搜索

[13366] 2018-11-02_Gartner：2018年10大安全项目详解

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-11-02_Gartner：2018年10大安全项目详解 G a r t n e r ： 2 0 1 8 年 1 0 大 安 全 项 目 详 解 B e n n y   Y e   F r e e B u f   2 0 1 8 - 1 1 - 0 2 前 言 前 言 2 0 1 8 年 年 6 月 份 ， 一 年 一 度 的 月 份 ， 一 年 一 度 的 G a r t n e r 安 全 与 风 险 管 理 峰 会 上 ， 知 名 分 析 师 安 全 与 风 险 管 理 峰 会 上 ， 知 名 分 析 师 N e i l   M c d o n a l d 发 布 了 发 布 了 2 0 1 8 年 度 的 十 大 年 度 的 十 大 安 全 项 目 （ 安 全 项 目 （ T o p   1 0   S e c u r i t y   P r o j e c t s ） 。 ） 。 在 之 前 的 几 年 里 ， 在 之 前 的 几 年 里 ， G a r t n e r 一 直 做 的 是 一 直 做 的 是 1 0 大 顶 级 技 术 （ 大 顶 级 技 术 （ T o p   N e w   a n d   C o o l   T e c h n o l o g i e s ） 的 发 布 ， 更 多 关 注 是 ） 的 发 布 ， 更 多 关 注 是 新 兴 的 产 品 化 技 术 和 即 将 大 规 模 应 用 的 技 术 。 推 出 这 些 顶 级 技 术 的 目 的 也 是 供 客 户 方 的 信 息 安 全 主 管 们 作 为 当 新 兴 的 产 品 化 技 术 和 即 将 大 规 模 应 用 的 技 术 。 推 出 这 些 顶 级 技 术 的 目 的 也 是 供 客 户 方 的 信 息 安 全 主 管 们 作 为 当 年 安 全 投 资 建 设 的 推 荐 参 考 。 年 安 全 投 资 建 设 的 推 荐 参 考 。 * * 一 、 概 述 一 、 概 述 2 0 1 8 年 “ 十 大 安 全 技 术 ” 换 成 了 “ 十 大 安 全 项 目 ” ， 所 为 何 故 ？ 我 个 人 的 理 解 ： 今 年 “ 十 大 安 全 项 目 ” 的 叫 法 更 加 符 合 客 户 视 角 ， 而 且 更 加 强 调 对 客 户 而 言 具 有 很 高 优 先 级 的 技 术 。 也 就 是 说 ， 也 许 有 些 项 目 涉 及 的 技 术 不 一 定 是 最 新 最 酷 的 技 术 ， 但 对 客 户 而 言 是 特 别 有 助 于 降 低 安 全 风 险 的 技 术 。 如 此 一 来 ， 十 大 安 全 项 目 考 察 的 技 术 点 就 要 比 十 大 安 全 技 术 更 广 泛 ， 更 加 客 户 视 角 。 根 据 G a r t n e r 自 己 的 说 明 ， 给 出 了 选 取 十 大 安 全 项 目 的 方 式 。 首 先 ， 假 定 客 户 已 经 具 备 了 相 当 的 安 全 基 础 。 如 果 连 这 些 基 础 都 没 有 达 到 ， 那 么 也 就 不 要 去 追 求 什 么 十 大 安 全 首 先 ， 假 定 客 户 已 经 具 备 了 相 当 的 安 全 基 础 。 如 果 连 这 些 基 础 都 没 有 达 到 ， 那 么 也 就 不 要 去 追 求 什 么 十 大 安 全 项 目 ， 乃 至 十 大 安 全 技 术 了 。 这 些 基 础 包 括 ： 项 目 ， 乃 至 十 大 安 全 技 术 了 。 这 些 基 础 包 括 ： 1 ） 已 经 有 了 较 为 先 进 的 E P P （ 端 点 保 护 平 台 ） ， 具 备 诸 如 无 文 件 恶 意 代 码 检 测 、 内 存 注 入 保 护 和 机 器 学 习 的 功 能 ；
2 ） 已 经 做 好 了 基 本 的 W i n d o w s 账 户 管 理 工 作 ； 3 ） 已 经 有 了 I A M ； 4 ） 有 了 常 规 化 的 补 丁 管 理 ； 5 ） 已 经 有 了 标 准 化 的 服 务 器 / 云 工 作 负 载 保 护 平 台 代 理 ； 6 ） 具 备 较 为 强 健 的 反 垃 圾 邮 件 能 力 ； 7 ） 部 署 了 某 种 形 式 的 S I E M 或 者 日 志 管 理 解 决 方 案 ， 具 有 基 本 的 检 测 / 响 应 能 力 ； 8 ） 建 立 了 备 份 / 恢 复 机 制 ； 9 ） 有 基 本 的 安 全 意 识 培 训 ； 1 0 ） 具 备 基 本 的 互 联 网 出 口 边 界 安 全 防 护 能 力 ， 包 括 U R L 过 滤 能 力 ； 没 错 ， 对 于 客 户 而 言 ， 上 面 1 0 个 技 术 和 能 力 更 为 基 础 ， 优 先 级 更 高 ， 如 果 上 述 能 力 都 有 欠 缺 ， 先 别 轻 易 考 虑 什 么 十 大 安 全 项 目 ！ 其 次 ， 针 对 1 0 大 项 目 的 选 取 也 比 较 强 调 新 （ 客 户 采 用 率 低 于 5 0 % ） ， 同 时 又 必 须 是 已 经 落 地 的 ， 而 且 又 不 能 太 过 复 杂 （ 是 P r o j e c t 级 别 而 非 P r o g r a m 级 别 ） 【 注 ： 要 区 别 p o r t f o l i o （ 项 目 组 合 ） ,   p r o g r a m （ 项 目 集 ） ,   p r o j e c t （ 项 目 ） 三 种 项 目 间 的 关 系 】 。 最 后 ， 选 取 的 技 术 必 须 是 能 够 最 大 程 度 上 降 低 客 户 风 险 的 ， 且 付 出 是 相 对 经 济 的 ， 必 须 是 符 合 数 字 时 代 发 展 潮 流 的 ， 符 合 G a r t n e r 自 己 的 C A R T A （ 持 续 自 适 应 风 险 与 信 任 评 估 ） 方 法 论 的 。 