網(wǎng)絡(luò)安全架構(gòu)解決方案
1、 APT攻擊的特點和途徑
與傳統(tǒng)的網(wǎng)絡(luò)威脅對比，APT攻擊具有持續(xù)、終端性、信息收集性、針對性、未知性、隱蔽合法性、滲透性、長期潛伏與控制性等的特點。APT攻擊的以上特性決定了其可能采取一切可能的途徑進入到企業(yè)內(nèi)部。容易被APT所利用的因素包括：手機、平板電腦和USB外設(shè)等可以接入到企業(yè)內(nèi)部的網(wǎng)絡(luò)設(shè)備；可供外部訪問的網(wǎng)頁和應(yīng)用程序；與外界相通的企業(yè)內(nèi)部的郵件系統(tǒng)等。同時APT會不斷的試探防火墻和服務(wù)器等的系統(tǒng)漏洞，尋找突破口。
因此我們可以通過一些管理或者技術(shù)上的措施，來減輕這些外部風(fēng)險敞口的影響。但是更重要得是。企業(yè)必須建立有效得安全防護體系，才能有效得阻斷APT得進攻。
2、?傳統(tǒng)得三層企業(yè)網(wǎng)絡(luò)安全架構(gòu)及其弱點
傳統(tǒng)得企業(yè)網(wǎng)絡(luò)架構(gòu)往往采用“網(wǎng)關(guān)+服務(wù)器+PC終端”通過不同的區(qū)域劃分不同的vlan的三層得安全防護模式。這種模式下，安全防護模式分散再各個節(jié)點，如下圖所示：
與傳統(tǒng)的網(wǎng)絡(luò)威脅對比，APT攻擊具有持續(xù)、終端性、信息收集性、針對性、未知性、隱蔽合法性、滲透性、長期潛伏與控制性等的特點。APT攻擊的以上特性決定了其可能采取一切可能的途徑進入到企業(yè)內(nèi)部。容易被APT所利用的因素包括：手機、平板電腦和USB外設(shè)等可以接入到企業(yè)內(nèi)部的網(wǎng)絡(luò)設(shè)備；可供外部訪問的網(wǎng)頁和應(yīng)用程序；與外界相通的企業(yè)內(nèi)部的郵件系統(tǒng)等。同時APT會不斷的試探防火墻和服務(wù)器等的系統(tǒng)漏洞，尋找突破口。
因此我們可以通過一些管理或者技術(shù)上的措施，來減輕這些外部風(fēng)險敞口的影響。但是更重要得是。企業(yè)必須建立有效得安全防護體系，才能有效得阻斷APT得進攻。
2、?傳統(tǒng)得三層企業(yè)網(wǎng)絡(luò)安全架構(gòu)及其弱點
傳統(tǒng)得企業(yè)網(wǎng)絡(luò)架構(gòu)往往采用“網(wǎng)關(guān)+服務(wù)器+PC終端”通過不同的區(qū)域劃分不同的vlan的三層得安全防護模式。這種模式下，安全防護模式分散再各個節(jié)點，如下圖所示：
表面上看來，這種三層得結(jié)構(gòu)為企業(yè)提供了安全得防護，無論是再網(wǎng)絡(luò)入口位置、企業(yè)的關(guān)鍵服務(wù)器還是個人辦公PC終端，都有安全的保障，不同的區(qū)域不能直接互通。但再實際工作中，發(fā)現(xiàn)該方案還存在以下一些不足：
2.1、防護能力不足。這種架構(gòu)下，對病毒的發(fā)現(xiàn)通常是基于特征庫匹配的方式，其有效性與病毒庫的更新速度及病毒庫的樣本數(shù)準確性又很大的關(guān)系?；诓《镜姆雷o實際是一種被動的防護，只有當相應(yīng)的病毒樣本已經(jīng)被發(fā)現(xiàn)，并且經(jīng)過放病毒公司的處理后才又相應(yīng)的病毒特征碼去匹配。根據(jù)現(xiàn)在大多數(shù)防病毒公司的能力來看，這至少要15分鐘或者更長的實際，如果該病毒具有較大的破壞能力，則15分鐘足已產(chǎn)生很大的破壞效應(yīng)。
2.2、對APT等的攻擊模式無效。這種架構(gòu)對一般的病毒或威脅還可以應(yīng)對，但是對一些高級持續(xù)性威脅APT和針對性的攻擊通常都是無能為力的。因為每個企業(yè)收到的攻擊都是不一樣的，因此及時能夠很快的發(fā)布病毒樣本，這些病毒樣本對其他企業(yè)根本沒有用處，只會增加病毒庫的負擔(dān)。
