一、傳統(tǒng)防火墻的網(wǎng)絡安全隱患
隨著網(wǎng)絡技術的發(fā)展，互聯(lián)網(wǎng)應用在提高了企業(yè)業(yè)務擴展性的同時也為信息安全管理者帶來了新的挑戰(zhàn)。諸多企業(yè)還存在著安全認識的誤區(qū)，傳統(tǒng)的老三樣已無法支撐當下企業(yè)對安全的要求。勒索病毒日新月異的變種、無文件攻擊等新型攻擊手段的興起，都嚴重危害企業(yè)的公共財產(chǎn)安全。當攻擊者有拿到內(nèi)網(wǎng)一個跳板機時，即可肆無忌憚的橫向傳播。為了應對當下安全局勢，降低影響面，對內(nèi)網(wǎng)間訪問權(quán)限顆粒化是非常必要的。
1．傳統(tǒng)網(wǎng)絡建設防守局限 傳統(tǒng)網(wǎng)絡建設主要以防火墻作為主要的網(wǎng)絡安全防護措施，該解決方案提供了南北向網(wǎng)絡邊界的有效防控，但對東西向流量防控卻遺留空白。面對高級或未知威脅，攻擊者往往能夠通過社會工程或企業(yè)未知風險滲透企業(yè)防守薄弱的主機，在網(wǎng)絡邊界之內(nèi)橫向傳播。 2．伙伴入網(wǎng)權(quán)限失控 企業(yè)為營造便捷、高效的發(fā)展目標，伴隨著“數(shù)字政府”的建設加快，政務系統(tǒng)的使用者身份也錯綜復雜。其中包括政務系統(tǒng)開發(fā)、運維、廠商、公務員等多種人員，其中不乏有“無意泄密者”，因非授權(quán)的肆意訪問、無意犯錯造成的數(shù)據(jù)泄漏和系統(tǒng)性災難的案例比比皆是。 3．單點失守全盤皆輸 傳統(tǒng)防火墻對網(wǎng)絡出入流量實行控制。當前VLAN技術是限制網(wǎng)絡訪問的小最單元，但無法限制端與端間的網(wǎng)絡通訊。另外，一旦黑客突破重重防護潛入了內(nèi)網(wǎng)，東西向流量尚未得到有效控制。即可以肆無忌憚地在內(nèi)網(wǎng)主機之間橫向擴散，借助資產(chǎn)共性弱點，惡意行為不易被發(fā)現(xiàn)，繼而導致單臺失陷感染全網(wǎng)的慘狀。 二、淺談微隔離技術 在網(wǎng)絡應用的初期，網(wǎng)絡上的主機彼此之間通訊是自由的，正常流量與惡意流量混雜在一起，給個人和企業(yè)帶來了巨大的安全隱患。第一代網(wǎng)絡安全解決方案“防火墻”為企業(yè)設置了網(wǎng)絡邊界，有效阻斷了惡意流量所帶來的網(wǎng)絡攻擊。 隨著企業(yè)信息化的發(fā)展，企業(yè)的網(wǎng)絡結(jié)構(gòu)變得越來越復雜，而防火墻作為硬件產(chǎn)品在這復雜的網(wǎng)絡環(huán)境下實施變得愈加困難。因此，Gartner在2015年首次提出微隔離的前身—軟件定義隔離（software-defined segmentation），通過構(gòu)建網(wǎng)絡的軟件定義分段實現(xiàn)了細粒度的流量管控。 而到了2018年，Gartner修改了更新了微隔離的定義，將流量可視化作為微隔離的起點，對當今企業(yè)復雜的網(wǎng)絡環(huán)境提供了顆粒化訪問控制，限制網(wǎng)絡攻擊在數(shù)據(jù)中心內(nèi)部的橫向移動。 過去企業(yè)往往將網(wǎng)絡安全的防護集中在網(wǎng)絡邊界，包括防火墻、網(wǎng)關、堡壘機、WAF等等，但對網(wǎng)絡內(nèi)部通訊的防護比較匱乏，致使惡意程序一旦進入內(nèi)網(wǎng)，便可在網(wǎng)內(nèi)主機之間任意穿梭。而微隔離技術，通過對安全域與安全域之間、主機與主機之間的通信進行管控，填補了企業(yè)東西向流量防護的空白。 現(xiàn)如今多數(shù)企業(yè)已針對網(wǎng)絡邊界層層防護。包括對網(wǎng)絡流量的協(xié)議、端口、IP地址、域名服務等均做了全面的管控，但對內(nèi)網(wǎng)主機間的網(wǎng)絡防護仍是管理空白。北信源通過微隔離技術手段，實現(xiàn)對主機間網(wǎng)絡的顆粒化管理，實現(xiàn)工作負載的動態(tài)防護。 高級威脅如今往往會在攻陷一臺主機后長期潛伏，伺機占領全網(wǎng)。而微隔離技術可以學習企業(yè)的正常流量，對異常流量進行告警和控制，最大程度的減少未知威脅對企業(yè)造成的影響。 傳統(tǒng)防火墻需要在業(yè)務與業(yè)務之間的網(wǎng)絡邊界配置硬件設施，同時也會改變企業(yè)的網(wǎng)絡拓撲結(jié)構(gòu)。而微隔離技術可以在不改變企業(yè)網(wǎng)絡拓撲也不需要添加硬件設備的前提下，實現(xiàn)網(wǎng)絡安全的顆粒化訪問控制，節(jié)約成本的同時提高了網(wǎng)絡環(huán)境整體的安全性。 三、北信源微隔離解決方案 北信源作為國內(nèi)終端安全領導者，憑借20余年的終端安全沉淀，通過北信源終端檢測與響應系統(tǒng)（EDR）提供企業(yè)級微隔離解決方案。