基 于 上 述 所 有 前 提 假 定 ， 基 于 上 述 所 有 前 提 假 定 ， G a r t n e r 给 出 了 给 出 了 2 0 1 8 年 的 年 的 1 0 大 安 全 项 目 ： 大 安 全 项 目 ： P r i v i l e g e d   A c c o u n t   M a n a g e m e n t   P r o j e c t ： 特 权 账 户 管 理 项 目 C A R T A - I n s p i r e d   V u l n e r a b i l i t y   M a n a g e m e n t   P r o j e c t ： 符 合 C A R T A 方 法 论 的 弱 点 管 理 项 目 A c t i v e   A n t i - P h i s h i n g   P r o j e c t ： 积 极 的 反 钓 鱼 项 目 A p p l i c a t i o n   C o n t r o l   o n   S e r v e r   W o r k l o a d s   P r o j e c t ： 服 务 器 工 作 负 载 的 应 用 控 制 项 目 M i c r o s e g m e n t a t i o n   a n d   F l o w   V i s i b i l i t y   P r o j e c t ： 微 隔 离 和 流 可 见 性 项 目 D e t e c t i o n   a n d   R e s p o n s e   P r o j e c t ： 检 测 和 响 应 项 目 ， 包 括 E P P + E D R 、 U E B A 、 欺 骗 三 种 技 术 方 向 和 M D R 服 务 C l o u d   S e c u r i t y   P o s t u r e   M a n a g e m e n t   ( C S P M )   P r o j e c t ： 云 安 全 配 置 管 理 项 目 A u t o m a t e d   S e c u r i t y   S c a n n i n g   P r o j e c t ： 自 动 化 安 全 扫 描 项 目 ， 尤 其 是 开 源 软 件 成 份 分 析 C A S B   P r o j e c t ： C A S B 项 目 ， 包 括 云 应 用 发 现 、 自 适 应 访 问 、 敏 感 数 据 发 现 与 保 护 三 个 子 方 向 S o f t w a r e - D e f i n e d   P e r i m e t e r   P r o j e c t ： 软 件 定 义 边 界 项 目 对 比 一 下 近 些 年 对 比 一 下 近 些 年 G a r t n e r 的 的 1 0 大 安 全 技 术 大 安 全 技 术 / 项 目 如 下 表 所 示 ： 项 目 如 下 表 所 示 ： 2 0 1 4 年 年 2 0 1 6 年 年 2 0 1 7 年 年 2 0 1 8 年 年 I A M 自 适 应 访 问 控 制 特 权 账 户 管 理 P A M 端 点 安 全 端 点 安 全 端 点 检 测 与 响 应 E D R 端 点 检 测 与 响 应 E D R 端 点 检 测 与 响 应 E D R 基 于 非 签 名 方 法 的 端 点 防 御 技 术
服 务 器 工 作 负 载 的 应 用 控 制 云 安 全 云 安 全 软 件 定 义 的 安 全 S D S 软 件 定 义 边 界 S D P 软 件 定 义 边 界 S D P 云 访 问 安 全 代 理 C A S B 云 访 问 安 全 代 理 C A S B 云 访 问 安 全 代 理 C A S B 云 访 问 安 全 代 理 C A S B 微 隔 离 微 隔 离 微 隔 离 云 工 作 负 载 保 护 平 台 C W P P 容 器 安 全 云 安 全 配 置 管 理 C S P M 应 用 安 全 应 用 安 全 交 互 式 应 用 安 全 测 试 D e v O p s 的 安 全 测 试 技 术 面 向 D e v S e c O p s 的 运 营 支 撑 系 统 （ O S S ） 安 全 扫 描 与 软 件 成 分 分 析 安 全 运 营 安 全 运 营 大 数 据 安 全 分 析 技 术 是 下 一 代 安 全 平 台 的 核 心 情 报 驱 动 的 安 全 运 营 中 心 及 编 排 解 决 方 案 技 术 可 管 理 检 测 与 响 应 M D R 弱 点 管 理 网 络 安 全 网 络 安 全 遏 制 与 隔 离 将 作 为 基 础 的 安 全 策 略 远 程 浏 览 器 远 程 浏 览 器 欺 骗 技 术 欺 骗 技 术 检 测 与 响 应 之 欺 骗 技 术 网 络 流 量 分 析 N T A 机 器 可 识 别 的 威 胁 情 报 （ 包 括 信 誉 服 务 ） 沙 箱 普 遍 化 用 户 和 实 体 行 为 分 析 U E B A 检 测 与 响 应 之 U E B A 积 极 反 钓 鱼 I o T 针 对 物 联 网 的 安 全 网 关 、 代 理 和 防 火 墙 普 适 信 任 服 务 2 0 1 4 年 年 2 0 1 6 年 年 2 0 1 7 年 年 2 0 1 8 年 年 G a r t n e r 历 年 评 选 的 顶 级 技 术 / 项 目 对 比 分 析 通 过 分 析 比 较 ， 不 难 发 现 ， 和 2 0 1 7 年 度 的 1 1 大 安 全 技 术 （ 参 见 我 写 的 《 G a r t n e r 2 0 1 7 年 十 大 安 全 技 术 解 读 》 ） 相 比 ， 差 别 其 实 不 大 ， 大 部 分 2 0 1 7 年 的 顶 级 技 术 都 保 留 了 ， 有 的 更 加 细 化 了 ， 同 时 增 加 了 几 项 算 不 上 先 进 但 对 客 户 而 言 更 为 迫 切 的 几 个 技 术 ， 包 括 P A M 、 弱 点 管 理 （ V M ） 、 反 钓 鱼 。 同 时 ， 这 些 项 目 也 不 是 对 每 个 客 户 都 具 备 同 等 的 急 迫 性 ， 不 同 客 户 还 需 要 根 据 自 身 的 情 况 进 行 取 舍 ， 有 所 关 注 。 此 外 ， 细 心 的 人 可 能 还 会 发 现 ， 居 然 没 有 现 在 大 热 的 数 据 安 全 项 目 ？ 的 确 ， G a r t n e r   1 0 大 安 全 项 目 中 没 有 明 确 以 数 据 安 全 为 大 标 题 的 项 目 ， 不 过 在 多 个 项 目 中 都 提 及 了 数 据 安 全 ， 譬 如 在 C A S B 项 目 中 建 议 优 先 考 虑 处 理 数 据 安 全 问 题 ， P A M 也 跟 数 据 安 全 有 关 系 。 另 外 ， 我 感 觉 数 据 安 全 是 一 个 十 分 庞 大 的 题 目 ， 不 可 能 用 几 个 P r o j e c t 来 达 成 ， 起 码 也 要 是 P r o g r a m 级 别 的 。 期 待 以 后 N e i l 对 数 据 安 全 更 加 重 视 起 来 吧 。 特 别 需 要 指 出 的 是 ， 虽 说 叫 1 0 大 安 全 项 目 ， 但 是 “ 检 测 与 响 应 项 目 ” 其 实 包 括 了 四 个 子 项 目 ， 分 别 是 E P P + E D R ， U E B A 、 欺 骗 技 术 和 M D R （ 可 管 理 检 测 与 响 应 ） 服 务 。 因 此 ， 如 果 展 开 来 说 ， 其 实 不 止 1 0 个 项 目 ， 只 是 为 了 “ 凑 个 1 0 ” 。 二 、 十 大 安 全 项 目 解 析 二 、 十 大 安 全 项 目 解 析 接 下 来 ， 我 们 逐 一 解 析 一 下 1 0 大 项 目 ， 对 于 2 0 1 7 年 就 出 现 过 的 ， 还 可 以 参 见 我 去 年 写 的 《 G a r t n e r 2 0 1 7 年 十 大 安 全 技 术 解 读 》 ， 内 涵 基 本 没 有 什 么 变 化 。 