漫談安全架構(gòu)的優(yōu)勢(shì)

漫談安全架構(gòu)的優(yōu)勢(shì)云計(jì)算已成為眾多IT需求的可行模型。在某些情況下，大型企業(yè)會(huì)按需購(gòu)買云式CPU周期，盡管它的確很有價(jià)值，但I(xiàn)T專家們?nèi)匀粺嶂杂趯?duì)云計(jì)算的價(jià)值進(jìn)行一場(chǎng)哲學(xué)辯論。云計(jì)算已成為眾多IT需求的可行模型。在某些情況下，大型企業(yè)會(huì)按需購(gòu)買云式CPU周期，使用Amazon、Rackspace和Terremark等供應(yīng)商提供的”基礎(chǔ)設(shè)施即服務(wù)”（IaaS）進(jìn)行測(cè)試、開發(fā)和批處理。其他情況下他們會(huì)外包整個(gè)應(yīng)用。如把電子郵件交給Google，CRM交給S，或者把工資單交給ADP。盡管它的確很有價(jià)值，但I(xiàn)T專家們?nèi)匀粺嶂杂趯?duì)云計(jì)算的價(jià)值進(jìn)行一場(chǎng)哲學(xué)辯論。他們想知道為大眾設(shè)計(jì)的云計(jì)算和SaaS是否真正是企業(yè)數(shù)據(jù)中心現(xiàn)場(chǎng)IT設(shè)備的可選方案。畢竟，內(nèi)建式IT設(shè)備可提供線速性能并可進(jìn)行調(diào)整以滿足一個(gè)企業(yè)的特定需要。最近。首席信息安全官們召開了類似的會(huì)議，討論了信息安全需求，特別是與網(wǎng)絡(luò)安全威脅管理相關(guān)的問題。安全專家們考慮了類似的問題：大型企業(yè)應(yīng)該選擇企業(yè)內(nèi)部自建安全網(wǎng)關(guān)還是將網(wǎng)絡(luò)安全威脅的管理交給云服務(wù)呢？本文件的結(jié)論是：不管選擇哪種解決方案，都要盡快解決網(wǎng)頁威脅管理問題。雖然關(guān)于企業(yè)內(nèi)部自建與云服務(wù)對(duì)比的理論思考還在繼續(xù)。而另一方面網(wǎng)頁威脅管理的復(fù)雜性也在不斷在增長(zhǎng)。結(jié)果，ESG研究表明大型企業(yè)在網(wǎng)頁威脅管理解決方案上的投資越來越多。企業(yè)內(nèi)部自建和云端部署都有其優(yōu)勢(shì)和劣勢(shì)。網(wǎng)頁威脅管理網(wǎng)關(guān)適用于大型集中式設(shè)施。而SaaS則適用于遠(yuǎn)程辦公和經(jīng)常外出的員工。遺憾的是，大型全球化企業(yè)在這些方面都有需求。因此不管是安全網(wǎng)關(guān)還是SaaS都無法單獨(dú)滿足其需求。首席信息安全官們想知道他們到底應(yīng)該選擇一個(gè)解決方案。還是實(shí)施多個(gè)供應(yīng)商的多個(gè)解決方案。大型全球化企業(yè)需要緊密集成的混合式解決方案。通?？鐕?guó)企業(yè)都有大量集中的和分散的員工。這些企業(yè)需要一致的策略管理、實(shí)施和監(jiān)督。讓雇員不管從網(wǎng)絡(luò)的哪個(gè)位置連接都有很強(qiáng)的安全性。實(shí)際上。這正是實(shí)施結(jié)合了企業(yè)內(nèi)部自建設(shè)備控制與云的靈活性的統(tǒng)一混合式網(wǎng)絡(luò)安全解決方案的最主要原因。采用混合式架構(gòu)，大型全球化企業(yè)不但可以進(jìn)行集中管理、分布式實(shí)施，還能夠利用移動(dòng)、遠(yuǎn)程和集中的員工云計(jì)算社區(qū)的”眾包”優(yōu)勢(shì)。