云主機(jī)具有很多優(yōu)良的特性,比如簡單高效、安全可靠、處理能力可彈性伸縮等等,還有自助管理、自動故障恢復(fù)、數(shù)據(jù)安全保障等功能,對于企業(yè)用戶而言,可以很大程度上簡化開發(fā)部署和降低運(yùn)維成本,按需構(gòu)建和擴(kuò)展網(wǎng)站框架,更好地適應(yīng)快速多變的互聯(lián)網(wǎng)。
然而,全新的技術(shù)也帶來了全新的安全隱患。
云服務(wù)的興起使安全邊界進(jìn)一步模糊
隨著云服務(wù)的日漸興起,越來越多的業(yè)務(wù)上云,虛擬機(jī)成了安全的重災(zāi)區(qū)。
東西向的流量攻擊日漸洶涌
云平臺內(nèi)部不可視,用戶無法管控虛機(jī)上的流量和應(yīng)用,虛機(jī)之間缺乏威脅隔離機(jī)制,網(wǎng)絡(luò)威脅一旦進(jìn)入云平臺內(nèi)部,容易肆意蔓延。
0Day漏洞帶來的嚴(yán)重威脅
近幾年來,大量0day漏洞泄露,大多數(shù)系統(tǒng)都可能受到影響。
除了技術(shù)以外,不少企業(yè)對于主機(jī)安全防護(hù)的意識仍然比較淡薄,在主機(jī)安全在管理與維護(hù)上存在不少問題。
主機(jī)組件資產(chǎn)數(shù)量龐大難以維護(hù)
很多互聯(lián)網(wǎng)企業(yè)由于業(yè)務(wù)發(fā)展迅速,變更頻繁,企業(yè)內(nèi)部極少有人能及時了解本身的核心資產(chǎn)。
采用傳統(tǒng)安全解決方案問題重重
傳統(tǒng)安全解決方案無法自適應(yīng)云計算時代的新架構(gòu),無法接入虛擬化環(huán)境,需要重新進(jìn)行開發(fā)。并且傳統(tǒng)方案通常是單點(diǎn)防御,多個防御點(diǎn)難以聯(lián)動,防護(hù)效果不佳。
在這種新的安全形勢下,采取主動防御的方式保護(hù)端點(diǎn)安全越來越有必要。我們需要一種新的防護(hù)方案,這種方案應(yīng)該兼?zhèn)鋵?shí)時監(jiān)控、檢測、高級威脅分析及響應(yīng)等多種功能。因此,業(yè)界提出了一種新型的安全解決方案——EDR,即端點(diǎn)檢測與響應(yīng)。
EDR全稱Endpoint Dextection and Response,即端點(diǎn)檢測與響應(yīng),是發(fā)端于美國的下一代終端安全防護(hù)技術(shù),該技術(shù)屬于終端安全技術(shù)的重要分支之一,主要用來應(yīng)對日益猖獗的APT攻擊。
在傳統(tǒng)安全產(chǎn)品的防護(hù)作用日益有限的現(xiàn)狀下,EDR基于進(jìn)程監(jiān)控、多終端比對、溯源及訪問分析等操作訪問行為數(shù)據(jù)分析的防護(hù)理念,可以對APT等惡意攻擊進(jìn)行有效的提前分析、阻斷,并進(jìn)行溯源取證等反制措施,其重要性大大凸顯。
在前不久舉行的新產(chǎn)品發(fā)布會上,我們發(fā)布的安全狗·云眼正是針對云主機(jī)安全問題而研發(fā)的新一代(云)主機(jī)入侵監(jiān)測及安全防護(hù)平臺。云眼采用了先進(jìn)的端點(diǎn)檢測及響應(yīng)(EDR)技術(shù)模型及自適應(yīng)安全架構(gòu)相結(jié)合的理念思路,是新一代(云)主機(jī)入侵監(jiān)測及安全管理系統(tǒng),可以為用戶解決公有云、私有云和混合云環(huán)境中遇到的安全及管理問題。
云眼EDR技術(shù)的優(yōu)勢
未知威脅防護(hù)
采用了EDR的安全產(chǎn)品能夠“點(diǎn)亮”主機(jī)環(huán)境,讓未知威脅看得見,防得住:記錄多個端點(diǎn)和網(wǎng)絡(luò)事件,并將這些信息本地存儲在主機(jī)、服務(wù)器或集中式數(shù)據(jù)庫。政府和企業(yè)可通過機(jī)器學(xué)習(xí)、行為分析和攻擊指標(biāo)數(shù)據(jù)庫來整合關(guān)聯(lián)分析,在攻擊產(chǎn)生危害前提前發(fā)現(xiàn)和預(yù)警,并對攻擊做出響應(yīng)。
虛擬機(jī)安全