注 意 ， 配 合 1 0 大 项 目 的 发 布 ， G a r t n e r 官 方 发 布 了 一 篇 文 章 （ 参 见 h t t p s : / / w w w . g a r t n e r . c o m / s m a r t e r w i t h g a r t n e r / g a r t n e r - t o p - 1 0 - s e c u r i t y - p r o j e c t s - f o r - 2 0 1 8 / ） ， 而 G a r t n e r 中 国 也 发 布 了 中 文 译 文 — — 《 G a r t n e r 遴 选 出 2 0 1 8 十 大 安 全 项 目 》 。 不 过 ， 最 初 G a r t n e r 官 方 新 闻 稿 中 编 辑 将 E D R 缩 写 的 指 代 英 文 全 称 写 错 了 ， 导 致 很 多 中 文 译 文 也 都 跟 着 错 了 ， 并 且 G a r t n e r 的 中 文 译 文 将 M D R 这 个 缩 写 也 翻 译 错 误 了 。 此 外 ， G a r t n e r 中 国 刊 载 的 中 文 译 文 也 有 不 少 其 它 错 误 ， 主 要 是 对
多 个 专 业 英 文 缩 写 所 代 表 的 专 业 术 语 翻 译 错 误 和 不 准 确 ， 一 些 专 业 语 句 由 于 缺 乏 知 识 背 景 翻 译 错 误 。 譬 如 D e c e p t i o n 不 应 该 翻 译 为 “ 欺 诈 ” ， 而 应 该 叫 做 “ 欺 骗 ” ， 因 为 我 们 要 从 正 面 角 度 解 读 这 个 词 。 而 M F A 、 C W P P 、 E D R 、 M D R 、 U E B A 、 C A S B 、 S D P 也 都 有 其 专 业 的 称 呼 。 对 此 ， 我 当 时 就 已 经 告 知 G a r t n e r 中 国 ， 并 提 出 了 9 点 改 进 建 议 。 后 来 ， G a r t n e r 美 国 官 网 的 错 误 改 正 过 来 了 ， 但 G a r t n e r 中 国 的 那 篇   中 文 译 文 的 微 信 公 众 号 文 章 却 一 直 保 留 着 那 些 错 误 。 因 此 ， 在 下 面 的 解 析 内 容 中 我 首 先 都 会 将 官 网 上 的 内 容 （ 包 括 项 目 目 标 客 户 和 项 目 提 示 两 个 部 分 ） 重 新 翻 译 一 遍 ， 然 后 再 做 具 体 解 读 。 2 . 1   特 权 账 户 管 理 项 目 特 权 账 户 管 理 项 目 【 项 目 目 标 客 户 】 该 项 目 旨 在 让 攻 击 者 更 难 访 问 特 权 账 户 ， 并 让 安 全 团 队 监 测 到 异 常 访 问 的 行 为 。 最 低 限 度 ， C I S O 们 应 该 要 求 对 所 有 管 理 员 实 施 强 制 多 因 素 认 证 ， 建 议 同 时 也 对 承 包 商 等 外 部 第 三 方 的 访 问 实 施 强 制 多 因 素 认 证 。 【 项 目 建 议 】 先 对 高 价 值 、 高 风 险 的 系 统 实 施 P A M ， 监 控 对 其 的 访 问 行 为 。 P A M 工 具 为 组 织 的 关 键 资 产 提 供 安 全 的 特 权 访 问 ， 以 符 合 对 特 权 账 号 及 其 访 问 的 监 控 管 理 合 规 需 求 。 P A M 通 常 具 备 以 下 功 能 ： 1 ） 对 特 权 账 号 的 访 问 控 制 功 能 ， 包 括 共 享 账 号 和 应 急 账 号 ； 2 ） 监 控 、 记 录 和 审 计 特 权 访 问 操 作 、 命 令 和 动 作 ； 3 ） 自 动 地 对 各 种 管 理 类 、 服 务 类 和 应 用 类 账 户 的 密 码 及 其 它 凭 据 进 行 随 机 化 、 管 理 和 保 管 ； 4 ） 为 特 权 指 令 的 执 行 提 供 一 种 安 全 的 单 点 登 录 （ S S O ） 机 制 ； 5 ） 委 派 、 控 制 和 过 滤 管 理 员 所 能 执 行 的 特 权 操 作 ； 6 ） 隐 藏 应 用 和 服 务 的 账 户 ， 让 使 用 者 不 用 掌 握 这 些 账 户 实 际 的 密 码 ； 7 ） 具 备 或 者 能 够 集 成 高 可 信 认 证 方 式 ， 譬 如 集 成 M F A 。 很 显 然 ， 虽 然 国 内 谈 P A M 很 少 ， 但 实 际 上 早 已 大 量 运 用 ， 其 实 就 对 应 我 们 国 内 常 说 的 堡 垒 机 。 G a r t n e r 将 将 P A M 工 具 分 为 两 类 ： 工 具 分 为 两 类 ： P A S M （ 特 权 账 户 和 会 话 管 理 ） 和 （ 特 权 账 户 和 会 话 管 理 ） 和 P E D M （ 权 限 提 升 与 委 派 管 理 ） 。 如 下 图 所 （ 权 限 提 升 与 委 派 管 理 ） 。 如 下 图 所 示 ： 示 ： 显 然 ， P A S M 一 般 对 应 那 个 堡 垒 机 逻 辑 网 关 ， 实 现 单 点 登 录 ， 集 中 的 访 问 授 权 与 控 制 ， 设 备 系 统 密 码 代 管 、 会 话 管 理 、 对 操 作 的 审 计 （ 录 像 ） 。 P E D M 则 主 要 通 过 分 散 的 A g e n t 来 实 现 访 问 授 权 与 控 制 ， 以 及 操 作 过 滤 和 审 计 。 国 内 的 堡 垒 机 一 般 都 没 有 采 用 这 种 技 术 模 式 。 G a r t n e r 分 析 未 来 分 析 未 来 P A M 的 技 术 发 展 趋 势 包 括 ： 的 技 术 发 展 趋 势 包 括 ：
1 ） 支 持 特 权 任 务 自 动 化 ， 多 个 操 作 打 包 自 动 化 执 行 ； 2 ） 将 P A M 用 于 D e v O p s ， 让 D e v O p s 更 安 全 更 便 捷 ； 3 ） 支 持 容 器 ； 4 ） 支 持 I a a S / P a a S 和 虚 拟 化 环 境 ； 5 ） 以 云 服 务 的 形 式 交 付 P A M ； 6 ） 特 权 访 问 操 作 分 析 ， 就 是 对 堡 垒 机 日 志 进 行 分 析 ， 可 以 用 到 U E B A 技 术 ； 7 ） 与 漏 洞 管 理 相 结 合 ； 8 ） 系 统 和 特 权 账 户 发 现 ； 9 ） 特 权 身 份 治 理 与 管 理 。 G a r t n e r 列 出 了 评 价 列 出 了 评 价 P A M 的 几 个 关 键 衡 量 指 标 ： 的 几 个 关 键 衡 量 指 标 ： １ ） 环 境 支 持 的 情 况 ， 是 否 支 持 云 环 境 ？ ２ ） 具 备 P A S M 和 P E D M 功 能 ， 具 有 录 像 功 能 ； ３ ） 提 供 完 备 的 A P I 以 便 进 行 自 动 化 集 成 ； ４ ） 具 备 自 然 人 ／ 非 自 然 人 的 账 号 管 理 功 能 。 在 G a r t n e r 的 2 0 1 8 年 I A M 技 术 H y p e   C y c l e 中 ， P A M 处 于 早 期 主 流 阶 段 ， 正 在 向 成 熟 的 平 原 迈 进 。 