可視化網路安全技術“看透”駭客

　　“為什麼下一代防火牆防不住下一代威脅？”日前，在“2016可視化網路安全技術論壇”上，論壇承辦方、北京安博通科技股份有限公司CEO蘇長君的問題一拋出，立刻吸引了與會者的目光。

　　傳統的網路安全一般是基於策略或者是特徵，然而特徵並不等於行為，用戶可以使用合法的賬戶通過合法的行為而做一些非法的事情，例如已辭職員工使用其原來的賬戶通過VPN遠端登錄進公司內部的系統並盜取企業的業務敏感數據。

　　“下一代防火牆並不一定能防住下一代的威脅，只有通過對用戶行為的學習，並利用動態的策略來匹配用戶的行為，進行細粒度的響應，才能保證用戶業務的連續性。所以現在安博通要做的，正是通過策略、行為和流量的可視，利用動態的策略配置、用戶行為的分析和深度識別，以及敏捷響應來做到真正的‘看’透安全。”蘇長君説。

　　讓不懂安全的人看懂安全

　　“安全的本質就是風險控制體系，讓各個層面的人都可以理解、執行安全，讓每個使用網路的人有‘安全感’，我們的目標就是讓不懂安全的人看懂安全。”蘇長君説。

　　蘇長君表示，需要明確的是，可視化網路安全技術並非是把界面做好，也不是就搞個大螢幕做一些飛來飛去的炫圖，其最主要的是要整合各個層面的需求，實現動態的安全管理，在一個基於安全視角的平臺上根據需要疊加各種各樣的安全防禦技術。

　　以乘客進站為例，一般普通乘客關心的過程是買票、取票、進站、上車，但對於車站的安全管控就不是這麼簡單了。需要按照管理和業務需求，劃分不同的區域，在進站區域安裝檢測儀器，在站內區域和周邊各個不同位置安裝攝像頭，重點區域還要有民警手動核查身份證，更核心區域還要安放武警等等。

　　“網路安全也是這樣，而且網路訪問更為複雜。”蘇長君説，安全可視化的就是綜合安全域、安全策略、合規基線等一系列與安全相關的因素，整合各個不同視角的安全可視化平臺，在這個平臺上能夠根據安全的視角疊加網路探針、網路回溯、業務品質分析等功能，以滿足不同角度人對於安全的不同理解，從而對安全狀況有感知，動態做出快速響應，防止危害進一步擴大，並迅速彌補漏洞。

　　當前，傳統的網路安全還大部分停留在網路邊界防護、漏洞檢測和特徵補丁上，這些手段都相對孤立，相對靜態，而且只有專業人員看得懂，客戶對此很茫然。

　　前幾年，可視化技術也廣泛應用在網路設備的管理上，俗稱網管或運維平臺，但網管的主要目標是對網路拓撲管理和網路節點的運作，目的是網路和資産的管理與維護，不是安全的視角。“所以，在傳統的技術之上談安全動態自適應、高級威脅防禦、策略合規都是在浮沙築高臺，根本站不住腳。”蘇長君説。

　　可視化不光“看外表”還要“看內在”

　　讓不懂安全的人看懂安全，這是蘇長君心中的一個夢。但如何看？卻並非一句話能夠説清楚。

　　將網路安全可視化，背後必須要有相應的技術支撐，專業的網路分析、高性能的探針、海量存儲、大數據分析等，已經對客戶業務的深度理解和經驗的積累才能夠構建這樣的安全可視化系統。

　　蘇長君認為，網路安全是一套內外迴圈的“平衡”系統，需要我們將“內觀”和“外察”有機地結合。他將“安全策略基線”的可視，分解為“網路、流量、業務域和身份”這四方面，並主張通過“行為可視、異常可視以及路徑可視”，實現對網路安全狀況的“側寫”。

　　“可視化作為一種更加友好直觀的呈現手法與真正的可視或説可見性有著本質上的區別。”蘇長君説，所謂外行看熱鬧，內行看門道，“可視”的價值不在於華麗的“可視化”的外表，而在於其真正對整體網路安全態勢的認知和理解能力，能直觀的讓技術人員獲得怎樣的資訊，只是單純的數據流向以及攻擊IP等數據的可視，不能就將其完全等價為“安全的可視”。

