響應(yīng)時間縮短九成

那　罡　張昕楠

當今,一個網(wǎng)絡(luò)威脅的產(chǎn)生速度已經(jīng)縮短到兩秒鐘。美國Osterman Research《云端客戶端企業(yè)安全防護影響評估報告》顯示,在當今網(wǎng)絡(luò)環(huán)境下,一家擁有5000名員工的企業(yè),在已經(jīng)部署了傳統(tǒng)終端防護的情況下,一年內(nèi)依然會有2/3的端點被感染,企業(yè)會因此而損失250萬元的費用。與此同時,因為無法定位威脅的感染源頭,病毒會在企業(yè)網(wǎng)絡(luò)中不斷重復(fù)感染,導(dǎo)致企業(yè)的損失被不斷放大。

終端因為其儲存著大量敏感數(shù)據(jù),因而成為黑客和病毒制造者的攻擊目標。因為每個病毒碼被部署到1000臺終端至少需4小時,而終端直接面對企業(yè)的內(nèi)部員工,且難以管理,所以導(dǎo)致終端成為企業(yè)網(wǎng)絡(luò)中最脆弱的一環(huán)。雖然利用云安全技術(shù),對病毒的響應(yīng)時間縮短了九成。但是,我們?nèi)匀皇钟斜匾匦聦K端安全的價值進行判斷和思考。

思考

網(wǎng)關(guān)安全能否代替終端安全?

如果說云安全的不斷升溫顯示了信息安全領(lǐng)域正在技術(shù)上謀求變革,那么這背后所隱含的意義事實上更加引人關(guān)注。

在之前的很長一段時間里,網(wǎng)關(guān)安全都是一種受到推崇的防護模式。由于在網(wǎng)關(guān)處部署防御體系可以過濾大部分通信內(nèi)容,所以有大量的組織都將安全保護的重心集中于網(wǎng)關(guān)位置。

然而事實結(jié)果證明,過分依賴于網(wǎng)關(guān)防護而忽視了對組織內(nèi)部計算機節(jié)點的保護,導(dǎo)致的結(jié)果仍舊是較低的安全性。云安全所帶來的對技術(shù)和功能的改進令人欣喜,而其對終端安全乃至于對整個安全體系的補強,讓人看到了從核心層面變革安全防護的可能。

傳統(tǒng)安全體系的終端安全困局

在一些典型的安全案例中,組織雖然部署了防火墻、入侵檢測和VPN等安全保護措施,但是這些措施似乎只能防止外部威脅進入內(nèi)部網(wǎng)絡(luò),而對于信息存放失當、員工誤操作等內(nèi)部安全管理問題卻束手無策。

很多調(diào)查報告都顯示,全球范圍內(nèi)的企業(yè)員工在工作時間更容易進行具有安全風(fēng)險的計算機操作,諸如訪問可能存在威脅的網(wǎng)站、打開來源未知的電子郵件附件等等?？赡苁瞧髽I(yè)缺乏足夠嚴格和有效的安全管理制度,也可能是員工對非私有財產(chǎn)的保護意識不足,總之人們在上班狀態(tài)下似乎沒有對網(wǎng)絡(luò)安全問題給予正確的認識和足夠的重視。

美國《Network World》報道,當前的網(wǎng)絡(luò)訪問控制解決方案往往只評估終端的初始狀態(tài),一旦一個終端節(jié)點獲得安全系統(tǒng)的訪問許可,那么之后的操作將很少受到嚴格的監(jiān)控,這也體現(xiàn)出當前終端保護體系缺乏動態(tài)反應(yīng)能力的現(xiàn)狀。

正如趨勢科技全球高級副總裁暨大中華區(qū)總經(jīng)理張偉欽所指出的,如果安全威脅的入侵原因及位置缺乏足夠的能見度,那么信息技術(shù)部門就無法確定正確的解決辦法,也無法真正提供有效和及時的安全響應(yīng)服務(wù)。除了識別安全威脅存在誤區(qū)之外,傳統(tǒng)的安全管理體系也缺乏能夠有效對安全威脅進行預(yù)警和修補的工具。