這種結(jié)合了兩個(gè)領(lǐng)域最佳優(yōu)勢(shì)的架構(gòu)將發(fā)展成為標(biāo)準(zhǔn)的企業(yè)部署。一網(wǎng)頁威脅越來越危險(xiǎn)雖然病毒、蠕蟲和木馬的防御一直都是個(gè)難題，但許多首席信息安全官們認(rèn)為現(xiàn)在的威脅管理更是一天比一天棘手。這是由于大型企業(yè)不但要面對(duì)傳統(tǒng)的攻擊載體，還要面對(duì)越來越危險(xiǎn)的網(wǎng)頁威脅。由于以下原因，這方面的情況會(huì)越來越糟糕：空前的惡意代碼量：根據(jù)最新的BlueCoat網(wǎng)站報(bào)告網(wǎng)頁威脅的數(shù)量?jī)H與去年相比就增加了500%以上。此外，惡意代碼變種的數(shù)量增加了300%以上，而釣魚攻擊增加了600%以上。危險(xiǎn)的網(wǎng)頁內(nèi)容：近半數(shù)惡意代碼的威脅目標(biāo)是網(wǎng)絡(luò)瀏覽器，因?yàn)樵S多網(wǎng)頁應(yīng)用程序都很脆弱，很容易受到感染。用戶還傾向于相信Google、Yahoo和Bing等高流量站點(diǎn)的網(wǎng)站,而這些網(wǎng)站都受到過攻擊并被用于散播惡意代碼。web2.0是由動(dòng)態(tài)內(nèi)容驅(qū)動(dòng)的，這是一個(gè)新的又難以捉摸的入侵載體。最后，網(wǎng)頁威脅可以特定企業(yè)或個(gè)人為目標(biāo)，使檢測(cè)和預(yù)防都極其困難。社交網(wǎng)絡(luò)載體：社交網(wǎng)絡(luò)站點(diǎn)已經(jīng)迅速成為犯罪的多發(fā)地。例如，Zeus僵尸網(wǎng)絡(luò)在過去的幾年里通過Facebook散播了超過150萬的釣魚信息。因此難怪有超過三分之二（77%）在企業(yè)機(jī)構(gòu)（超過1000名員工）工作的安全專業(yè)人員認(rèn)為，員工訪問社交網(wǎng)絡(luò)會(huì)提高受到復(fù)雜攻擊的幾率（見圖1）點(diǎn)擊圖片查看大圖（jnPhxbook、MtUr吊）會(huì)MUR疽IAPTK*賽翹罠條攻擊tMl蠱.* ?=3M>強(qiáng)烈反對(duì).1%同胃b62U同胃b62U反對(duì)*war序圖「相館■飪克阿貉站點(diǎn)會(huì)提高受到APT直圭的幾卓流動(dòng)性增加：?jiǎn)T工經(jīng)常會(huì)使用筆記本、智能手機(jī)和平板電腦訪問各種企業(yè)和消費(fèi)者網(wǎng)頁應(yīng)用程序。雖然這種流動(dòng)性可以促進(jìn)生產(chǎn)率，但它也使管理設(shè)備配置、更新安全簽名或監(jiān)控可疑和/或異常行為更加困難。二大型企業(yè)都在對(duì)網(wǎng)頁威脅管理，進(jìn)行投資維基百科對(duì)“網(wǎng)絡(luò)威脅”的定義如下：網(wǎng)頁威脅是使用互聯(lián)網(wǎng)促成網(wǎng)絡(luò)犯罪的任何威脅。網(wǎng)頁威脅中會(huì)使用各種惡意軟件和欺詐手段，所有這些都使用HTTP或HTTPS協(xié)議，但也可能利用了其他協(xié)議和組件。如電子郵件或即時(shí)消息中的鏈接，或惡意軟件的附件或在訪問網(wǎng)絡(luò)的服務(wù)器上。它們幫助網(wǎng)絡(luò)罪犯?jìng)兺蹈`信息后出售。并將感染的計(jì)算機(jī)吸收到僵尸網(wǎng)絡(luò)。