国 内 堡 垒 机 已 经 发 展 好 多 年 了 ， 本 人 早 些 年 也 负 责 过 这 块 业 务 。 国 外 P A M 也 趋 于 成 熟 ， G a r t n e r 估 计 2 0 1 6 年 全 球 P A M 市 场 达 到 了 9 亿 美 元 ， 市 场 并 购 也 比 较 频 繁 。 G a r t n e r 对 中 国 的 P A M 市 场 了 解 甚 少 ， 没 有 什 么 研 究 ， 这 里 我 也 建 议 国 内 的 堡 垒 机 领 导 厂 商 可 以 主 动 联 系 G a r t n e r ， 让 他 们 更 多 地 了 解 中 国 的 P A M 市 场 。 2 . 2   符 合 符 合 C A R T A 方 法 论 的 弱 点 管 理 项 目 方 法 论 的 弱 点 管 理 项 目 【 项 目 目 标 客 户 】 基 于 C A R T A 方 法 论 ， 该 项 目 能 够 很 好 地 处 理 漏 洞 管 理 问 题 ， 并 有 助 于 显 著 降 低 潜 在 风 险 。 在 补 丁 管 理 流 程 中 断 ， 以 及 I T 运 维 的 速 度 赶 不 上 漏 洞 增 长 的 速 度 时 ， 可 以 考 虑 该 项 目 。 你 无 法 打 上 每 个 补 丁 ， 但 你 可 以 通 过 风 险 优 先 级 管 理 显 著 降 低 风 险 。 【 项 目 建 议 】 要 求 你 的 虚 拟 助 手 ／ 虚 拟 机 供 应 商 提 供 该 能 力 （ 如 果 客 户 已 经 上 云 ／ 虚 拟 化 的 话 ） ， 并 考 虑 使 用 风 险 缓 解 措 施 ， 譬 如 上 防 火 墙 、 I P S 、 W A F 等 等 。 注 意 ， 弱 点 管 理 不 是 弱 点 评 估 。 弱 点 评 估 对 应 我 们 熟 知 的 弱 点 扫 描 工 具 ， 包 括 系 统 漏 扫 、 w e b 漏 扫 、 配 置 核 查 、 代 码 扫 描 等 。 而 弱 点 管 理 是 在 弱 点 评 估 工 具 之 上 ， 收 集 这 些 工 具 所 产 生 的 各 类 弱 点 数 据 ， 进 行 集 中 整 理 分 析 ， 并 辅 以 情 境 数 据 （ 譬 如 资 产 、 威 胁 、 情 报 等 ） ， 进 行 风 险 评 估 ， 并 帮 助 安 全 管 理 人 员 进 行 弱 点 全 生 命 周 期 管 理 的 平 台 。 记 住 ， 弱 点 管 理 是 平 台 ， 而 弱 点 扫 描 是 工 具 。 另 外 ， V u l n e r a b i l i t y   M a n a g e m e n t 我 一 直 称 作 “ 弱 点 管 理 ” ， 而 不 是 “ 漏 洞 管 理 ” ， 是 因 为 弱 点 包 括 漏 洞 ， 还 包 括 弱 配 置 ！ 如 果 你 认 为 V u l n e r a b i l i t y 应 该 叫 做 漏 洞 ， 那 也 没 关 系 ， 但 不 要 把 弱 配 置 落 掉 。 那 么 ， 什 么 叫 做 基 于 C A R T A 的 弱 点 管 理 呢 ？ 熟 悉 C A R T A 就 能 明 白 ， 本 质 上 C A R T A 就 是 以 风 险 为 核 心 一 套 安 全 方 法 论 。 因 此 ， 基 于 C A R T A 的 弱 点 管 理 等 价 于 基 于 风 险 的 弱 点 管 理 。 基 于 风 险 的 管 理 是 一 个 不 断 迭 代 提 升 的 过 程 ， 包 括 弱 点 发 现 、 弱 点 优 先 级 排 序 、 弱 点 补 偿 控 制 三 个 阶 段 ， 如 下 图 所 示 ：
作 为 排 名 第 二 位 的 项 目 ， G a r t n e r 建 议 尽 快 启 动 ， 尽 早 降 低 组 织 面 临 的 风 险 。 G a r t n e r 对 基 于 C A R T A 方 法 论 的 V M 的 衡 量 指 标 包 括 ： １ ） 是 否 有 情 境 信 息 ， 谁 收 到 攻 击 ？ 不 仅 是 I P ， 而 是 他 的 情 境 信 息 都 需 要 ， 以 便 全 面 评 估 ； ２ ） 能 否 算 出 资 产 的 业 务 价 值 ？ ３ ） 能 否 绘 制 网 络 拓 扑 ， 给 出 缓 解 措 施 ？ ４ ） 把 V A （ 漏 洞 评 估 ） 和 漏 洞 管 理 一 并 考 虑 ， 譬 如 集 成 V A 工 具 目 前 在 国 内 一 般 有 两 类 弱 点 管 理 产 品 ， 一 类 是 单 一 的 弱 点 管 理 产 品 ， 属 于 轻 量 级 的 弱 点 管 理 平 台 ， 更 多 具 有 工 具 的 使 用 特 点 ， 管 理 类 功 能 相 对 较 为 简 单 。 还 有 一 类 是 作 为 S O C / 安 管 平 台 的 一 个 组 成 部 分 ， 具 有 较 为 完 备 的 平 台 功 能 ， 并 具 备 风 险 计 算 功 能 ， 把 漏 洞 管 理 的 流 程 和 其 它 S O C 运 维 流 程 整 合 到 一 起 。 2 . 3   积 极 的 反 钓 鱼 项 目 积 极 的 反 钓 鱼 项 目 【 项 目 目 标 客 户 】 该 项 目 瞄 准 那 些 至 今 依 然 有 员 工 遭 受 成 功 网 络 钓 鱼 攻 击 的 组 织 。 他 们 需 要 采 用 一 个 三 管 齐 下 的 策 略 ， 即 同 时 进 行 技 术 控 制 、 终 端 用 户 控 制 和 流 程 重 构 。 使 用 技 术 控 制 措 施 尽 可 能 多 地 阻 断 钓 鱼 攻 击 ， 同 时 需 要 终 端 使 用 用 户 积 极 成 为 防 御 体 系 中 的 一 环 。 【 项 目 建 议 】 不 要 点 名 批 评 那 些 没 有 做 到 位 的 部 门 或 者 个 人 ， 而 应 该 大 张 旗 鼓 的 宣 传 那 些 做 得 得 当 的 行 为 。 应 该 去 询 问 你 的 邮 件 安 全 供 应 商 能 否 承 担 这 个 项 目 。 如 果 不 能 ， 为 什 么 ？ （ 注 ： 言 下 之 意 ， 邮 件 安 全 供 应 商 应 该 具 有 这 样 的 能 力 ， 否 则 就 不 合 格 ） G a r t n e r 认 为 近 几 年 内 ， 网 络 钓 鱼 （ 不 论 是 邮 件 钓 鱼 还 是 网 页 钓 鱼 ） 依 然 会 是 A P T 攻 击 的 最 经 典 方 式 ， 也 会 是 面 向 C 端 用 户 的 普 遍 性 攻 击 方 法 。 网 络 钓 鱼 一 种 普 遍 存 在 的 高 影 响 性 威 胁 ， 他 通 过 社 交 工 程 来 实 现 对 个 人 和 企 业 资 产 的 非 法 访 问 。 尤 其 是 邮 件 钓 鱼 十 分 猖 獗 ， 并 还 有 不 断 上 升 的 势 头 。 尽 管 已 经 涌 现 了 不 少 应 对 技 术 ， 但 效 果 仍 不 显 著 。 从 技 术 上 看 ， 产 生 钓 鱼 的 因 素 十 分 复 杂 ， 并 且 跟 企 业 和 个 人 信 息 泄 露 密 切 相 关 ， 很 难 从 单 一 维 度 进 行 阻 断 。 