科技改變生活 · 科技引領(lǐng)未來
科技改變生活 · 科技引領(lǐng)未來
安全的價(jià)值依托于業(yè)務(wù)的發(fā)展,業(yè)務(wù)創(chuàng)造價(jià)值,而安全則是守護(hù)業(yè)務(wù)。在傳統(tǒng)企業(yè)紛紛進(jìn)行數(shù)字化轉(zhuǎn)型的過程中,企業(yè)將自己的數(shù)據(jù)流、信息流和業(yè)務(wù)流進(jìn)行了數(shù)字化的重構(gòu),實(shí)體資產(chǎn)和人力管理轉(zhuǎn)變?yōu)閿?shù)字資產(chǎn)與自動(dòng)化、系統(tǒng)管理。
當(dāng)傳統(tǒng)企業(yè)還在進(jìn)行艱難的數(shù)字化轉(zhuǎn)型時(shí),部分互聯(lián)網(wǎng)企業(yè)已經(jīng)進(jìn)入下半場,開始智能化轉(zhuǎn)型,數(shù)據(jù)流、信息流和業(yè)務(wù)流做進(jìn)一步分析和優(yōu)化,與之相對應(yīng)的是快速發(fā)展的人工智能等新興技術(shù)。
這些新技術(shù)帶來的一方面是機(jī)遇,另一方面則是挑戰(zhàn)。在新技術(shù)的催生下,對企業(yè)安全的攻擊方式也開始迅速進(jìn)化,以勒索軟件為例,在很多傳統(tǒng)企業(yè)尚不知數(shù)字貨幣為何物之時(shí),黑客已經(jīng)通過自動(dòng)化技術(shù)生成大量快速隨機(jī)傳播的無差別攻擊勒索程序,趁企業(yè)在遷入新環(huán)境尚立足不穩(wěn)之際,一舉攻破企業(yè)的安全防護(hù)體系,隨即迅速傳播,加密整個(gè)企業(yè)內(nèi)網(wǎng)的數(shù)據(jù)文件,讓企業(yè)飽受其害。
1、企業(yè)的內(nèi)網(wǎng)環(huán)境和互聯(lián)網(wǎng)的環(huán)境并不相同。
對企業(yè)來講,大型企業(yè)在發(fā)展過程中往往會呈現(xiàn)向平臺化發(fā)展的趨勢,整個(gè)數(shù)字生態(tài)系統(tǒng),以及在這整個(gè)生態(tài)系統(tǒng)中流轉(zhuǎn)的數(shù)字資產(chǎn)在周期化的運(yùn)行中,對它的安全考量、風(fēng)險(xiǎn)的防護(hù)是需要核心考量的因素。
對中小企業(yè)來說,對生產(chǎn)和生產(chǎn)環(huán)境、對數(shù)字資產(chǎn)的安全性要求同樣是一個(gè)企業(yè)在運(yùn)營過程中需要核心考量的因素。
出于對數(shù)據(jù)保密性、可用性和完整性的要求,60%-70%的企業(yè)在數(shù)字化轉(zhuǎn)型中使用內(nèi)網(wǎng)。但內(nèi)網(wǎng)隔離的企業(yè)環(huán)境與互聯(lián)網(wǎng)的環(huán)境并不相同,這導(dǎo)致了傳統(tǒng)互聯(lián)網(wǎng)安全廠商無法滿足企業(yè)對終端殺毒的需求。
一方面,傳統(tǒng)互聯(lián)網(wǎng)安全廠商過于依賴云端的查殺能力,在互聯(lián)網(wǎng)環(huán)境中借助云端查殺對病毒90%+的檢出率,一旦進(jìn)入企業(yè)內(nèi)網(wǎng),無法借助之前的云端查殺后,對新興病毒的檢出率就會大打折扣。
另一方面,很多傳統(tǒng)制造型企業(yè)比如鋼鐵廠以及醫(yī)院等民生機(jī)構(gòu),系統(tǒng)非常老舊。以Windows XP為例,很多互聯(lián)網(wǎng)安全防護(hù)軟件會出現(xiàn)嚴(yán)重的不兼容、不適應(yīng)、無法安裝和及時(shí)更新的問題,加之沉重的特征庫會占用大量資源,影響企業(yè)的業(yè)務(wù)安全和生產(chǎn)效率。