賽門鐵克中國區(qū)技術(shù)支持部首席解決方案顧問林育民則表示,在發(fā)生安全事件的時候,信息技術(shù)部門往往需要耗費大量的時間去定位威脅源頭、識別威脅種類,進而制訂出處理方案并實施。從時間上來看,這往往都要滯后于威脅的傳播,經(jīng)常是所有終端都已經(jīng)受到波及之后信息技術(shù)部門才開始真正的處理工作。

云安全如何助力終端安全

事實上,在歷數(shù)云安全技術(shù)的諸多特點時會發(fā)現(xiàn),很多云安全特性都能夠為提升終端安全提供幫助。在安全組件嘗試發(fā)現(xiàn)終端以及內(nèi)部網(wǎng)絡(luò)中的安全威脅時,云安全體系可以提供更加及時有效的威脅識別能力。而利用云安全體系強大的關(guān)聯(lián)分析能力,也可以更好地發(fā)現(xiàn)安全威脅和定位威脅位置。

在新一代的云安全技術(shù)當中,領(lǐng)先的廠商都在嘗試植入一種新的特征碼管理機制,從而實現(xiàn)檢測引擎和特征碼的分離。通過云安全體系提供的通信方式,特征碼的存放和比對都可以放在云端進行,而將大量的特征碼更新發(fā)布到網(wǎng)絡(luò)中的每一臺終端將不再是保證安全性的必要條件。

在新一代的云安全網(wǎng)絡(luò)當中,大量的安全威脅檢測功能將從終端遷移至云端,而客戶端系統(tǒng)將只完成掃描等基本的安全功能。在實時防護過程中,客戶端不斷地與云服務(wù)器進行協(xié)作,從而減輕客戶端的負擔(dān),即讓終端用戶在盡量少地受到干擾的情況下,實現(xiàn)更好的安全防護。

以趨勢科技提出的云安全2.0為例,其多協(xié)議關(guān)聯(lián)分析技術(shù)可以在近百種常見協(xié)議中進行智能分析,從而追蹤到真正的受攻擊位置,為管理員解決安全問題提供真正的支持。一個真正成熟的云安全體系,安全威脅發(fā)現(xiàn)和響應(yīng)覆蓋了從網(wǎng)絡(luò)層到應(yīng)用層的各個層次,而防護陣線也貫穿了云端、網(wǎng)關(guān)、終端等多個不同的位置和區(qū)域。

云安全2.0的到來,勢必會加速云安全在體系架構(gòu)主流化進程上的速度。用戶應(yīng)該從現(xiàn)在就開始認真地思考自己組織的計算機終端是否已經(jīng)獲得了足夠的保護,云安全體系帶來的高管理效率和高ROI無疑會引起用戶的高度關(guān)注。

分析

遞增的網(wǎng)絡(luò)威脅與信息安全的出路

從供需角度來說,云安全技術(shù)的出現(xiàn),無疑是為了對抗層出不窮的新安全威脅而產(chǎn)生的一種必然結(jié)果。根據(jù)測算,2008年全球每小時出現(xiàn)大約800種新的安全威脅,在2009年,每小時出現(xiàn)的新安全威脅數(shù)量已經(jīng)達到1500種。按照這種發(fā)展速度,在最多不超過5年的時間里,每小時的新安全威脅產(chǎn)生量就將突破10000種。

高速的安全威脅增長態(tài)勢已經(jīng)成為整個安全世界的大背景,傳統(tǒng)的依靠人工分析惡意軟件特征的安全響應(yīng)體系,已經(jīng)完全無法滿足現(xiàn)在的安全防護需要。在這種前提下,擁有共享全球安全威脅信息優(yōu)點的云安全網(wǎng)絡(luò),就成為了信息安全領(lǐng)域的一個重要出路。

云安全的正確認知

單從各個廠商的宣傳資料來看,也許安全專家也難以給云安全下一個準確的定義。事實上,從技術(shù)角度定義云安全并不困難,但是實際映射到產(chǎn)品和運營層面,就可謂是“橫看成嶺側(cè)成峰,遠近高低各不同”了。這一方面體現(xiàn)出云安全是一個非常復(fù)雜的系統(tǒng),另外也說明不同的安全廠商對云安全存在著定位和投入上的不同。