因 此 ， G a r t n e r 提 出 了 要 进 行 综 合 治 理 的 说 法 ， 需 要 运 用 技 术 、 人 和 流 程 相 结 合 的 手 段 。 G a r t n e r 给 出 的 综 合 治 理 建 议 如 下 ： 1 ） 在 ） 在 S E G （ 安 全 邮 件 网 关 ） 上 加 载 高 级 威 胁 防 御 技 术 （ 安 全 邮 件 网 关 ） 上 加 载 高 级 威 胁 防 御 技 术 最 典 型 的 就 是 集 成 U R L 过 滤 技 术 。 U R L 过 滤 必 须 支 持 点 击 时 U R L 过 滤 分 析 （ t i m e - o f - c l i c k   U R L   f i l t e r i n g ） 和 使 用 代 理 的 U R L 过 滤 分 析 ， 因 为 很 多 恶 意 U R L 都 是 在 用 户 双 击 后 动 态 产 生 的 ， 还 有 的 U R L 外 面 包 了 代 理 。 这 些 都 增 加 了 过 滤 的 难 度 。 其 次 是 集 成 网 络 沙 箱 ， 这 类 技 术 已 经 较 为 成 熟 ， 但 用 到 S E G 上 ， 性 能 是 一 个 问 题 ， 并 且 沙 箱 逃 逸 开 始 出 现 。 更 高 级 的 是 针 对 邮 件 中 的 附 件 文 件 进 行 C D R （ c o n t e n t   d i s a r m   a n d   r e c o n s t r u c t i o n ， 内 容 拆 解 与 重 建 ） 。 这 种 技 术 会 实 时 地 把 文 件 分 拆 为 不 同 的 组 成 部 分 ， 然 后 剥 去 任 何 不 符 合 文 件 原 始 规 范 的 内 容 ， 再 重 新 把 文 件 的 不 同 部 分 组 合 起 来 ， 形 成 一 个 “ 干 净 ” 的 版 本 ， 继 续 将 它 传 到 目 的 地 ， 而 不 影 响 业 务 。 这 里 的 C D R 最 核 心 的 工 作 就 是 对 文 件 进 行 清 洗 ， 譬 如 去 掉 宏 、 去 掉 j s 脚 本 等 等 嵌 入 式 代 码 。 这 种 技 术 性 能 还 不 错 ， 但 可 能 会 清 洗 掉 合 法 的 动 态 脚 本 ， 导 致 文 件 不 可 用 。 因
此 G a r t n e r 建 议 一 方 面 快 速 C D R 清 洗 后 发 给 用 户 ， 另 一 方 面 继 续 跑 沙 箱 ， 如 果 没 问 题 再 追 发 原 始 文 件 给 用 户 。 当 然 ， 钓 鱼 手 段 远 不 止 于 此 ， 譬 如 无 载 荷 的 钓 鱼 攻 击 。 因 此 ， 还 有 很 多 细 节 需 要 考 虑 。 2 ） 不 要 仅 仅 依 靠 密 码 来 进 行 认 证 ， 要 采 用 更 安 全 的 认 证 机 制 ， 尤 其 针 对 高 价 值 的 系 统 和 高 敏 感 用 户 。 ） 不 要 仅 仅 依 靠 密 码 来 进 行 认 证 ， 要 采 用 更 安 全 的 认 证 机 制 ， 尤 其 针 对 高 价 值 的 系 统 和 高 敏 感 用 户 。 3 ） 使 用 反 钓 鱼 行 为 管 控 （ ） 使 用 反 钓 鱼 行 为 管 控 （ A P B M ） 技 术 ） 技 术 这 类 技 术 聚 焦 员 工 的 行 为 管 控 和 矫 正 ， 通 常 作 为 安 全 意 识 教 育 与 培 训 的 辅 助 手 段 。 这 类 产 品 会 发 起 模 拟 的 钓 鱼 攻 击 ， 然 后 根 据 被 测 员 工 的 行 为 反 馈 来 对 其 进 行 教 育 和 矫 正 。 目 前 这 种 技 术 主 要 以 服 务 的 方 式 交 付 给 客 户 。 4 ） 强 化 内 部 流 程 管 控 。 如 前 所 述 ， 有 些 无 载 荷 钓 鱼 ， 包 括 一 些 社 交 工 程 的 鱼 叉 式 精 准 钓 鱼 ， 引 诱 收 件 人 透 露 账 ） 强 化 内 部 流 程 管 控 。 如 前 所 述 ， 有 些 无 载 荷 钓 鱼 ， 包 括 一 些 社 交 工 程 的 鱼 叉 式 精 准 钓 鱼 ， 引 诱 收 件 人 透 露 账 号 密 码 或 者 敏 感 信 息 于 无 形 。 这 些 都 是 技 术 手 段 所 不 能 及 的 ， 需 要 对 关 键 流 程 进 行 重 新 梳 理 ， 加 强 管 控 。 号 密 码 或 者 敏 感 信 息 于 无 形 。 这 些 都 是 技 术 手 段 所 不 能 及 的 ， 需 要 对 关 键 流 程 进 行 重 新 梳 理 ， 加 强 管 控 。 G a r t n e r 给 客 户 的 其 它 建 议 还 包 括 ： 1 ） 要 求 邮 件 安 全 供 应 商 提 供 反 钓 鱼 功 能 ； 2 ） 确 保 合 作 伙 伴 也 实 施 了 反 钓 鱼 防 护 ； 3 ） 正 面 管 理 ， 而 不 是 相 反 ； 4 ） 考 虑 与 远 程 浏 览 器 隔 离 技 术 结 合 使 用 （ 远 程 浏 览 器 是 G a r t n e r   2 0 1 7 年 1 0 大 安 全 技 术 ） 。 2 . 4   服 务 器 工 作 负 载 的 应 用 控 制 项 目 服 务 器 工 作 负 载 的 应 用 控 制 项 目 【 项 目 目 标 客 户 】 该 项 目 适 合 那 些 希 望 对 服 务 器 工 作 负 载 实 施 零 信 任 或 默 认 拒 绝 策 略 的 组 织 。 该 项 目 使 用 应 用 控 制 机 制 来 阻 断 大 部 分 不 在 白 名 单 上 的 恶 意 代 码 。 N e i l 认 为 这 是 用 中 十 分 强 的 的 安 全 策 略 ， 并 被 证 明 能 够 有 效 抵 御 S p e c t r e 和 M e l d o w n 攻 击 。 【 项 目 建 议 】 把 应 用 控 制 白 名 单 技 术 跟 综 合 内 存 保 护 技 术 结 合 使 用 。 该 项 目 对 于 物 联 网 项 目 或 者 是 不 在 被 供 应 商 提 供 保 护 支 持 的 系 统 特 别 有 用 。 应 用 控 制 也 称 作 应 用 白 名 单 ， 作 为 一 种 成 熟 的 端 点 保 护 技 术 ， 不 仅 可 以 针 对 传 统 的 服 务 器 工 作 负 载 ， 也 可 以 针 对 云 工 作 负 载 ， 还 能 针 对 桌 面 P C 。 E P P 、 C W P P （ 云 工 作 负 载 保 护 平 台 ） 中 都 有 该 技 术 的 存 在 。 当 然 ， 由 于 桌 面 P C 使 用 模 式 相 对 开 放 ， 而 服 务 器 运 行 相 对 封 闭 ， 因 此 该 技 术 更 适 合 服 务 器 端 点 。 通 过 定 义 一 份 应 用 白 名 单 ， 指 明 只 有 什 么 可 以 执 行 ， 其 余 的 皆 不 可 执 行 ， 能 够 阻 止 大 部 分 恶 意 软 件 的 执 行 。 一 些 O S 已 经 内 置 了 此 类 功 能 。 还 有 一 些 应 用 控 制 技 术 能 够 进 一 步 约 束 应 用 在 运 行 过 程 中 的 行 为 和 系 统 交 互 ， 从 而 实 现 更 精 细 化 的 控 制 。 