此外,由于傳統(tǒng)的針對端的安全防護(hù)是單點(diǎn)防護(hù),兼容出現(xiàn)問題不說,企業(yè)的維護(hù)成本也非常高昂。在以往,單臺或者少量的設(shè)備出現(xiàn)問題,往往可以請安全應(yīng)急專家來進(jìn)行維護(hù)和加固,維護(hù)和管理的成本也并不高。但伴隨著安全環(huán)境的變化,一臺被攻破、整個(gè)企業(yè)內(nèi)網(wǎng)遭殃,企業(yè)在數(shù)字化轉(zhuǎn)型中遭遇了新的難題。
2、AI之矛,勒索軟件橫行。
2015年,勒索病毒興起,大肆進(jìn)入我國。
2016年,勒索病毒大爆發(fā)。
2017年,5月12日WannaCry的肆虐,短短數(shù)小時(shí)內(nèi)席卷全球150多個(gè)國家和地區(qū)。
2018年,GlobeImposter、GandCrab,短短半年出現(xiàn)了多個(gè)變種版本,感染用戶數(shù)量創(chuàng)新高、破壞性超出以往。
在戰(zhàn)場上讓大量普通士兵重傷的,不是狙擊步槍,而是機(jī)關(guān)槍。同樣,對大部分組織造成重大信息安全事件的威脅,不是有組織的定向攻擊APT,而是大量快速隨機(jī)傳播的無差別攻擊勒索程序。
狙擊步槍到機(jī)關(guān)槍的轉(zhuǎn)變,反映了這些勒索病毒的一個(gè)相同點(diǎn):都采用了自動(dòng)化生成技術(shù)。而伴隨著AI技術(shù)的發(fā)展,病毒攻擊的未來的趨勢是它們數(shù)量和樣式會更多、傳染更快、破壞力更強(qiáng)。
如果說早期的勒索軟件是由人來編,在重新變化它的組織、操作與數(shù)據(jù)流后,導(dǎo)致原來的檢測失效。
那現(xiàn)在就可以通過AI自動(dòng)化技術(shù)自動(dòng)生成惡意代碼,它可以通過大量的數(shù)據(jù)和樣本來機(jī)器學(xué)習(xí)惡意代碼的運(yùn)作方式,進(jìn)而導(dǎo)致新病毒的產(chǎn)生呈現(xiàn)出指數(shù)級的增加。
通過AI的自動(dòng)化技術(shù)生成新的惡意代碼,攻擊方有了新的火力支持,狙擊槍進(jìn)化成了自動(dòng)化機(jī)關(guān)槍,在這個(gè)過程中防御方將要面臨更高的安全風(fēng)險(xiǎn),防御端檢測面臨的挑戰(zhàn)也就更大了。
3、攻防升維
安全領(lǐng)域強(qiáng)調(diào)的是攻防對抗,當(dāng)攻擊方的能力增強(qiáng)之后,壓力就轉(zhuǎn)移到了防守方上。
攻是單點(diǎn)突破,找到一個(gè)點(diǎn),并通過這個(gè)點(diǎn)滲入進(jìn)去挖開他的防守體系,進(jìn)而拿到內(nèi)部網(wǎng)絡(luò)更多的東西。
而防則不一樣,防講的是縱深防御,是面的問題更是點(diǎn)的問題,從面上講,企業(yè)要全面去防;從點(diǎn)上來說,企業(yè)的安全防護(hù)就要做深做細(xì),以前安全業(yè)內(nèi)一直在講木桶原理,指的是企業(yè)的安全體系是一個(gè)木桶,安全防護(hù)體系中如果有短板,如同水會從短板的地方流出來,攻擊方也會從短板的地方侵入。
以勒索病毒為例,深信服安全專家鄒榮新給我們分享了一個(gè)小故事:“WannaCry爆發(fā)時(shí),我這邊成立了安全應(yīng)急團(tuán)隊(duì),大概十個(gè)人左右的一個(gè)團(tuán)隊(duì),我們從客戶那邊觀察到,以前客戶里頭他一臺機(jī)器出了問題,那就你的這臺機(jī)器出問題,大不了把你機(jī)器重裝就完了,現(xiàn)在病毒一進(jìn)來以后,它會快速蔓延,可能在幾分鐘之內(nèi)你的幾百臺、上千臺機(jī)器就全部中招了。”
