应 对 高 级 定 向 攻 击 而 设 计 的 下 一 代 安 全 防 护 平 台 自 适 应 安 全 架 构 作 者 :Garner 分 析 师 Neil MacDonald, Peter Firstbrook 概 述 : 关 键 问 题 : 当 前 拦 截 及 防 护 功 能 已 难 以 应 对 更 高 级 的 定 向 攻 击 大 多 数 机 构 还 在 持 续 对 纯 防 御 措 施 进 行 过 度 投 入 来 自 不 同 安 全 供 应 商 的 监 控 预 防 响 应 及 预 测 的 服 务 能 力 以 一 种 分 离 的 方 式 单 独 工 作, 导 致 安 全 防 护 效 能 持 续 下 降, 费 用 上 涨 信 息 安 全 对 防 护 来 自 高 级 攻 击 的 需 求 并 不 一 直 明 显 由 于 企 业 系 统 所 受 到 的 是 持 续 攻 击, 并 持 续 缺 乏 防 御 力, 面 向 应 急 响 应 的 特 别 方 式 已 不 再 是 正 确 的 思 维 模 式 推 荐 措 施 : 信 息 安 全 体 系 : 切 换 思 维 模 式, 从 应 急 响 应 到 持 续 响 应, 系 统 应 假 定 为 已 经 遭 遇 危 险, 需 要 持 续 监 控 和 修 复 以 Gartner 提 出 的 12 关 键 能 力 为 框 架, 采 用 自 适 应 安 全 架 构 来 应 对 高 级 安 全 威 胁 在 预 防 上 减 少 投 入, 应 加 大 监 测 响 应 和 预 测 能 力 支 持 拥 有 环 境 感 知 网 络 端 点 和 应 用 及 安 全 防 护 平 台 的 服 务 商 提 供 并 整 合 预 测 预 防 检 测 及 响 应 能 力 设 立 安 全 运 营 中 心, 以 支 持 持 续 的 监 控 和 风 险 预 防 响 应 事 务 该 体 系 还 应 该 支 持 全 方 位 全 天 候 的 监 控 IT 栈 的 所 有 层 面 : 网 络 包 数 据 流 操 作 系 统 行 为 内 容 用 户 行 为 及 应 用 调 用 引 言 大 多 数 企 业 在 安 全 保 护 方 面 会 优 先 集 中 在 拦 截 和 防 御 ( 例 如 反 病 毒 ) 以 及 基 于 策 略 的 控 制 ( 如 防 火 墙 ), 将 危 险 拦 截 在 外 ( 但 只 是 如 下 图 示 的 右 上 角 四 分 之 一 部 分 )
然 而, 完 美 的 防 御 是 不 可 能 ( 参 见 2020 安 全 防 御 已 成 徒 劳 : 通 过 周 密 普 遍 的 监 控 和 情 报 共 享 来 保 护 信 息 安 全 ) 高 级 定 向 攻 击 总 能 轻 而 易 举 地 绕 过 传 统 防 火 墙 和 基 于 黑 白 名 单 的 预 防 机 制 所 有 机 构 都 应 该 从 现 在 认 识 到 自 己 处 在 持 续 的 风 险 状 态 但 情 况 是, 企 业 盲 信 防 御 措 施 能 100% 奏 效, 他 们 更 加 过 度 依 赖 这 些 传 统 预 防 机 制 结 果, 面 对 不 可 避 免 的 侵 害 行 为 时, 大 多 数 的 企 业 只 有 有 限 的 能 力 检 测 和 反 应, 随 之 而 来 是 停 摆 时 间 变 长, 损 失 变 大 Figure 1. The Four Stages of an Adaptive Protection Architecture 图 1: 自 适 应 防 御 系 统 的 四 个 阶 段 ( 预 测 -> 防 御 -> 监 控 -> 回 溯 ) 实 际 情 况 中, 提 升 后 的 防 御 检 测 响 应 和 预 测 服 务 都 需 要 应 对 各 种 攻 击, 不 管 是 否 高 级 更 重 要 的 是 不 要 将 其 视 作 封 闭 固 定 的 功 能, 而 应 以 智 能 集 成 联 动 的 方 式 工 作, 对 于 高 级 威 胁, 自 适 应 系 统 需 持 续 完 善 保 护 功 能 自 适 应 防 护 架 构 的 关 键 能 力 1. 防 御 能 力 是 指 一 系 列 策 略 集 产 品 和 服 务 可 以 用 于 防 御 攻 击 这 个 方 面 的 关 键 目 标 是 通 过 减 少 被 攻 击 面 来 提 升 攻 击 门 槛, 并 在 受 影 响 前 拦 截 攻 击 动 作