G a r t n e r 给 客 户 还 提 出 了 如 下 建 议 ： 1 ） 应 用 控 制 不 是 银 弹 ， 系 统 该 打 补 丁 还 是 要 打 ； 2 ） 可 以 取 代 杀 毒 软 件 （ 针 对 服 务 器 端 ） ， 或 者 调 低 杀 毒 引 擎 的 工 作 量 。 根 据 G a r t n e r 的 2 0 1 8 年 威 胁 对 抗 H y p e   C y c l e ， 应 用 控 制 处 于 成 熟 主 流 阶 段 。 2 . 5   微 隔 离 和 流 可 见 性 项 目 微 隔 离 和 流 可 见 性 项 目 【 项 目 目 标 客 户 】 该 项 目 十 分 适 用 于 那 些 具 有 平 坦 网 络 拓 扑 结 构 的 组 织 ， 不 论 是 本 地 网 络 还 是 在 I a a S 中 的 网 络 。 这 些 组 织 希 望 获 得 对 于 数 据 中 心 流 量 的 可 见 性 和 控 制 。 该 项 目 旨 在 阻 止 针 对 数 据 中 心 攻 击 的 横 向 移 动 。 M a c D o n a l d 表 示 ， “ 如 果 坏 人 进 来 了 ， 他 们 不 能 畅 通 无 阻 ” 。 【 项 目 建 议 】 把 获 得 网 络 可 见 性 作 为 微 隔 离 项 目 的 切 入 点 ， 但 切 忌 不 要 过 度 隔 离 。 先 针 对 关 键 的 应 用 进 行 隔 离 ， 同 时 要 求 你 的 供 应 商 原 生 支 持 隔 离 技 术 。
该 技 术 在 2 0 1 7 年 也 上 榜 了 ， 并 且 今 年 的 技 术 内 涵 基 本 没 有 变 化 。 广 义 上 讲 ， 微 隔 离 （ 也 有 人 称 做 “ 微 分 段 ” ） 就 是 一 种 更 细 粒 度 的 网 络 隔 离 技 术 ， 主 要 面 向 虚 拟 化 的 数 据 中 心 ， 重 点 用 于 阻 止 攻 击 在 进 入 企 业 数 据 中 心 网 络 内 部 后 的 横 向 平 移 （ 或 者 叫 东 西 向 移 动 ） ， 是 软 件 定 义 安 全 的 一 种 具 体 实 践 。 微 隔 离 使 用 策 略 驱 动 的 防 火 墙 技 术 （ 通 常 是 基 于 软 件 的 ） 或 者 网 络 加 密 技 术 来 隔 离 数 据 中 心 、 公 共 云 I a a S 、 容 器 、 甚 至 是 包 含 前 述 环 境 的 混 合 场 景 中 的 不 同 工 作 负 载 、 应 用 和 进 程 。 流 可 见 技 术 （ 注 意 ： 不 是 可 视 化 技 术 ） 则 与 微 隔 离 技 术 伴 生 ， 因 为 要 实 现 东 西 向 网 络 流 的 隔 离 和 控 制 ， 必 先 实 现 流 的 可 见 性 （ V i s i b i l i t y ） 。 流 可 见 性 技 术 使 得 安 全 运 维 与 管 理 人 员 可 以 看 到 内 部 网 络 信 息 流 动 的 情 况 ， 使 得 微 隔 离 能 够 更 好 地 设 置 策 略 并 协 助 纠 偏 。 除 了 数 据 中 心 云 化 给 微 隔 离 带 来 的 机 遇 ， 数 据 中 心 负 载 的 动 态 化 、 容 器 化 ， 以 及 微 服 务 架 构 也 都 越 发 成 为 微 隔 离 的 驱 动 因 素 ， 因 为 这 些 新 技 术 、 新 场 景 都 让 传 统 的 防 火 墙 和 入 侵 防 御 技 术 显 得 捉 襟 见 肘 。 而 数 据 中 心 架 构 的 变 革 如 此 之 大 ， 也 引 发 了 大 型 的 厂 商 纷 纷 进 入 这 个 领 域 ， 到 不 见 得 是 为 了 微 隔 离 本 身 ， 更 多 还 是 为 了 自 身 的 整 体 布 局 。 譬 如 ， 云 和 虚 拟 化 厂 商 为 了 自 身 的 整 体 战 略 就 （ 不 得 不 ） 进 入 这 个 领 域 。 我 个 人 感 觉 未 来 微 隔 离 的 s t a r t u p 厂 商 更 多 可 能 会 被 云 厂 商 和 大 型 安 全 厂 商 所 并 购 。 此 外 ， 针 对 容 器 的 微 隔 离 也 值 得 关 注 。 G a r t n e r 给 出 了 评 估 微 隔 离 的 几 个 关 键 衡 量 指 标 ， 包 括 ： 1 ） 是 基 于 代 理 的 、 基 于 虚 拟 化 设 备 的 还 是 基 于 容 器 的 ？ 2 ） 如 果 是 基 于 代 理 的 ， 对 宿 主 的 性 能 影 响 性 如 何 ？ 3 ） 如 果 是 基 于 虚 拟 化 设 备 的 ， 它 如 何 接 入 网 络 中 ？ 4 ） 该 解 决 方 案 支 持 公 共 云 I a a S 吗 ？ G a r t n e r 还 给 客 户 提 出 了 如 下 几 点 建 议 ： 1 ） 欲 建 微 隔 离 ， 先 从 获 得 网 络 可 见 性 开 始 ， 可 见 才 可 隔 离 ； 2 ） 谨 防 过 度 隔 离 ， 从 关 键 应 用 开 始 ； 3 ） 鞭 策 I a a S 、 防 火 墙 、 交 换 机 厂 商 原 生 支 持 微 隔 离 ； G a r t n e r 将 微 隔 离 划 分 出 了 4 种 模 式 ： 内 生 云 控 制 模 式 内 生 云 控 制 模 式 、 第 三 方 防 火 墙 模 式 第 三 方 防 火 墙 模 式 、 混 合 式 混 合 式 、 叠 加 式 叠 加 式 。 根 据 G a r t n e r 的 2 0 1 8 年 云 安 全 H y p e   C y c l e ， 目 前 微 隔 离 已 经 “ 从 失 望 的 低 谷 爬 了 出 来 ， 正 在 向 成 熟 的 平 原 爬 坡 ” ， 但 依 然 处 于 成 熟 的 早 期 阶 段 。 在 国 内 已 经 有 以 此 技 术 为 核 心 的 创 业 新 兴 厂 商 。 2 . 6   检 测 和 响 应 项 目 检 测 和 响 应 项 目 G a r t n e r 今 年 将 各 种 检 测 和 响 应 技 术 打 包 到 一 起 统 称 为 “ 检 测 和 响 应 项 目 ” 。 实 际 上 对 应 了 4 样 东 西 ， 包 括 三 种 技 术 和 一 种 服 务 。 【 项 目 目 标 客 户 】 该 项 目 适 用 于 那 些 已 经 认 定 被 攻 陷 是 无 法 避 免 的 组 织 。 他 们 希 望 寻 找 某 些 基 于 端 点 、 基 于 网 络 或 者 基 于 用 户 的 方 法 去 获 得 高 级 威 胁 检 测 、 调 查 和 响 应 的 能 力 。 这 里 有 三 种 方 式 可 供 选 择 ： E P P + E D R ： 端 点 保 护 平 台 + 端 点 检 测 与 响 应 U E B A ： 用 户 与 实 体 行 为 分 析 D e c p t i o n ： 欺 骗 欺 骗 技 术 相 对 小 众 ， 但 是 一 个 新 兴 的 市 场 。 对 于 那 些 试 图 寻 找 更 深 入 的 方 法 去 加 强 其 威 胁 侦 测 机 制 ， 从 而 获 得 高 保 真