永恒之藍(lán)利用微軟的MS17010漏洞,攻擊性之強(qiáng)覆蓋面之廣甚至可以讓一個(gè)公司的全部幾十臺服務(wù)器短時(shí)間內(nèi)全部被加影子賬號。黑客利用美國NSA公布的信息來謀利、做破壞性的工作,這是之前所沒有的變化。
4、如何應(yīng)對?傳統(tǒng)特征殺毒的無力。
傳統(tǒng)特征殺毒是基于病毒特征庫方式進(jìn)行殺毒,在面對新型病毒或變種持續(xù)產(chǎn)生的情況下,往往呈現(xiàn)被動(dòng)、后知后覺的特點(diǎn),缺乏快速響應(yīng)機(jī)制。
另一方面,由于本地病毒特征庫是有限的,當(dāng)特征庫與已知病毒樣本不匹配時(shí),查殺就會受限,這點(diǎn)在企業(yè)隔離網(wǎng)環(huán)境下失去云端查殺能力時(shí)表現(xiàn)得尤其突出。此外,由于特征數(shù)量不斷增多,特征殺毒會加重終端資源以及運(yùn)算成本。
最后,由于未實(shí)現(xiàn)一體化防護(hù),會導(dǎo)致企業(yè)的管理運(yùn)維量巨大。
攻擊方可以用AI的技術(shù)來提升它的工具,提升它的效率,減少它的攻擊代價(jià)。而攻防本身講究的是個(gè)代價(jià)的問題,攻方究竟愿意用多少的資源來攻破一個(gè)目標(biāo),攻破過后能獲得多少利益,那防御,則是企業(yè)愿意投入多少資源來防御到什么樣的程度。
以往,大型企業(yè)可以投入巨額的資金來請業(yè)內(nèi)的安全專家來進(jìn)行人力的安全緊急響應(yīng),但是現(xiàn)在面對動(dòng)輒有幾棟樓之多的服務(wù)器,通過人力進(jìn)行應(yīng)急顯然已經(jīng)不再現(xiàn)實(shí)。
而對中小企業(yè)來說,就更難以承擔(dān)高昂的安全維護(hù)成本。在這樣的情況下,將預(yù)算放到端的檢測和響應(yīng)上,無論從效果還是花銷上來看,都是更為明智的選擇。
基于端的檢測和響應(yīng)來構(gòu)建一個(gè)安全防護(hù)體系;通過云網(wǎng)端的融合做到點(diǎn)面結(jié)合來縱深防御;通過一個(gè)統(tǒng)一的管理平臺來進(jìn)行統(tǒng)一的安全管理;通過采用AI技術(shù)來應(yīng)對自動(dòng)化攻擊;這些,就成為了應(yīng)對攻方升級的不二法門。
5、技能進(jìn)化:深信服新一代終端安全EDR和它的SAVE引擎
為了應(yīng)對進(jìn)化后的攻擊方,作為防御方也應(yīng)該完成它的進(jìn)化。
對此,深信服提出了新的安全理念:面向未來,有效保護(hù)。面向未來,有效保護(hù)就是以明晰過去和現(xiàn)在的威脅和挑戰(zhàn)為基礎(chǔ),預(yù)測未來趨勢,并通過技能進(jìn)化和智力進(jìn)化提升預(yù)測、防御、檢測、響應(yīng)能力,持續(xù)應(yīng)對新的風(fēng)險(xiǎn)和挑戰(zhàn),保障信息資產(chǎn)的保密性、完整性、可用性達(dá)到預(yù)期要求。
同時(shí),基于“面向未來,有效保護(hù)”的安全理念,深信服也提出了新的安全架構(gòu),該架構(gòu)的核心是“進(jìn)化”——以“技能進(jìn)化”和“智力進(jìn)化”,持續(xù)提升保護(hù)的有效性。
技能進(jìn)化就是從安全建設(shè)”以防御能力為核心”進(jìn)化到“以檢測能力為核心”。
反映到具體的端點(diǎn)上,則是深信服基于傳統(tǒng)端點(diǎn)檢測和響應(yīng)EDR的進(jìn)化,打造的下一代終端安全EDR。
EDR本身是一個(gè)很早就有的安全解決方案。但深信服通過在技能進(jìn)化上具有里程碑意義的SAVE安全智能檢測引擎,完成了創(chuàng)新。