2. 检 测 能 力 用 于 发 现 那 些 逃 过 防 御 网 络 的 攻 击, 该 方 面 的 关 键 目 标 是 降 低 威 胁 造 成 的 停 摆 时 间 以 及 其 他 潜 在 的 损 失 检 测 能 力 非 常 关 键, 因 为 企 业 应 该 假 设 自 己 已 处 在 被 攻 击 状 态 中 3. 回 溯 能 力 用 于 高 效 调 查 和 补 救 被 检 测 分 析 功 能 ( 或 外 部 服 务 ) 查 出 的 事 务, 以 提 供 入 侵 认 证 和 攻 击 来 源 分 析, 并 产 生 新 的 预 防 手 段 来 避 免 未 来 事 故 4. 预 测 能 力 使 系 安 全 系 统 可 从 外 部 监 控 下 的 黑 客 行 动 中 学 习, 以 主 动 锁 定 对 现 有 系 统 和 信 息 具 有 威 胁 的 新 型 攻 击, 并 对 漏 洞 划 定 优 先 级 和 定 位 该 情 报 将 反 馈 到 预 防 和 检 测 功 能, 从 而 构 成 整 个 处 理 流 程 的 闭 环 作 为 一 个 有 价 值 的 框 架, 根 据 自 适 应 防 护 架 构 将 有 助 于 企 业 对 现 有 和 未 来 的 安 全 投 入 进 行 划 分 并 确 定 投 入 是 均 衡 的 不 要 让 当 前 市 面 上 的 明 星 安 全 创 业 公 司 的 来 确 定 安 全 投 资, 机 构 需 评 估 当 前 的 安 全 投 入 和 能 力 来 决 定 哪 里 不 足 自 适 应 架 构 还 可 以 帮 助 企 业 筛 选 和 评 估 安 全 供 应 商 毫 无 疑 问, 提 供 多 方 面 安 全 能 力 的 供 应 商 在 战 略 上 优 胜 于 只 提 供 单 方 面 能 力 的 安 全 防 护 是 一 项 持 续 处 理 过 程 在 持 续 攻 击 时 代, 企 业 需 要 完 成 对 安 全 思 维 的 根 本 性 切 换, 从 应 急 响 应 到 持 续 响 应, 前 者 认 为 攻 击 是 偶 发 的, 一 次 性 的 事 故, 而 后 者 则 认 为 攻 击 是 不 间 断 的, 黑 客 渗 透 系 统 和 信 息 的 努 力 是 不 可 能 完 全 拦 截 的, 系 统 应 承 认 自 己 时 刻 处 于 被 攻 击 中 在 这 样 的 认 知 下, 我 们 才 能 认 清 持 续 监 控 的 必 要 性 ( 见 图 2) Figure 2. Continuous Monitoring Required for an Adaptive Protection Architecture 图 2. 自 适 应 安 全 架 构 需 要 持 续 监 控
持 续 监 控 和 分 析 是 自 适 应 安 全 架 构 的 核 心 如 图 2 所 示, 为 面 向 高 级 攻 击 而 实 现 真 正 的 自 适 应 及 基 于 风 险 的 响 应, 下 一 代 安 全 防 护 程 序 的 核 心 一 定 是 持 续 的, 主 动 监 控 和 可 视 化 将 持 续 分 析 攻 击 痕 迹, 这 将 生 成 大 量 数 据 然 而, 除 非 配 以 恰 当 的 分 析 ( 辅 以 外 部 资 源 如 场 景 和 社 区 信 息 威 胁 智 能 感 知 系 统 来 提 升 准 确 度 ) 用 于 提 取 高 执 行 力 建 议, 大 数 据 只 是 噪 音 而 已 可 以 用 多 种 分 析 手 段 来 处 理 这 些 数 据, 包 括 启 发 性 方 法 统 计 方 法 推 理 建 模 机 器 学 习 聚 类 分 析 贝 叶 斯 建 模 我 们 相 信, 今 后 所 有 高 效 的 安 全 防 护 平 台 除 了 包 括 传 统 的 安 全 信 息 事 件 管 理 系 统 之 外, 核 心 能 力 中 都 会 嵌 入 特 定 领 域 分 析 系 统 企 业 监 控 应 转 为 主 动 式, 应 覆 盖 尽 可 能 多 的 IT 栈 层, 包 括 网 络 活 动 层 端 点 层 系 统 交 互 层 应 用 事 务 层 和 用 户 行 为 层 可 视 化 应 该 包 括 企 业 和 员 工 个 人 设 备, 并 支 持 跨 企 业 数 据 中 心 和 外 部 云 服 务 未 来 的 防 御 不 仅 要 深 入 到 控 制 层, 还 应 该 包 括 监 控 和 可 视 化 ( 见 图 3) Figure 3. Continuous Monitoring of All Technology Layers 图 3. 