以數(shù)據(jù)為中心的網(wǎng)絡安全
傳統(tǒng)的網(wǎng)絡安全策略不再滿足企業(yè)愈趨復雜的IT環(huán)境需求。
再談邊界安全的消失
技術(shù)創(chuàng)新改變了網(wǎng)絡自身的本質(zhì)。員工干活不再局限于自己的工作站，或者連接到公司網(wǎng)絡的筆記本電腦。平板電腦、智能手機等移動設備成為了更為常見的東西，讓員工得以遠程辦公，這還意味著不用改變辦公地點就能聘用到頂級的人才。
今天的網(wǎng)絡邊界難以定義
這些新技術(shù)為通信和數(shù)據(jù)共享提供了新應用和方法，通過各種不同的聯(lián)網(wǎng)路徑，比如無線或蜂窩/移動通信、藍牙等。但是，這也加劇了安全問題，因為不僅引入了新技術(shù)(及其固有新漏洞)，更重要的是，這些新技術(shù)削減了內(nèi)部網(wǎng)絡的概念，幾乎讓內(nèi)部網(wǎng)絡這種東西就此消失了——至少不再是其經(jīng)典形式上的內(nèi)部網(wǎng)絡了。
當幾乎不存在網(wǎng)絡邊界的時候，何談網(wǎng)絡安全?當越來越多的用戶可隨時通過各種方法接入公司網(wǎng)絡的時候，你怎么跟蹤授權(quán)和非授權(quán)用戶?換句話說，你把邊界安全防護措施放哪兒去?
于是，當今企業(yè)安全面對的主要問題，就是：網(wǎng)絡安全工具、服務和解決方案的重心一直都在該網(wǎng)絡安全“堡壘”概念上，而這又轉(zhuǎn)換成對保護網(wǎng)絡(及硬件)中所有組件的安全產(chǎn)品的重視，以及對業(yè)務(及軟件)執(zhí)行相關應用和程序的相對放松。
以數(shù)據(jù)為中心
現(xiàn)代網(wǎng)絡接入方式復雜度的增加，需要傳統(tǒng)(已有)網(wǎng)絡安全所達不到的更戰(zhàn)略性、更全面的視角。真正需求的，是一種完全不同的，更以數(shù)據(jù)為中心的哲學方法。那就是，重點應首先放在你有哪些有價值數(shù)據(jù)和信息，及其對公司的價值所在，而其他強調(diào)技術(shù)的策略應圍繞保護該有價值數(shù)據(jù)來發(fā)展。
這種以數(shù)據(jù)為中心的網(wǎng)絡環(huán)境安全方法，從對自身擁有數(shù)據(jù)的戰(zhàn)略性理解，和認清這些數(shù)據(jù)對自身運營的巨大價值開始。這一步，通常被稱為數(shù)據(jù)分類。一旦數(shù)據(jù)被識別并分類，你就必須評估數(shù)據(jù)在網(wǎng)絡中的發(fā)現(xiàn)點，都有誰訪問或“消費”這些數(shù)據(jù)、分別是出于何種目的，數(shù)據(jù)從產(chǎn)生到消亡過程中在網(wǎng)絡里巡游的全部蹤跡，以及數(shù)據(jù)到達生命周期末尾時是怎么處理的。該過程一般被叫做數(shù)據(jù)流或業(yè)務流分析。
只要理解了自己試圖保護什么，就可以進行數(shù)據(jù)流分析，以理解數(shù)據(jù)存儲或處理位置，以及誰能或誰應該訪問這些數(shù)據(jù)。然后，就可以基于對風險標的的有效理解，應用正確的安全控制措施了。這個過程被恰如其分地稱為風險管理模型，可用下面的簡單公式表示。
基于風險的安全模型
該簡單公式中的元素有：
- 風險：不愿意看到其發(fā)生的壞東西，比如數(shù)據(jù)遺失或被盜，或落入壞人之手遭到篡改;
- 漏洞：薄弱環(huán)節(jié)，往往是編程缺陷、編碼錯誤、不當配置、某些特性——你系統(tǒng)或應用中存在的任何可被攻擊者利用來做壞事的東西;
- 威脅：想對你造成傷害的壞人和攻擊者。攻擊者可訪問或利用你網(wǎng)絡的方式，也常被認為是一種威脅或威脅載體。威脅基本上就是攻擊者做事的方法——遠程侵入、物理破壞、網(wǎng)絡釣魚、病毒，或者惡意軟件;
- 對策：以安全之名所做的所有事。包括VPN或防火墻之類訪問控制措施的部署、入侵檢測系統(tǒng)、警報和監(jiān)視解決方案、文件完整性監(jiān)測、白名單解決方案，以及終端防護;
- 估值：想保護的東西的價值，還有安全工作的成本。
風險管理模型的目標是要減小風險。風險基本上就是錢——你想保護的數(shù)據(jù)值多少錢，或者說，數(shù)據(jù)丟失或替換會花費多少錢?減小風險的方法，就是減少環(huán)境中漏洞，識別并封鎖或威懾威脅，以及實現(xiàn)安全對策以降低漏洞或威脅所留影響的組合。
