再談邊界安全的消失技術(shù)創(chuàng)新改變了網(wǎng)絡(luò)自身的本質(zhì)。員工干活不再局限于自己的工作站，或者連接到公司網(wǎng)絡(luò)的筆記本電腦。平板電腦、智能手機(jī)等移動(dòng)設(shè)備成為了更為常見的東西，讓員工得以遠(yuǎn)程辦公，這還意味著不用改變辦公地點(diǎn)就能聘用到頂級(jí)的人才。 今天的網(wǎng)絡(luò)邊界難以定義這些新技術(shù)為通信和數(shù)據(jù)共享提供了新應(yīng)用和方法，通過各種不同的聯(lián)網(wǎng)路徑，比如無(wú)線或蜂窩/移動(dòng)通信、藍(lán)牙等。但是，這也加劇了安全問題，因?yàn)椴粌H引入了新技術(shù)(及其固有新漏洞)，更重要的是，這些新技術(shù)削減了內(nèi)部網(wǎng)絡(luò)的概念，幾乎讓內(nèi)部網(wǎng)絡(luò)這種東西就此消失了——至少不再是其經(jīng)典形式上的內(nèi)部網(wǎng)絡(luò)了。當(dāng)幾乎不存在網(wǎng)絡(luò)邊界的時(shí)候，何談網(wǎng)絡(luò)安全?當(dāng)越來(lái)越多的用戶可隨時(shí)通過各種方法接入公司網(wǎng)絡(luò)的時(shí)候，你怎么跟蹤授權(quán)和非授權(quán)用戶?換句話說，你把邊界安全防護(hù)措施放哪兒去?于是，當(dāng)今企業(yè)安全面對(duì)的主要問題，就是：網(wǎng)絡(luò)安全工具、服務(wù)和解決方案的重心一直都在該網(wǎng)絡(luò)安全“堡壘”概念上，而這又轉(zhuǎn)換成對(duì)保護(hù)網(wǎng)絡(luò)(及硬件)中所有組件的安全產(chǎn)品的重視，以及對(duì)業(yè)務(wù)(及軟件)執(zhí)行相關(guān)應(yīng)用和程序的相對(duì)放松。以數(shù)據(jù)為中心現(xiàn)代網(wǎng)絡(luò)接入方式復(fù)雜度的增加，需要傳統(tǒng)(已有)網(wǎng)絡(luò)安全所達(dá)不到的更戰(zhàn)略性、更全面的視角。真正需求的，是一種完全不同的，更以數(shù)據(jù)為中心的哲學(xué)方法。那就是，重點(diǎn)應(yīng)首先放在你有哪些有價(jià)值數(shù)據(jù)和信息，及其對(duì)公司的價(jià)值所在，而其他強(qiáng)調(diào)技術(shù)的策略應(yīng)圍繞保護(hù)該有價(jià)值數(shù)據(jù)來(lái)發(fā)展。這種以數(shù)據(jù)為中心的網(wǎng)絡(luò)環(huán)境安全方法，從對(duì)自身?yè)碛袛?shù)據(jù)的戰(zhàn)略性理解，和認(rèn)清這些數(shù)據(jù)對(duì)自身運(yùn)營(yíng)的巨大價(jià)值開始。這一步，通常被稱為數(shù)據(jù)分類。一旦數(shù)據(jù)被識(shí)別并分類，你就必須評(píng)估數(shù)據(jù)在網(wǎng)絡(luò)中的發(fā)現(xiàn)點(diǎn)，都有誰(shuí)訪問或“消費(fèi)”這些數(shù)據(jù)、分別是出于何種目的，數(shù)據(jù)從產(chǎn)生到消亡過程中在網(wǎng)絡(luò)里巡游的全部蹤跡，以及數(shù)據(jù)到達(dá)生命周期末尾時(shí)是怎么處理的。該過程一般被叫做數(shù)據(jù)流或業(yè)務(wù)流分析。只要理解了自己試圖保護(hù)什么，就可以進(jìn)行數(shù)據(jù)流分析，以理解數(shù)據(jù)存儲(chǔ)或處理位置，以及誰(shuí)能或誰(shuí)應(yīng)該訪問這些數(shù)據(jù)。然后，就可以基于對(duì)風(fēng)險(xiǎn)標(biāo)的的有效理解，應(yīng)用正確的安全控制措施了。這個(gè)過程被恰如其分地稱為風(fēng)險(xiǎn)管理模型，可用下面的簡(jiǎn)單公式表示。 