有很多用戶將云安全理解為一種完全嶄新的安全模式,也有用戶將云安全理解為對傳統(tǒng)安全體系的升級。實際上這兩種理解都有可取之處,云安全更近似于云計算技術(shù)在安全領(lǐng)域的特定應(yīng)用,而其創(chuàng)新之處則更多地來自于用戶和運營等層面。

云安全體系可以令安全廠商更準確地了解全球安全威脅的變化態(tài)勢,同時也有助于廠商發(fā)現(xiàn)新的安全威脅。無論是國外廠商還是國內(nèi)廠商,真正在云安全領(lǐng)域有所投入的廠商,其采集威脅的速度和數(shù)量都呈現(xiàn)出幾何級數(shù)增長的態(tài)勢。趨勢科技自有的云服務(wù)器數(shù)量就達到數(shù)萬臺,而金山也在總部的辦公樓開辟了一層專門用于放置云安全系統(tǒng),這些在云安全領(lǐng)域投入重金的廠商掌握的病毒樣本數(shù)量早已達到千萬級。

更重要的是,擁有了海量的安全威脅數(shù)據(jù)之后,廠商就可以根據(jù)安全威脅情況動態(tài)地變更其云防護體系的工作狀態(tài)。類似趨勢科技的安全爆發(fā)防御體系,它就需要足夠數(shù)量的監(jiān)測點和統(tǒng)計數(shù)據(jù)作為支撐,也可以視為云安全最早的應(yīng)用嘗試之一。

從核心模式上來說,當前的云安全應(yīng)用主要側(cè)重于阻斷用戶訪問已經(jīng)被辨識的安全威脅和可能存在風(fēng)險的安全威脅,這主要源于云安全體系可以大幅度加快廠商對安全威脅的響應(yīng)速度。這其中比較容易引起誤解的一點是,云安全是否能夠更好地應(yīng)對未知安全威脅呢?從本質(zhì)上來講,云安全的主要改進在于能夠更好地、更快地響應(yīng)已知安全威脅。不過在一些特定條件下,云安全也可以對未知安全威脅防護提供幫助。

假設(shè)一個剛剛被放入互聯(lián)網(wǎng)的惡意軟件感染了第一臺計算機,這個惡意軟件對于這臺計算機是一個未知的安全威脅;如果該計算機將這個感染行為以及這個程序提交給了云安全網(wǎng)絡(luò),那么相比傳統(tǒng)模式而言,其他使用該安全云服務(wù)的計算機就有更大的機會避免被該程序感染。也就是說,云安全體系更多地是避免一個未知安全威脅所帶來的破壞,讓廠商和用戶能更快地發(fā)現(xiàn)新出現(xiàn)的安全威脅,而與未知威脅檢測技術(shù)無關(guān)。

云安全的選擇及路徑

當“云安全”作為一個名詞吸引了公眾的注意之后,所有的安全廠商都陸續(xù)宣布了對云安全的支持,這一幕看起來與UTM剛剛問世時何其相似。如何正確看待云安全的效果,如何選擇真正支持云安全的產(chǎn)品,這些問題需要選購安全產(chǎn)品的用戶認真對待。

就目前的情況來看,選擇一線廠商的產(chǎn)品所獲得的保障無疑要更強一些,而這并非只是源于品牌和信譽。對一個云安全體系來說,其投入規(guī)模和所擁有的用戶數(shù)量,相當于云的大小和密度,也決定了云的工作質(zhì)量。

第一代云安全技術(shù):海量采集應(yīng)對海量威脅

最開始被集成到安全產(chǎn)品中的云安全技術(shù),主要集中于將從終端客戶處收集到的信息返回到安全云端,同時將分析后的結(jié)果返回給終端客戶。這種作法的好處在于能夠利用云安全體系的巨大運算處理能力和共享的安全威脅信息,為終端用戶提供更及時、更有效的安全保護服務(wù)。在傳統(tǒng)的安全防護模式下,安全廠商通常依賴人工方式采集安全威脅信息。

由于高速互聯(lián)網(wǎng)連接的普及,一個新出現(xiàn)的安全威脅完全有能力在數(shù)個小時甚至不到一個小時之內(nèi)在全球網(wǎng)絡(luò)內(nèi)實現(xiàn)傳播,而舊有的安全響應(yīng)體系已經(jīng)漏洞百出。在應(yīng)用了云安全體系之后,廠商可以將威脅的采集工作更多地轉(zhuǎn)移到終端用戶的計算機上,根據(jù)其訪問行為和受感染情況來更準確地獲知安全威脅的產(chǎn)生和蔓延情況。

