亞信安全XDR，攻防高手的基本演繹法

宋辰

我們已經(jīng)不可能關上網(wǎng)絡的潘多拉魔盒，網(wǎng)絡安全專家們能做的，只有盡早預判，并且做出更趨合理的響應。

潘多拉的魔盒早已打開，只要還有利益的誘惑，網(wǎng)絡攻擊的寬度就會和生命的長度一樣，永遠潛伏在我們身邊。

來自埃森哲的數(shù)據(jù)顯示，最近5年內，安全泄露事件增長67%，2018年網(wǎng)絡犯罪攻擊造成的損失達到1300億美元，平均攻擊識別時間增加至197天，平均攻擊修復時間增加至69天?？梢钥吹?，由于安全問題，企業(yè)需要承擔更多的業(yè)務損失。

在亞信安全發(fā)布的2019年第二季度安全威脅報告顯示，中國已經(jīng)上升為勒索軟件感染量最大的國家，占到了全球總數(shù)的20%。

如果說從冷兵器時代到熱兵器時代，殺傷力是從個體到團滅的區(qū)別。那么，在網(wǎng)絡觸角已經(jīng)延伸到我們身邊每一個細枝末節(jié)的程度來看，網(wǎng)絡戰(zhàn)爭的殺傷力就是呈幾何級數(shù)增長的。

在網(wǎng)絡威脅持續(xù)升級的當下，安全領域的“老司機”亞信安全提出了“XDR全景”戰(zhàn)略，通過感知+運維的核心理念來提升事件響應能力。提到安全事件處置，感知+運維聽起來并不新鮮，那么，亞信安全的XDR全景戰(zhàn)略到底有何不同呢？

威脅，一石激起千層浪

一切都要從“演習”說起。

2016年，公安部、民航局、國家電網(wǎng)三個事業(yè)單位展開了一次網(wǎng)絡攻防的模擬演習。在這之后的幾年，每年都會有一場對相關網(wǎng)站和信息系統(tǒng)展開的網(wǎng)絡安全演習大作戰(zhàn)，也陸續(xù)有更多的政府部門、企事業(yè)單位加入。也就是說，隨著2016年《網(wǎng)絡安全法》的頒布，“護網(wǎng)行動”成為慣例。

到了今年，工信、安全、武警、交通、鐵路、民航、能源、新聞廣電、電信運營商等單位都加入了“護網(wǎng)2019”行動。這足以證明網(wǎng)絡安全在數(shù)字社會的重要性，也從一個側面說明網(wǎng)絡安全態(tài)勢的嚴峻。

隨著5G、工業(yè)互聯(lián)網(wǎng)時代的到來，以及云計算的普及，IT基礎架構的演變帶來了新的網(wǎng)絡安全挑戰(zhàn)。這些安全問題中，有意義的可視化能力極為關鍵，但卻很難做到。超過55%的IT安全專家每天收到超10000次的安全告警，超過50%的企業(yè)使用超過25種的獨立安全技術，面對這些巨量告警，看似有效的可視化偵測技術卻把安全運維人員帶入了極其混沌的空間，當面對大規(guī)模網(wǎng)絡中的海量安全數(shù)據(jù)，安全人員淹沒其中，根本不能有效地發(fā)現(xiàn)攻擊。

亞信安全總裁陸光明指出：“巨量的告警信息，以及孤立產(chǎn)品的數(shù)據(jù)孤島，讓許多用戶難以發(fā)揮威脅檢測和威脅感知技術的能力。與此同時，高級安全人員的匱乏，以及端點檢測與響應技術（EDR）的孤掌難鳴，都限制了企業(yè)網(wǎng)絡安全治理的水平，致使各類威脅入侵頻繁得手、數(shù)據(jù)泄密事件有增無減?！?/p>

而網(wǎng)絡安全的攻守雙方信息永遠是不對稱的，當威脅來臨的時候，一旦關鍵節(jié)點被擊穿，受攻擊的一方隨時都有可能“一失萬無”。

在面對無服務計算、容器、數(shù)據(jù)整合、檢測分析，以及“看到”未知威脅這些應用需求時就非常有難度。因此，能夠實現(xiàn)跨越安全層，達成關聯(lián)分析，歸并離散的威脅告警，提煉帶有上下文擴展屬性的安全事件，優(yōu)先聯(lián)動處理，將是下一代威脅治理技術的關鍵所在。