按照業(yè)務分析、學習適應、漸進實施和持續(xù)優(yōu)化四步完成北信源微隔離解決方案的實施： 1．按需劃區(qū)緊貼企業(yè) 與客戶溝通網(wǎng)絡安全需求，分析企業(yè)信息資產(chǎn)各業(yè)務之間的關系。通過明確企業(yè)各業(yè)務的關聯(lián)關系和優(yōu)先級，建立業(yè)務圖譜，明確保障重點。梳理企業(yè)網(wǎng)絡環(huán)境中的終端，根據(jù)業(yè)務關系和優(yōu)先級為資產(chǎn)分區(qū)分域，為企業(yè)工作負載分組。識別未注冊資產(chǎn)，豐富資產(chǎn)信息，將業(yè)務圖譜映射到資產(chǎn)分組中。 2．有效隔離關鍵位置 將企業(yè)內(nèi)的資產(chǎn)按需劃分終端、服務器和共享資源三類角色，根據(jù)用途分類隔離。終端指用戶端，主要是供用戶使用的PC機。服務器指提供服務的業(yè)務系統(tǒng)，主要對外對內(nèi)提供信息化服務。共享資源指打印機、攝像頭、共享存儲等共享設備，可為終端和服務器提供公共資源。企業(yè)可根據(jù)資產(chǎn)角色設計隔離管控策略。當PC端某一資產(chǎn)失陷，可最大程度的保護共享資源及業(yè)務域安全運轉(zhuǎn)，降低了核心資源的影響面。 3．動態(tài)流量可視化呈現(xiàn) 北信源微隔離技術支持配置流量學習模型，根據(jù)資產(chǎn)分組學習業(yè)務正常流量，并通過流量可視化幫助管理員對現(xiàn)有的網(wǎng)絡協(xié)議和流量的識別，提高管控策略的配置的效率。學習資產(chǎn)分域和分組間流量的協(xié)議、端口和網(wǎng)絡地址，標記未注冊資產(chǎn)和學習模型之外的流量，在不斷學習中補完識別模型，最終實現(xiàn)對企業(yè)正常流量的全量識別。 4．多重模式降低影響 制定異常流量的阻斷策略往往容易影響隨業(yè)務需要變化的正常流量，所以需要漸進式的實施方式以求將不良影響控制到最小。通過學習模式、審計模式和工作模式的多模式切換，逐步驗證策略的可行性。先通過學習模式識別正常流量，不斷優(yōu)化學習模型；再通過審計模式配置告警策略，告警但不阻斷模型外流量；待告警策略驗證一段時間無誤后，最終將告警策略變更為阻斷策略更新到工作模式，實現(xiàn)真正異常流量的有效阻斷。 5．隔離規(guī)則持久優(yōu)化 由于企業(yè)的業(yè)務變化，企業(yè)的信息資產(chǎn)、網(wǎng)絡拓撲和通訊流量也在發(fā)生變化，因此，安全管理者對流量的管控策略也需要進行持續(xù)優(yōu)化。用戶可以通過流量可視化實時監(jiān)測當前流量管控實施成效，及時發(fā)現(xiàn)被意外阻斷的正常流量和未識別的異常流量，最小化對正常業(yè)務的影響，避免異常流量所帶來的惡意攻擊。同時，用戶也可以跟蹤業(yè)務變化，及時調(diào)整流量管控策略，使其符合當前業(yè)務的需要。 北信源EDR目前已經(jīng)通過了中國信通院的測評，是第一批入圍的廠家。公司將繼續(xù)開拓創(chuàng)新、自主研發(fā)，刻苦鉆研，提供更安全、更科學、更便捷的安全產(chǎn)品。 四、北信源深耕行業(yè) 銳意創(chuàng)新 北信源作為中國首批信息安全領域A股上市公司，中國信息安全龍頭企業(yè)，作為國家規(guī)劃布局內(nèi)的重點軟件企業(yè)，北信源多年來持續(xù)深耕網(wǎng)絡安全和終端安全，使公司從傳統(tǒng)的終端安全領導者逐步成為萬物互聯(lián)時代下智慧安全的全面解決方案提供商。經(jīng)過20多年的積累和沉淀，不斷創(chuàng)新與實踐，擁有自主知識產(chǎn)權(quán)的核心專利技術，產(chǎn)品和解決方案廣泛深入到各行業(yè)，同時加快培育新業(yè)態(tài)和新模式，形成“平臺、數(shù)據(jù)、應用、服務、安全”協(xié)同發(fā)展的格局。已獲業(yè)界和國家相關單位認可，成為國家網(wǎng)絡與信息安全信息通報中心技術支持單位、國家關鍵基礎設施信息安全保護的核心承擔單位之一。 據(jù)公開資料顯示，2021年，北信源入選第九屆CNCERT網(wǎng)絡安全應急服務支撐單位，為國家互聯(lián)網(wǎng)應急中心提供安全漏洞信息報送、網(wǎng)絡安全事件報送、重大安全事件響應、專項支撐、交流培訓等多個維度的應急服務支撐。同年，北信源率先參與加入“關鍵信息基礎設施安全保護風險治理框架體系”，并受邀入駐國家等級保護2.0與可信計算3.0攻關示范基地。 網(wǎng)絡安全關乎國家安全和公眾社會利益，未來，北信源將繼續(xù)加大技術投入，完善網(wǎng)絡安全防護體系，全面落實保護信息安全責任，為國家網(wǎng)絡安全護航！ 作者：趙勇
1．微隔離技術談古論今
2．彌補企業(yè)東西向流量防護空白
3．提供了顆粒化劃分網(wǎng)絡資源
4．阻止風險橫向蔓延擴大影響面
5．較少網(wǎng)絡安全方案實施成本
