為什么檢測網(wǎng)絡(luò)攻擊需耗時(shí)數(shù)個(gè)月

張珊珊

現(xiàn)有網(wǎng)絡(luò)威脅解決方案，通常都是在嘗試解決特定問題或阻止特定攻擊步驟的發(fā)生，其中包含了試圖強(qiáng)固安全“邊界”的防火墻（FW）、防止未經(jīng)授權(quán)的設(shè)備連接到網(wǎng)絡(luò)的網(wǎng)絡(luò)訪問控制（NAC）以及負(fù)責(zé)保護(hù)網(wǎng)絡(luò)上設(shè)備的終端防護(hù)方案。

雖然這些解決方案大多能夠自動(dòng)解決小規(guī)模問題，卻很難將它們作為高效安全生態(tài)圈中協(xié)同防御的一部分。而可提供實(shí)時(shí)分析的安全信息和事件管理（SIEM）系統(tǒng)其質(zhì)量也僅僅與所收到的日志和告警類似，并且通常現(xiàn)有的解決方案都過于龐大。例如需要部署復(fù)雜的沙箱、欺騙環(huán)境或者基于代理的解決方案，而此方案必須將利用（Exploit）做頻繁地更新。

隨著廣泛地使用過往只有國家級(jí)黑客才會(huì)運(yùn)用的工具和技術(shù)，安全團(tuán)隊(duì)和首席信息安全官們（CISOs）面對(duì)的是更加厲害的對(duì)手，并且這些對(duì)手都已配備了最先進(jìn)的網(wǎng)絡(luò)武器。此外由于技術(shù)的進(jìn)步，過去相當(dāng)簡單且大部分為臺(tái)式機(jī)和服務(wù)器所構(gòu)建的的企業(yè)網(wǎng)絡(luò)，現(xiàn)在已經(jīng)變成了一個(gè)連接所有東西的復(fù)雜環(huán)境，這環(huán)境從移動(dòng)設(shè)備到咖啡機(jī)、車輛等不一而足，這使得企業(yè)的防御任務(wù)變得更加困難。

安全團(tuán)隊(duì)要實(shí)現(xiàn)網(wǎng)絡(luò)完全安全的這一目標(biāo)，與企業(yè)要實(shí)現(xiàn)業(yè)務(wù)便于開展這一最終目標(biāo)之間必然存在著天然的矛盾。只要存在人為因素，這個(gè)差距就會(huì)體現(xiàn)在有瑕疵的工作流程、人為錯(cuò)誤、未管理或未知的設(shè)備和零日漏洞上，而以上所述使得大規(guī)模地創(chuàng)建自動(dòng)化防御解決方案幾乎成為不可能的任務(wù)。無論差距是像墻上的小裂縫，還是大到像高速公路中間的隔離地帶，對(duì)手都會(huì)利用它侵入。

為了自動(dòng)防止小規(guī)模安全問題和保護(hù)他們的復(fù)雜網(wǎng)絡(luò)負(fù)責(zé)，安全公司和CISOs經(jīng)常試著利用這種情況，并嘗試通過捆綁不同的檢測和防御技術(shù)來創(chuàng)建大規(guī)模的“自動(dòng)防御”解決方案，但每個(gè)解決方案都只專注于一個(gè)特定的問題且只提供一個(gè)狹隘的實(shí)施場景。

通過這樣的方式，CISOs需定制不同產(chǎn)品的安全解決方案，這些產(chǎn)品不一定能夠協(xié)同防御，并且在許多情況下，因技術(shù)層面不兼容，需要復(fù)雜的產(chǎn)品配置或?qū)嵤┚W(wǎng)絡(luò)環(huán)境的問題也層出不窮。

從調(diào)查中發(fā)現(xiàn)，相對(duì)于對(duì)資金充足且難搞的對(duì)手所發(fā)動(dòng)的復(fù)雜網(wǎng)絡(luò)攻擊，大多數(shù)企業(yè)所采用的零零總總安全檢測解決方案，皆類似于拼圖游戲里嘗試把不完整的拼圖重新拼湊起來，但每片拼圖卻又是由不相關(guān)的人所構(gòu)建的狀況一樣。誠然這是一項(xiàng)耗時(shí)的任務(wù)，要解決這個(gè)拼圖難題，首先必須要能看到或勾勒出更大的圖景，否則即使是訓(xùn)練有素的應(yīng)急響應(yīng)措施和安全專家也經(jīng)常會(huì)遇到困難。

企業(yè)必須重新考慮目前實(shí)施檢測攻擊的方式并采用一個(gè)簡單易用的解決方案，這樣才能大大縮短企業(yè)對(duì)網(wǎng)絡(luò)威脅攻擊的反應(yīng)時(shí)間，也才能使得企業(yè)可以在處理過程中節(jié)省開支。