你可以在今天的安全行業(yè)中看到基于風險的安全模型的各元素，但總體目標或者說戰(zhàn)略目標，卻往往不見被討論。新的(其實真的很老了)戰(zhàn)略，是從知道你想保護什么開始，也就是，要有個目標。一旦目標設立，你就能組合風險模型中所有元素發(fā)展出一套策略來，但要記得用對你的公司有意義，能最終實現(xiàn)安全目標的方式來做。
這是個持續(xù)的過程，你必須不斷考慮技術(shù)、人員、公司使命和威脅態(tài)勢的改變。持續(xù)運作的過程，需要被寫下來，被遵循，并定期修訂以反映運營的最新變化。這種安全方法可被稱為安全生命周期，擁有以下特性：
- 從知道要保護什么東西開始
- 安全需要系統(tǒng)性方法(評估當前位置、記錄想去往何方、實現(xiàn)安全架構(gòu))
- 策略即戰(zhàn)略
- 架構(gòu)就是策略得以實施的連貫集成戰(zhàn)術(shù)集
- 沒有策略的安全只不過是技術(shù)
完全擁抱該安全方法，是實現(xiàn)企業(yè)安全最劃算的方式。有可能你已經(jīng)做到其中某些事項了，并對適合自己公司的風險安全模型有了一定了解。大多數(shù)公司在采納該安全戰(zhàn)略上都忽略掉的一點，是對要保護的數(shù)據(jù)、數(shù)據(jù)在現(xiàn)有網(wǎng)絡中巡游的路徑和處理及存儲數(shù)據(jù)所涉及系統(tǒng)缺乏可靠的了解。必要的第一步(或者補救措施)，就是發(fā)現(xiàn)自己網(wǎng)絡上到底在發(fā)生什么。
發(fā)現(xiàn)是關鍵
了解自己網(wǎng)絡的延伸，還有哪些系統(tǒng)連入或試圖連入你的網(wǎng)絡，是最緊要的事。該發(fā)現(xiàn)過程必須時時刻刻都在進行。技術(shù)發(fā)展需要技術(shù)性解決方案，但若以整體數(shù)據(jù)安全戰(zhàn)略實現(xiàn)，而不是提供“堡壘式”企業(yè)網(wǎng)絡防護，會有效得多。
該發(fā)現(xiàn)至少需要包含以下幾項：
誰：
- 用戶
- 管理員
- 開發(fā)者
- 承包商
- 來賓
- 客戶
什么：
- 工作站
- 筆記本電腦
- 應用程序
- 流氓設備
- 物聯(lián)網(wǎng)(IoT)
- BYOD(手機、平板)
哪里：
- 有線網(wǎng)絡(WAN/LAN)
- 虛擬網(wǎng)絡(vLAN)
- 無線網(wǎng)絡
- 蜂窩網(wǎng)絡
- 藍牙
- 近場通訊(NFC)、無線射頻識別(RFID)等等
可以檢測已經(jīng)接入網(wǎng)絡，或嘗試接入公司網(wǎng)絡的用戶和設備的檢測能力，是一直都需要的。
如何做到發(fā)現(xiàn)這一步
發(fā)現(xiàn)自己網(wǎng)絡上有什么，是保護公司網(wǎng)絡、數(shù)據(jù)和關鍵業(yè)務系統(tǒng)最基本的步驟。然而，大多數(shù)安全團隊，都對處理好應該出現(xiàn)在網(wǎng)絡上的授權(quán)設備，和不應該出現(xiàn)在網(wǎng)絡上的非授權(quán)設備，感到頭痛無比。有限的安全人員、分布式網(wǎng)絡，還有多種多樣的網(wǎng)絡基礎設施，還僅僅是安全團隊面對的一小部分挑戰(zhàn)。
市面上有大量工具和“解決方案”極力想要幫你達成安全目標。他們通常都貼著“持續(xù)監(jiān)視”、“網(wǎng)絡發(fā)現(xiàn)”的標簽。但在往解決方案投入大筆金錢之前，請確保自己已經(jīng)理解并記錄下了該工具應幫你完成的目標和過程。這才是關鍵所在。
只要對自己網(wǎng)絡上有什么成竹在胸，便可持續(xù)監(jiān)測這些設備，查找安全漏洞、不安全配置、與非受信任網(wǎng)絡或設備的連接，以及基于設備的攻擊。
結(jié)語
堡壘式或基于邊界的網(wǎng)絡安全概念，到了今天已經(jīng)基本過時了。有效安全需要你時刻謹記自己的目標或戰(zhàn)略，也就是，要保護作為自己公司生命線的信息和數(shù)據(jù)。數(shù)據(jù)保護，需要對數(shù)據(jù)存放位置、訪問對象和傳輸及消費地點有所了解。一旦數(shù)據(jù)安全戰(zhàn)略確立，必須在系統(tǒng)級或資產(chǎn)級層次上弄清自己公司環(huán)境的本質(zhì)。想要支持安全周期的持續(xù)性本質(zhì)，就必須在延續(xù)的基礎上做到上述內(nèi)容。
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