網(wǎng)頁威脅會(huì)帶來一系列風(fēng)險(xiǎn)，包括經(jīng)濟(jì)損失、身份被盜、丟失機(jī)密信息/數(shù)據(jù)、偷竊網(wǎng)絡(luò)資源、損壞品牌/個(gè)人聲譽(yù)，以及破壞消費(fèi)者對(duì)電子商務(wù)和在線銀行的信任。鑒于網(wǎng)頁威脅的普遍性、數(shù)量和增長(zhǎng)，首席信息安全官們不斷在特定網(wǎng)絡(luò)安全防護(hù)方面投資。這在最近的ESG研究中有相關(guān)說明。近三分之一的企業(yè)說過他們將在2011年投資對(duì)網(wǎng)頁安全給予投資（見圖2）點(diǎn)擊圖片查看大圖黃于氏體的喪全悝支出miMa牛月內(nèi)金聽以mrMWIUt燉<NSM*W?tt,l?M?轉(zhuǎn)真安金檳豺at魯鷲金玄冬IT琮規(guī)桂廉握陽用年聃獨(dú)■鼻瓷奄￡?安申》轉(zhuǎn)真安金檳豺at魯鷲金玄冬IT琮規(guī)桂廉握陽用年聃獨(dú)■鼻瓷奄￡?安申》AJHt*開我:LBKi<^?kttNi}/aW?圖2.大型金業(yè)將投資網(wǎng)頁妥全SHfc ?M￡_i+pr葺哪種網(wǎng)頁威脅管理模式是最好的？首席信息安全官們?cè)趯ふ揖W(wǎng)頁威脅管理技術(shù)保障時(shí)，經(jīng)常遇到大量令人難以決定的選擇。在供應(yīng)商夸張的宣傳中，許多安全執(zhí)行官還面臨一個(gè)新的抉擇：他們是應(yīng)該購(gòu)買并實(shí)施傳統(tǒng)的網(wǎng)關(guān)安全解決方案呢，還是放棄企業(yè)內(nèi)部自建解決方案而選擇SaaS云服務(wù)？網(wǎng)頁威脅管理網(wǎng)關(guān)非常適合大型且集中的企業(yè)。網(wǎng)頁威脅管理網(wǎng)關(guān)位于網(wǎng)絡(luò)進(jìn)出點(diǎn)，可過濾和阻止惡意網(wǎng)頁內(nèi)容，如釣魚漏洞、病毒、蠕蟲、木馬和僵尸網(wǎng)絡(luò)等。為了保持防護(hù)功能。安全供應(yīng)商經(jīng)常需要在出現(xiàn)新惡意軟件威脅時(shí)定期更新網(wǎng)頁威脅管理網(wǎng)關(guān)的規(guī)則和簽名。過去，大型企業(yè)通常會(huì)選擇企業(yè)內(nèi)部自建的網(wǎng)頁威脅管理網(wǎng)關(guān)。這些傳統(tǒng)的”壁壘服務(wù)器”有如下一些優(yōu)點(diǎn)：高性能。網(wǎng)關(guān)應(yīng)用以“線速”運(yùn)行，延遲時(shí)間最短，對(duì)網(wǎng)絡(luò)性能的影響最小。有企業(yè)級(jí)的IT、網(wǎng)絡(luò)和安全技術(shù)的大型企業(yè)很容易就可以實(shí)施并調(diào)整網(wǎng)關(guān)安全設(shè)備，使其能夠?yàn)樯锨枰W(wǎng)絡(luò)的員工提供強(qiáng)大的安全防護(hù)而不會(huì)帶來任何負(fù)面影響?？勺远x的策略管理和實(shí)施。企業(yè)在監(jiān)管、產(chǎn)業(yè)特定威脅和內(nèi)部治理方面有各種各樣的安全需求。為滿足這些不同的需求，許多網(wǎng)關(guān)網(wǎng)頁威脅管理設(shè)備都為策略管理和安全防范提供詳細(xì)設(shè)置。這樣，企業(yè)便可以根據(jù)特定用戶、組、位置或一天中某段時(shí)間的特定需求來設(shè)置網(wǎng)頁威脅管理網(wǎng)關(guān)，從而執(zhí)行安全策略規(guī)則。中央命令和控制。