现代攻击“秒杀”传统安防 工控安全维护如何突破

　　据CNCERT统计，仅2014年，中国就有1108万台主机感染成僵尸主机，这些僵尸主机结合起来的能量犹如原子弹一样，足以摧毁任何一个目标网络。

　　那么，为什么网络安全问题变得如此突出?随着时代的发展，在网络安全维护上应该做什么样的变革?

　　传统安防已不适应现代攻击

　　2015年的网络江湖依然不平静。2月27日，主营安防产品的海康威视的生产监控设备被曝严重的安全隐患，部分设备已被境外IP地址控制。4月22日，重庆、上海、山西、沈阳、贵州、河南等超30个省市卫生和社保系统出现大量高危漏洞，数千万用户的社保信息可能因此被泄露。5月21日，有专业级别的网友披露中国人寿广东分公司系统存在高危漏洞，10万客户信息存在随时大面积泄露的可能性。

　　纵观近十几年来的网络世界，网络安全建设似乎陷入了一个怪圈：国内安全厂商如雨后春笋般涌现并崛起，二十几大类数百种安全产品覆盖面不可谓不全，可网络依然很脆弱，安全事件仍然层出不穷，为什么会出现这么多的问题?

　　行业大咖宁家骏认为，问题在于传统的安全防护体系框架上。他介绍，传统安防体系有两个特点：一是基于边界的防护，每个边界都隔离出一个相对独立的军事区域，防御的中心任务就是保障边界牢不可破;其次是基于已知特征的策略防护，假设所有的威胁都是已知的，在事前就可以通过预制的策略进行控制。

　　“简而言之，传统安全实际上是基于静态、被动、防御的作战思维。随着网络的发展，网络攻击也与时俱进发生了新的变化。首先，随着移动互联网、BYOD、虚拟化等技术的发展，传统意义的边界已经不复存在;其次，攻击不再是秀肌肉炫耀式的攻击，更多的是以政治、经济、军事等为目的的有组织的针对性攻击，攻击中越来越多的采用0—day等未知威胁、高级威胁。显然，传统网络安全防护体系已无法适应这一变化。”宁家骏说。

　　转变思路变防御为对抗

　　网康慧眼云产品负责人周永刚介绍，通过对历史大量攻击案例的分析，可以将攻击大致分为三个阶段：遭受入侵，内部渗透，信息窃取。

　　“每一次的入侵渗透，都会有目标侦测、攻击工具使用、漏洞利用、恶意软件植入等多个环节。由于0—day等未知威胁的利用，初始入侵的成功率越来越高，一旦入侵成功后，入侵者将找到一个支撑点，通过这个支撑点再逐渐进行内部渗透，继续寻找其他支撑点，直至找到攻击目标，然后进行数据的收集和窃取。在此过程中，一个个的支撑点成为攻击者一层层的跳板，最终得以成功。因此发现这些支撑点是关键。”周永刚说，“我们发现，这些支撑点在渗透过程中，将产生不少异常行为，通过对这些异常行为的分析，就可以发现这些支撑点，从而找到安全隐患，成为解决问题的关键。”

　　最近，基于下一代网络安全架构和大数据驱动的威胁情报方法论，网康推出下一代网络威胁感知系统——慧眼云。一方面是通过云和大数据技术构建了威胁情报系统，另一方面是利用异常行为识别、机器学习等技术，主动、快速、持续的发现网络中存在的问题主机，也就是失陷主机。找到了这些失陷主机，再通过大数据技术进行攻击溯源，还原失陷全过程，就可以在没有明显行为特征、没有检测规则的情况下准确锁定网络中的风险点或风险链条，从而将安全隐患消灭在萌芽状态。

　　构建主动安防框架系统

　　网络入侵与防守实际上就是一场魔与道的竞赛，魔出于利益驱动总是能领跑一步，未知威胁永远存在，要赢得这场魔道之争，道就必须要做到领先——彻底打破旧的安防体系，从根本上进行突破。

　　宁家骏说：“这里有两个关键词，分别是‘数据’和‘跟踪’。数据是预测的基础，只有获得足够的数据源才有可能进行多维度的分析;跟踪是数据的组织和处理方式，不仅仅是简单的时间维度上的数据组织和归类，而且是全方位、多角度对海量数据进行深度挖掘、关联和聚合，最终呈现出的结果是必然性更高的预测——威胁情报。”

　　周永刚介绍，慧眼云的失陷主机通过一张二维图形进行全局的分布展示，基于“确定性指数”和“威胁性指数”两个维度划定不同的风险级别区别，从而给出不同主机的风险级别。当主机分布在中度风险区域时，处于预警状态，提醒客户需要重点对这部分主机进一步跟踪分析。当主机分布在高度风险区域时，说明需要立刻采取措施，否则有可能产生不可估量的损失。

　　除了“失陷主机”之外，网康还提供了一套大数据搜索工具，帮助安全人员进行快速的事件定位和回溯。基于客户的业务场景，通过对网络行为的大数据分析，能够自适应的建模出客户当前业务下的安全威胁模型，从而更有针对性的发现网络中存在的异常，提高安全等级。