　　蘇長君介紹，安博通打造的可視化網路安全技術架構，通過公網和內網部署的具有應用識別能力的探針，實現對數據中內容的提取；然後將端的數據通過安全通道傳到“雲”之後，在雲端從用戶的維度對諸如“行為、虛擬身份和訪問網站”等有價值資訊進行整合，並面對用戶的業務進行可視化的呈現；最終通過策略、流量、用戶和業務四個方面的可視，實現“可視”的安全。

　　“之前的可視，更多的是基於80、443等端口號和諸如DPI、post等特徵碼，但如果是加密流量，如果沒有特徵碼呢？所以我們更多的是基於用戶的行為，比如時間分佈、報文長度、到達次序等，再通過貝葉斯、決策樹等分類演算法進行分類，從而實現對用戶行為的分析以及學習。”蘇長君説。

　　可視化就像在網路上安了攝像頭

　　“可視化技術的核心理念是通過提高網路自身免疫力，讓業務系統兼具自適應的防禦和修復風險的能力，從而讓業務安全可視、可管、可控。”蘇長君説，就像人體免疫系統中涉及不計其數的細胞、特殊物質及器官之間的高度紛繁複雜的相互作用，是人體隨時處於戰備狀態，一旦有病菌侵入身體，就會迅速發現並將其驅逐出去。

　　此前，蘇長君曾私下和一些從事網路黑色産業的團隊做過交流。他們認為這個可視化體系就像在網路各個位置安全裝了攝像頭，讓駭客的潛伏路徑更容易被發現，其網路內部的安全弱點也更容易暴露，而且入侵事後也更容易被追溯和取證。

　　中國工程院院士倪光南表示，資訊安全必須自主可控，自主可控時，資訊安全容易治理，産品和服務一般不存在惡意後門，並能不斷改進或修補漏洞。因此，我國必須推進國産化戰略，在對網路安全起重大作用的資訊基礎設施和資訊關鍵核心技術等方面，實行國産化替代。無疑，可視化安全領域是其中一個重要方面。

　　———— 延伸閱讀 ————

　　網路安全亟鬚髮現攻擊看見威脅

　　網路上製造威脅，進行攻擊的人總希望自己永遠不會被發現，安全防禦的一方總是希望能夠透視整個網路，明察秋毫，及時發現與抵禦乃至消滅威脅的發生。

　　“因此，我們所面臨的所有網路攻擊都是隱藏的，未知的，不想讓人發現的。而發現攻擊，看見威脅，正是有效防護網路安全的基礎，隱匿與發現是網路攻擊與安全防禦之間永恒的較量。”公安部資訊安全等級保護評估中心主任張宇翔説。

　　張宇翔認為，如何見，見什麼？是網路安全所要解決的問題。沒有核心技術的網路安全其實好比在別人的墻基上砌房子，而實際情況更糟糕，好像是在別人的院子裏蓋房子，你的一舉一動一言一行，昭昭然盡收他人眼底。

　　“隨著新的攻擊方式和手段出現，攻擊常常混雜在常規的流量中，從外及內，防不勝防。發現與看見的安全能力需求迫在眉睫。”張宇翔説。

　　在蘇長君看來，可視化網路安全技術根本在於客戶的需求。“有賊我知道，但抓出來一個看看”，這是客戶經常抱怨的，往往是買了一堆安全設備，可是安全事件經常發生，出了安全事件什麼也找不到，其原因就是客戶沒有一個基於安全視角的可視化網路平臺。

　　“再就是對國際網路安全趨勢的把握。”蘇長君説，在2016年網路安全RSA大會上，業界一致認為單一的靜態的安全加固技術不能解決問題，需要構建一套安全自適應防禦體系，而可視化技術正是這個體系中的關鍵點之一。

免責聲明：中國網財經轉載此文目的在於傳遞更多資訊，不代表本網的觀點和立場。文章內容僅供參考，不構成投資建議。投資者據此操作，風險自擔。