SAVE安全智能檢測引擎使用了創(chuàng)新的人工智能無特征技術(shù),能夠進(jìn)行算法的自我優(yōu)化、特性的自動(dòng)提取,相比傳統(tǒng)使用固定算法、人工提取特征的傳統(tǒng)檢測引擎來講更具優(yōu)勢,能夠?qū)账鞑《咀兎N及其他未知病毒進(jìn)行準(zhǔn)確檢測。
通過SAVE引擎,深信服新一代終端安全EDR,對未知病毒檢出率高達(dá)97.8%,對已知病毒檢出率高于99%,對與之前肆虐的Globelmposter勒索病毒,查殺成功率更是達(dá)到了100%。
SAVR引擎的背后是深信服每年行業(yè)內(nèi)無出其右的研發(fā)投入(每年投入利潤的20%以上)、由博士和博士后科研團(tuán)隊(duì)所組成的創(chuàng)新研究院在應(yīng)對挑戰(zhàn)時(shí)的勇于創(chuàng)新與堅(jiān)守、和安全團(tuán)隊(duì)十多年來積累的豐富行業(yè)經(jīng)驗(yàn)與安全知識庫。
在數(shù)據(jù)方面,憑借著多年在企業(yè)領(lǐng)域安全防護(hù)的實(shí)戰(zhàn)經(jīng)驗(yàn),深信服獲得了大量的真實(shí)威脅數(shù)據(jù)信息尤其是企業(yè)所面臨的惡意代碼、惡意流量數(shù)據(jù),為了進(jìn)一步擴(kuò)充數(shù)據(jù)的樣本量,深信服也與諸如谷歌等公司合作,進(jìn)行數(shù)據(jù)導(dǎo)入,提高辨別準(zhǔn)確度。
在算法方面,深信服數(shù)據(jù)解析的角度也有創(chuàng)新之處,它更多的去從安全防護(hù)比如勒索軟件的角度進(jìn)行解構(gòu),然后再去嘗試各種各樣的算法。
通過人工智能賦予用戶以持續(xù)進(jìn)化的預(yù)警、防御、檢測與響應(yīng)能力,方能以不變應(yīng)萬變,在不同的場景中進(jìn)化出不同的模式來應(yīng)對威脅。
深信服通過AI技術(shù)打造了新一代終端安全EDR,又輔以了與網(wǎng)、云的結(jié)合。
深信服安全云腦作為威脅情報(bào)搜集和響應(yīng)的中心,當(dāng)發(fā)現(xiàn)到威脅情報(bào)后會第一時(shí)間推送給深信服新一代終端安全EDR與深信服新一代防火墻AF、安全感知平臺SIP、上網(wǎng)行為管理AC等網(wǎng)絡(luò)安全管理。
如果把深信服新一代終端安全EDR比作點(diǎn)的話,那么深信服新一代防火墻NGAF、安全感知平臺SIP、上網(wǎng)行為管理AC就是面,通過點(diǎn)與面結(jié)合方能打造了一個(gè)完整的企業(yè)安全防護(hù)體系。深信服新一代終端安全EDR補(bǔ)齊的就是企業(yè)安全防護(hù)體系這個(gè)木桶的最后一塊短板。
通過對云、網(wǎng)、端的融合,結(jié)合了EDR的全網(wǎng)安全設(shè)備聯(lián)動(dòng)機(jī)制是一整套的云管端閉環(huán)系統(tǒng),解決了傳統(tǒng)安全防護(hù)的體系弱點(diǎn)和能力缺失,可以高效實(shí)現(xiàn)病毒防護(hù)、具有對已/未知威脅的準(zhǔn)確檢測與發(fā)現(xiàn)、快速響應(yīng)等功能。
而基于Agent加管理平臺的部署模式,還可輕松實(shí)現(xiàn)資產(chǎn)盤點(diǎn)、合規(guī)審查,以及基于應(yīng)用角色的微隔離防護(hù)和流量可視化管理等功能,讓企業(yè)的管理管理能力足以應(yīng)對新的威脅。
面向未來,有效守護(hù)!深信服新一代安全EDR將秉承深信服的安全理念。在寒夜來臨之時(shí),做企業(yè)安全的忠實(shí)衛(wèi)士。
金熙