當(dāng)您生病就醫(yī)時(shí)，醫(yī)生如何確診您的病癥呢？通常，醫(yī)生會(huì)遵循一系列常規(guī)步驟，先問(wèn)您哪兒不舒服，然后測(cè)量體溫?；谶@兩項(xiàng)結(jié)果，醫(yī)生可以大致了解您的病情。不過(guò)，單憑這些信息醫(yī)生還不足以找出確切病因，他們還必須將這些信息與幾十項(xiàng)其他數(shù)據(jù)(如血壓等)關(guān)聯(lián)起來(lái)進(jìn)行分析，這樣醫(yī)生才能非常自信的確保診斷準(zhǔn)確、對(duì)癥下藥。
同樣，網(wǎng)絡(luò)安全信譽(yù)系統(tǒng)也依賴于大量數(shù)據(jù)間的關(guān)聯(lián)關(guān)系。多年來(lái)，從醫(yī)生診斷疾病到數(shù)學(xué)家為金融工具評(píng)級(jí)等諸多領(lǐng)域都在借助這些系統(tǒng)評(píng)估狀況、制定決策。
如今，隨著越來(lái)越多的用戶借助更多設(shè)備訪問(wèn)在線工具，同時(shí)與同事、朋友和陌生人在越來(lái)越多的在線平臺(tái)上保持交流互動(dòng)，信譽(yù)計(jì)算工具對(duì)網(wǎng)絡(luò)安全越發(fā)重要。信譽(yù)為基于的重要個(gè)人和專業(yè)業(yè)務(wù)的身份可靠性和完整性提供了令人安心的保證，這在物理環(huán)境下是無(wú)法實(shí)現(xiàn)的。
什么是信譽(yù)？
維基百科將信譽(yù)定義為“一個(gè)人、一群人或一個(gè)組織根據(jù)某一特定標(biāo)準(zhǔn)對(duì)一組實(shí)體的看法(技術(shù)上稱為“社會(huì)評(píng)價(jià)”)。我們?cè)诒疚闹兴懻摰男抛u(yù)與電子實(shí)體有關(guān)，例如，文件、發(fā)件人和網(wǎng)站等。
首先，信譽(yù)是動(dòng)態(tài)、暫時(shí)的。例如，以前合法的網(wǎng)站受到惡意軟件感染后會(huì)被迅速清理。信譽(yù)必須與內(nèi)容保持同步更新。其次，實(shí)體信譽(yù)很少出現(xiàn)“絕對(duì)好”或“絕對(duì)差”的情況，而是介于這兩者間廣闊的“灰色地帶”。信譽(yù)與策略相結(jié)合有助于安全決策者制定明智決策。最后，可信度是計(jì)算信譽(yù)時(shí)一個(gè)重要的考量因素?？尚哦仁侵肝覀児浪愕闹眯艆^(qū)間或可靠性。分析時(shí)考慮的數(shù)據(jù)點(diǎn)和評(píng)價(jià)標(biāo)準(zhǔn)越多，計(jì)算出的信譽(yù)越準(zhǔn)確。有利于提高信譽(yù)可靠性的四大因素是：數(shù)據(jù)量、數(shù)據(jù)壽命、數(shù)據(jù)可信度和廣泛的數(shù)據(jù)關(guān)聯(lián)性。
信譽(yù)計(jì)算以數(shù)以億計(jì)的電子實(shí)體為基礎(chǔ)，包括文件、網(wǎng)站、Web 域、郵件、和網(wǎng)絡(luò)連接。同時(shí)采用高度細(xì)化的評(píng)分系統(tǒng)，該系統(tǒng)是以各種實(shí)體行為、特性相關(guān)信息以及人們對(duì)類似實(shí)體表現(xiàn)的過(guò)往經(jīng)驗(yàn)為基礎(chǔ)的。
信譽(yù)不僅是安全系統(tǒng)的重要組成部分，而且是必要部分。當(dāng)前的威脅攻擊太迅速、太隱匿，以致無(wú)法依靠傳統(tǒng)技術(shù)(例如基于簽名的保護(hù)和黑名單等)進(jìn)行攔截。如果威脅意在攻擊更多計(jì)算機(jī)，那么它的傳播速度要比編寫(xiě)和部署簽名的速度快得多，而且黑名單解決無(wú)法像信譽(yù)評(píng)分那樣發(fā)現(xiàn)細(xì)微差別。另一方面，我們看到攻擊性強(qiáng)、有針對(duì)性威脅的目的不單單是迅速蔓延，而且要規(guī)避檢測(cè)、降低影響，以實(shí)現(xiàn)隱蔽、目標(biāo)更明確的攻擊。為抵御這兩種極端威脅(以及介于兩者間的任何威脅)，安全專業(yè)人士以及解決方案供應(yīng)商都認(rèn)識(shí)到，當(dāng)前的威脅態(tài)勢(shì)要求系統(tǒng)必須能夠根據(jù)所采集的實(shí)體智能信息實(shí)時(shí)計(jì)算實(shí)體信譽(yù)，并基于信譽(yù)采取適當(dāng)措施。
