白 皮 书 实 现 安 全 成 熟 度 2 级 借 助 更 强 大 的 智 能 和 系 统 修 正 方 法 提 高 主 动 性
目 录 执 行 摘 要. 3 是 时 候 主 动 出 击 了. 3 漏 洞 评 估. 3 应 用 程 序 修 补. 3 白 名 单 和 应 用 程 序 控 制. 4 LANDESK 方 法. 4 朝 着 更 高 安 全 成 熟 度 坚 持 迈 进. 5 参 考 资 料. 5 在 现 行 法 律 允 许 的 最 大 限 度 内,LANDESK 对 于 与 LANDESK 产 品 的 销 售 和 / 或 使 用 相 关 的 任 何 事 项 概 不 负 责, 并 且 声 明 免 于 任 何 明 示 或 暗 示 的 担 保, 包 括 与 特 定 用 途 的 适 用 性 适 销 性 或 专 利 版 权 或 其 他 知 识 产 权 侵 权 相 关 的 责 任 或 担 保 ( 若 未 限 定 版 权 所 有 之 权 利 ) LANDESK 保 留 在 任 何 时 候 不 经 事 先 通 知 即 对 本 文 档 或 相 关 产 品 的 规 范 与 描 述 进 行 更 改 的 权 利 LANDESK 对 本 文 档 的 使 用 不 做 任 何 担 保, 不 承 担 本 文 档 中 可 能 出 现 的 任 何 错 误 的 相 关 责 任, 也 不 承 诺 对 本 文 档 中 所 包 含 的 信 息 进 行 更 新 有 关 最 新 的 产 品 信 息, 请 访 问 版 权 所 有 2014, LANDESK Software, Inc. 及 其 附 属 公 司 保 留 所 有 权 利 LANDesk 及 其 徽 标 是 LANDESK Software, Inc. 及 其 附 属 公 司 在 美 国 和 / 或 其 他 国 家 / 地 区 的 注 册 商 标 或 商 标 其 他 品 牌 和 名 称 可 能 被 其 他 公 司 宣 称 为 其 财 产 LSI-1309 05/14 AS/BB/MP 2
执 行 摘 要 本 白 皮 书 是 一 系 列 三 份 白 皮 书 中 的 第 二 份, 探 究 为 什 么 企 业 需 要 成 熟 的 分 层 式 方 法 来 构 建 安 全 管 理, 以 及 LANDESK 可 如 何 帮 助 客 户 满 足 其 对 分 层 式 方 法 的 需 求 第 一 份 白 皮 书 是 第 1 级 : 从 构 建 强 大 的 安 全 防 线 和 资 产 智 能 开 始, 讨 论 了 开 发 分 层 式 安 全 方 法 的 第 一 步 第 1 级 围 绕 着 如 何 通 过 资 产 发 现 和 清 单 来 了 解 您 环 境 中 的 软 件 和 硬 件 来 展 开, 然 后 是 实 施 针 对 恶 意 软 件 攻 击 的 第 一 层 防 御, 比 如 防 病 毒 和 防 间 谍 软 件, 从 而 拦 截 特 定 威 胁 或 针 对 其 提 供 保 护 然 后, 为 实 现 更 多 保 护,IT 管 理 员 应 使 用 能 阻 止 特 定 的 入 站 或 出 站 连 接 的 个 人 防 火 墙 此 外, 对 于 减 少 与 操 作 系 统 漏 洞 相 关 的 安 全 风 险 而 言, 随 时 更 新 Microsoft Windows 和 其 他 操 作 系 统 的 补 丁 至 关 重 要 因 此, 发 现 和 清 单 是 了 解 网 络 动 态 的 重 要 环 节 建 立 这 一 基 本 的 安 全 级 别 之 后,IT 部 门 应 通 过 本 白 皮 书 中 将 讨 论 到 的 漏 洞 评 估 安 装 应 用 程 序 补 丁 白 名 单 和 应 用 程 序 控 制 变 得 更 加 主 动 是 时 候 主 动 出 击 了 恶 意 软 件 中 的 犯 罪 性 创 新 越 来 越 具 创 意 成 本 越 来 越 高, 而 威 胁 环 境 也 仍 在 快 速 演 变 独 特 恶 意 软 件 的 数 量 急 剧 膨 胀, 且 基 于 Web 的 越 来 越 多 企 业 必 须 借 助 更 强 大 的 智 能 和 系 统 修 正 来 变 得 更 为 主 动 Gartner, Inc. 