隨著云計算、移動互聯網等新興IT技術的發展，企業IT環境正面臨著前所未有的挑戰。新技術的應用在為企業帶來新的商業模式和新的發展契機的同時，也給企業的IT管理帶來了全新的挑戰。新的安全風險、從未遇到過的業務系統問題、網絡問題成了令IT管理人員頭疼的話題。如果應對這些新環境下的IT風險，讓IT繼續為企業業務發展助力，就這個話題，我們采訪了惠普亞太及日本地區企業安全區域市場總監王祿耀先生。
企業IT風險的變化
“在過去的幾年里企業面臨的安全風險日益嚴峻，從很大程度上來說，這是因為當今的網絡犯罪與以往比發生了很大的變化。今天的攻擊主要是由一些高智商人員發起，他們通過復雜的技術來攻擊具有較高價值的特定目標。這已不再是之前的無差別攻擊——當人們無意下載了帶有木馬的賀卡才會受到攻擊。”在談到當前IT風險的變化時，王祿耀這樣談到。
相對于這些安全風險的變化，今天的防御措施也需與以往不同。舉例來說，防毒簽名(anti-virus signature) 在今天的環境中不像原來一樣奏效了。要么是攻擊方式變化太快無法生成簽名，要么就是攻擊展開太慢無法檢測。而且，即使簽名可用，無邊界網絡的普及也意味著你幾乎沒阻礙去應用簽名。
并且漏洞類型也不同了;先前被認為處于“內部”并享受保護的系統現在則處于無監控狀態，暴露在攻擊之下。特權用戶對于這些系統具有訪問權限，并游離在監控之外，致使訪問權限的易主也無處檢測。
上述內容可歸結為以下三點：
企業面臨比以往更高的風險;
曾經使用的安全戰略和戰術現已無法有效防御攻擊;
因此企業需要從根本上改變，通過對企業IT環境中的人以及自動化活動和互動的高級關聯來實現一種持續、一致的態勢感知能力;而且，一旦發現潛在的惡意攻擊，能夠做出及時、有效的補救。
云計算、移動互聯網對企業IT的影響
云和移動計算使計算“表面積”呈指數級增長，導致兩個方向的影響：一是企業維持IT環境中態勢感知的復雜性增加，從而使您無法保護您看不到的地方;二是網絡罪犯有更多機會盜取用戶數據和信息。
舉個例子：以前，員工在單層IT平臺上工作，即公司網絡?，F在，員工可以在多個平臺上工作，例如傳統的公司網絡、內部/外部云域、以及非企業標準操作環境的私有移動設備。據3M委托進行的《2010年可視數據泄漏風險評估研究》報告指出，70%的公司仍然沒有制定明確的政策約束員工在公共場所工作時使用不同設備連接網絡。
隨著用戶跨平臺的切換和移動行為的增加，倘若沒有正確的工具，企業很難對其進行追蹤。由于越來越多的人在這些新環境中工作和訪問信息，現有漏洞危險的級別將增加，并且還將出現新的漏洞。網絡罪犯正在設法利用這種新增的復雜性給企業制造麻煩。
針對IT風險的變化，企業IT安全管理也需要有相應的辦法來應對，王祿耀建議說：當今，現代化的IT部門支持無邊界企業，并且積極采用云計算、組合應用和移動設備。傳統的補丁式(bolting-on) 安全技術方法已不再可行。無論數據和進程位于何處，企業需要可以主動識別并管理風險的解決方案。
對于IT人員的挑戰，王祿耀表示，現在，首席信息官和IT人員能夠監測到企業員工參與的各項活動和他們的客戶進行的各種交易或在其網絡上發生的各類安全事件。而他們所面臨的真正挑戰是通過將企業環境內的各種IT活動(網絡/系統登錄/退出、應用交易、電子郵件/互聯網信息交換、文件傳輸等)關聯起來(而非孤立看待)以獲得更完整的全局掌握。
保護企業數據安全的最佳模型
近些年來，隨著企業與供應商、客戶和業務合作伙伴的聯系日益緊密，網絡邊界逐漸消失，外部威脅和內部威脅的區別日漸模糊。與此同時，企業開始關注由內部系統以及防火墻之外的IT設備所產生的網絡活動。僵尸網絡、病毒、鍵盤記錄器和其它惡意軟件給企業運營帶來越來越大的威脅。
王祿耀談到，企業需要可以主動識別并管理風險的解決方案，無論數據和流程位于何處?？缂夹g層的安全信息需要被有效關聯、分析和匯總，以提供一個基于風險的視圖來協助決策制定。
隨著時間的推移，大多數企業將實施各種安全單點解決方案，例如應對網絡攻擊的防火墻、防止結構化數據丟失的數據庫加密和審計。盡管這些安全點解決方案可以極大地幫助企業保護其數據和IT環境的機密性、完整性和可用性，但是在這些不同的、非集成的單點解決方案之間依然存在許多安全漏洞。此外，這些傳統的安全解決方案大多數與IT運營結合并不緊密，因此不支持IT環境中安全攻擊和IT中斷的無縫感知。