因有多個(gè)機(jī)構(gòu)或駐地而有多個(gè)網(wǎng)絡(luò)進(jìn)出點(diǎn)的大型企業(yè)可能需要多個(gè)網(wǎng)頁威脅管理網(wǎng)關(guān)。為滿足這種需求，先進(jìn)的網(wǎng)頁威脅管理網(wǎng)關(guān)可對(duì)多個(gè)設(shè)備進(jìn)行集中的命令和控制。這樣，首席信息安全官們可對(duì)多個(gè)網(wǎng)頁威脅管理網(wǎng)關(guān)設(shè)備實(shí)施統(tǒng)一的策略，或根據(jù)特定需求設(shè)置某個(gè)設(shè)備。集成其他安全功能。在許多情況下，網(wǎng)頁威脅管理還可在高性能安全網(wǎng)關(guān)上結(jié)合其他安全應(yīng)用，如DLP、反病毒或URL過濾。這樣大型企業(yè)就可以使用標(biāo)準(zhǔn)化的單一安全設(shè)備來降低成本、簡(jiǎn)化日常維護(hù)并集中進(jìn)行維護(hù)和支持。集成的安全設(shè)備還可以通過關(guān)聯(lián)事件和合并報(bào)告來提高整體安全性。三云技術(shù)網(wǎng)頁威脅管理適合分布式企業(yè)網(wǎng)頁威脅管理網(wǎng)關(guān)最適合位于同一地點(diǎn)的數(shù)個(gè)機(jī)構(gòu)的數(shù)干員工訪問網(wǎng)絡(luò)的大型集中企業(yè)。但在當(dāng)今的全球商業(yè)環(huán)境下，許多企業(yè)具有高度分散的特質(zhì)，經(jīng)常有在分支辦公室、遠(yuǎn)程甚至路上辦公的移動(dòng)員工。在過去幾年里，越來越多的安全供應(yīng)商采用了SaaS或云技術(shù)交付模式作為傳統(tǒng)網(wǎng)關(guān)設(shè)備的補(bǔ)充。分布式企業(yè)可利用使用云技術(shù)交付模式的網(wǎng)頁威脅管理，這種交付模式有以下優(yōu)點(diǎn)：部署和操作簡(jiǎn)單。SaaS是一種“總承包”式解決方案，無需購(gòu)買、測(cè)試、部署或管理新設(shè)備。通過網(wǎng)頁威脅管理服務(wù)，只需將所有網(wǎng)絡(luò)進(jìn)出流量路由到云端IP地址，然后所有網(wǎng)頁威脅管理策略就在遠(yuǎn)程得到了執(zhí)行。有效且高效的防護(hù)。由于云供應(yīng)商是為大眾設(shè)計(jì)的這種解決方案。因此SaaS解決方案主要針對(duì)最常見的攻擊類型提供充分的防護(hù)。就網(wǎng)頁威脅管理來說，這意味著這種云端服務(wù)會(huì)阻止惡意URL和內(nèi)容、釣魚網(wǎng)站和已知的惡意軟件分發(fā)服務(wù)器?？梢哉J(rèn)為云端網(wǎng)頁威脅管理服務(wù)一種80/20法則的體現(xiàn)。它們可能不會(huì)提供企業(yè)內(nèi)部自建網(wǎng)關(guān)那樣的自定義設(shè)置或安全集成，但它們能夠?qū)ΤＲ娋W(wǎng)頁威脅提供有效且高效的防護(hù)。支持遠(yuǎn)程辦公室和移動(dòng)工作者。根據(jù)最近的研究，ESG認(rèn)為在遠(yuǎn)程和分部工作的員工比集中工作的員工有更大的安全隱患，特別是在計(jì)算機(jī)配置管理、終端用戶培訓(xùn)和監(jiān)測(cè)遠(yuǎn)程員工對(duì)敏感數(shù)據(jù)的使用方面。這些有數(shù)十員工的遠(yuǎn)程辦公室需要網(wǎng)頁威脅管理，但由于在每個(gè)遠(yuǎn)程機(jī)構(gòu)都部署網(wǎng)關(guān)設(shè)備在經(jīng)濟(jì)上或技術(shù)上是不可行的，于是云端服務(wù)這時(shí)便特別有吸引力。移動(dòng)的工作者很少會(huì)在“防火墻后面”。因此，網(wǎng)關(guān)應(yīng)用是無法在這方面提供任何防護(hù)的，而SaaS就成了理想的選擇。點(diǎn)擊圖片查看大圖