的 分 析 师 Peter Firstbrook 和 Neil MacDonald 说 到 : 大 多 数 企 业 安 全 保 护 工 作 和 产 品 都 主 要 关 注 于 拦 截 和 预 防 技 术 ( 比 如 防 病 毒 ) 以 及 基 于 策 略 的 控 制 ( 比 如 防 火 墙 ), 以 此 来 拦 截 威 胁 但 是, 完 美 的 预 防 是 不 存 在 的 高 级 的 针 对 性 攻 击 可 以 轻 易 绕 过 传 统 的 防 火 墙 和 基 于 签 名 的 预 防 机 制 现 在, 所 有 企 业 都 假 设 自 己 处 在 一 个 存 在 持 续 性 危 害 的 环 境 中 但 是, 企 业 又 轻 信 可 以 实 现 100% 的 预 防, 它 们 正 过 度 依 赖 于 基 于 拦 截 和 签 名 的 机 制 来 得 到 保 护 结 果 在 漏 洞 不 可 避 免 地 出 现 之 时, 大 多 数 企 业 所 具 备 的 检 测 和 响 应 能 力 都 十 分 有 限, 而 这 就 导 致 了 漏 洞 的 停 留 时 间 更 长, 从 而 造 成 更 大 的 破 坏 实 际 上, 再 进 一 步 改 进 预 防 检 测 响 应 和 预 报 能 力 才 是 应 对 所 有 攻 击 类 型 所 需 的 全 部 条 件, 不 管 是 高 级 攻 击 还 是 普 通 攻 击, 都 是 如 此 此 外, 这 些 不 应 被 视 为 孤 立 的 功 能 ; 相 反, 它 们 应 成 为 一 套 集 成 的 适 应 性 系 统, 智 能 地 配 合 工 作, 从 而 构 成 一 套 针 对 高 级 威 胁 的 完 整 保 护 流 程 1 一 种 显 而 易 见 的 变 得 更 为 主 动 并 前 进 到 安 全 成 熟 度 曲 线 上 第 2 级 的 方 法 是 漏 洞 评 估 应 用 程 序 修 补 白 名 单 以 及 应 用 程 序 控 制 LEVEL 1 LEVEL 2 LEVEL 3 LEVEL 4 Control Chaos Reactive Discovering Alerting 终 端 安 全 成 熟 度 曲 线 漏 洞 评 估 Security Risk OS Patching Personal Firewall Antivirus/anti-spyware Application Patching Security Configuration Application Blacklisting On Demand Reporting Vulnerability Assessment Security Risk Proactive 漏 洞 是 设 备 整 体 安 全 性 的 薄 弱 环 节 威 胁 会 利 用 这 些 薄 弱 环 节, 从 而 可 能 损 坏 计 算 机 或 个 人 数 据 公 司 的 IT 部 门 需 要 评 估 环 境 的 漏 洞 并 确 定 可 采 取 哪 些 措 施 来 保 护 公 司 资 产 IT 人 员 在 企 业 中 设 置 用 户 角 色 并 为 IT 环 境 设 置 安 全 策 略 之 后, 他 们 即 可 评 估 所 有 可 能 的 安 全 瑕 疵 并 在 攻 击 发 生 之 前 予 以 修 复 安 装 应 用 程 序 补 丁 随 时 安 装 最 新 的 应 用 程 序 安 全 补 丁 是 IT 最 为 复 杂 且 工 作 量 最 大 的 工 作 之 一 Forrester Research, Inc. 