全 技 术 层 的 持 续 监 控 相 比 传 统 的 SIEM 系 统 能 有 效 监 控 的 数 据, 企 业 持 续 监 控 所 有 实 体 和 层, 所 产 生 的 数 据 容 量 更 大 周 转 率 更 高 更 加 多 样 化
这 样 也 是 为 什 么 Gartner 研 究 认 为 大 数 据 将 带 来 下 一 代 安 全 防 护 解 决 方 案 的 原 因 之 一 ( 见 信 息 安 全 将 成 为 一 个 大 数 据 分 析 问 题 ) 另 一 个 原 因 是, 到 2020 年, 为 存 储 用 于 回 溯 分 析 的 监 控 数 据,40% 的 企 业 需 建 立 专 门 " 安 全 数 据 中 心 " 通 过 一 段 时 间 的 存 储 和 数 据 分 析, 并 融 入 场 景 外 部 威 胁 和 社 群 智 慧, 正 常 模 式 才 能 建 立, 而 且 数 据 分 析 也 可 以 用 于 分 辨 出 从 正 常 模 式 偏 离 的 行 为 随 着 技 术 支 持, 这 些 能 力 将 逐 步 变 得 主 流, 我 们 相 信, 自 适 应 防 护 架 构 也 将 变 成 主 流, 并 作 为 供 应 平 台 集 成 大 量 组 件, 并 且 提 供 可 以 方 便 使 用 的 嵌 入 式 分 析 引 擎 自 适 应 防 护 架 构 的 6 种 关 键 输 入 在 我 们 揭 示 自 适 应 防 护 架 构 的 12 个 能 力 前, 需 认 识 到 6 种 关 键 输 入 也 是 该 架 构 不 可 分 割 的 部 分, 也 需 要 在 安 全 选 型 决 策 中 贯 彻 ( 见 图 4) 策 略 : 用 于 定 义 和 描 述 各 项 组 织 需 求 包 括 系 统 配 置 补 丁 需 求 网 络 活 动 哪 些 应 用 允 许 执 行, 哪 些 应 被 禁 止, 反 病 毒 扫 描 的 频 率 敏 感 数 据 保 护 应 急 响 应 等 等 这 些 策 略 通 常 源 于 内 部 指 导 和 外 部 影 响, 例 如 管 理 需 求 策 略 驱 动 企 业 安 全 平 台 如 何 主 动 预 防 以 及 响 应 高 级 威 胁 场 景 : 基 于 当 前 条 件 的 信 息 ( 如 地 点 时 间 漏 洞 状 态 等 ), 场 景 感 知 使 用 额 外 信 息 提 升 信 息 安 全 决 策 正 确 性 对 于 分 辨 哪 些 攻 击 逃 过 传 统 安 全 防 护 机 制, 以 及 帮 助 确 定 有 意 义 的 偏 离 正 常 行 为 而 不 需 要 增 加 大 量 误 报 率 时, 对 场 景 的 利 用 非 常 关 键 社 区 智 慧 : 为 更 好 地 应 对 高 级 威 胁, 信 息 应 该 是 聚 合 的, 可 通 过 基 于 云 的 社 区 进 行 分 析 和 分 享 的, 理 想 的 情 况 下, 还 应 该 拥 有 在 相 似 行 业 和 地 区 进 行 信 息 聚 合 及 分 析 的 能 力 这 种 众 包 智 能 可 以 提 升 所 有 参 与 者 的 整 体 防 护 能 力, 例 如 社 区 智 慧 适 用 来 回 答 这 样 的 问 题 : 还 有 哪 些 企 业 同 我 们 一 样? 有 其 他 人 之 前 碰 到 这 样 的 应 用 /URL/IP 地 址 吗? 是 否 有 一 个 我 们 的 同 行 已 经 开 发 出 一 个 新 方 法 来 检 测 出 这 个 高 级 威 胁 并 可 分 享 给 其 他 人?
