■ 本報記者 胡鐫芮 沈建
為什么需要
網(wǎng)絡行為分析
近年來，全球許多大公司都將“法規(guī)遵從”列入了自己的工作議程中，其原因在于：全球的立法機關(guān)和政府部門為了應對網(wǎng)絡世界日益增多的各種安全威脅，都在不斷與時俱進，相應出臺了許多新的法規(guī)，比如美國出臺了《支付卡行業(yè)數(shù)據(jù)安全標準》、《薩班斯－奧克斯利法案》和《健康保險可攜性及責任性法案》等標準，中國政府出臺了信息安全等級保護條例、信息系統(tǒng)災難恢復指南標準，等等。這些標準與法規(guī)要求企業(yè)必須懂得數(shù)據(jù)如何得到安全的處理。企業(yè)不僅要保護網(wǎng)絡安全、信息安全，還要通過全面的報告機制來證明自己的網(wǎng)絡是安全的。
這些新標準的出臺，證明各國政府對信息安全的重視與積極應對的態(tài)度，但遺憾的是，這些標準中并沒有建議企業(yè)應該采取哪些具體的技術(shù)措施來幫助維護數(shù)據(jù)安全，這導致了各種安全技術(shù)的流行。
傳統(tǒng)安全措施
尚存不足
在PC和互聯(lián)網(wǎng)得到廣泛使用之前，公司網(wǎng)絡通常使用專有的協(xié)議和專用硬件來進行內(nèi)外網(wǎng)隔離。針對這種通過“黑盒子”方式提供安全的模式，黑客和病毒編寫者為了攻擊系統(tǒng)，不得不了解每個攻擊目標存在的各種安全漏洞。因此，黑客對目標的攻擊往往僅局限于單獨的系統(tǒng)，很難發(fā)動大規(guī)模的攻擊。而如今，我們生活在PC主導企業(yè)、互聯(lián)網(wǎng)是公司業(yè)務必要組成部分的大環(huán)境下，這種技術(shù)的一致性在創(chuàng)造了便利的同時，也為黑客、病毒編寫者及信息世界的其他不法分子提供了可乘之機。
一些安全應用軟件（如反病毒軟件）往往依靠特征引擎（signature engine）來識別威脅。特征引擎將產(chǎn)生的數(shù)據(jù)與病毒庫中已有病毒特征進行對比。如果特征引擎發(fā)現(xiàn)兩者匹配，那么它就會發(fā)出報警，或者采取某種措施來緩解威脅?；谔卣鞯耐{識別對付已知威脅非常有效，但在識別未知威脅方面效果有限，這就暴露了特征引擎模式存在的巨大缺陷。變通辦法是不斷更新病毒特征庫。但是在新威脅出現(xiàn)，反病毒軟件廠商努力開發(fā)出合適的特征代碼時，已經(jīng)存在明顯的時差了：不管停機還是被全面感染，用戶的網(wǎng)絡都可能面臨慘重損失。而且許多病毒和蠕蟲很容易偽裝和變種，這樣反病毒引擎在下一次特征更新之前很難發(fā)現(xiàn)它們。
傳統(tǒng)的安全產(chǎn)品歷來側(cè)重于保護網(wǎng)絡邊界，因此很多公司在網(wǎng)絡邊界上使用了防火墻，但遺憾的是，現(xiàn)實普遍的情況是，網(wǎng)絡的核心更不安全。因此，包括賽門鐵克在內(nèi)的很多安全產(chǎn)品提供商提出了端點防護的建議，端點安全似乎是堵住這種缺口的一種方法，但這種方法在大型網(wǎng)絡上很不方便，因為用戶往往有許多不同的應用，所以那些“一應俱全式”的單一桌面配置方法很難實現(xiàn)。更司空見慣的情況是，我們需要配置多個桌面及配置多個用戶文件，所以公司需要很多端點安全策略。
很多防火墻廠商在防火墻中添加了反病毒和基于特征的內(nèi)容過濾，但其效果也僅限于網(wǎng)絡邊界。大部分公司并沒有采用內(nèi)部防火墻來保護自己內(nèi)部網(wǎng)或廣域網(wǎng)（WAN）等其他專用的基礎架構(gòu)。即便使用了內(nèi)部防火墻，這些技術(shù)仍受到特征庫更新頻率和準確性的局限。
NBA彌補不足
而新出現(xiàn)的行為分析工具（NBA）則克服了這些傳統(tǒng)安全產(chǎn)品的不足。但它不是取代后者，而是后者一個很好的補充。NBA技術(shù)可收集及分析網(wǎng)絡中的數(shù)據(jù)，提供流量分析和網(wǎng)絡流報告。這是通過對流量信息運用統(tǒng)計算法來實現(xiàn)的。網(wǎng)絡探測程序歸類的流量異常情況常常被認為是攻擊的前兆。很容易從NetFlow或者sFlow數(shù)據(jù)流中識別主機或者端口偵測和掃描行為。比如，如果出現(xiàn)了一種未知蠕蟲，在它還沒有被傳統(tǒng)的入侵檢測/預防系統(tǒng)的特征識別出來之前，NBA系統(tǒng)則能立即識別這種蠕蟲不同尋常的流量模式，這種行為模式往往會尋找網(wǎng)絡上可以被感染的鄰近主機。NBA系統(tǒng)可以監(jiān)控這些行為，并且向網(wǎng)絡管理員發(fā)出報警。
NBA最吸引人的一項功能在于，它不再與網(wǎng)絡邊界聯(lián)系。一個NetFlow或者sFlow收集設備能同時監(jiān)控網(wǎng)絡上的多個內(nèi)部和邊界的節(jié)點。另外，NBA可與現(xiàn)有的身份管理解決方案融合在一起，把流量異常與相應的用戶名稱聯(lián)系起來，從而全面了解這個用戶的網(wǎng)絡活動。幾種解決方案的無縫集合不但滿足了法規(guī)遵從的要求，還能夠解析異常流量——一直到解析用戶名稱，而不是單單解析IP地址。這種機制還有可能實現(xiàn)雙向操作，那樣還可以通過解析用戶名稱來識別IP地址，從而確定可疑用戶遭遇的攻擊面。這無疑提高了故障排除能力，并且加快了補救與安全相關(guān)的問題。
NBA填補了防火墻和入侵檢測/預防系統(tǒng)（IDS/IPS）等靜態(tài)安全產(chǎn)品留下的空缺。防火墻只能執(zhí)行之前就存在的策略；IDS/IPS只能根據(jù)已知特征來檢測及阻止攻擊。NBA工具則可以不斷監(jiān)控及分析網(wǎng)絡流量，查出某個零日攻擊、已經(jīng)變成垃圾郵件發(fā)送工具的某臺客戶機、含有敏感信息并且試圖在凌晨3點連接到互聯(lián)網(wǎng)的某臺服務器等等。
Gartner公司的調(diào)研副總裁Paul Proctor表示：“NBA關(guān)注的是異常行為，但不一定表明它們是好的行動還是壞的行為。這樣一來，NBA算得上是用戶網(wǎng)絡安全的最后一道防線。我們預計，隨著企業(yè)不斷尋求新技術(shù)來填補自己在全方位監(jiān)控方面的空缺，企業(yè)對NBA的需求會不斷增長，這種趨勢會一直持續(xù)到2010年。”