HMt.tm■対Hi■冊(cè)ta w??>XMWIH辭?蛀糞全廂刨總t時(shí)颯加戶対教"■的?U阿HI堆IUXMWIH辭?蛀糞全廂刨總tat少殲養(yǎng)曲好4護(hù)■鈿K<W#于桶蘇公期SIMM〉畫金聲護(hù)前邏Mt押超豳處證*歸*W鶴IMt期倉(cāng)覆辯益豪戲璧懼養(yǎng)様護(hù)DKS寰愛圖3.滿足遠(yuǎn)程辦公室/分支機(jī)構(gòu)需求時(shí)面洛的安全問題 "艸様護(hù)DKS寰愛由于“網(wǎng)絡(luò)效應(yīng)”和“眾包”的作用，云端安全服務(wù)還有一種潛在的安全優(yōu)勢(shì)。在這種模式下，所有云客戶都是一名情報(bào)員，當(dāng)他們發(fā)現(xiàn)了新攻擊方式（如之前未發(fā)現(xiàn)的惡意代碼或受到攻擊的網(wǎng)址）時(shí)就會(huì)向云端報(bào)告。確定新的攻擊后。云端安全社區(qū)中的所有其他人都能夠受到保護(hù)。四大型全球性企業(yè)需要混合式安全架構(gòu)部分企業(yè)傾向于根據(jù)單一決策點(diǎn)：企業(yè)是集中化企業(yè)還是分布式企業(yè)來選擇應(yīng)用企業(yè)內(nèi)部自建的網(wǎng)頁威脅管理網(wǎng)關(guān)還是SaaS解決方案。但是許多全球性企業(yè)有分散的集中式駐地和許多遠(yuǎn)程辦公室和移動(dòng)工作者。那么他們應(yīng)該選擇企業(yè)內(nèi)部自建設(shè)備還是云端服務(wù)，還兩種解決方案都選呢？很明顯的是，大型全球性企業(yè)需要能夠?yàn)樗袉T工和IT資產(chǎn)提供防護(hù)的網(wǎng)頁威脅管理解決方案，不管他們位于數(shù)據(jù)中心還是遠(yuǎn)程辦公室，還是通過公共網(wǎng)絡(luò)訪問應(yīng)用程序。遺憾的是，這意味著要實(shí)施多家供應(yīng)商的多個(gè)解決方案，為企業(yè)網(wǎng)絡(luò)建立企業(yè)內(nèi)部解決方案，同時(shí)為遠(yuǎn)程辦公室和移動(dòng)員工提供云端服務(wù)。是的，多個(gè)解決方案確實(shí)可以提供覆蓋范圍和防護(hù)，但這也會(huì)導(dǎo)致高成本和冗余的操作。因此這里需要的應(yīng)該是一種混合式架構(gòu).要結(jié)合現(xiàn)場(chǎng)設(shè)備的性能和管理優(yōu)勢(shì)，還要結(jié)合云端服務(wù)的靈活性和覆蓋范圍（見圖4）。點(diǎn)擊圖片查看大圖?曲申帕譬?曲申帕譬噪皓的阿顒式圖乩混合式安全架枸為滿足大型全球性企業(yè)的需求混合式網(wǎng)頁威脅管理架構(gòu)必須包含：集中化的管理和分布式的實(shí)施。混合式網(wǎng)頁威脅管理架構(gòu)可提供一致的策略管理和安全防范。而不論這些活動(dòng)發(fā)生于企業(yè)設(shè)備內(nèi)還是在云端。設(shè)備和云端服務(wù)可通過統(tǒng)一的圖形用戶界面進(jìn)行管理，而報(bào)表則可定制為提供整個(gè)企業(yè)的視圖（如企業(yè)內(nèi)部自建設(shè)備和云端服務(wù)的綜合視圖），或?yàn)楦鱾€(gè)分支地點(diǎn)提供統(tǒng)一的視圖。以云端為中心的智能。