2.3、缺乏整體性。企業(yè)安全就像防洪堤，它應(yīng)該是一個有機整體，任何一個部分的損壞都會導(dǎo)致企業(yè)的安全出現(xiàn)問題。而該三層網(wǎng)絡(luò)安全系統(tǒng)實際上還是3個系統(tǒng)，它們只是分布在不通的網(wǎng)絡(luò)位置，并沒有形成一個有機的整體，并且他們所監(jiān)控到的信息并不能再整個系統(tǒng)中共享，還是各自為政。例如，我們工作中經(jīng)常碰到這樣的情況，一臺PC終端遭遇到高級持續(xù)的（APT）攻擊或有針對性攻擊，可能因為使用者對這些內(nèi)容不清楚或者不知道，他無法判斷或根本不清楚他的計算機遭遇到了攻擊，而管理人員基本上要的等到大多數(shù)計算機遭遇到了攻擊才能得知并采取措施，可很多時候破壞已經(jīng)造成了損失。
3、防范APT攻擊的分層集中式網(wǎng)絡(luò)安全架構(gòu)
? ?如上所述，為了給企業(yè)提供一個有機統(tǒng)一的安全環(huán)境，更加有效的防范APT網(wǎng)絡(luò)攻擊，客戶在企業(yè)中部署如下圖所示的分層中式網(wǎng)絡(luò)安全架構(gòu)
2.1、防護能力不足。這種架構(gòu)下，對病毒的發(fā)現(xiàn)通常是基于特征庫匹配的方式，其有效性與病毒庫的更新速度及病毒庫的樣本數(shù)準確性又很大的關(guān)系?；诓《镜姆雷o實際是一種被動的防護，只有當相應(yīng)的病毒樣本已經(jīng)被發(fā)現(xiàn)，并且經(jīng)過放病毒公司的處理后才又相應(yīng)的病毒特征碼去匹配。根據(jù)現(xiàn)在大多數(shù)防病毒公司的能力來看，這至少要15分鐘或者更長的實際，如果該病毒具有較大的破壞能力，則15分鐘足已產(chǎn)生很大的破壞效應(yīng)。
2.2、對APT等的攻擊模式無效。這種架構(gòu)對一般的病毒或威脅還可以應(yīng)對，但是對一些高級持續(xù)性威脅APT和針對性的攻擊通常都是無能為力的。因為每個企業(yè)收到的攻擊都是不一樣的，因此及時能夠很快的發(fā)布病毒樣本，這些病毒樣本對其他企業(yè)根本沒有用處，只會增加病毒庫的負擔(dān)。
2.3、缺乏整體性。企業(yè)安全就像防洪堤，它應(yīng)該是一個有機整體，任何一個部分的損壞都會導(dǎo)致企業(yè)的安全出現(xiàn)問題。而該三層網(wǎng)絡(luò)安全系統(tǒng)實際上還是3個系統(tǒng)，它們只是分布在不通的網(wǎng)絡(luò)位置，并沒有形成一個有機的整體，并且他們所監(jiān)控到的信息并不能再整個系統(tǒng)中共享，還是各自為政。例如，我們工作中經(jīng)常碰到這樣的情況，一臺PC終端遭遇到高級持續(xù)的（APT）攻擊或有針對性攻擊，可能因為使用者對這些內(nèi)容不清楚或者不知道，他無法判斷或根本不清楚他的計算機遭遇到了攻擊，而管理人員基本上要的等到大多數(shù)計算機遭遇到了攻擊才能得知并采取措施，可很多時候破壞已經(jīng)造成了損失。
3、防范APT攻擊的分層集中式網(wǎng)絡(luò)安全架構(gòu)
? ?如上所述，為了給企業(yè)提供一個有機統(tǒng)一的安全環(huán)境，更加有效的防范APT網(wǎng)絡(luò)攻擊，客戶在企業(yè)中部署如下圖所示的分層中式網(wǎng)絡(luò)安全架構(gòu)
3.2、基于沙箱的虛擬分析技術(shù)。原有在三層安全防護模式對某些附件或可執(zhí)行文件系統(tǒng)可能造成的影響沒有一個準確的分析，傳統(tǒng)的方法通常是把這些文件隔離起來或者直接放過。如果該文件是一個正常的文件，隔離后，用戶需要額外的操作才能得到該文件；如果該文件是一個惡意文件，放過的話，也會對用戶的系統(tǒng)造成影響。因此，無論隔離還是放過，都會對用戶造成困擾。并且，用戶通常不具備足夠的知識來判斷文件是否是惡意的。那么引入這個基于沙箱虛擬分析技術(shù)，將會大大幫助用戶解決這個問題?？梢越滴募旁谏诚渲袌?zhí)行，看看它對系統(tǒng)的所有更改是否有害，無害則發(fā)過，如過有害則可以攔截該文件。沙箱是一個相對封閉的環(huán)境，并且采用的是虛擬化的技術(shù)，對整個網(wǎng)絡(luò)安全環(huán)境沒有影響。