的 分 析 师 报 告 说, 补 丁 管 理 对 终 端 安 全 而 言 是 不 可 或 缺 的 : 网 络 犯 罪 瞄 准 终 端 ( 服 务 器 和 员 工 笔 记 本 / 台 式 机 ) 以 访 问 有 价 值 的 数 据, 它 们 通 常 使 用 恶 意 软 件 作 为 攻 击 工 具 安 全 专 家 通 过 利 用 一 系 列 工 具, 拦 截 恶 意 代 码 执 行, 拦 截 恶 意 软 件 执 行 恶 意 操 作, 或 加 强 应 用 程 序 环 境, 从 而 达 到 保 护 脆 弱 软 件 的 目 的 防 恶 意 软 件 工 具 非 常 重 要, 但 它 们 并 非 完 美 无 缺, 也 还 远 远 不 够 因 此, 在 恶 意 软 件 检 测 工 具 失 效 的 情 况 下, 通 过 漏 洞 检 测 和 修 补 来 加 强 应 用 程 序 和 操 作 系 统 就 成 为 了 至 关 重 要 的 一 条 防 线 2 必 需 具 有 强 大 的 补 丁 管 理 解 决 方 案, 包 括 扫 描 漏 洞 评 估 修 正 下 载 和 暂 存 分 发 以 及 维 护 功 能 除 Microsoft Windows 和 Office 应 用 程 序 以 外, 维 护 功 能 必 须 扩 展 到 越 来 越 常 见 的 目 标, 例 如 非 Microsoft 浏 览 器 和 应 用 程 序 媒 体 播 放 器 以 及 备 份 和 安 全 软 件 3
白 名 单 和 应 用 程 序 控 制 具 有 更 高 安 全 性 体 验 和 成 熟 度 的 企 业 已 经 意 识 到, 仅 使 用 黑 名 单 并 不 起 作 用, 因 此 他 们 开 始 依 赖 黑 名 单 防 火 墙 入 侵 检 测 系 统 (IDS) 和 防 病 毒 软 件 相 结 合 的 方 式 尽 管 所 有 这 些 措 施 都 是 必 要 的, 但 它 们 仍 不 足 以 抵 抗 不 断 演 变 的 威 胁 和 各 式 各 样 的 攻 击 途 径, 这 促 使 企 业 利 用 白 名 单 来 声 明 允 许 哪 些 应 用 程 序 和 连 接 并 阻 止 其 余 的 应 用 程 序 和 连 接 如 果 白 名 单 设 置 正 确, 可 能 会 减 少 使 用 黑 名 单 和 防 病 毒 应 用 程 序 的 必 要 性 Gartner, Inc. 的 分 析 师 Peter Firstbrook 和 Neil MacDonald 说 到 : 应 用 程 序 控 制 解 决 方 案 可 以 通 过 强 制 推 行 默 认 拒 绝 的 应 用 程 序 执 行 环 境 来 提 供 出 色 的 主 动 防 护, 在 这 种 环 境 下, 仅 允 许 执 行 已 知 的 应 用 程 序 这 些 解 决 方 案 远 比 之 前 几 代 应 用 程 序 控 制 解 决 方 案 都 易 于 管 理, 这 应 归 功 于 其 中 包 含 的 应 用 程 序 声 誉 服 务, 其 提 供 了 已 知 应 用 程 序 目 录 和 受 信 任 的 变 更 来 源, 这 将 白 名 单 的 持 续 维 护 工 作 降 至 最 低 程 度 即 使 在 仅 监 测 的 模 式 下, 应 用 程 序 控 制 工 具 也 可 以 帮 助 进 行 检 测 活 动, 它 可 以 突 出 显 示 那 些 未 得 到 大 规 模 散 布 的 新 可 执 行 文 件, 或 声 誉 较 低 的 可 执 行 文 件 应 用 程 序 控 制 是 一 种 非 常 有 效 的 解 决 方 案, 它 针 对 那 些 不 常 变 更 的 终 端, 或 不 进 行 程 序 修 补 的 系 统, 比 如 旧 计 算 机 ( 即 Windows XP 等 ), 或 嵌 入 式 系 统, 比 如 销 售 点 系 统 流 程 控 制 器 自 动 柜 员 机 以 及 医 疗 设 备 3 LANDESK 安 全 套 件 使 实 施 白 名 单 策 略 变 得 轻 松 无 比 首 先, 可 设 置 白 名 单 来 了 解 应 用 程 序 的 现 有 行 为, 然 后 设 置 策 略 来 