转载

青藤云安全张福:云安全落地最需要的是自适应

本文是 WOT2016互联网运维与开发者大会 的现场干货,新一届主题为 WOT2016企业安全技术峰会 将在2016年6月24日-25日于北京珠三角JW万豪酒店隆重召开!

云时代的有哪些新挑战?有哪些老问题?企业对云安全的真实需求是什么?针对这些问题,在WOT2016互联网运维与开发者大会的运维安全专场中,青藤云安全创始人张福在主题为《面向未来的自适应安全架构》的精彩演讲进行了诠释,并展示了青藤的解决方案——自适应安全架构。他表示:“就像云迁移是一个递进构成,云安全落地最需要的是自适应。”

【嘉宾简介】

青藤云安全张福:云安全落地最需要的是自适应

张福,青藤创始人,自初中起张福就是安全攻防技术的爱好者、研究者,大学毕业后历任盛大技术总监,MochiMedia中国CTO、昆仑万维游戏和移动互联网事业部技术负责人,长期结合互联网业务和产品,对企业安全需求有深入的理解和实践。

多年来,张福一直在企业内部做安全相关工作,创业后通过与多位企业运维负责人的沟通,大家都认为企业的安全很难做。因为现在在企业内部没有自己的安全架构,而且资源和安全人员也很匮乏。在企业内部做安全,缺乏人才,整个IT技术设施的架构管理不是很好。

云计算时代的新挑战

云计算时代的新挑战是什么呢?张福表示,主要有两大挑战:

第一,T环境动态变化带来的挑战。随着云计算的兴起普及,网络边界越来越模糊,业务变得越来越动态。比如:以前部署几千台机器上的应用,可能需要规划很久,然后逐步去部署。但是现在云计算时代,部署非常的快,在短时间内即可把整个都换一遍。这种高动态性,以及越来越复杂的软件架构,使得安全变得越来越难做。

第二,对于行业来说,黑客攻击日益隐蔽、专业。黑客攻击越来越活跃,黑客攻击越来越偏向商业化。早期的黑客可能仅仅是炫耀自己的技能,而现在的很多黑客要的是实际的经济利益。而且,黑客赚的钱远比一个安全从业者赚的要多。在黑客的世界里,黑客既能够赚钱,有很拽,而安全从业者又苦逼,又不被重视,赚钱还少。这就导致了一家企业的安全难以做好,无论这家企业是大公司还是小公司。即使公司非常有钱,在安全上投入很大,但是也未必能够把安全做好,因为最大的问题在于人员的匮乏,而且缺乏一种好的理念和技术做事情。

企业对云安全的真实需求是什么?

通过对多个企业的调研,张福发现谈到对安全的想法,企业搞不清楚是老问题还是新问题,企业的想法很简单,就是需要一种方法,能够把新老问题都解决,彻底解决企业的需求。也就是,企业需要跨越式一举解决新老问题,既立足于解决当前需求,又能提供适应业务变化,面向未来,可扩展升级。

云安全落地最需要的是自适应

索尼《刺杀金正恩》等安全事件的发生,以及军工、金融企业遭遇到非常严重的定向攻击,给这些企业带来了很大损失。因此,整个行业开始反思,安全究竟哪里做的不好?其实并不是安全的产品做的不好,而是整个安全的体系在过去是有缺陷的。为什么这么说呢?是因为过去的安全,过于强调于防御。企业以为购买了防火墙等安全设备,就可以防住一切攻击。而安全厂商仅仅是满足客户的需求。现在企业终于意识到将去太多的投入或太多的期望都放在防御上,是错误的。因为对于黑客来讲,你的防御措施只能挡住一部分已知的攻击,有大量的攻击或者新的方法是你现有的防御体系挡不住的。所以如果假设一家企业不能挡住所有的攻击,那他应该怎么办呢?假设黑客如果成功攻击了一家企业,你能在第一时间发现并且采取快速的有效的处理,其实他也不会遭遇很大的损失。尽管防不住,但是能够第一时间发现,其实损失还是能够控制在很小的范围内的。所以这就是自适应安全的第二个象限,叫监测。因为监测的能力,使得我防不住,但是我能够即使处理。所以在近几年,就是美国或者全球的安全市场上,监测能力是被大家尤其强调的。做好防御和监测体系是不是就没问题了呢?其实也不是不能的。其实我们可以想像一下,比如说公司里管理的服务器,有一台突然产生了报警,他告诉你监测到了黑客活动的迹象,接下来你会怎么办?你肯定心里很紧张,但是有三个东西你一定会想了解。第一个问题,企业的防御很强,监测也到位,黑客是怎么进来的呢?因为他穿透了你的防御体系,而你的监测只能知道他存在,但是你不知道他是怎么存在的。第二个问题,黑客在个业务系统范围里到底干了些什么,这也是不知道的。第三个,除了已发现的,他究竟还潜伏在了哪些地方。这三个问题回答不了其实对于一家企业来讲是致命的。