對于一些明顯可能造成破壞的安全操作,云安全系統(tǒng)會自主將其標示為安全威脅,這樣在其它計算機執(zhí)行相同或相似的操作時,就會獲得來自云端的警告,從而以接近實時的速度獲得對安全威脅的免疫。事實上,在一個運行良好的云安全體系當中,從一個新威脅被識別到被標識,所耗費的時間極短,甚至要少于終端計算機更新病毒特征碼以及完成特征碼加載的時間,這為安全產(chǎn)品提高響應(yīng)速度提供了很好的技術(shù)基礎(chǔ)。

第二代云安全技術(shù):更加全面徹底的云安全

事實上,第一代的云安全技術(shù)表現(xiàn)在產(chǎn)品功能上,更多的是以信息采集為主,真正能夠產(chǎn)生效果的安全功能寥寥無幾。在第二代的云安全技術(shù)應(yīng)用上,一個顯著的特征就是安全功能對云安全體系更充分、更廣泛的利用。目前已有多家主流的安全廠商都推出了具有云安全2.0技術(shù)特征的產(chǎn)品。以最先倡導(dǎo)云安全技術(shù)的趨勢科技來說,其最新版本的產(chǎn)品線都集成了被稱之為文件信譽的安全技術(shù)。

顧名思義,與在云端檢測Web地址安全性的Web信譽技術(shù)一樣,文件信譽技術(shù)旨在通過云安全體系判斷位于客戶端的文件是否包含惡意威脅。在傳統(tǒng)的特征碼識別技術(shù)中,通常是將文件內(nèi)容不同部分的Hash值與所檢測文件的Hash值進行比較,從而判別文件是否受到感染。

與傳統(tǒng)的將特征碼放置在客戶端的方式不同,基于云安全體系的文件信譽技術(shù),支持將特征等檢測所用的信息放置在云端(比如全球性的云安全網(wǎng)絡(luò)或局域網(wǎng)中的云安全服務(wù)器)。這樣做的顯見好處是,解決了從更新文件發(fā)布,到客戶端部署了更新這段時間間隔里,防護系統(tǒng)無法識別最新安全威脅的問題。

通過連接到云端服務(wù)器,終端計算機始終能獲得最新的防護。如果說第一代云安全技術(shù)提高了發(fā)現(xiàn)安全威脅的速度,那么第二代云安全技術(shù)則讓安全防護功能得以用接近實時的速度檢測和識別最新的安全威脅。

下一代云安全技術(shù):靈動的云

相信用不了多久,幾乎所有的安全功能都將順暢地接入云端,從而實現(xiàn)云級別的安全防護。解決了安全威脅響應(yīng)速度這一核心問題之后,對安全防護的質(zhì)量提升將是云安全的下一命題。

由于云安全體系所擁有的龐大的資源配給,用戶無疑會對其能夠在多大程度上替代人工分析和操作,抱有極大的興趣。事實上,這也是能否從本質(zhì)上提升安全產(chǎn)品保護能力的一個重要指標。

另一方面,終端用戶應(yīng)期待可以通過自己的產(chǎn)品界面,對安全云進行更多的操作和管理。以往對于客戶端防護產(chǎn)品的定制能力將轉(zhuǎn)移到云端,用戶可以決定哪些安全功能需要連入云端,而哪些功能必須使用本地的防護引擎。在3.0乃至4.0的云安全技術(shù)體系中,用戶將獲得更大限度的自由,安全保護的新時代也將隨之展開。

模擬真實環(huán)境 破解云安全謎團

為了更好地模擬管理中心、服務(wù)器客戶端、工作站客戶端等常見的安全對象,在本次評測過程中我們啟用了五臺計算機,其中一臺用作管理服務(wù)器,其它計算機作為終端計算機。