威脅智能以云技術(shù)為堅(jiān)實(shí)的基礎(chǔ)。而用戶和企業(yè)內(nèi)部自建設(shè)備則通過如上文所述的眾包作用貢獻(xiàn)力量?？赏ㄟ^對(duì)企業(yè)內(nèi)部自建設(shè)備的實(shí)時(shí)更新立即解決新威脅。緊密集成。企業(yè)內(nèi)部自建和云端管理和實(shí)施可根據(jù)情況靈活應(yīng)用。此外?；旌鲜酵{管理架構(gòu)還能夠根據(jù)未來的各種需求隨時(shí)擴(kuò)展。例如?？赏ㄟ^DLP功能加強(qiáng)網(wǎng)頁威脅管理，防范網(wǎng)絡(luò)進(jìn)入點(diǎn)的惡意代碼攻擊和網(wǎng)絡(luò)出口的數(shù)據(jù)泄漏。五混合式網(wǎng)頁威脅管理具有靈活而即時(shí)的安全優(yōu)勢(shì)ESG認(rèn)為混合式架構(gòu)可同時(shí)提供短期和長(zhǎng)期的優(yōu)勢(shì)，而且?guī)缀趿⒓匆娦?。混合式網(wǎng)絡(luò)安全架構(gòu)可提供這些優(yōu)勢(shì)的原因是：改善了遠(yuǎn)程工作者的安全性。根據(jù)ESG研究。遠(yuǎn)程辦公室的IT支持面臨諸多安全問題,包括網(wǎng)頁威脅管理（見圖3）。而且移動(dòng)工作者同樣有這些安全問題?；旌鲜骄W(wǎng)頁威脅管理架構(gòu)可提供簡(jiǎn)潔而有效的解決方案。因?yàn)樗鼫p少了部署新設(shè)備或一次性SaaS安全服務(wù)的需求。而且，首席信息安全官們可利用集中的IT安全技術(shù)和一流的網(wǎng)絡(luò)安全工具來實(shí)現(xiàn)地毯式覆蓋，無論員工的地理或網(wǎng)絡(luò)位置在哪。結(jié)果？即時(shí)的安全改善。直接解決了ESG研究報(bào)告中發(fā)現(xiàn)的一些問題。提供全局可見性和控制能力以迅速發(fā)現(xiàn)并解決問題。由于現(xiàn)在APT等網(wǎng)絡(luò)攻擊已經(jīng)非常成熟。一個(gè)設(shè)備受到攻擊就會(huì)造成嚴(yán)重的數(shù)據(jù)泄露。要解決這個(gè)風(fēng)險(xiǎn)就要對(duì)所有設(shè)備和活動(dòng)進(jìn)行監(jiān)控。由于混合式網(wǎng)頁威脅管理架構(gòu)能夠提供集中的命令與控制、策略管理和報(bào)告.首席信息安全官們可以了解并監(jiān)督所有設(shè)備以及在整個(gè)網(wǎng)絡(luò)中的安全防范活動(dòng)。這種可見性和控制能力可加快問題發(fā)現(xiàn)和解決的速度。創(chuàng)建一個(gè)云遷移路徑?；旌鲜骄W(wǎng)頁威脅管理架構(gòu)結(jié)合了企業(yè)內(nèi)部自建設(shè)備和云的優(yōu)勢(shì)。這可以提供全面的覆蓋范圍。但有些企業(yè)可能希望慢慢地將網(wǎng)絡(luò)和其他威脅管理工作都交給云端，特別是在云安全服務(wù)成熟之后?；旌鲜骄W(wǎng)頁威脅管理架構(gòu)提供了靈活的安全遷移路徑。首席信息安全官們可以方便地調(diào)整網(wǎng)絡(luò)設(shè)置、將網(wǎng)絡(luò)設(shè)備更換為云服務(wù)，并在云經(jīng)濟(jì)和安全技術(shù)成熟時(shí)利用這方面的優(yōu)勢(shì)。六更重要的事實(shí)云計(jì)算和SaaS通常表現(xiàn)為一對(duì)與傳統(tǒng)IT解決方案對(duì)立的選項(xiàng)一或者你自己做，或者你完