2009年末和2010年初，對(duì) 和其他 20 多家發(fā)起攻擊的極光行動(dòng)(Operation Aurora)就是以特定人群為目標(biāo)的有針對(duì)性威脅。攻擊者使用復(fù)雜的規(guī)避技術(shù)潛入這些用戶的機(jī)器，進(jìn)而竊取公司寶貴的信息和知識(shí)產(chǎn)權(quán)。盡管諸如極光行動(dòng)這樣的威脅會(huì)竭力逃避檢測(cè)并且隱匿頗深，但它們總會(huì)使用一些相關(guān)實(shí)體(例如，從臨時(shí)有害IP地址發(fā)出旨在誘騙毫無(wú)戒心的用戶打開(kāi)受惡意軟件感染的網(wǎng)站的電子郵件)，這些實(shí)體的信譽(yù)會(huì)不斷變化。
確保信譽(yù)計(jì)算具有高置信度的四大要素
除了作為可靠信譽(yù)系統(tǒng)的基礎(chǔ)，對(duì)于以下列方式增強(qiáng)置信度，遙測(cè)數(shù)據(jù)同樣十分有用：
• 數(shù)據(jù)量?？蓪⑵湎胂鬄橥h(yuǎn)鏡的光圈：數(shù)據(jù)量(進(jìn)光量)越多，觀察者看到的空間越遠(yuǎn)。這使我們能夠迅速察覺(jué)威脅活動(dòng)，更準(zhǔn)確地識(shí)別威脅。
• 數(shù)據(jù)壽命。長(zhǎng)期采集數(shù)據(jù)有助于增強(qiáng)系統(tǒng)成熟度，可確保信譽(yù)系統(tǒng)有一個(gè)扎實(shí)的基礎(chǔ)，有助于基于實(shí)體過(guò)去的行為來(lái)預(yù)計(jì)實(shí)體可能的行為方式。這不僅有助于及時(shí)檢測(cè)到異常行為，而且還有助于基于公認(rèn)的模式識(shí)別攻擊。
• 數(shù)據(jù)可信度。處理信譽(yù)系統(tǒng)時(shí)，數(shù)據(jù)可信度是一個(gè)需要認(rèn)真考慮的要素。強(qiáng)大的信譽(yù)系統(tǒng)必須具備驗(yàn)證所收到的數(shù)據(jù)并調(diào)整數(shù)據(jù)源可信度的機(jī)制。諸如位置、配置和數(shù)據(jù)源過(guò)去行為等因素會(huì)影響源數(shù)據(jù)在整體信譽(yù)計(jì)算中的權(quán)重。
• 數(shù)據(jù)關(guān)聯(lián)性。強(qiáng)大信譽(yù)系統(tǒng)的核心要素是能夠采集并關(guān)聯(lián)來(lái)自代表所有威脅載體的廣泛數(shù)據(jù)源的遙測(cè)數(shù)據(jù)。能夠關(guān)聯(lián)代表了威脅方方面面的數(shù)據(jù)就如同擁有了完成拼圖的所有圖塊。
信譽(yù)的威力
從所有載體采集數(shù)據(jù)可以幫助我們了解威脅，更準(zhǔn)確地計(jì)算任何涉及威脅的實(shí)體信譽(yù)。基于信譽(yù)的安全理念已流行多年，但今天我們不得不應(yīng)對(duì)數(shù)量激增的威脅，包括快速傳播的、目標(biāo)明確且規(guī)避性強(qiáng)的 IP 劫持等各類攻擊。應(yīng)對(duì)這些挑戰(zhàn)需要一個(gè)統(tǒng)一的、客觀的安全框架，以了解并評(píng)估不斷動(dòng)態(tài)變化的實(shí)體的安全狀態(tài)。高度可信地了解實(shí)體狀態(tài)(源自一組可信的關(guān)聯(lián)遙測(cè)數(shù)據(jù))是提供全面保護(hù)的基石。