因 此, 更 好 的 社 区 可 让 企 业 分 享 最 佳 实 践 知 识 和 技 巧 规 模 性 的 社 区 将 受 益 于 网 络 效 应 有 些 社 区 是 自 我 组 织 的, 例 如 FS-ISAC, 有 些 是 政 府 资 助 的, 如 北 美 计 算 机 紧 急 响 应 小 组 (US-CERT); 其 他 有 些 是 安 全 厂 商 创 建 的 面 向 合 作 伙 伴 和 平 台 上 开 发 者 的 生 态 系 统 威 胁 情 报 : 危 险 情 报 的 核 心 是 那 些 提 供 可 信 有 价 值 的 主 题 源, 如 IP 地 址 域 URLs 文 件 应 用 等 等 然 而, 高 级 威 胁 情 报 服 务 还 应 提 供 给 企 业 关 于 攻 击 者 / 机 构 的 组 织 方 式 攻 击 目 标 等 情 报 ( 见 安 全 威 胁 情 报 服 务 提 供 商 技 术 概 览 ), 另 外, 服 务 商 还 应 该 提 供 相 应 的 指 导, 帮 助 企 业 针 对 性 防 护 这 些 攻 击 现 在 更 多 的 威 胁 情 报 以 可 机 读 的 格 式 发 布, 这 样 可 以 更 容 易 直 接 整 合 进 入 网 络 Web 邮 件 和 漏 洞 安 全 平 台 中 ( 见 可 机 读 的 威 胁 情 报 技 术 概 览 ) 漏 洞 分 析 : 该 信 息 提 供 给 企 业 对 其 所 用 到 的 设 备 系 统 应 用 和 接 口 中 的 漏 洞 进 行 分 析 除 了 包 括 一 致 的 漏 洞, 分 析 还 包 括 存 在 于 企 业 客 户 和 第 三 方 应 用 中 的 一 些 未 知 的 漏 洞, 可 通 过 主 动 测 试 其 应 用 库 和 接 口 来 完 成 供 应 商 实 验 室 : 大 多 数 安 全 防 护 平 台 厂 商 提 供 最 新 的 信 息 来 支 持 他 们 的 防 护 解 决 方 案 例 如, 为 提 供 对 最 新 发 现 的 威 胁 进 行 保 护, 黑 白 名 单 以 及 规 则 和 模 式 都 会 更 新 自 适 应 安 全 防 护 过 程 中 的 12 个 关 键 功 能 为 实 现 全 面 的 自 适 应 安 全 防 护 架 构, 实 现 对 攻 击 的 拦 截 预 防 检 测 和 响 应, 我 们 认 为 如 下 12 个 特 别 的 功 能 非 常 必 要 ( 见 图 5) 如 下 是 这 12 种 功 能 的 简 单 介 绍, 从 右 上 象 限 开 始 按 照 顺 时 钟 指 针 方 向 开 始 介 绍, 需 注 意 顺 序 不 代 表 重 要 程 度, 对 于 全 面 防 护 来 说 他 们 同 等 重 要
加 固 和 隔 离 系 统 : 任 何 信 息 安 全 架 构 的 初 始 功 能 都 是 采 用 多 种 技 术 降 低 攻 击 面, 限 制 黑 客 接 触 系 统 发 现 漏 洞 和 执 行 恶 意 代 码 的 能 力 无 论 应 用 在 网 络 防 护 墙 ( 只 允 许 访 问 某 些 端 口 / 能 力 ) 或 者 系 统 应 用 控 制 层 ( 只 允 许 某 些 应 用 执 行, 见 如 何 有 效 部 署 应 用 控 制 ), 传 统 的 默 认 拒 绝 模 式 ( 白 名 单 ) 算 一 种 有 效 的 功 能, 数 据 加 密 系 统 也 可 以 视 做 信 息 系 统 层 的 白 名 单 和 加 固 方 式 漏 洞 以 及 补 丁 管 理 : 用 于 识 别 和 关 闭 漏 洞 的 漏 洞 及 路 径 管 理 功 能 