基于風(fēng)險(xiǎn)的安全模型該簡(jiǎn)單公式中的元素有：風(fēng)險(xiǎn)：不愿意看到其發(fā)生的壞東西，比如數(shù)據(jù)遺失或被盜，或落入壞人之手遭到篡改;漏洞：薄弱環(huán)節(jié)，往往是編程缺陷、編碼錯(cuò)誤、不當(dāng)配置、某些特性——你系統(tǒng)或應(yīng)用中存在的任何可被攻擊者利用來(lái)做壞事的東西;威脅：想對(duì)你造成傷害的壞人和攻擊者。攻擊者可訪問或利用你網(wǎng)絡(luò)的方式，也常被認(rèn)為是一種威脅或威脅載體。威脅基本上就是攻擊者做事的方法——遠(yuǎn)程侵入、物理破壞、網(wǎng)絡(luò)釣魚、病毒，或者惡意軟件;對(duì)策：以安全之名所做的所有事。包括VPN或防火墻之類訪問控制措施的部署、入侵檢測(cè)系統(tǒng)、警報(bào)和監(jiān)視解決方案、文件完整性監(jiān)測(cè)、白名單解決方案，以及終端防護(hù);估值：想保護(hù)的東西的價(jià)值，還有安全工作的成本。風(fēng)險(xiǎn)管理模型的目標(biāo)是要減小風(fēng)險(xiǎn)。風(fēng)險(xiǎn)基本上就是錢——你想保護(hù)的數(shù)據(jù)值多少錢，或者說，數(shù)據(jù)丟失或替換會(huì)花費(fèi)多少錢?減小風(fēng)險(xiǎn)的方法，就是減少環(huán)境中漏洞，識(shí)別并封鎖或威懾威脅，以及實(shí)現(xiàn)安全對(duì)策以降低漏洞或威脅所留影響的組合。你可以在今天的安全行業(yè)中看到基于風(fēng)險(xiǎn)的安全模型的各元素，但總體目標(biāo)或者說戰(zhàn)略目標(biāo)，卻往往不見被討論。新的(其實(shí)真的很老了)戰(zhàn)略，是從知道你想保護(hù)什么開始，也就是，要有個(gè)目標(biāo)。一旦目標(biāo)設(shè)立，你就能組合風(fēng)險(xiǎn)模型中所有元素發(fā)展出一套策略來(lái)，但要記得用對(duì)你的公司有意義，能最終實(shí)現(xiàn)安全目標(biāo)的方式來(lái)做。這是個(gè)持續(xù)的過程，你必須不斷考慮技術(shù)、人員、公司使命和威脅態(tài)勢(shì)的改變。持續(xù)運(yùn)作的過程，需要被寫下來(lái)，被遵循，并定期修訂以反映運(yùn)營(yíng)的最新變化。這種安全方法可被稱為安全生命周期，擁有以下特性：從知道要保護(hù)什么東西開始安全需要系統(tǒng)性方法(評(píng)估當(dāng)前位置、記錄想去往何方、實(shí)現(xiàn)安全架構(gòu))策略即戰(zhàn)略架構(gòu)就是策略得以實(shí)施的連貫集成戰(zhàn)術(shù)集沒有策略的安全只不過是技術(shù)完全擁抱該安全方法，是實(shí)現(xiàn)企業(yè)安全最劃算的方式。有可能你已經(jīng)做到其中某些事項(xiàng)了，并對(duì)適合自己公司的風(fēng)險(xiǎn)安全模型有了一定了解。大多數(shù)公司在采納該安全戰(zhàn)略上都忽略掉的一點(diǎn)，是對(duì)要保護(hù)的數(shù)據(jù)、數(shù)據(jù)在現(xiàn)有網(wǎng)絡(luò)中巡游的路徑和處理及存儲(chǔ)數(shù)據(jù)所涉及系統(tǒng)缺乏可靠的了解。必要的第一步(或者補(bǔ)救措施)，就是發(fā)現(xiàn)自己網(wǎng)絡(luò)上到底在發(fā)生什么。發(fā)現(xiàn)是關(guān)鍵了解自己網(wǎng)絡(luò)的延伸，還有哪些系統(tǒng)連入或試圖連入你的網(wǎng)絡(luò)，是最緊要的事。該發(fā)現(xiàn)過程必須時(shí)時(shí)刻刻都在進(jìn)行。技術(shù)發(fā)展需要技術(shù)性解決方案，但若以整體數(shù)據(jù)安全戰(zhàn)略實(shí)現(xiàn)，而不是提供“堡壘式”企業(yè)網(wǎng)絡(luò)防護(hù)，會(huì)有效得多。