思科安全技术顾问吴清伟:数字化时代的企业安全防护探讨

  1. 云栖社区>
  2. 博客>
  3. 正文

思科安全技术顾问吴清伟:数字化时代的企业安全防护探讨

寒凝雪 2017-07-03 11:20:00 浏览1168
展开阅读全文

上海,中国的经济、金融、贸易、航运中心,一直以变革、创新引领着中国企业的发展。在“互联网+”浪潮下,上海企业首当其冲,这座城市,一直用信息化手段推动着企业的高速发展。2016年10月28日,企业网D1net携手上海CIO联盟共同举办的CIO沙龙活动在上海盛大举行,来自各行业的CIO共聚一堂,共同探讨各行业在互联网+实践方面的信息化实践,涵盖大数据实践、互联网风控等领域。

以下为:思科安全技术顾问吴清伟在上海CIO沙龙的演讲,题目是:《数字化时代的企业安全防护探讨》

主持人:就在上周,美国当地时间10月21日,一域名解析服务商Dyn遭受DDoS攻击,导致了美国大部分网站无法访问。调研显示,美国等发达国家对网络安全的投入占信息投入的20%以上,而我国不足2%,在如此严峻的大背景下,企业如何做好安全?下面有请思科安全技术顾问吴清伟,他给我们带来的演讲是数字化时代的安全防护探讨,谢谢。

吴清伟:大家下午好,今天和大家探讨一下就是数字化时代里企业如何去面对,在网络安全领域里思科有哪些思路?

大家可能会注意到,在数字化转型过程中有两个要点信息,一个是物联网建设会出现一个高潮时代,美国这次事件跟这个还真有紧密的联系,第二个,数字化经济过程中很多企业转型,包括把一些业务从线下搬到线上,把传统的手工方式转成自动化的处理方式,那带来的结果呢?毫无疑问,效率提高了,业务开展的成本降低了,但同时模式发生改变之后,很多新的攻击入口出现了。

美国这次攻击事件,跟以往的大规模的DDos攻击不太一样,因为发起的攻击设备,不是传统的PC终端,而利用的是IOT设备,换句话说物联网设备,比如现在我们城市里看到的各种摄像头,甚至家用路由器,IP打印机等等,这些设备成为攻击的肉鸡,这次是一个比较特别的情况,所以我们先谈一下这个事件的诱因。看起来就是说物联网IOT,我们叫Internet of Things,大家都在欢欣鼓舞地建设,但是安全问题似乎没有太重视。这个事件也给我们很多物联网行业的从业者提出一个警钟:IOT的安全问题是非常重要的。除了这个事件,我还想跟大家分享,近一年多时间里一直在发酵的一个事件,叫加密勒索软件。

先简单说一下这个事件的过程。它是一个很特别的恶意代码,这种恶意代码通过电脑终端感染之后,会把你的电脑文件加密,等你发现的时候文件就打不开了,那么这个时候,它会做一个信息提醒的方式,让这个使用者去缴纳赎金,缴纳赎金之后你才能获得解密的工具,完成解密。特别有意思的是为了防止追踪,它采用了比特币支付的方式,因为比特币没办法去把源头追踪出来,但是国内很多用户没有比特币账号,所以很多电子商务平台,就出现代付比特币的情况。

提到这个事件,我其实最惊讶的一个情况是,在我接触的用户当中, 95%的企业用户,都遇到过这种加密勒索软件的情况。很多人要么就系统重装了,要么就付钱了。这是我非常惊讶的一个问题,因为这意味着什么?第一个,我们的企业的用户安全意识没有到位;第二个,我们很多安全防护的措施解决方案,其实没有真正发挥作用。两个安全事件看到的一个趋势就是攻击的门槛越来越简单了。以加密勒索软件为例,它的攻击方式是在一个邮件里加一个附件,附件可能是一个木马程序或者恶意代码,使用者不小心点击运行了,就有可能造成加密。

从2011年开始,思科开始每年发布一个安全报告。思科2016年的安全报告,它针对我们刚刚提到的事件做了一个很好的归纳,有三点:第一点,网络攻击者的攻击手段越来越灵活,以前没有听说过勒索软件,现在有了。第二点,防御者就是使用者,现在没有特别好的方式去防御,像勒索软件这个事情,90%以上的用户都中招了,可见现在防护手段还没有找到一个特别好的方式。最后,如何去防御。思科提出来就是最重要的一点是的安全架构的设计,安全架构的设计是网络安全设计里边的一个关键点。

另一方面安全意识需要加强,用户选择产品,也面临复杂的环境,这些都是客观存在的,很多CIO也有切身的体会,现在,我想把思科安全防御的一些思路跟大家做一个分享,当然也希望大家能也给我们一些反馈,主要有三点:

第一点,在做安全防御中,强调全面的可视化;第二点,把安全防御作为一个重点;第三点,强调架构式的防御手段。

提到可见性,现在把可见性提到很高的一个层面,不管是各种安全厂商还是用户,都要求产品能够提供可见性。可见性具体来讲,包括什么呢?我们现在保护的是网络,网络里边可以看得见摸得着的,无非是几样东西,一个是客户端,客户端包括人员、设备。另一方面是服务器端,这两端我们要看到。除此之外,服务器端到客户端之间,可能有各种各样的访问行为,各种各样的应用程序,这些东西我们希望也能够看到,这是网络可见性的第一个层面。第二个层面,要能够看到网络中在这些终端应用人员的背后隐藏的安全漏洞。这个是至关重要的,因为所有的安全问题,最后都会把它归结到系统中产生的漏洞,或者叫系统中存在的漏洞被利用,所有的系统不管是软件硬件都有漏洞,我相信大家一定会承认我的这个讲法。如果没有漏洞,我们前面看到的IOT的事件、加密勒索软件的事件完全不会发生。如果我们能够尽最大可能地把漏洞限制在最小范围内,很多安全事件就可以避免了。当然漏洞是客观存在的,我们能做的就是尽可能减少这个漏洞给我们带来的伤害,所以可视化里边重要的一个方面,就是我们要能够看到存在的漏洞有哪些?一个方面从网络的维度,比如我们有一些安全产品,这是它的一个设备的界面,可以看到网络中有哪些主机操作系统,windows设备或者苹果设备,甚至还可以看到网络中有哪些应用。大家可能关心有没有国内的应用,其实很多社交的工具,聊天工具,或者网上的交易等等都可以看得到,这是思科设备现在已经能够呈现的。比如说我遇到网络阻塞的话,我可以看看,这个应用到底被哪个带宽,被哪个应用占用了。再有,从安全角度讲,网络中的安全漏洞有哪些,以及这些漏洞有没有被攻击者所利用?这个是我们以往很难做到的,但是现在我们已经有了一些技术手段,有一些实践,带来的效果也是非常不错的。像有一些攻击的源头,攻击的目标,都可以自动化地呈现出来,它对攻击的识别是自动化的。

另外还有一种情况,除了攻击行为以外,可能有一些看不见的。举个例子来说,可能大家听说过震网病毒,这是若干年前某两个大国之间发起的,在公共系统的网络战。那么震网病毒的发生过程是什么呢?就是内网的一台终端被感染了,然后它做为跳板,再去攻击其他的终端,最后攻击到网络的离心机,导致离心机报废。而这个行为是通过网络边界渗透进来,在内网之间。

从一个跳板,然后跳到另一台机器,最后达到攻击的目的。有人说这个APT攻击,高级可持续性威胁类型的攻击。而这种攻击,往往用传统的方式没法发现,但是我们也有一些手段,比如说让网络像传感器一样去感应,有没有异常的行为出现,这也是网络可视化的一个方面。

谈完了可视化,我们来看第二个关键点,关注威胁防御。现在很多网络设备都部署在用户的环境当中,比如防火墙、入侵检测、行为管理。大家说,难道我的设备不是关注威胁吗?其实这个理解是这样的,我们认为威胁和现有的大多数网络设备相比,有一点区别。很多安全设备都放在那儿,但是它往往是一个静态的工作模式,换句话说,就是它设好了一个规则,等待别人来攻击,但实际上,攻击者肯定不会按照它的这个设想去对它进行攻击或者入侵。往往利用新的漏洞,比如说零日漏洞,零日漏洞一旦出现,现有的系统还没有一个针对性的防护策略,设备放在那就形同虚设了。

现在强调的专注威胁有一个重要内容,用孙子兵法来解释,就是知己知彼,我要知道别人攻击我,用什么方式攻击我,了解之后才能有效地去防御。

这里边有一个数据,前两天我们有一个100天和13小时两个两个数值。100天什么概念呢?就是根据这个权威机构一个调查显示,说一个用户,他遭受到一次网络攻击之后,那么他花多长时间能够发现被攻击了呢?平均时间100天。这100天好像太长了,我们现在可以通过一些解决方案,架构式的防御把它缩短到13小时。你发现得越早,可能你遇到的损失就越小了。

国外有一家机构叫NSS实验室,这是 2016年8月份的一个测试结果,拿出来跟大家做一个简单的分享。它并不是去检测有多少攻击被拦掉了、发现了,而是说一旦有攻击发生,系统花了多长时间去把这个攻击检测出来。这里边我们用一个红框表示几个重点数据跟大家做一个分享。

