對(duì)企業(yè)來(lái)說(shuō)基本的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)夠嗎？
如何才能知道你的企業(yè)有沒(méi)有被入侵呢？實(shí)際上，這是個(gè)很簡(jiǎn)單的問(wèn)題，人們的回答往往是你需要某種程度的事件檢測(cè)能力。然而，在一次網(wǎng)絡(luò)評(píng)估中，一位CIO苦笑著告訴我，如果他當(dāng)初花費(fèi)時(shí)間和金錢(qián)建立一個(gè)能真正工作的檢測(cè)架構(gòu)，現(xiàn)在可能能證明企業(yè)存在著安全問(wèn)題。但我認(rèn)為他不完全是在開(kāi)玩笑。
盡管檢測(cè)技術(shù)取得了重大進(jìn)展，但是許多企業(yè)還是落在了時(shí)代的后面，沒(méi)能建立起強(qiáng)有力的檢測(cè)功能來(lái)識(shí)別真正具有威脅的事件。檢測(cè)不僅僅是一個(gè)技術(shù)工具集，它還具有一些復(fù)雜的功能，其中包括明確定義的技術(shù)領(lǐng)域以及過(guò)程領(lǐng)域，這需要由稱(chēng)職的人員來(lái)管理。任何一個(gè)領(lǐng)域出現(xiàn)紕漏都會(huì)嚴(yán)重削弱檢測(cè)的效果。
不幸的是，許多企業(yè)并沒(méi)有把檢測(cè)看成是一種戰(zhàn)略上的安全能力，這導(dǎo)致企業(yè)所做的努力僅僅局限于部署基于網(wǎng)絡(luò)入侵系統(tǒng)（IDS）傳感器的簽名，跟蹤那些明顯、簡(jiǎn)單和那些通常不具威脅性的活動(dòng)（如端口掃描）。你可能還需要跟蹤端口掃描來(lái)查清對(duì)獲悉你的資產(chǎn)配置感興趣的人，但這些簡(jiǎn)單的、開(kāi)箱即用的IDS技術(shù)對(duì)于現(xiàn)在的威脅來(lái)說(shuō)其檢測(cè)能力并不強(qiáng)大。另外，許多公司沒(méi)有足夠的分析能力去分析多點(diǎn)數(shù)據(jù)之間的關(guān)系，從而無(wú)法檢測(cè)出廣泛的攻擊類(lèi)型或者復(fù)雜的攻擊，盡管市面上有很多解決這些問(wèn)題的技術(shù)。
有些企業(yè)選擇把技術(shù)檢測(cè)設(shè)備的管理外包給別的公司。然而，許多企業(yè)忽略了那些由服務(wù)提供商返回的數(shù)據(jù)，只是一味自豪地忙著把他們的服務(wù)合同給監(jiān)管人員以及審計(jì)人員看，好像合同就是企業(yè)檢測(cè)能力的證據(jù)一樣。雖然，這樣的合同似乎滿(mǎn)足了許多監(jiān)管人員以及審計(jì)人員的要求，但是企業(yè)不應(yīng)該把審計(jì)人員簽發(fā)的規(guī)則遵從聲明看成是企業(yè)安全實(shí)力的證明。
脆弱的檢測(cè)能力會(huì)帶來(lái)多重問(wèn)題。很明顯，這些問(wèn)題會(huì)導(dǎo)致企業(yè)不斷遭到網(wǎng)絡(luò)入侵者的破壞、造成重大的信息損失，可能還會(huì)影響計(jì)算資源的可用性。另一個(gè)問(wèn)題是，在發(fā)現(xiàn)公司被入侵之后，無(wú)法進(jìn)行適當(dāng)?shù)陌踩∽C調(diào)查。而強(qiáng)有力的檢測(cè)技術(shù)一般都能夠提供一些有用的機(jī)制來(lái)捕獲歷史數(shù)據(jù)，這有利于事件發(fā)生后的分析工作；分析結(jié)果也可以以指標(biāo)的形式組合起來(lái)，從而有利于控制方面的改進(jìn)。與入侵事件相關(guān)的稀少數(shù)據(jù)還可以減少不必要的民事以及刑事案件，這是企業(yè)希望看見(jiàn)的。相反，不具備強(qiáng)有力的檢測(cè)能力則表明技術(shù)管理層面存在著疏忽，進(jìn)而表明企業(yè)沒(méi)有履行“應(yīng)盡的責(zé)任”。
建立有效的檢測(cè)能力需要建立一個(gè)綜合的架構(gòu)，其中包括能夠真正檢測(cè)出威脅企業(yè)財(cái)產(chǎn)活動(dòng)的技術(shù)以及過(guò)程。它不僅包括技術(shù)架構(gòu)，比如入侵檢測(cè)與防護(hù)以及安全信息和事件管理系統(tǒng)，而且還需要支持監(jiān)督活動(dòng)。如果沒(méi)有足夠的操作監(jiān)控以及響應(yīng)過(guò)程，那么用于檢測(cè)資產(chǎn)威脅的技術(shù)工具集就起不到應(yīng)有的作用，即使企業(yè)這么做是出于對(duì)入侵檢測(cè)設(shè)計(jì)的重視。
定期的網(wǎng)絡(luò)入侵測(cè)試有時(shí)會(huì)被曲解成一種有效的檢測(cè)能力測(cè)試。但是，那些測(cè)試檢測(cè)架構(gòu)有效性的技術(shù)（如滲透測(cè)試）只有跟相應(yīng)的響應(yīng)操作結(jié)合起來(lái)才能發(fā)揮作用。響應(yīng)操作能夠評(píng)估技術(shù)檢測(cè)方面（IDS識(shí)別這個(gè)測(cè)試攻擊嗎？）以及適當(dāng)防護(hù)方面（IDS的所有者注意到自動(dòng)警報(bào)了嗎？他們采取了適當(dāng)?shù)膽?yīng)對(duì)行動(dòng)嗎？）的成功程度。我在安全評(píng)估過(guò)程中使用過(guò)一種方法是利用持續(xù)增加嚴(yán)重程度來(lái)進(jìn)行測(cè)試。換句話(huà)說(shuō)，我們?cè)谇瞄T(mén)時(shí)逐次增加敲擊的力度，然后去觀(guān)察：（a）敲擊被發(fā)現(xiàn)的時(shí)刻以及（b）與攻擊類(lèi)型相關(guān)的響應(yīng)操作的適當(dāng)性。這種測(cè)試方法支持對(duì)整體檢測(cè)效果的評(píng)估。
企業(yè)在安全的多個(gè)領(lǐng)域中有一個(gè)非常明確的選擇，我們可以把它歸結(jié)為一個(gè)非常基本的概念：企業(yè)的安全目標(biāo)是為了滿(mǎn)足審計(jì)人員呢，還是用來(lái)真正識(shí)別過(guò)程中的威脅以便更好的保護(hù)信息？那些采取最低限度做法（比如訂購(gòu)管理質(zhì)量差的檢測(cè)服務(wù)，不具備設(shè)計(jì)適當(dāng)?shù)膬?nèi)部數(shù)據(jù)管理程序）的企業(yè)，要么是在跟他們自己開(kāi)玩笑，要么是在跟他們的監(jiān)管人員開(kāi)玩笑，要么這兩種情況都有。
【編輯推薦】