3.3、一份統(tǒng)一的威脅名單。根據(jù)威脅檢測技術(shù)和虛擬化分析技術(shù)的結(jié)果，可以產(chǎn)生一個可疑的威脅名單，及時的反饋給部署的不同網(wǎng)絡(luò)位置的安全防護模塊，由這些網(wǎng)絡(luò)安全系統(tǒng)來決定如何進行防護。
3.4、生成本地病毒庫以防范高級持續(xù)性威脅（APT）和針對性攻擊。如前文所述，APT和針對性攻擊是傳統(tǒng)的全局病毒庫無能為力的，因為這些攻擊在其他地方根本沒有發(fā)生過，無法得到相應(yīng)的病毒樣本。該子系統(tǒng)根據(jù)威脅分析和虛擬分析的結(jié)果提供一個在本地生成病毒庫樣本的功能，從而不讓安全威脅的網(wǎng)絡(luò)中進一步擴散。
3.5、清晰統(tǒng)一的報表系統(tǒng)。該集中分析管控系統(tǒng)會根據(jù)不同的目的，提供不同的報表供IT安全管理人員查看。例如，攔截病毒數(shù)量、本地病毒庫更新狀態(tài)、已發(fā)現(xiàn)的潛在威脅、病毒來源等。它是一個統(tǒng)一的報表系統(tǒng)，省去了以前IT安全管理人員需要的每一個系統(tǒng)上查看報表，然后進行人工整合的工作，大大減少了日常的管理開銷。
4、綜上所述，這種分層集中式的網(wǎng)絡(luò)安全架構(gòu)已經(jīng)在一些企業(yè)級安全防護產(chǎn)品中體現(xiàn)，并已經(jīng)應(yīng)用到了政府、銀行、中大型企業(yè)等容易受APT攻擊威脅的組織和部門。通過采用文中所介紹的安全防護架構(gòu)，能夠降低APT攻擊的有效性，從而增加企事業(yè)單位信息安全防護能力，減少信息暴露和被竊取的風(fēng)險。
3.3、一份統(tǒng)一的威脅名單。根據(jù)威脅檢測技術(shù)和虛擬化分析技術(shù)的結(jié)果，可以產(chǎn)生一個可疑的威脅名單，及時的反饋給部署的不同網(wǎng)絡(luò)位置的安全防護模塊，由這些網(wǎng)絡(luò)安全系統(tǒng)來決定如何進行防護。
3.4、生成本地病毒庫以防范高級持續(xù)性威脅（APT）和針對性攻擊。如前文所述，APT和針對性攻擊是傳統(tǒng)的全局病毒庫無能為力的，因為這些攻擊在其他地方根本沒有發(fā)生過，無法得到相應(yīng)的病毒樣本。該子系統(tǒng)根據(jù)威脅分析和虛擬分析的結(jié)果提供一個在本地生成病毒庫樣本的功能，從而不讓安全威脅的網(wǎng)絡(luò)中進一步擴散。
3.5、清晰統(tǒng)一的報表系統(tǒng)。該集中分析管控系統(tǒng)會根據(jù)不同的目的，提供不同的報表供IT安全管理人員查看。例如，攔截病毒數(shù)量、本地病毒庫更新狀態(tài)、已發(fā)現(xiàn)的潛在威脅、病毒來源等。它是一個統(tǒng)一的報表系統(tǒng)，省去了以前IT安全管理人員需要的每一個系統(tǒng)上查看報表，然后進行人工整合的工作，大大減少了日常的管理開銷。
4、綜上所述，這種分層集中式的網(wǎng)絡(luò)安全架構(gòu)已經(jīng)在一些企業(yè)級安全防護產(chǎn)品中體現(xiàn)，并已經(jīng)應(yīng)用到了政府、銀行、中大型企業(yè)等容易受APT攻擊威脅的組織和部門。通過采用文中所介紹的安全防護架構(gòu)，能夠降低APT攻擊的有效性，從而增加企事業(yè)單位信息安全防護能力，減少信息暴露和被竊取的風(fēng)險。
公司地址：廈門市湖里區(qū)湖里大道28號聯(lián)盛大廈東側(cè)411
聯(lián)系電話：0592-2611675 ? ? ?
電子郵箱： hr@xmsanyi.com
廈門三繹信息科技有限公司 版權(quán)所有?2011-2023 |