不做“泛泛的安全”

2017 年時，Gartner 提出未來5年企業(yè)將改變他們的安全支出戰(zhàn)略，從僅采取阻止措施轉向更側重于檢測（Detection）和響應（Response），也就是現(xiàn)在安全領域常常提到的D和R。

而這，還需要追溯到時間更早的2013年。那一年，Gartner首次用“端點威脅檢測和響應 （Endpoint Threat Detection and Response，ETDR） ”這一術語用來定義 “檢測和調查主機 / 端點上可疑活動（及其痕跡）” 的工具，后來通常稱為端點檢測和響應 （EDR）。之后的2014年，EDR就進入Gartner評選出的十大頂級安全技術之列，并逐步成為網(wǎng)絡安全的必備技能之一。

亞信安全XDR全景中的“D”和“R”就是指從檢測到響應。不過，光有檢測和響應是遠遠不夠的，加上了X，就形成了一套精密編排的安全聯(lián)動解決方案。

亞信安全XDR全景包括了專業(yè)調查工具、標準的工作手冊和安全響應專家?！皬倪\維到安全威脅事件到真正的安全事件處置響應，全部自動化這是不現(xiàn)實的，而是需要專業(yè)安全專家團隊基于方案提供相應的服務能力?！眮喰虐踩紫邪l(fā)官吳湘寧說，“面對實戰(zhàn)化的戰(zhàn)場，亞信安全一直堅持聯(lián)動策略，提供安全服務能力和專家能力，并和我們的解決方案進行結合，這個戰(zhàn)略很清楚，亞信安全不會大規(guī)模地做泛泛的安全服務?！?/p>

防御，組團出擊才能避免孤掌難鳴

具體來看，亞信安全XDR全景就像一幕大戲，關鍵技術環(huán)節(jié)都有不同的“角色”出演。

在專業(yè)調查工具里，終端檢測及響應EDR就像一名“神探”，從服務器端收集日志并進行關聯(lián)分析，時時記錄客戶端系統(tǒng)行為;網(wǎng)絡檢測及響應NDR就像“千里眼”，24小時監(jiān)視網(wǎng)絡流量，進行流量采集還原和海量數(shù)據(jù)存儲索引;高級威脅情報平臺TIP像一位“高僧”，負責匯集全球化、全行業(yè)、運營商海量威脅情報數(shù)據(jù);威脅感知運維平臺UAP則像“千手觀音”，通過自動化的威脅檢測與共享，將所有信息集中呈現(xiàn)分析。

標準的工作手冊是應對各類高級威脅的應急響應預案，它就像一位“軍師”，提供從準備、發(fā)現(xiàn)、分析，到遏制、消除、恢復、優(yōu)化過程的各種行動指南。

安全響應專家是“智囊團”，所有產(chǎn)品精密編排聯(lián)動，最終交由安全響應專家團隊組成的托管檢測及響應MDR，提供強大的后援保障。

“我們給客戶部署的安全產(chǎn)品和解決方案，需要形成有效的戰(zhàn)斗力。這一方面需要通過產(chǎn)品的聯(lián)動，自動化的處置，基于大數(shù)據(jù)安全的分析、決策;另一方面，是通過專家的介入。這是亞信安全一直堅持的戰(zhàn)略?！标懝饷鲝娬{。

這一點，其實很像是醫(yī)生的工作——根據(jù)病癥，利用合理的醫(yī)療手段，判斷病灶，再采取恰當?shù)闹委熓侄沃斡≡?。高明與低劣的差別，既在于是否合理借助先進的醫(yī)療器械與手段，也來自于經(jīng)年的實踐積累。對于亞信安全來說，這么多年沉淀下來的是基于各種各樣攻防場景劇本的設計，以及劇本中每一個環(huán)節(jié)、節(jié)點中腳本的執(zhí)行。

我們已經(jīng)不可能關上網(wǎng)絡的潘多拉魔盒，網(wǎng)絡安全專家們能做的，只有盡早預判，并且做出更趨合理的響應。