也 可 以 纳 入 此 类 结 合 端 点 隔 离 和 沙 盒 技 术, 可 主 动 限 制 网 络 / 系 统 / 进 程 / 应 用 相 互 接 口 的 能 力, 也 是 此 类 的 另 一 种 方 式 ( 见 面 向 高 级 攻 击 的 虚 拟 化 和 控 制 系 统 技 术 概 览 ) 转 移 攻 击 : 简 单 来 说, 该 领 域 功 能 可 是 企 业 在 黑 客 攻 防 中 获 得 时 间 上 的 非 对 称 优 势, 通 过 多 种 技 术 使 攻 击 者 难 以 定 位 真 正 的 系 统 核 心 以 及 可 利 用 漏 洞, 以 及 隐 藏 \ 混 淆 系 统 接 口 \ 信 息 ( 如 创 建 虚 假 系 统 漏 洞 和 信 息 ) 例 如, 被 Juniper 网 络 收 购 的 Mykonos 科 技 可 以 创 建 一 个 无 漏 洞 的 应 用 层 镜 像, 随 后 提 供 一 个 活 跃 目 标 的 蜜 罐 Unisys Stealth 可 以 将 网 络 系 统 隐 藏, 而 CSG's invotas 解 决 方 案 整 合 了 丰 富 多 样 的 偏 离 技 术 虽 然 隐 藏 式 安 全 并 不 能 根 本 性 解 决 问 题, 这 种 方 式 也 视 作 一 种 可 分 层 的 深 层 防 御 策 略 事 故 预 防 : 该 类 别 覆 盖 多 种 成 熟 的 预 防 方 式 防 止 黑 客 未 授 权 而 进 入 系 统, 包 括 传 统 的 黑 白 名 单 式 的 反 恶 意 病 毒 扫 描 以 及 基 于 网 络 \ 主 机 的 入 侵 预 防 系 统 行 为 特 征 也 是 这 方 面 的 另 一 层 应 用 例 如, 为 防 止 系 统 和 控 制 中 心 交 流, 可 使 用 来 自 第 三 方 知 名 发 布 的 服 务 信 息 和 情 报 并 整 合 进 入 网 络 网 管 或 者 基 于 主 机 的 控 制 器 事 故 检 测 : 一 些 攻 击 者 不 可 避 免 地 会 绕 过 传 统 的 拦 截 和 预 防 机 制, 这 时 最 重 要 的 事 情 就 是 在 尽 可 能 短 的 时 间 里 检 测 到 入 侵, 将 黑 客 造 成 损 害 和 泄 露 敏 感 的 信 息 最 小 化 很 多 技 术 可 用 在 此 处, 但 大 多 数 依 赖 于 自 适 应 防 护 体 系 的 核 心 能 力 即 分 析 持 续 监 控 所 收 集 的 数 据, 方 法 包 括 从 正 常 的 网 络 和 端 点 行 为 中 检 测 出 异 常, 检 测 出 有 外 向 连 接 到 已 知 的 危 险 实 体, 或 者 是 检 测 作 为 潜 在 攻 击 线 索 的 事 件 和 行 为 特 征 的 序 列 自 适 应 安 全 架 构 的 核 心 功 能 是 持 续 而 严 密 的 监 控 功 能, 将 分 析 那 些 正 处 于 观 察 中 的 与 历 史 数 据 冲 突 的 情 况, 这 样 安 全 运 营 分 析 就 可 以 辨 别 出 那 些 异 常 情 况, 不 仅 如 此, 发 展 中 的 持 续 安 全 运 营 中 心 和 熟 练 的 安 全 运 营 分 析 人 员 日 益 成 为 企 业 的 重 要 核 心 之 一 风 险 确 认 和 排 序 : 一 旦 潜 在 问 题 被 检 测 到, 就 需 要 在 不 同 实 体 中 将 攻 击 的 标 志 关 联 起 来 进 行 确 认, 例 如, 首 先 观 察 在 沙 盒 环 境 中 基 于 网 络 的 威 胁 检 测 系 统 所 观 