确 定 现 有 应 用 程 序 的 哪 些 方 面 是 可 接 受 的, 并 阻 止 可 能 包 含 会 感 染 环 境 的 恶 意 软 件 的 其 他 应 用 程 序 可 利 用 LANDESK 位 置 感 知 功 能 定 义 受 信 和 非 受 信 网 络, 然 后 为 整 个 企 业 设 置 策 略 可 在 IT 管 理 员 控 制 台 上 的 单 个 视 图 中 查 看 所 有 此 类 策 略 可 利 用 定 义 位 置 感 知 策 略 的 功 能 来 开 放 权 限 或 者 加 强 企 业 内 部 的 安 全 策 略 许 多 IT 部 门 都 发 现 了 将 基 于 主 机 的 入 侵 防 护 系 统 (HIPS) 技 术 作 为 其 端 点 安 全 性 组 成 部 分 的 好 处 HIPS 技 术 集 成 了 防 火 墙 沙 盒 和 各 种 系 统 级 操 作 的 应 用 程 序 控 制 它 对 于 保 护 非 受 信 环 境 ( 如 宾 馆 Wi-Fi 网 络 ) 中 使 用 的 便 捷 式 计 算 机 非 常 有 用, 并 且 还 有 助 于 防 止 流 氓 应 用 程 序 执 行 恶 意 操 作 一 旦 HIPS 功 能 发 现 可 疑 行 为, 它 不 仅 会 阻 止 该 行 为, 并 且 还 可 以 就 这 一 问 题 向 IT 管 理 员 发 出 警 告 缓 冲 区 溢 出 保 护 已 成 为 HIPS 的 一 个 重 要 组 件 此 功 能 可 防 止 环 境 暴 露 利 用 程 序 等 待 用 户 输 入 的 漏 洞 通 过 在 发 生 时 检 测 栈 分 配 或 堆 分 配 变 量 上 的 缓 冲 区 溢 出 并 防 止 它 们 成 为 严 重 的 安 全 漏 洞, 缓 冲 区 溢 出 保 护 增 强 了 可 执 行 程 序 的 安 全 性 LANDESK 方 法 LANDESK 安 全 套 件 简 化 了 IT 人 员 在 更 加 主 动 建 立 成 熟 安 全 性 方 面 的 工 作 此 解 决 方 案 提 供 标 准 且 高 频 率 的 漏 洞 评 估 扫 描 功 能 以 快 速 轻 松 地 确 定 配 置 安 装 补 丁 和 软 件 更 新 需 求 可 设 置 自 定 义 扫 描 以 定 义 搜 索 特 定 条 件 组 的 细 节 定 义 和 维 护 安 全 配 置 由 于 使 用 基 于 角 色 的 管 理 和 基 于 策 略 的 管 理 工 具 而 得 以 简 化 LANDESK 还 针 对 成 千 上 万 个 应 用 程 序 提 供 最 广 泛 的 漏 洞 评 估, 从 而 使 您 可 以 查 看 潜 在 的 风 险 并 确 定 是 否 满 足 公 司 的 标 准 当 贵 企 业 需 要 遵 守 以 下 标 准 时 显 得 更 加 重 要 : PCI 支 付 卡 产 业 联 盟 FDCC 联 邦 桌 面 计 算 机 配 置 SCAP 安 全 内 容 自 动 化 协 议 FISMA 联 邦 信 息 安 全 管 理 法 案 HIPAA 健 康 保 险 流 通 与 责 任 法 案 LANDESK 智 能 补 丁 管 理 是 LANDESK 安 全 套 件 的 一 个 组 成 部 分, 它 为 混 合 IT 环 境 中 的 操 作 系 统 和 应 用 程 序 提 供 集 成 的 漏 洞 评 估 补 丁 搜 索 下 载 暂 存 和 分 发 功 能 补 丁 解 决 方 案 支 持 各 种 Windows 操 作 系 统 以 及 Macintosh 和 Linux 操 作 系 统 LANDESK 定 向 多 播 和 LANDESK 对 等 下 载 技 术 提 高 了 部 署 速 度 并 降 低 了 分 发 带 宽 要 求, 同 时 无 需 其 他 的 硬 件 或 路 由 器 重 新 配 置 操 作 例 如, 一 家 大 型 跨 国 公 司 仅 使 用 5 台 服 务 器 即 可 将 