青藤云安全张福:云安全落地最需要的是自适应

所以对于一家大企业来讲,他一定想把这个东西搞清楚。所以整个大数据,在安全领域的应用,主要是集中在这个方向。这就需要自适应安全的最重要的能力,就是做回溯分析。通过回溯分析了解黑客是怎么进来的,做了什么,干了什么,将整个场景还原,然后反过来加强企业的防御和监测体系。所以这样就使得安全成了一个闭环,它不再是一个孤立的东西,而是一个可以持续改进的东西。

假设青藤尽可能去建立防御体系,发现被穿透的后立刻做分析,从而再改进企业的防御和监测体系。当这个闭环形成后,一家企业安全的系统,它就不是一个死的东西了,而是一个有生命力、有活力的东西,它会一直跟随你的变化而不停的演进。那这个系统的核心是什么?是人,正是由于人的持续对业务的监控和分析,使得这个体系是活跃的。所以在未来,大家看安全的时候,一定会发现人在安全里面是不可替代的,在最新的安全体系里面,人的作用是更加重要的。所以以人为核心的持续监控和分析,来驱动这套体系,就形成了自适应安全。

然而在一家企业内部,这样的一个循环迭代,这种改进是很慢的。因为第一,你必须得发现你防不住的攻击才能去改进它,但是如果这种攻击本身就是发现不了的,那你也没有办法去改进。所以就有了第四象限,就叫威胁联动。现在讲的比较活的威胁情报,其实是放在第四象限的。为什么会有这个东西呢?就是假设如果能够把千千万万的企业联结在一起,一家企业产生的问题能够进行有效的分析之后,然后同步给其他企业,那我作为其他企业来讲,并没有被黑客攻击,但是我能够知道这种黑客攻击的方法,在我的业务系统里面,是不是能够绕开我的防御系统,是不是能够逃避我的监测能力?所以我就能够有针对性的在我自己体系内去修改,去加强我的防御和监测。所以使得这个圈就不再是每家公司孤立的转,而是整个行业的公司,有一家在转这一个圈的时候,其他的企业也跟着转一圈,这样对于每家企业来讲安全体系的进化就会变得非常快速,而且能够很好的跟进最新的情况。所以这个就是第四象限,那防御、监测、回溯、分析和威胁联动,就构成了自适应的安全体系,它的核心就是人的持续监控和分析。

自2014年6月Gartner提出这个体系后,整个安全行业特别是美国的和以色列的,都在往这个体系上走。如果大家会硅谷看一下的话,就会发现各个公司都在做自适应安全。在未来越来越动态和复杂的环境下,如何把安全做好,如何抵御哪怕是最专业的黑客的攻击,设计这个自适应的安全体系就是为了解决这个问题。

自适应安全体系

因为自适应安全的体系,在国外是由众多硬件构成的,但是由硬件构成的体系有一个问题。第一,各个厂商的设备之间没法很好的做沟通协作。第二,它的成本也会非常的高。第三,即便你有很多产品来构成这个体系,但其实还是需要去做一个管理系统的,就是把这些零散的产品能够整合在一起,变成一个统一的、完整的东西,所以在国外虽然自适应安全提出来之后,大家都看到是一个未来的方向,但是事实上他的落地是非常慢的,可能就是真的需要比如说五年到十年的时间,才能慢慢落地,但是在中国情况不一样。因为中国的安全厂商数量其实也比较少,细分也没那么高,相比美国来讲,中国安全的行业,还是一个比较狭窄,并且就是比较传统和保守的行业。

青藤云安全张福:云安全落地最需要的是自适应

所以,构建这个体系时青藤云安全选择从底层做起,先做了一个最基本的架构,这个架构是一个软件的架构,它是由三种Agent加sever构成的。这三种Agent,第一种是需要装在每台服务器上的。它可以装在虚拟机里面,也可以装在物理机,可以装在阿里云上,也可以装在UCloud和AWS上,所以它是跟基础架构无关的。第二种Agent,能够把任意一台虚拟机或者物理机变成一个流量分析的设备,只要你把流量丢给它,它就能够从流量中分析出东西来。那这两个东西最大的特点是什么呢?就是它是相互联动和配合的,它是一个整体,而不是零散的东西,而且它们干的事情跟传统的安全IPS、IDS、防火墙都是截然不同的。第三个Agent是一个分布式的外部系统。它能够站在外部来看待问题,所以这三种Agent其实代表了看待问题的三个角度,第一个角度就是一家企业内部的角度,因为在每台机器上都有Agent,所以它能够像人一样的站在内部来看待问题。第二个角度就是站在网络和边界的角度,也就是站在业务内部和业务外部的边界处,来感知你很多的信息。第三个角度,就是站在一个独立第三方的角度,就是作为一个独立第三方,我是怎么来看待这些资产和问题的?所以这三种角度,就带来了一个非常完整的视角。

原文  http://netsecurity.51cto.com/art/201606/512900.htm
正文到此结束
Loading...