事 件 的 组 织 而 言 ， 采 用 欺 骗 技 术 是 个 不 错 的 点 子 。 【 项 目 建 议 】 给 E P P 供 应 商 施 压 要 求 其 提 供 E D R 功 能 ， 给 S I E M 厂 商 施 压 要 求 其 提 供 U E B A 功 能 。 要 求 欺 骗 技 术 供 应 商 提 供 丰 富 的 假 目 标 类 型 组 合 。 考 虑 从 供 应 商 那 里 直 接 采 购 类 似 M D R （ “ 可 管 理 检 测 与 响 应 ” ， 或 者 “ 托 管 检 测 与 响 应 ” ） 的 服 务 。 2 . 6 . 1   E P P + E D R E D R （ 端 点 检 测 于 响 应 ） 在 2 0 1 4 年 就 进 入 G a r t n e r 的 1 0 大 技 术 之 列 了 。 E D R 工 具 通 常 记 录 大 量 端 点 级 系 统 的 行 为 与 相 关 事 件 ， 譬 如 用 户 、 文 件 、 进 程 、 注 册 表 、 内 存 和 网 络 事 件 ， 并 将 这 些 信 息 存 储 在 终 端 本 地 或 者 集 中 数 据 库 中 。 然 后 对 这 些 数 据 进 行 I O C 比 对 ， 行 为 分 析 和 机 器 学 习 ， 用 以 持 续 对 这 些 数 据 进 行 分 析 ， 识 别 信 息 泄 露 （ 包 括 内 部 威 胁 ） ， 并 快 速 对 攻 击 进 行 响 应 。 E D R 的 出 现 最 初 是 为 了 弥 补 传 统 终 端 / 端 点 管 理 系 统 （ G a r t n e r 称 为 E P P ） 的 不 足 。 而 现 在 ， E D R 正 在 与 E P P 迅 速 互 相 渗 透 融 合 ， 尤 其 是 E P P 厂 商 的 新 版 本 中 纷 纷 加 入 了 E D R 的 功 能 ， 但 G a r t n e r 预 计 未 来 短 期 内 E D R 和 E P P 仍 将 并 存 。 E D R 的 用 户 使 用 成 本 还 是 很 高 的 ， E D R 的 价 值 体 现 多 少 跟 分 析 师 水 平 高 低 和 经 验 多 少 密 切 相 关 。 这 也 是 限 制 E D R 市 场 发 展 的 一 个 重 要 因 素 。 另 外 一 方 面 ， 随 着 终 端 威 胁 的 不 断 演 化 ， E P P （ 端 点 保 护 平 台 ） 已 经 不 能 仅 仅 聚 焦 于 阻 止 初 始 的 威 胁 感 染 ， 还 需 要 投 入 精 力 放 到 加 固 、 检 测 、 响 应 等 等 多 个 环 节 ， 因 此 近 几 年 来 E P P 市 场 发 生 了 很 大 的 变 化 ， 包 括 出 现 了 E D R 这 类 注 重 检 测 和 响 应 的 产 品 。 终 于 ， 在 2 0 1 8 年 9 月 底 ， G a r t n e r 给 出 了 一 个 全 新 升 级 的 E P P 定 义 ： E P P 解 决 方 案 部 署 在 端 点 之 上 ， 用 于 阻 止 基 于 文 件 的 恶 意 代 码 攻 击 、 检 测 恶 意 行 为 ， 并 提 供 调 查 和 修 复 的 能 力 去 处 理 需 要 响 应 的 动 态 安 全 事 件 和 告 警 。 相 较 于 之 前 的 E P P 定 义 ， 更 加 强 调 对 恶 意 代 码 和 恶 意 行 为 的 检 测 及 响 应 。 而 这 个 定 义 也 进 一 步 反 映 了 E P P 与 E D R 市 场 融 合 的 事 实 ， 基 本 上 新 一 代 的 E P P 都 内 置 E D R 功 能 了 。 G a r t n e r 建 议 客 户 在 选 购 E P P 的 时 候 ， 最 好 要 求 他 们 一 并 提 供 E D R 功 能 。 因 此 ， 我 个 人 认 为 ， 未 来 E D R 将 作 为 一 种 技 术 消 融 到 其 它 产 品 中 去 ， 主 要 是 E P P ， 也 可 能 作 为 一 组 功 能 点 存 在 于 其 它 产 品 中 。 独 立 E D R 存 在 的 可 能 性 会 十 分 地 小 。 G a r t n e r 在 2 0 1 8 年 的 威 胁 对 抗 （ T h r e a t - F a c i n g ） 技 术 的 H y p e   C y c l e 中 首 次 标 注 了 E D R 技 术 ， 处 于 即 将 滑 落 到 失 望 的 谷 底 的 位 置 ， 比 U E B A 更 靠 下 。 而 E P P 也 是 首 次 出 现 在 H y p e   C y c l e 中 ， 位 于 H y p e   C y c l e 的 “ 成 熟 平 原 ” ， 属 于 早 期 主 流 产 品 。 G a r t n e r 自 己 也 表 示 ， 将 E P P 例 如 H y p e   C y c l e 也 是 一 件 不 同 寻 常 的 事 情 ， 因 为 E P P 已 经 存 在 2 0 年 了 。 但 之 所 以 把 E P P 列 进 来 进 行 分 析 就 是 因 为 前 面 提 到 的 E P P 已 经 被 G a r t n e r 重 新 定 义 了 。 在 国 内 ， E P P 的 厂 商 也 已 经 经 历 了 多 年 的 洗 礼 ， 格 局 较 为 稳 定 。 而 E D R 产 品 则 多 见 于 一 些 新 兴 厂 商 ， 有 的 已 经 开 始 搅 动 起 看 似 稳 定 的 E P P 市 场 了 。 2 . 6 . 2   U E B A U E B A （ 用 户 与 实 体 行 为 分 析 ） 曾 经 在 2 0 1 6 年 例 如 1 0 大 安 全 技 术 ， 2 0 1 7 年 未 能 入 榜 ， 不 过 在 2 0 1 8 年 以 检 测 与 响 应 项 目 中 的 一 个 分 支 方 向 的 名 义 重 新 入 榜 。 U E B A 解 决 方 案 通 过 对 用 户 和 实 体 （ 如 主 机 、 应 用 、 网 络 流 量 和 数 据 集 ） 基 于 历 史 轨 迹 或 对 照 组 建 立 行 为 轮 廓 基 线 来 进 行 分 析 ， 并 将 那 些 异 于 标 准 基 线 的 行 为 标 注 为 可 疑 行 为 ， 最 终 通 过 各 种 异 常 模 型 的 打 包 分 析 来 帮 助 发 现 威 胁 和 潜 藏 的 安 全 事 件 。 根 据 G a r t n e r 的 观 察 ， 目 前 U E B A 市 场 已 经 出 现 了 明 显 的 分 化 。 一 方 面 仅 存 在 少 量 的 纯 U E B A 厂 商 ， 另 一 方 面 多 种 传 统 细 分 市 场 的 产 品 开 始 将 U E B A 功 能 融 入 其 中 。 这 其 中 最 典 型 的 就 是 S I E M 厂 商 ， 已 经 将 U E B A 技 术 作 为 了 S I E M 的 核 心 引 擎 。 G a r t n e r 在 给 客 户 的 建 议 中 明 确 提 到 “ 在 选 购 S I E M 的 时 候 ， 要 求 厂 商 提 供 U E B A 功 能 ” 。 此 外 ， 包 括 E D R / E P P 和 C A S B 厂 商 也 都 纷 纷 在 其 产 品 中 加 入 了 U E B A 功 能 。 由 于 不 断 的 并 购 和 其 它 细 分 市 场 产 品 的 蚕 食 ， 纯 U E B A 厂 商 越 来 越 少 。 同 时 ， 由 于 该 技 术 此 前 一 直 处 于 期 望 的 顶 点 ， 一 些 率 先 采 用 U E B A 技 术 的 超 前 客 户 的 失 败 案 例 开 始 涌 现 ， 促 使 人 们 对 这 个 技 术 进 行 重 新 定 位 ， 当 然 也 有 利 于 U E B A