第一列就是说,在遇到一次攻击的时候,在一分钟之内,发现这个攻击的比例有多少,这是一个横向的厂商比测,思科做的好像也不是很高67,但是如果横向比较的话这个就是最高值了。这是一分钟,还可以看到3分钟5分钟等等。实际上这里边能够反映出来一个问题,就是整个行业现在对安全的关注已经开始往这个方向转变了。

前面提到一个热点,说我们现在做了很多安全设备,但是为什么不安全呢?其实现在看安全的一个趋势转变,就是说,大家这个对安全的比拼,已经从前端转到后端。所谓前端就是实实在在的设备,一个盒子放在那儿,防火墙设备、入侵检测设备、或者其他的终端安全设备,前端设备的差距越来越小,性能、端口、密度这些差距都不大,无非是一个硬件的成本问题,但是后端可能显得至关重要了。也就是说,原有的前端设备,它提供的是一个静态的防护。但是,后端可以通过一些智能安全服务来提供动态的防护,比如说遇到零日攻击的时候,后端像智能中心,可以通过大数据的分析、全球的采集,第一时间找到针对这种理论工具的解决方案。然后,动态地把这个策略给你的设备推送下去。这样就变成了一个前端后端的结合,这是我们看到一个趋势,所以后端的强大与否、有效与否,其实是决定网络安全防御的一个关键点,思科这样一个后端的防务,叫做安全智能中心,英文名字叫Tartarus。

Tartarus的名字有一个背后的故事:古希腊有一个神叫Tartarus,他每天的任务,就是保卫城墙的安全,说白了就是跑圈,用最原始的方法围着这个城墙绕圈,然后各个城门,不断的检查从不停息,那看看哪个地方有这种攻击者的存在,所以这个名字用在这里也算是恰如其份。

靠单一的产品去做加密勒索软件防御可能是不现实的,在这边希望能够给大家介绍架构式防御。在边界,可以通过防火墙的动态策略,到了应用层面,邮件里边带有勒索软件的附件,那能不能识别,能不能过滤?那到了内网之后怎么办呢?这个加密勒索软件很有意思,你的电脑被植入的时候还不可怕,因为他要加密的时候一定要连接到C2服务器上去,然后下载一个密钥,对你加密之后把密钥删掉,这时候你没有密钥了,解密也不可以了。回到前面说你的电脑被植入这个勒索软件了,没关系,只要阻断它跟C2的通信,加密勒索的行为也不会发生了。那这意味着说可以通过内网的异常行为监测,把终端的异常行为阻断掉。

我有一张图给大家看一下,就是如何通过架构式的部署来实现整体的安全防护。这个图里边包括两大块内容,一块是边界,一块是内部。内网的防护, NaaS和NaaE。我们谈安全的时候一定会说,有没有安全设备?其实我们忽略了一个重要的点:现有的网络设备,其实同样可以帮助我们去获得一个安全的防护,那就是NaaS要讲的事情。那NaaE是什么呢?我可以把网络设备作为检测威胁的一个手段,那检测的同时,我能不能再用它做一些防护,在不需要人工干预的情况下,自动的做一个防护。

我这边有一张动态的图,可以给大家做一个演示。NaaS很简单,所有的网络都离不开交换机、路由器、防火墙这些设备,可以把这些设备作为一个探针点,把看到的网络行为信息吐出来,之后通过分析平台,把异常信息找出来。从某种程度它还有一个好处,就是做合规。金融行业里边经常会遇到合规需求,合规需求包括两块:一块是,从内网到外网的访问,还有一块是内网到内网,业内讲法就是南北流量和东西流量。南北流量方案已经有很多了,但是东西流量还不太成熟,而我们通过网络设备作为传感器,可以解决合规的问题,这是NaaS的另一个效果。

NaaE让网络平台实现动态的防护。还是回到刚才那个例子,假如有一个终端用户,被注入一个木马,之后它可能在网络里面就开始做一些探测、扫描,而这些事情靠人工方式去干预很困难。因为很难去定位终端、IP地址,这种情况下NaaE可以去把这种行为定位出来。比如一个不合规机器,去访问一些不该访问的资源,发现之后怎么办呢?直接把它从一个正常访问的区域隔离出来,隔离到它没有权限去访问资源的区域;可能用户被挂了一个木马程序,或者一个加密勒索软件,但是他自己不知道,系统分析的时候就可以会找到并隔离起来。这就是NaaE,通过网络平台来实现动态的防御。它也是我们最近一两年内与用户沟通的时候发现的,对用户帮助非常大而且用户非常感兴趣的一个架构式的解决方案。

谢谢大家。

本文转自d1net(转载)

网友评论

登录后评论
0/500
评论
寒凝雪
+ 关注