补 丁 部 署 到 遍 布 全 球 的 超 过 77,000 个 节 点, 并 且 在 5 天 内 达 到 超 过 95% 的 修 补 率 部 署 可 实 现 自 动 化, 并 且 可 将 补 丁 缓 存 到 目 标 计 算 机 上 以 便 随 后 激 活 和 安 装 并 且, 在 添 加 LANDESK 流 程 管 理 器 自 动 化 补 丁 部 署 之 后, 可 通 过 进 行 中 的 全 自 动 化 更 新 流 程 ( 它 们 会 利 用 可 修 改 的 工 作 流 自 动 化 审 批 和 试 验 组 ) 来 配 置 新 的 补 丁 LANDESK 主 机 入 侵 防 护 系 统 (HIPS) 是 LANDESK 安 全 套 件 的 其 中 一 个 功 能, 它 会 针 对 各 种 基 于 非 签 名 的 恶 意 代 码 防 御 和 应 用 程 序 控 制 提 供 应 用 程 序 控 制, 以 便 为 防 病 毒 和 防 间 谍 软 件 系 统 提 供 补 充 以 及 防 御 恶 意 软 件 病 毒 库 不 可 用 的 零 日 漏 洞 经 过 验 证 的 行 为 识 别 技 术 会 阻 止 恶 意 行 为 LANDESK HIPS 是 用 于 控 制 系 统 上 执 行 的 应 用 程 序 的 一 个 强 大 工 具, 其 可 指 定 经 过 批 准 的 应 用 程 序 能 执 行 哪 些 行 为 4
朝 着 更 高 安 全 成 熟 度 坚 持 迈 进 对 于 任 意 单 一 针 对 性 解 决 方 案 而 言, 如 今 的 威 胁 环 境 太 过 变 化 多 端, 它 们 难 以 实 现 有 效 的 保 护 唯 一 可 行 且 可 用 的 防 御 策 略 是 改 用 结 合 多 个 保 护 技 术 层 的 更 为 成 熟 的 安 全 模 式 LANDESK 客 户 体 验 了 分 层 端 点 安 全 性 的 世 界 级 解 决 方 案, 它 已 通 过 市 场 的 验 证 并 已 做 好 立 即 部 署 的 准 备 客 户 可 通 过 单 个 控 制 台 管 理 所 有 的 安 全 资 源, 并 自 动 化 日 常 流 程 以 降 低 成 本 和 减 轻 管 理 工 作 量 并 且, 最 为 重 要 的 是, 它 们 可 以 部 署 一 个 可 根 据 业 务 和 技 术 要 求 轻 易 扩 展 和 调 整 的 安 全 基 础 架 构 有 关 LANDESK 分 层 终 端 安 全 性 解 决 方 案 的 更 多 详 细 信 息, 请 咨 询 LANDESK 产 品 代 表 : 010-85153668 参 考 资 料 1 Peter Firstbrook and Neil MacDonald, Designing an Adaptive Security Architecture for Protection From Advanced Attacks, Gartner, Inc., 2014 年 2 月 12 日,p. 3. 2 Chris Sherman, John Kindervag, and Rick Holland, Introducing Forrester s Prioritized Patching Process: Leverage Predictive Threat Modeling and Data Value for a Context- Based Approach to Patch Prioritization, Forrester Research, Inc., 2013 年 11 月 11 日, p. 2. 3 Peter Firstbrook and Neil MacDonald, Malware Is Already Inside Your Organization; Deal With It, Gartner, Inc., 2014 年 2 月 12 日,p. 8. 5