，并提议一个时间好好谈。这不是销售电话。
- 董事会与高管，正在权衡一位领导者、一个体系，或一起可能尚未结束的事件。
- 猎头与招聘机构，有 CISO、总监或首席级职位需要填补。
- 活动组织者，想邀请一位亲自主导过响应、而不是只读过的演讲者。