應(yīng)用“灰色地帶”如何談安全看NGFW可視化
筆者在上篇文章《灰色區(qū)域不能成為安全的“法外之地”》一文中已經(jīng)詳細(xì)闡述關(guān)于應(yīng)用層灰色內(nèi)容危害性，并從宏觀角度提供三點(diǎn)建議作為解決之道。本文，筆者將從可視化這個功能角度詳細(xì)講解其如何應(yīng)對灰色地帶安全問題。
應(yīng)用“灰色地帶”隨著各種互聯(lián)網(wǎng)的快速發(fā)展也呈幾何級增長，然而單純黑白名單控制策略已經(jīng)力不從心。為解決這一難題， NGFW引入了風(fēng)險(xiǎn)的視角，以關(guān)聯(lián)分析等技術(shù)，通過可視化工具將灰色地帶中不確定風(fēng)險(xiǎn)告知用戶，讓用戶參與決策，減少潛在隱藏風(fēng)險(xiǎn)給用戶帶來的危害。
那么何為可視化，可視化本質(zhì)是指通過人參與管理與和決策，處理風(fēng)險(xiǎn)減緩(預(yù)防發(fā)生)和風(fēng)險(xiǎn)應(yīng)急(已經(jīng)發(fā)生)的事情。這里風(fēng)險(xiǎn)減緩是指通過行動和付出成本主動減緩某個風(fēng)險(xiǎn)的出現(xiàn)，而風(fēng)險(xiǎn)應(yīng)急是指通過行動和付出成本用于某個已出現(xiàn)的風(fēng)險(xiǎn)上。NGFW可視化是如何解決應(yīng)用“灰色地帶”安全問題呢?
通過“精細(xì)化的應(yīng)用識別和內(nèi)容管控”縮小應(yīng)用入口是可視化的前提保障
當(dāng)下很多應(yīng)用都是建立在HTTP等基礎(chǔ)協(xié)議之上，通過跳變端口，SLL加密等方式隱藏網(wǎng)絡(luò)流量中的內(nèi)容?；诙丝诘膮f(xié)議識別時(shí)代已經(jīng)過去。當(dāng)管理者看到一堆基于地址、協(xié)議、端口的流量日志時(shí)，根本無法看清網(wǎng)絡(luò)中流量，更無法洞悉數(shù)據(jù)的內(nèi)容，而安全事件往往就在這不經(jīng)意間發(fā)生了。
筆者在《灰色區(qū)域不能成為安全的法外之地》一文中曾建議：禁止企業(yè)中不必要應(yīng)用——從源頭縮減“灰色區(qū)域”。那么在這個應(yīng)用爆炸式發(fā)展的大背景下，IP地址不等于用戶、協(xié)議端口也早已不是應(yīng)用的代名詞，如何縮減應(yīng)用入口呢?
NGFW引入了風(fēng)險(xiǎn)視角思維，對于無法做出確切判斷的“灰色內(nèi)容”，對其做一個概率性質(zhì)和威脅性質(zhì)的判斷，并嘗試為其進(jìn)行應(yīng)用風(fēng)險(xiǎn)打分。這就需要NGFW能夠自動識別出應(yīng)用和IP所對應(yīng)用戶信息，而不僅僅是一堆IP地址和協(xié)議端口。這就是筆者所強(qiáng)調(diào)通過精細(xì)化應(yīng)用識別能力，以可視化方式最大程度縮減入口，減少需要用戶參與決策數(shù)量以及決策難度。精細(xì)化應(yīng)用識別是可視化前提保障，讓用戶能夠看得清應(yīng)用中人、內(nèi)容、應(yīng)用、位置等基本要素，而不是輸出一堆單調(diào)、重復(fù)、難懂的日志報(bào)表，幫助用戶縮減應(yīng)用入口。
關(guān)聯(lián)分析是可視化應(yīng)對高危風(fēng)險(xiǎn)的關(guān)鍵能力
