雖然2013年美國呈現(xiàn)當(dāng)局封鎖、債務(wù)上限、預(yù)算構(gòu)和和延續(xù)的政治作秀等狀況，一個復(fù)雜年夜而昂貴的當(dāng)局項目已在比來幾周開端穩(wěn)步擺設(shè)。
不受實事影響，在收到1.5億美元的初始分派資金后，美國總務(wù)治理局與河山安然局(DHS)已開端擺設(shè)被稱為持續(xù)診斷緩和解(Continuous Diagnostics and Mitigation，CDM)的項目。對這個項目，良多不附屬于當(dāng)局的實體更加熟諳的名字是持續(xù)安然監(jiān)控，該項目標(biāo)方針是操縱最新手藝和尺度化政策，春聯(lián)邦當(dāng)局最首要的收集資本擺設(shè)持續(xù)監(jiān)控。
企業(yè)可以從當(dāng)局的工作中進(jìn)修到良多經(jīng)驗。本文中讓我們進(jìn)一步深進(jìn)這個持續(xù)安然監(jiān)控的概念，并切磋你的企業(yè)若何可以從這類擺設(shè)中獲益。
CDM和CSM含義
CDM項目是一種采購和談，它幫忙幾十家私營聯(lián)邦當(dāng)局機構(gòu)采購產(chǎn)品來擺設(shè)持續(xù)安然監(jiān)控(CSM)，以融進(jìn)DHS設(shè)計的架構(gòu)。當(dāng)然該和談有60億美元的上限，個別機構(gòu)仍然需要按照和談本身籌集資金來采辦產(chǎn)品。
簡單地說，CSM是指不竭查抄企業(yè)中最首要的收集資本。這個術(shù)語中利用的“持續(xù)”的含義是，某些資產(chǎn)將被全天候監(jiān)控，當(dāng)產(chǎn)生任何異常環(huán)境時，預(yù)警機制將會通知系統(tǒng)治理員。當(dāng)然事實上，CSM已存在了相當(dāng)一段時候了，但直到比來才呈現(xiàn)專門的術(shù)語。
多年來，企業(yè)的收集安然策略是經(jīng)由過程擺設(shè)各類進(jìn)侵防御/檢測系統(tǒng)(IDS/IPS)與某種日記記實機制來監(jiān)控和呵護(hù)收集。但是，跟著安然專業(yè)人員和企業(yè)收集的不竭進(jìn)步，企業(yè)開端構(gòu)建和擺設(shè)更全方位的解決方案。到此刻，不但僅是聯(lián)邦當(dāng)局，良多企業(yè)都開端倡導(dǎo)和撐持成熟的CSM解決方案。
經(jīng)由過程CDM項目，DHS的重點是讓當(dāng)局機構(gòu)擺設(shè)六步CSM過程：安裝和更新收集掃描傳感器、主動化搜刮已知系統(tǒng)縫隙、匯集掃描成果、會審和闡發(fā)成果、減緩最大年夜或最嚴(yán)重的縫隙，和陳述進(jìn)展環(huán)境。其目標(biāo)是讓私營機構(gòu)在72小時傳感器擺設(shè)中充分診斷其收集。
當(dāng)然這一項目是不是會成功還有待不雅察，但這是受大年夜型采辦和談?chuàng)纬值摹按笾静钡捻椖?。假定成功的話，這將較著幫忙聯(lián)邦當(dāng)局機構(gòu)進(jìn)步信息安然性。SANS研究所的Alan Paller在描述該項目標(biāo)潛力時暗示，CDM“將會改革收集安然東西的藍(lán)圖，關(guān)頭根本舉措措施和其他企業(yè)將從中進(jìn)修到的經(jīng)驗教訓(xùn)，幫忙他們優(yōu)化收集安然支出和遏制華侈更多錢采辦高價位低效力東西?！?/P>
企業(yè)CSM：起步
那么，平易近營企業(yè)若何跟從當(dāng)局的法度來擺設(shè)這類持續(xù)安然監(jiān)控呢?當(dāng)然決定計劃者可以從賽門鐵克、Tenable、TripWire、FireMon等供給商選購各類商業(yè)監(jiān)控產(chǎn)品，但事實上，大年夜大都企業(yè)收集已有一些需要的東西來開端擺設(shè)CSM。但是，在會商東西之前，讓我們看看CSM打算過程的一個首要部門：設(shè)備分類。
