為了應(yīng)對(duì)日趨復(fù)雜的歹意行動(dòng)和歹意軟件，分層安然策略在不久之前變得相當(dāng)受歡迎，并且此刻已深進(jìn)人心，成為全部行業(yè)呵護(hù)企業(yè)收集最好的實(shí)踐編制。從直不雅的角度來看，它仿佛在收集內(nèi)擺設(shè)了多臺(tái)安然設(shè)備，每臺(tái)都有其本身的防御載體，供給一種具有反復(fù)性、在幾個(gè)不合層次上都成心義的收集防御。
好比，假定一個(gè)組織擺設(shè)了一個(gè)防火墻、進(jìn)侵防御系統(tǒng)(IPS)和端點(diǎn)呵護(hù)(EPP)系統(tǒng)，組織會(huì)覺得這些產(chǎn)品可以經(jīng)由過程其不合的功能組合供給更強(qiáng)大年夜的呵護(hù)：在收集外部，防火墻會(huì)查抄歹意URL、IP地址和其它近似可以在拜候節(jié)制列表中等閑驗(yàn)證的指標(biāo)傳進(jìn)的數(shù)據(jù)包。數(shù)據(jù)包假定經(jīng)由過程防火墻，IPS系統(tǒng)會(huì)查抄數(shù)據(jù) 包的內(nèi)容和頭信息，假定肆意數(shù)據(jù)包內(nèi)容被視為合適IPS簽名列表的歹意內(nèi)容，這個(gè)數(shù)據(jù)包就會(huì)被丟棄或禁止。最后，在收集中EPP系統(tǒng)駐扎在每個(gè)終端設(shè)備上，作為防御歹意代碼的最后一道防御線，匹敵可能經(jīng)由過程防火墻和IPS的歹意代碼。
給定的數(shù)據(jù)包經(jīng)由過程收集的每個(gè)節(jié)點(diǎn)時(shí)，都需要接管為了呵護(hù)收集而日趨侵進(jìn)性的查抄。安然治理員都感應(yīng)欣慰，感覺只有最復(fù)雜的歹意編碼可以成功滲入安然設(shè)備的幾層防御。但是，NSS嘗試室的自力安然測(cè)試人員發(fā)布的一份陳述質(zhì)疑擺設(shè)分層安然編制會(huì)加強(qiáng)企業(yè)收集安然。
在陳述中關(guān)于進(jìn)侵偵測(cè)故障的部門，NSS嘗試室決定測(cè)試37種不合的安然設(shè)備，包含來自24家安然廠商供給的解決1711種已知縫隙的防火墻、下一代防火 墻(NGFW)、IPS和EPP設(shè)備。所選擇的報(bào)復(fù)打擊已知傳染過超越200多種軟件供給商，包含來自微軟、蘋果和思科的產(chǎn)品。NSS嘗試室為了肯定對(duì)檢測(cè) 縫隙的最好配對(duì)，測(cè)試了各類設(shè)備的不合組合。對(duì)分層安然策略的暗藏故障，成果供給了一個(gè)有趣的謎底。
測(cè)試的606種不合組合中，只有19種成功禁止了所有進(jìn)侵詭計(jì)，值得寄望的是，沒有一種伶仃進(jìn)行測(cè)試的設(shè)備可以或許禁止所有的歹意詭計(jì)。至于哪些產(chǎn)品一路工作 是最好搭配，NSS嘗試室發(fā)現(xiàn)NGFW和IPS的組合比肆意EPP系統(tǒng)組合都能更有效地禁止已知的報(bào)復(fù)打擊。例如，肆意NGFW-IPS組合平均故障率約為 0.8%，而肆意EPP組合平均故障率是驚人的26%.單單這些成果表白，假定不將一些內(nèi)嵌的安然設(shè)備搭配起來，僅僅只是擺設(shè)端點(diǎn)防護(hù)是不敷安然的編制。
那么，組織應(yīng)當(dāng)采納或打算采納如何的分層安然編制來應(yīng)對(duì)這個(gè)陳述？起首，企業(yè)應(yīng)當(dāng)正視陳述的具體內(nèi)容。例如，該當(dāng)寄望到，沒有任何安然裝配可以僅僅仰仗本身來檢測(cè)到所有直接的微軟相干報(bào)復(fù)打擊。以微軟為中間的組織決定擺設(shè)安然設(shè)備組應(yīng)時(shí)，應(yīng)當(dāng)熟諳到這個(gè)事實(shí)。
該陳述供給了大年夜量關(guān)于各類設(shè)備組合的機(jī)能詳情，我建議起碼通讀全部陳述，然后采取此中關(guān)于您的組織所利用的產(chǎn)品或供給商的機(jī)能內(nèi)容。蘋果對(duì)蘋果產(chǎn)品的比較 可能其實(shí)不太合適，可是數(shù)據(jù)可能會(huì)凸顯你的產(chǎn)品表示不佳的狀況和如何將產(chǎn)品和其它手藝連絡(luò)起來可以進(jìn)步你的分層安然。例如，一個(gè)出格的組 合：Sourcefire 3D8250 IPS和Stonesoft 1301 NGFWs，在我心目中脫穎而出，因?yàn)樗跍y(cè)試過程中的禁止表示很是好。雖然如斯，某些產(chǎn)品可能合適一個(gè)組織，但不必然會(huì)合適另外一個(gè)組織。
為此，每個(gè)組織考慮或擺設(shè)分層安然編制時(shí)，最好考慮到本身的威脅狀況和安然要求，然后遵循NSS嘗試室的編制自行進(jìn)行測(cè)試。這將為每個(gè)組織供給特定的成果組合，并能產(chǎn)生一個(gè)更清晰的畫面，奉告組織哪些產(chǎn)品可以供給最好的機(jī)能。
最后，擺設(shè)分層安然策略時(shí)假定不考慮到設(shè)備組合，其實(shí)很有可能導(dǎo)致災(zāi)害性的后果。當(dāng)然會(huì)有故障可能性，可是對(duì)報(bào)復(fù)打擊者帶來的良多標(biāo)題問題，分層收集安然仍然可 以像當(dāng)前肆意編制一樣供給極有說服力的解決編制。為了確保利用分層安然策略可以帶來更好的結(jié)果，在擺設(shè)設(shè)備之前，安然治理員應(yīng)當(dāng)深進(jìn)研究不合廠商的設(shè)備組 合，上述NSS嘗試室陳述就是這個(gè)過程一個(gè)明智的開端。