對于一些高危風(fēng)險(xiǎn)應(yīng)用，采取重點(diǎn)檢測措施，進(jìn)行細(xì)粒度分析處理。例如，應(yīng)用層混合式攻擊成為當(dāng)今攻擊的一個大趨勢，僅一次攻擊事件就可能會觸發(fā)AV、IPS等多個安全模塊的告警。攻擊可能會透過不同的媒介及管道，進(jìn)行“陸?？铡甭?lián)合多點(diǎn)大進(jìn)擊，例如它可能一方面通過垃圾郵件傳播，一方面在網(wǎng)上掃描并寄生在有弱點(diǎn)的主機(jī)上，另一方面卻在網(wǎng)絡(luò)上偽裝成可供人們下載的軟件等，誘使大家中招。面對這樣混合式攻擊，僅僅通過某一個安全模塊日志、報(bào)警，往往很難確認(rèn)是否要Deny這個應(yīng)用。這就要求NGFW除了能夠看清人、內(nèi)容、應(yīng)用，還要能夠?qū)⒎稚⒃诓煌踩K上看似割裂的安全事件進(jìn)行多維度的關(guān)聯(lián)分析，幫助管理者從單一的安全事件了解攻擊的完整過程。為此NGFW需要具備強(qiáng)大的模塊間安全協(xié)同能力和威脅情報(bào)聚合能力，讓用戶無需進(jìn)行人工挖掘和分析即可全面掌握威脅全貌。目前主流NGFW廠商都是采取一體化引擎架構(gòu)，數(shù)據(jù)包經(jīng)過一次解碼，一次性匹配用戶ID、應(yīng)用ID、內(nèi)容ID，最終將匹配結(jié)果同步至安全策略引擎，決定放行或阻斷，這是深度集成各安全功能的體現(xiàn)，而關(guān)聯(lián)分析正是深度集成一體化威脅防護(hù)體系的基石。
外部智能是可視化終極大招
可視化設(shè)計(jì)初衷是為了應(yīng)對應(yīng)用中包含大量不確定灰色內(nèi)容，旨在通過可視化形式，提供直觀明了的信息，讓用戶參與進(jìn)來決策，為優(yōu)化策略提供技術(shù)支撐。但是這與傳統(tǒng)網(wǎng)絡(luò)安全設(shè)備完全不同，傳統(tǒng)設(shè)備大多簡單以日志、報(bào)表，IP、連接、帶寬為維度，那樣縱使統(tǒng)計(jì)全面、數(shù)據(jù)充分，但仍然很難幫助網(wǎng)絡(luò)管理者了解網(wǎng)絡(luò)的變化趨勢。在網(wǎng)絡(luò)攻擊日趨頻繁的今天，這就要求NGFW可視化界面不但要直觀的呈現(xiàn)全面的統(tǒng)計(jì)信息，還要具備一定的智能分析能力，幫助網(wǎng)絡(luò)管理者清楚的了解網(wǎng)絡(luò)的變化，從而定位可疑行為以預(yù)知風(fēng)險(xiǎn)。NGFW通過與外部威脅情報(bào)庫聯(lián)動的能力，利用大數(shù)據(jù)分析技術(shù)，看清威脅特征庫中并未收錄的未知威脅。因此，NGFW的可視化能力應(yīng)具備一定的智能分析能力，能夠幫助管理者定位可疑行為以預(yù)測風(fēng)險(xiǎn)。外部智能讓可視化效果最大化，某種程度上可以實(shí)現(xiàn)“預(yù)測未來”，做出判斷，不斷優(yōu)化當(dāng)前安全策略。
寫在最后：
由于應(yīng)用環(huán)境并非一成不變，所以我們要求下一代防火墻要有極強(qiáng)可視化能力，要有風(fēng)險(xiǎn)視角，要有分析能力。目的就是為了在人工判斷的基礎(chǔ)上動態(tài)的調(diào)優(yōu)策略。NGFW引入風(fēng)險(xiǎn)的視角，以關(guān)聯(lián)分析等技術(shù)，通過可視化這樣工具將灰色空間中的不確認(rèn)的威脅告知用戶，讓用戶參與決策?？偨Y(jié)起來一句話：可視化本質(zhì)是指通過人參與管理與和決策，處理風(fēng)險(xiǎn)減緩(預(yù)防發(fā)生)和風(fēng)險(xiǎn)應(yīng)急(已經(jīng)發(fā)生)的事情。
關(guān)注我們