未 来 更 好 发 展 。 另 外 ， 有 些 做 得 不 错 的 纯 U E B A 厂 商 也 开 始 扩 展 自 己 的 细 分 市 场 。 最 典 型 的 就 是 向 S I E M 厂 商 进 发 。 2 0 1 7 年 的 S I E M 魔 力 象 限 就 已 经 出 现 了 两 个 U E B A 厂 商 ， 他 们 已 经 开 始 把 自 己 当 作 更 先 进 的 S I E M 厂 商 了 。 在 G a r t n e r 的 2 0 1 8 年 应 用 安 全 的 H y p e   C y c l e 中 ， U E B A 已 经 从 去 年 的 期 望 顶 峰 基 本 滑 落 到 失 望 的 谷 底 了 ， 总 体 上 仍 处 于 青 春 期 的 阶 段 。 我 的 观 点 ， 未 来 纯 U E B A 厂 商 将 越 来 越 少 ， 要 么 被 并 购 ， 要 么 转 变 到 其 它 更 大 的 细 分 市 场 。 同 时 S I E M 厂 商 将 会 大 举 投 入 U E B A 技 术 ， 不 论 是 买 ， 还 是 O E M ， 抑 或 自 研 。 未 来 ， U E B A 更 多 是 一 种 技 术 ， 一 种 能 力 ， 被 广 泛 集 成 到 多 种 安 全 产 品 之 中 ， 最 关 键 就 是 U E B A 引 擎 。 但 只 要 U E B A 厂 商 还 能 够 开 发 出 具 有 独 立 存 在 价 值 的 客 户 应 用 场 景 ， 就 不 会 消 失 。 至 少 目 前 来 看 ， 还 是 具 备 独 立 存 在 的 价 值 的 。 在 国 内 目 前 几 乎 没 有 U E B A 的 专 业 厂 商 ， 一 般 见 于 其 它 细 分 市 场 的 产 品 家 族 中 ， 譬 如 S I E M / 安 管 平 台 厂 商 ， 或 者 业 务 安 全 厂 商 的 产 品 线 中 会 有 这 个 产 品 。 我 比 较 自 豪 的 是 ， 我 们 公 司 是 目 前 国 内 少 有 的 几 家 具 有 U E B A 产 品 的 新 兴 安 管 平 台 厂 商 之 一 。 2 . 6 . 3   欺 骗 欺 骗 该 技 术 在 2 0 1 6 年 就 上 榜 了 。 欺 骗 技 术 ( D e c e p t i o n T e c h n o l o g y ) 的 本 质 就 是 有 针 对 性 地 对 攻 击 者 进 行 我 方 网 络 、 主 机 、 应 用 、 终 端 和 数 据 的 伪 装 ， 欺 骗 攻 击 者 ， 尤 其 是 攻 击 者 的 工 具 中 的 各 种 特 征 识 别 环 节 ， 使 得 那 些 工 具 产 生 误 判 或 失 效 ， 扰 乱 攻 击 者 的 视 线 ， 将 其 引 入 死 胡 同 ， 延 缓 攻 击 者 的 时 间 。 譬 如 可 以 设 置 一 个 伪 目 标 / 诱 饵 ， 诱 骗 攻 击 者 对 其 实 施 攻 击 ， 从 而 触 发 攻 击 告 警 。 欺 骗 技 术 作 为 一 种 新 型 的 威 胁 检 测 技 术 ， 可 以 作 为 S I E M 或 者 其 它 新 型 检 测 技 术 （ 如 N T A 、 U E B A ） 的 有 益 补 充 ， 尤 其 是 在 检 测 高 级 威 胁 的 横 向 移 动 方 面 。 G a r t n e r 认 为 未 来 欺 骗 类 产 品 独 立 存 在 的 可 能 性 很 小 ， 绝 大 部 分 都 将 被 并 购 或 者 消 亡 ， 成 为 大 的 产 品 方 案 中 的 一 环 。 针 对 欺 骗 技 术 ， G a r t n e r 给 客 户 的 建 议 包 括 ： 1 ） 要 求 厂 商 提 供 丰 富 的 假 目 标 （ 类 型 ） 组 合 ； 2 ） 要 求 提 供 基 于 攻 击 者 视 角 的 可 视 化 拓 扑 ； 3 ） 要 求 提 供 完 整 的 A P I 能 力 ， 便 于 客 户 进 行 编 排 和 自 动 化 集 成 。 G a r t n e r 近 来 一 直 大 力 推 介 欺 骗 技 术 。 在 2 0 1 8 年 的 威 胁 对 抗 H y p e   C y c l e 中 首 次 列 入 了 欺 骗 平 台 技 术 ， 并 将 其 列 为 新 兴 技 术 ， 正 在 向 期 望 的 高 峰 攀 登 。 总 体 上 ， 不 论 是 技 术 的 产 品 化 实 用 程 度 ， 还 是 客 户 的 接 受 程 度 ， 都 处 于 早 期 ， G a r t n e r 预 计 还 有 5 到 1 0 年 才 能 趋 于 成 熟 。 在 国 内 ， 这 块 市 场 也 刚 刚 萌 芽 （ 不 算 以 前 的 特 定 客 户 市 场 ） 。 出 现 了 若 干 个 具 有 （ 但 不 是 主 打 ） 此 类 产 品 的 新 兴 公 司 。 2 . 6 . 4   M D R 服 务 服 务 M D R 在 2 0 1 7 年 也 已 经 上 榜 了 。 M D R 作 为 一 种 服 务 ， 为 那 些 想 提 升 自 身 高 级 威 胁 检 测 、 事 件 响 应 和 持 续 监 测 能 力 ， 却 又 无 力 依 靠 自 身 的 能 力 和 资 源 去 达 成 的 企 业 提 供 了 一 个 选 择 。 事 实 上 ， 如 果 你 采 购 了 M D R 服 务 ， M D R 提 供 商 可 能 会 在 你 的 网 络 中 部 署 前 面 提 及 的 某 些 新 型 威 胁 检 测 装 置 ， 当 然 客 户 不 必 具 体 操 心 这 些 设 备 的 使 用 ， 交 给 M D R 服 务 提 供 商 就 好 了 。 根 据 我 的 观 察 ， M D R 也 是 一 个 机 会 市 场 ， 随 着 M S S P 越 来 越 多 的 提 供 M D R 服 务 ， 纯 M D R 厂 商 将 会 逐 步 消 失 ， 或 者 变 成 检 测 产 品 厂 商 提 供 的 一 种 产 品 附 加 服 务 。 G a r t n e r 建 议 客 户 尽 量 选 择 具 有 M D R 服 务 能 力 的 M S S P 。 在 2 0 1 8 年 的 威 胁 对 抗 H y p e C y c l e 中 首 次 列 入 了 M D R ， 并 将 其 列 为 新 兴 技 术 ， 并 且 比 欺 骗 技 术 还 要 早 期 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理