在網(wǎng)絡(luò)環(huán)境方面,我們使用一臺TP-Link的TL-R 860路由器作為連接設(shè)備,所有測試用計算機都以百兆以太網(wǎng)形式接入該設(shè)備。同時在該設(shè)備上還接入了2Mbps的網(wǎng)通寬帶,用以提供互聯(lián)網(wǎng)連接。在測試過程中,我們對產(chǎn)品的測試實現(xiàn)完全分離,也即完整地測試完一個產(chǎn)品之后,再測試另一個產(chǎn)品,以避免測試過程中相互干擾。

本次測評參測產(chǎn)品4款,包括趨勢科技OfficeScan10.0、熊貓AdminSecure Business。令我們感覺有些遺憾的是,由于另外兩家參測廠商即將發(fā)布新的產(chǎn)品版本,所以在本次評測中隱去其真實廠商及產(chǎn)品名稱。在這里,我們將在總體上對其進行適當?shù)狞c評,以讓讀者了解這些產(chǎn)品最新的發(fā)展狀況。文中以X和Y表示用來表示隱去其真實廠商的產(chǎn)品名稱。

在性能表現(xiàn)方面,產(chǎn)品安裝后的系統(tǒng)資源占用情況以及產(chǎn)品的運行速度都是關(guān)注的重點。通過比較安裝前后的磁盤空間占用情況,我們可以了解產(chǎn)品對硬盤的消耗。同時針對管理服務(wù)器、客戶端的處理器和內(nèi)存資源使用情況,測試工程師也給出了相應(yīng)的評價。檢測引擎的速度一直是評估安全產(chǎn)品性能的保留項目,本次評測過程中通過對一個包含4GB文件的系統(tǒng)內(nèi)分區(qū)進行掃描來完成該項測試。為了判斷產(chǎn)品的檢測引擎是否支持文件指紋機制,該項測試共進行兩次,每次測試之間計算機會重新啟動以令時間記錄更加精確。

惡意軟件檢測

我們選用了100個采集自實際應(yīng)用環(huán)境的惡意程序樣本。其中覆蓋了蠕蟲、木馬程序、腳本病毒、廣告軟件和黑客工具等多個常見的惡意軟件類別。另外,在測試樣本中也包含了一些未被驗證的、可能包含安全威脅的程序,用以驗證參測產(chǎn)品在檢測未知威脅方面的能力。在該項測試過程中,所有產(chǎn)品的檢測引擎的識別能力和識別范圍均開啟為最高,所有有助于提高檢測效果的選項也均被啟用。

防火墻測試

防火墻作為另一個核心的安全防護模塊,也設(shè)定了多個專門的測試項目?；贕RC網(wǎng)站提供的在線檢測工具Shields UP!,我們能夠了解一臺計算機的網(wǎng)絡(luò)端口在外網(wǎng)看起來是處于什么狀態(tài)。該檢測分析計算機的前1056個端口,并且提供計算機是否響應(yīng)Ping請求的附加測試結(jié)果。另外,我們通過一組工具來測試在終端計算機上利用各種方法建立外向連接時,防火墻組件的反應(yīng)行為是否正確。下面提供了這些測試工具的工作機制等相關(guān)描述。

? LeakTest:該工具在被測計算機上建立外向連接,如果防火墻組件發(fā)現(xiàn)了建立連接的行為,視為能夠識別基本的外向連接活動。

? FireHole:該工具調(diào)用系統(tǒng)中的缺省瀏覽器傳送數(shù)據(jù)到遠程主機,在計算機上建立具有攔截功能的DLL,從而偽裝瀏覽器進程進行數(shù)據(jù)發(fā)送。

? PCFlank:與FireHole工具類似,該工具檢驗一個防火墻信任的程序在調(diào)用另一個程序時,在工作方式上利用了Windows的OLE自動化機制。

? ZAbypass:該工具使用直接數(shù)據(jù)交換(DDE,Data Direct Exchange)技術(shù),以借助系統(tǒng)中的IE瀏覽器訪問互聯(lián)網(wǎng)服務(wù)器上的數(shù)據(jù)。

? Jumper:該工具會生成一個DLL文件,將其掛接到Explorer.exe之后關(guān)閉和重啟該程序,從而執(zhí)行該DLL。這項測試同時考察防火墻組件的防DLL注入能力以及對注冊表關(guān)鍵位置的保護能力。