察 到 进 程 行 为 和 注 册 实 体 等, 然 后 将 其 和 实 际 端 口 中 的 情 况 相 比 这 种 在 网 络 和 端 点 中 分 析 情 报 的 能 力 正 是 前 不 久 安 全 阐 述 FireEye 收 购 Mandian 的 主 要 原 因 之 一, 基 于 内 外 情 景 例 如 用 户 角 色, 信 息 的 敏 感 性 将 被 处 理 和 资 产 将 进 行 商 业 分 析 这 些 事 务 也 会 根 据 风 险 进 行 评 估, 并 通 知 到 企 业, 再 经 过 可 视 化 处 理, 这 样 安 全 运 营 分 析 人 员 就 可 以 专 注 于 优 先 处 理 那 些 优 先 级 最 高 的 高 风 险 问 题
事 故 隔 离 : 一 旦 事 故 被 识 别 确 认 和 排 序, 这 个 类 别 的 工 作 将 迅 速 隔 离 被 感 染 系 统 和 账 户, 防 止 其 阻 碍 其 他 系 统 常 用 的 隔 离 能 力 包 括, 端 点 隔 离 账 户 封 锁 网 络 层 隔 离 系 统 进 程 关 闭, 以 及 立 即 预 防 其 他 系 统 执 行 同 样 的 恶 意 软 件 或 访 问 同 样 的 被 感 染 信 息 调 查 / 取 证 : 当 被 感 染 的 系 统 和 账 户 被 隔 离 好 之 后, 通 过 回 顾 分 析 事 件 完 整 过 程, 利 用 持 续 监 控 所 获 取 的 数 据, 根 本 原 因 和 全 部 缺 口 都 终 将 解 决 黑 客 是 如 何 获 得 据 点 的? 这 是 个 未 知 的 漏 洞 还 是 没 有 打 补 丁 的 漏 洞? 那 些 文 件 或 者 可 执 行 程 序 包 含 攻 击? 多 少 系 统 受 到 影 响? 那 些 信 息 泄 露 了? 某 些 情 况 下, 企 业 也 许 想 更 多 了 解 黑 客 的 来 源 和 动 机 是 否 国 家 支 持 的 攻 击? 如 果 是, 哪 个 国 家? 都 需 要 有 历 史 记 录 的 监 控 信 息 来 回 答 这 些 细 节 信 息 对 于 一 次 完 整 的 调 查, 单 独 的 网 络 流 数 据 可 能 不 够 充 分 ( 同 样, 对 于 系 统 监 控 需 要 全 端 口 ), 需 要 结 合 附 带 的 高 级 分 析 工 具 来 回 答 同 样, 如 果 供 应 商 的 实 验 室 和 研 究 团 队 发 布 了 新 的 签 名 / 规 则 / 模 式, 也 需 要 重 新 运 行 历 史 数 据 以 确 定 企 业 是 否 也 曾 是 攻 击 目 标, 或 者 该 攻 击 依 然 未 被 检 测 出 来 设 计 / 模 式 改 变 : 为 预 防 新 攻 击 或 系 统 重 受 感 染, 需 要 更 改 某 些 策 略 和 控 制 例 如, 关 闭 漏 洞 关 闭 网 络 端 口 特 征 升 级 系 统 配 置 升 级 用 户 权 限 修 改 用 户 培 训 修 改 或 者 提 升 信 息 防 护 选 项 的 强 度 ( 例 如 加 密 ) 更 高 级 的 平 台 还 可 以 自 动 化 产 生 新 特 征 / 规 则 / 模 式 来 应 对 最 新 发 现 的 高 级 攻 击 其 实 就 是 通 过 定 制 化 防 护 然 而, 在 集 成 新 规 则 之 前, 首 先 要 在 持 续 监 控 所 产 生 的 历 史 数 据 中 进 行 模 拟 攻 防 以 主 动 测 试 其 误 报 率 和 漏 报 率 修 复 / 改 善 : 当 模 型 化 并 且 决 定 生 效, 