彌補(bǔ)了虛擬化環(huán)境安全產(chǎn)品的空白:基于應(yīng)用程序?qū)Σ僮飨到y(tǒng)調(diào)用行為進(jìn)行分析,不依賴于傳統(tǒng)靜態(tài)特征防護(hù)機(jī)制,能實(shí)現(xiàn)未知威脅的秒級檢測與響應(yīng)。云眼超輕量化安全探針,使系統(tǒng)資源消耗量與同類產(chǎn)品相比可降低90%;而從安裝到運(yùn)行,輕盈穩(wěn)定高效。云眼還可混合云跨平臺統(tǒng)一部署管理,兼容Windows/Linux主機(jī)系統(tǒng)所有版本,針對虛擬化環(huán)境優(yōu)化任務(wù)和資源調(diào)度,管理運(yùn)維更簡單省心,大幅降低“安全TCO”。
Web網(wǎng)站實(shí)時監(jiān)測與防護(hù)
為Web網(wǎng)站持續(xù)監(jiān)控和實(shí)時干預(yù)提供了必要手段:把檢測和響應(yīng)探針推到Web網(wǎng)站服務(wù)器,部署系統(tǒng)級的防護(hù)。通過“人眼識別”的技術(shù)對網(wǎng)站進(jìn)行實(shí)時拍照比對,一旦發(fā)現(xiàn)問題便即時“熔斷”,保證惡意行為不擴(kuò)散。同時,通過5分鐘訪問流量緩存采集數(shù)據(jù),獲取黑客的攻擊路徑,第一時間找到漏洞以便網(wǎng)站快速恢復(fù)重新上線。
威脅獵捕
威脅獵捕是威脅情報和大數(shù)據(jù)分析相結(jié)合的產(chǎn)物,是綜合EDR解決方案的關(guān)鍵組成部分。云眼不依賴已知的威脅簽名,而是通過搜索大量數(shù)據(jù)以發(fā)現(xiàn)威脅行為者或新型攻擊的跡象。結(jié)合我們的威脅情報和大數(shù)據(jù)技術(shù)能力,可以對文件及進(jìn)程的hash值、C&C域名、黑IP等類型的威脅進(jìn)行獵捕。
為了更貼合云環(huán)境下的安全需求,我們同時采用了CWPP(Cloud Workload Protection Platforms,云工作負(fù)載安全平臺方案)設(shè)計,采用輕量級Agent,與全部功能的重量級Agent相比,輕量級Agent實(shí)現(xiàn)了功能的最小集合,大大減輕Agent對于主機(jī)性能的影響。并且輕量級agent簡單,能夠動態(tài)地升級和更新,實(shí)現(xiàn)的代碼少,容易傳輸。
安全狗的端點(diǎn)檢測及響應(yīng)流程分為下面四個主要步驟
1、主機(jī)數(shù)據(jù)采集
通過主機(jī)端點(diǎn)上安裝的輕代理對主機(jī)上的安全數(shù)據(jù)匯總到數(shù)據(jù)采集模塊上進(jìn)行統(tǒng)一的歸類、加密,并傳輸給大數(shù)據(jù)分析模塊。
2、威脅情報獲取
基于安全狗公司云端的海量數(shù)據(jù)處理獲取到未知威脅,并將威脅情報信息導(dǎo)入云眼系統(tǒng)大數(shù)據(jù)分析模塊。
3、大數(shù)據(jù)分析
對主機(jī)端點(diǎn)采集到的安全數(shù)據(jù)結(jié)合獲取到的威脅情報信息,進(jìn)行威脅情報大數(shù)據(jù)分析,準(zhǔn)確識別出威脅事件。
4、告警及響應(yīng)
對識別出的威脅事件進(jìn)行告警通知及響應(yīng)處置。安全狗可通過威脅情報的指引,借由最新的安全線索快速鎖定威脅主機(jī),通過實(shí)時數(shù)據(jù)和歷史主機(jī)信息對于受害主機(jī)進(jìn)行全面評估,揭示主機(jī)的安全缺陷,通過自動化響應(yīng)機(jī)制進(jìn)行處置。在威脅情報的指引下,可將一個復(fù)雜的高級威脅安全響應(yīng),分解成為一系列行動過程,從而解決了高級威脅難以處置的問題。
隨著網(wǎng)絡(luò)襲擊事件數(shù)量的不斷攀升,傳統(tǒng)安全防御手段已難以招架規(guī)模龐大、攻勢越猛的新式攻擊。利用包括EDR在內(nèi)的新型的安全技術(shù)和思路,可以讓我們在應(yīng)對新型的網(wǎng)絡(luò)安全威脅時更加游刃有余。安全狗作為云安全領(lǐng)域的佼佼者,一直致力于推出更好、更專業(yè)的安全產(chǎn)品和服務(wù),安全狗·云眼在未來會持續(xù)進(jìn)化,在云主機(jī)安全的方向上做得更好,提供更好更強(qiáng)大的功能和服務(wù)!
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