? Ghost:通過修改瀏覽器進程的PID來欺騙防火墻組件,從而通過系統(tǒng)缺省瀏覽器向互聯(lián)網(wǎng)發(fā)送信息,主要用于測試防火墻是否能夠?qū)崿F(xiàn)進程級別的監(jiān)控。

云安全測試

針對當下最熱門的云安全技術(shù),在本次評測中也專設(shè)了多個測試項目。首先我們的工程師會驗證參測產(chǎn)品是否支持云安全網(wǎng)絡(luò),以及支持哪些云端安全功能。例如,通過訪問包含有惡意代碼的網(wǎng)站來判別參測產(chǎn)品是否支持云端Web威脅識別。另外,我們會嘗試使用產(chǎn)品的云端功能檢測前面所準備的100個惡意軟件樣本,比較其檢測率和處理能力相較使用傳統(tǒng)掃描引擎是否有所提高,從而驗證云安全機制對于產(chǎn)品效能的提高發(fā)揮的作用。管理

機制測試

管理能力是企業(yè)級安全產(chǎn)品的重中之重,通過對參測產(chǎn)品的終端管理、終端部署、權(quán)限管理、配置管理等諸多方面的能力進行考察和評估,我們可以獲得產(chǎn)品管理機制是否健壯有效的第一手證據(jù)。

與此同時,產(chǎn)品客戶端所具備的特性,特別是管理端對于客戶端的授權(quán)和控制,也是網(wǎng)絡(luò)版安全產(chǎn)品需要重點關(guān)注的問題。

易用性測試

在易用性方面,我們遵循軟件業(yè)內(nèi)常見的一些評估方式,進行體現(xiàn)物理操作負擔(dān)的肌肉事件測試,針對界面設(shè)計的屏幕利用率測試以及體現(xiàn)操作流程的記憶負擔(dān)測試等諸多測試項目。

結(jié)合針對界面元素排布、界面指引等方面的分析,最終形成對軟件易用性的綜合性評價。在易用性的測試過程中,主要面向參測產(chǎn)品的控管中心模塊,對于部署于服務(wù)器和工作站上的終端軟件不進行評估。

評測總結(jié)

在本次評測中,通過對比應(yīng)用云安全的產(chǎn)品和傳統(tǒng)形式的產(chǎn)品,我們發(fā)現(xiàn)云安全類型的產(chǎn)品帶給客戶端的負擔(dān)更小。趨勢科技已經(jīng)近乎徹底地實現(xiàn)了產(chǎn)品的云安全化,無論從基礎(chǔ)架構(gòu)還是從核心功能上看,云安全技術(shù)都在充分地發(fā)揮作用。而熊貓的云安全應(yīng)用,則更多地停留在后臺輔助服務(wù)方面,用戶從前端功能還無法明確了解云安全的具體應(yīng)用狀態(tài)。相對地,X和Y在云安全應(yīng)用領(lǐng)域也取得了相當?shù)某晒?并且擁有相當規(guī)模的云安全網(wǎng)絡(luò)支持,對其安全威脅的發(fā)現(xiàn)和采集提供了相當?shù)膸椭?/p>

通過評測,我們也發(fā)現(xiàn)目前的主流企業(yè)級安全產(chǎn)品并沒有走向完全趨同的發(fā)展道路?；诓煌氖袌隼斫夂筒煌目蛻羧∠?不同廠商在構(gòu)造自己的產(chǎn)品時,都體現(xiàn)出鮮明的功能和設(shè)計特點。

從產(chǎn)品的適用群體來看,趨勢科技是一個可以適應(yīng)任何用戶群體的產(chǎn)品,其表現(xiàn)相當均衡。而熊貓更適合具有系統(tǒng)平臺混雜、外網(wǎng)連接受限等特征的企業(yè),例如一些商業(yè)營業(yè)型的企業(yè)。

由于產(chǎn)品在各個方面都具有上佳表現(xiàn),而且集成了強大的2.0級別云安全技術(shù),趨勢科技毫無爭議地獲得了本次評測的“狀元”。無論是防護能力還是管理能力,趨勢科技都完全能滿足中小企業(yè)用戶的需要,我們強烈推薦用戶考慮應(yīng)用這款產(chǎn)品來保護自己的企業(yè)網(wǎng)絡(luò),其效率和安全強度的提升都相當可觀。