就 开 始 着 手 实 施 改 进 了 利 用 新 兴 的 安 全 联 动 系 统 可 以 将 某 些 响 应 自 动 实 施, 策 略 更 改 可 加 入 到 安 全 策 略 实 施 点 如 防 火 墙 入 侵 防 护 系 统 (IPSs), 应 用 控 制 或 者 反 恶 意 病 毒 系 统 中 虽 然 一 些 新 兴 的 安 全 响 应 联 动 系 统 设 计 为 可 以 自 动 和 联 动 这 些 改 善 事 务, 但 在 现 在 这 个 早 期 阶 段, 企 业 依 然 更 倾 向 于 由 那 些 安 全 运 营 专 员 网 络 安 全 专 员 或 端 点 支 持 成 员 来 实 施 这 些 变 动 基 线 系 统 : 系 统 会 不 停 地 进 行 变 动 ; 新 的 系 统 ( 如 移 动 设 备 和 云 服 务 ) 也 将 不 断 被 引 入 ; 用 户 账 户 不 停 的 新 建 和 撤 销 ; 新 的 漏 洞 不 断 地 披 露 ; 新 应 用 部 署 ; 针 对 新 威 胁 的 适 应 改 造 也 一 直 进 行 着, 所 以, 我 们 也 应 该 持 续 对 终 端 设 备 服 务 器 端 系 统 云 服 务 漏 洞 关 系 和 典 型 接 口 进 行 重 定 基 线 以 及 挖 掘 发 现 攻 击 预 测 : 该 领 域 正 处 于 前 沿 而 且 日 益 重 要 通 过 检 测 黑 客 的 意 图, 关 注 黑 客 市 场 和 公 告 板 ; 对 垂 直 行 业 的 兴 趣 ; 以 及 对 保 护 信 息 的 类 别 和 敏 感 度, 这 一 领 域 内 的 功 能 在 于 主 动 预 测 未 来 的 攻 击 和 目 标, 使 企 业 可 以 随 之 调 整 安 全 防 护 策 略 来 应 对 例 如, 基 于 收 集 的 情 报, 很 有 可 能 会 有 一 个 针 对 特 定 应 用 和 OS 的 攻 击, 企 业 可 以 主 动 实 施 应 用 防 火 墙 防 护 功 能, 加 强 认 证 授 权 功 能 或 者 主 动 屏 蔽 某 些 接 入 类 型 主 动 探 索 分 析 : 随 着 内 外 情 报 的 收 集, 需 要 对 企 业 资 产 进 行 探 索 和 风 险 评 估 以 预 测 威 胁, 同 时 也 许 需 要 对 企 业 策 略 和 控 制 的 调 整
例 如, 当 需 要 新 购 买 一 套 云 服 务 时, 会 带 来 什 么 风 险? 是 否 需 要 上 补 充 控 制 如 加 密? 一 个 新 应 用 无 论 是 企 业 应 用 还 是 移 动 应 用 会 带 来 什 么 风 险? 是 否 已 经 进 行 了 漏 洞 扫 描? 是 否 需 要 应 用 防 火 墙 或 者 端 点 隔 离? 像 同 一 系 统 一 样 整 合 使 用 功 能 最 终 我 们 构 建 的 不 应 是 一 个 拥 有 分 离 的 12 个 信 息 安 全 功 能 的 解 决 方 案 我 们 的 最 终 目 标 是 一 个 更 具 适 应 性 的 智 能 安 全 防 护 体 系, 它 整 合 了 不 同 的 功 能, 共 同 分 享 信 息 例 如, 某 个 企 业 一 开 始 并 没 有 签 名 功 能 来 预 防 一 个 漏 洞, 但 当 攻 击 被 发 现 后, 就 可 以 快 速 通 过 电 子 取 证 分 析 获 得 的 知 识 来 拦 截 后 续 的 感 染, 这 就 是 定 制 防 护 所 以 签 名 已 死 的 观 念 是 错 误 而 夸 大 的, 基 于 签 名 的 预 防 技 术 仍 然 很 有 