歹意軟件變體的瘋狂增加給端點安然帶來了巨大年夜挑戰(zhàn)。跟著端點的數(shù)量和種類的較著增加，企業(yè)必需擺設外圍收集安然手藝來呵護所有最終用戶、辦事器和流量，和應對不竭增加的流量、歹意軟件和其它收集威脅。
基于收集的歹意軟件檢測(NBMD)是基于簽名的端點反歹意軟件檢測的替代品。這類產(chǎn)品“老是開啟狀況”，并且可以或許應對現(xiàn)代歹意軟件用來繞過客戶端安然利用的技能。但是，擺設常常是一個挑戰(zhàn)：要闡揚其最大年夜的結(jié)果，NBMD必需采取串連擺設，并且，假定沒有精心建設，它可能變得過于“激進”，粉碎關頭任務利用和營業(yè)流程。
在本文中，我們將會商若何成功地串連擺設基于收集的歹意軟件檢測，包含若何治理和建設這些系統(tǒng)來避免影響利用根本舉措措施的最好做法。
NBMD的優(yōu)勢
傳統(tǒng)的反歹意軟件檢測是基于供給商的簽名：供給商會隔離并查抄在收集中發(fā)現(xiàn)的歹意軟件，并編寫簽名來奉告反歹意軟件產(chǎn)品應當若何辨識這類歹意軟件，然后，分發(fā)簽名到其反歹意軟件產(chǎn)品的客戶。
比擬之下，NBMD則是在沙盒環(huán)境實際履行可疑文件，以肯定其行動是可疑仍是歹意，從而肯定已知和未知的歹意軟件。NBMD產(chǎn)品供給的這類額外闡發(fā)可以發(fā)現(xiàn)難以檢測的定制的多態(tài)歹意軟件，這類歹意軟件凡是常利用于高級延續(xù)威脅或說APT報復打擊中。
當然位于外圍的設備具有低延遲性(它不需要發(fā)送文件進行闡發(fā))，但在繁忙的收集中查抄所有流量和未知文件仍然是一個巨大年夜的挑戰(zhàn)，即便進站點和出站點保持在最低限度。對這個標題問題，最新的NBMD產(chǎn)品的做法是，將部門或全數(shù)門析轉(zhuǎn)移到云中，幫忙降落成本、進步可擴大性和準確性。
基于云的NBMD辦事的一大年夜優(yōu)勢在于，經(jīng)由過程對良多客戶碰著的大年夜量歹意軟件進行闡發(fā)，客戶可以從中收益。并且，它可以或許作為所有文件哈希、指標和測試的中間資料庫，如許，新的歹意軟件的透露面削減了，因為我們不需要將更新的成果分發(fā)到所有本地設備。但是，NBMD在收集內(nèi)擺設的編制對其有效性和普及率有著很大年夜的影響。
成功地擺設基于收集的歹意軟件檢測
為了最大年夜限度地闡揚NBMD產(chǎn)品的優(yōu)勢，NBMD需要進行串連式擺設;與其他串連擺設的安然設備(例如防火墻和進侵防御系統(tǒng))一樣，NBMD產(chǎn)品可以在歹意軟件進進收集前，捕獲并禁止歹意軟件。帶外或端口鏡像擺設模型意味著它更像是典型的監(jiān)控器，查抄流量，當發(fā)現(xiàn)歹意軟件進進收集時發(fā)送警報。但這類擺設不克不及很好地在辦事器或云中擴大，因為治理員可能被警報“沉沒”，事實所有這些警報都需要進行查詢拜訪，并盡快解決以避免造成侵害。串連擺設NBMD給了企業(yè)更多的矯捷性來發(fā)出警報或禁止。
當然在歹意軟件進進收集進步行禁止很好，但主動地禁止所有可疑文件進進收集也有其錯誤謬誤，即誤報可能會粉碎關頭利用法度和影響用戶工作流程。順利地過渡到串連檢測和從警報過渡到反對的獨一編制是，花時候漸漸收緊法則來消弭誤報釀成的標題問題。企業(yè)應當對供給商所謂的自學型系統(tǒng)持思疑立場;企業(yè)應當定義政策，并跟著時候的推移調(diào)劑政策直到其可行，這里并沒有捷徑可走。
最初，企業(yè)可以將NBMD設備設置為僅禁止已知歹意文件，同時，對任何存在不肯定身分的文件發(fā)送警報，并確保有足夠的資本可用來措置這可能帶來的額外的工作量。一旦肯定某些文件類型不會粉碎任何過程或利用法度，它們便可以從警報要求移除。在此期間，按期查抄關頭利用法度的日記以捕獲弊端動靜，這可能發(fā)現(xiàn)關頭文件被禁止或延遲的跡象。同時警告撐持臺，對常見的工作流程，用戶可能會碰著延遲或間斷，他們應當會從用戶獲得反饋，這個過程將有助于定義法則。
NBMD也可用于辨認各類其他企業(yè)威脅，包含多是歹意的出站收集流量，例如，傳染的設備和報復打擊者的號令節(jié)制中間之間的典型的通信。按照和談、目標地、時候、文件類型和數(shù)據(jù)包內(nèi)容等指標，企業(yè)可以只承諾某些利用法度發(fā)送數(shù)據(jù)到收集外部，如許企業(yè)可以避免受傳染設備發(fā)送數(shù)據(jù)出往，從而禁止數(shù)據(jù)泄漏。
但是，即便擺設了杰出設置的NBMD產(chǎn)品，企業(yè)仍需要在端點擺設一些傳統(tǒng)反歹意軟件呵護來加強呵護，不管設備是不是位于企業(yè)收集。
展看NBMD的將來
對盡力應對高級威脅的企業(yè)而言，在彌補并最終代替?zhèn)鹘y(tǒng)反歹意軟件法度的過程中，基于收集的歹意軟件檢測產(chǎn)品是一個有吸引力的產(chǎn)品。當然在NBMD擺設過程中，仍然有良多障礙需沖要破，假定企業(yè)可以或許有足夠的毅力和決心來建設這些設備，最終將獲得豐碩的回報