“企業需要考慮如何將這些非集成層結合起來，同時把其安全保護與IT運營連接起來以實現企業范圍內的‘態勢感知’。”王祿耀在描述企業數據安全的最佳模型時這樣說。
這正是采用強大SIEM技術的SIRM (安全智能與風險管理)平臺獨特的用武之處，它能夠實現跨層間安全集成并將安全性融入IT運營中。這是通過跨越各安全點解決方案層所覆蓋的領域以及IT運營而做到的——通過監控和分析來自安全和非安全設備斷面(cross section)的活動日志。
例如，當分析來自各種安全和運營工具的事件日志時，一項有效的SIEM工具應該能夠檢測以下內容：
a) 通過分析網絡流量：檢測異常繁忙的網絡流量;
b) 通過分析電子郵件流量：檢測單臺計算機外發數百個異常不相關的電子郵件域的情況
c) 通過分析防火墻日志：檢測外部連接至列入黑名單的IP地址的計算機
接著，SIEM工具應能夠將這些不同事件作為一次可能的木馬侵襲關聯起來，并即刻做出防御反應以阻止計算機進一步連接至網絡上其它節點，同時提醒網絡或安全管理員立即展開調查。以層為中心的安全管理方法很難(如果仍可能做到的話)實現這種級別的態勢感知并進行及時補救。
惠普ArcSight SIEM平臺介紹
HP ArcSight SIEM平臺旨在幫助企業了解哪些人正在訪問其網絡以及他們在瀏覽什么信息和用這些信息做什么。借助這種級別的可視性，ArcSight客戶能夠保護其業務并降低運營成本。如今，這些產品在世界范圍內大量部署，廣泛用于威脅防范和信息保護。
今天的企業往往針對各IT層來購買安全解決方案：針對電子郵件流量購買電子郵件安全解決方案，針對瀏覽器流量購買web安全解決方案等。我們堅信通過三個步驟能幫助我們的客戶更好地保護其業務。
首先是將我們合作伙伴出售的不同安全層更好地連接起來。ArcSight可提供跨所有層的監控與可視性。其次，即使集成了安全層，它們與IT運營也并未自動連接。這樣，當IT人員發現某個關鍵應用運行緩慢時，無從知道是由于負載過重、老化的硬盤，還是受僵尸網絡攻擊所致。通過將安全層與IT信息相連接，我們能夠提供全面的視圖。ArcSight在日志管理方面處于領先地位，而惠普在系統事件管理方面占據優勢。因此，我們將對兩者優勢進行整合。
在將前兩步連接起來之后，就可以開始分析數據并將其整合到業務流程級別，從而實現更好的風險管理。因此，借助ArcSight統一日志管理和關聯功能，您就可以執行更高級別的業務風險分析，我們相信這也是客戶所需要的。
最后，談到惠普在應對企業IT風險管理未來發展時，王祿耀表示：“我們將進一步增強ArcSight解決方案組合以提供更高的效率和效用，幫助我們的客戶在這個充滿威脅且瞬息萬變的IT環境中保持安全。同時，我們在ArcSight解決方案能力與惠普行業領先的技術和服務產品(從打印機和個人系統到高端企業服務器)的優勢整合中看到了無限良機。”
目前，惠普是系統事件監控領域的領導者(即某應用運行如何，速度是否變慢、是否出現了問題)。通過將ArcSight日志管理與惠普系統事件管理相連接，我們能夠提供一個更加全面的視圖，以及更好的業務運營(包括業務風險)監控。
ArcSight將與HP OpenView，即業務服務管理(BSM)、自動化(BSA)產品相集成，同時也將繼續作為一個獨立領先的威脅與風險管理平臺而存在。ArcSight可以從非常廣泛的技術層面收集信息，擴展惠普系統管理可視性的范圍。同時，通過在BSA和ArcSight之間發送信息，我們可為客戶提供一個全面的整體運行視圖，包括威脅和風險影響?？紤]到日志和事件管理連接所帶來的巨大價值，我們也希望將日志管理軟件應用于系統管理產品。
除了IT運營管理之外，我們還將ArcSight從連接HP Fortify和HP TippingPoint開始連接至其它惠普安全產品——HP Fortify可提供應用漏洞信息，ArcSight在其關聯規則中將使用這些信息。HP TippingPoint可提供網絡入侵信息，在收購之前已與ArcSight相集成。
京公網安備 11010502049343號