用, 即 使 用 于 攻 击 突 破 后 的 防 止 感 染 扩 大 另 一 个 例 子, 一 个 基 于 网 络 的 高 级 威 胁 检 测 应 用 也 能 通 过 对 终 端 的 攻 击 指 标 的 交 换 对 比, 来 确 认 是 否 攻 击 已 控 制 了 企 业 系 统 所 以, 自 适 应 安 全 体 系 在 攻 击 的 全 周 期 都 可 以 发 挥 作 用 结 合 众 多 领 域 功 能 的 持 续 事 务 中 获 得 的 安 全 情 报, 以 及 不 同 层 级 安 全 控 制 中 交 换 的 情 报, 就 阐 述 了 对 新 一 代 情 报 感 知 安 全 控 制 (IASC: 见 TSP 安 全 解 决 方 案 概 要 2014), 就 像 纤 维 组 成 绳 子, 不 同 功 能 的 整 合, 功 能 间 的 情 报 交 换, 以 及 威 胁 情 报 在 社 区 中 的 输 入 输 出, 这 些 优 势 都 将 构 建 出 一 个 全 面 的 更 强 大 的 安 全 防 护 体 系 评 估 系 统 中 服 务 商 和 解 决 方 案 的 价 值
完 整 的 防 护 包 括 防 御 检 测 回 溯 分 析 和 预 测 能 力 更 多 的 安 全 平 台 功 能 覆 盖 多 个 领 域 或 专 注 在 某 个 垂 直 领 域 例 如, 下 一 代 网 络 安 全 平 台 应 包 括 防 火 墙 入 侵 预 防 入 侵 检 测 和 内 容 分 析 能 力 这 对 于 安 全 服 务 供 应 商 来 说 来 说, 也 是 一 个 扩 展 到 不 同 层 级 以 整 合 提 供 跨 层 服 务 的 机 会 例 如, 一 个 拥 有 基 于 网 络 防 护 和 端 点 防 护 功 能 的 服 务 上 也 许 可 以 连 接 两 者 改 善 其 整 体 防 护 能 力 如 果 一 个 服 务 商 在 某 领 域 没 有 直 接 拥 有 某 项 能 力, 就 应 该 和 其 他 厂 商 合 作 以 增 强 其 能 力 整 合 外 部 情 景 和 情 报 也 是 一 项 关 键 的 差 异 竞 争 力 例 如, 什 么 类 型 的 情 景 地 点 时 间 设 备 信 誉 等 等 供 应 商 可 否 能 够 理 解 并 入 到 其 安 全 决 策 中? 供 应 商 是 否 有 培 养 一 个 让 客 户 可 以 交 换 社 区 安 全 情 报 的 云 社 区? 该 平 台 支 持 什 么 样 的 信 誉 流? 会 考 虑 IP URL 设 备 文 件 和 用 户 信 誉 等 信 息 纳 入 安 全 决 策 流 程 中 吗? 最 后, 我 们 认 为, 下 一 代 安 全 平 台 应 提 供 风 险 排 序 后 可 执 行 的 安 全 建 议, 这 些 建 议 由 可 嵌 入 的 特 定 领 域 分 析 功 能 提 供, 并 结 合 持 续 监 控 所 搜 集 的 数 据 我 们 的 目 标 不 是 取 代 传 统 的 SIEM 系 统, 而 是 提 供 高 保 障 领 域 专 精 可 执 行 的 优 先 风 险 建 议, 帮 助 企 业 将 其 安 全 运 营 响 应 系 统 聚 焦 于 那 些 会 带 来 更 高 风 险 的 威 胁 和 事 故 SIEM 依 然 被 用 于 支 持 在 不 同 层 级 监 控 数 据 中 的 近 实 时 检 测, 但 是 不 在 是 盲 目 地 利 用 事 件, 而 是 优 先 化 地 基 于 下 一 代 安 全 平 台 所 提 供 的 特 定 领 域 情 报,SIEM 也 从 而 变 得 更 加 高 效