該發(fā)現(xiàn)至少需要包含以下幾項(xiàng)：誰(shuí)：用戶管理員開發(fā)者承包商來(lái)賓客戶什么：工作站筆記本電腦應(yīng)用程序流氓設(shè)備物聯(lián)網(wǎng)(IoT)BYOD(手機(jī)、平板)哪里：有線網(wǎng)絡(luò)(WAN/LAN)虛擬網(wǎng)絡(luò)(vLAN)無(wú)線網(wǎng)絡(luò)蜂窩網(wǎng)絡(luò)藍(lán)牙近場(chǎng)通訊(NFC)、無(wú)線射頻識(shí)別(RFID)等等可以檢測(cè)已經(jīng)接入網(wǎng)絡(luò)，或嘗試接入公司網(wǎng)絡(luò)的用戶和設(shè)備的檢測(cè)能力，是一直都需要的。如何做到發(fā)現(xiàn)這一步發(fā)現(xiàn)自己網(wǎng)絡(luò)上有什么，是保護(hù)公司網(wǎng)絡(luò)、數(shù)據(jù)和關(guān)鍵業(yè)務(wù)系統(tǒng)最基本的步驟。然而，大多數(shù)安全團(tuán)隊(duì)，都對(duì)處理好應(yīng)該出現(xiàn)在網(wǎng)絡(luò)上的授權(quán)設(shè)備，和不應(yīng)該出現(xiàn)在網(wǎng)絡(luò)上的非授權(quán)設(shè)備，感到頭痛無(wú)比。有限的安全人員、分布式網(wǎng)絡(luò)，還有多種多樣的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，還僅僅是安全團(tuán)隊(duì)面對(duì)的一小部分挑戰(zhàn)。市面上有大量工具和“解決方案”極力想要幫你達(dá)成安全目標(biāo)。他們通常都貼著“持續(xù)監(jiān)視”、“網(wǎng)絡(luò)發(fā)現(xiàn)”的標(biāo)簽。但在往解決方案投入大筆金錢之前，請(qǐng)確保自己已經(jīng)理解并記錄下了該工具應(yīng)幫你完成的目標(biāo)和過程。這才是關(guān)鍵所在。只要對(duì)自己網(wǎng)絡(luò)上有什么成竹在胸，便可持續(xù)監(jiān)測(cè)這些設(shè)備，查找安全漏洞、不安全配置、與非受信任網(wǎng)絡(luò)或設(shè)備的連接，以及基于設(shè)備的攻擊。結(jié)語(yǔ)堡壘式或基于邊界的網(wǎng)絡(luò)安全概念，到了今天已經(jīng)基本過時(shí)了。有效安全需要你時(shí)刻謹(jǐn)記自己的目標(biāo)或戰(zhàn)略，也就是，要保護(hù)作為自己公司生命線的信息和數(shù)據(jù)。數(shù)據(jù)保護(hù)，需要對(duì)數(shù)據(jù)存放位置、訪問對(duì)象和傳輸及消費(fèi)地點(diǎn)有所了解。一旦數(shù)據(jù)安全戰(zhàn)略確立，必須在系統(tǒng)級(jí)或資產(chǎn)級(jí)層次上弄清自己公司環(huán)境的本質(zhì)。想要支持安全周期的持續(xù)性本質(zhì)，就必須在延續(xù)的基礎(chǔ)上做到上述內(nèi)容。 相關(guān)問題“RFID+”終是大夢(mèng)一場(chǎng)？2021-06-11沒錯(cuò)，這才是一枚真正的好標(biāo)簽2021-06-02電子車牌千億元產(chǎn)業(yè)空間有望釋放2021-05-21提升RFID系統(tǒng)安全性 這幾大要點(diǎn)要留意2021-05-14電子標(biāo)簽等設(shè)備讓呼和浩特市特種設(shè)備安全實(shí)現(xiàn)“零”事故2021-04-29深圳交警創(chuàng)新電動(dòng)自行車治理理念 引入RFID技術(shù)顯奇效2021-04-16用電子標(biāo)簽實(shí)現(xiàn)“貨到人”揀選2021-04-09采用RFID射頻識(shí)別技術(shù)實(shí)時(shí)跟蹤消防站設(shè)備2021-04-02廣受市場(chǎng)期待的雙頻芯片給RFID帶來(lái)了哪些功能選擇2021-03-19重慶合川區(qū)實(shí)行RFID信息化管理 加強(qiáng)摩托車電動(dòng)車整治2021-03-01