在擺設(shè)持續(xù)監(jiān)控系統(tǒng)之前，企業(yè)必需決定哪些收集組件和網(wǎng)段應(yīng)優(yōu)先用于持續(xù)監(jiān)控。擺設(shè)傳感器和解釋成果的資本都很有限，所以企業(yè)應(yīng)當(dāng)采納基于風(fēng)險的做法來擺設(shè)CSM。起首應(yīng)當(dāng)從數(shù)據(jù)敏感度和/或任務(wù)關(guān)頭性最高的關(guān)頭資產(chǎn)開端。此中，包含關(guān)頭資產(chǎn)數(shù)量最多的收集是CSM初始擺設(shè)的首要方針。從那邊，你可以繼續(xù)利用基于風(fēng)險的編制操縱可用的資本擴大年夜你的擺設(shè)到其他網(wǎng)段。
企業(yè)CSM東西：操縱你現(xiàn)有的設(shè)備
在考慮哪些現(xiàn)有東西可用于持續(xù)安然監(jiān)控時，請寄望，這些東西不克不及作為專用CSM系統(tǒng)的持久替代方案，而只是臨時替代。假定企業(yè)已有IDS/IPS、縫隙治理產(chǎn)品、收集列舉解決方案和某種類型的收集日記記實機制，就已可以擺設(shè)一個簡單的CSM系統(tǒng)。
當(dāng)觸及IDS時，一個風(fēng)行的開源東西是Sourcefire(此刻已回思科公司所有)的Snort。這個廣受歡迎的產(chǎn)品供給了很是矯捷的法則治理系統(tǒng)，使你可以從社區(qū)更新，并彌補你本身的自定義腳本法則來監(jiān)控你的收集上的狀況。
收集列舉
別的一個常常被忽視的CSM部門是收集列舉。對此刻企業(yè)收集內(nèi)日趨風(fēng)行的攜帶本身設(shè)備到工作場合(BYOD)策略，這尤其首要。簡單地說，你很難持續(xù)監(jiān)控你不知道其存在的東西。當(dāng)然收集列舉東西有多種多樣，我們知道一個很是受歡迎的易于利用的顛末時候查驗的開源東西是Nmap。市道上有良多針對Nmap的不合的圖形用戶界面，但Nmap的核心是一個號令行東西，很像Snort，具有很強的可編寫腳賦性。例如，假定系統(tǒng)治理員知道其內(nèi)部收集IP范圍是10.0.0.0/16，那么，為了定位該收集范圍內(nèi)的每臺設(shè)備，他們應(yīng)當(dāng)鍵進(jìn)以下號令：
nmap 10.0.0.0/16 >>mytextfile.txt
這個號令可以奉告Nmap東西定位給定子網(wǎng)內(nèi)的每臺設(shè)備，并輸出節(jié)點信息到文本文件，這將幫忙系統(tǒng)治理員更好地辨認(rèn)所有收集設(shè)備。
日記記實：沒有它的話，CSM不會成功
對持續(xù)安然監(jiān)控，最后或許是最首要的方面是日記記實。日記供給了有關(guān)系統(tǒng)和收集上的勾當(dāng)?shù)氖滓獙徲嬀€索，使安然專業(yè)人員可以從頭建構(gòu)可能導(dǎo)致安然變亂的事務(wù)。日記闡發(fā)東西可以檢測標(biāo)題問題并找出不成能被發(fā)現(xiàn)的標(biāo)題問題。例如，對經(jīng)由過程直接登錄到敏感機械而沒有產(chǎn)生收集流量的內(nèi)部報復(fù)打擊，日記闡發(fā)多是獨一的安然信息來歷。
與收集列舉東西一樣，日記記實東西也是多種多樣的，但可以必定地說，此刻企業(yè)中有一個很是風(fēng)行(假定說不是最風(fēng)行)的日記記實機制是Linux辦事—syslog。因為syslog具有高度可編寫腳賦性，并且具有很是細(xì)粒度的數(shù)據(jù)匯集程度，良多企業(yè)發(fā)現(xiàn)他們可以很等閑地調(diào)劑其日記記實功能來知足其特定需求。例如，假定系統(tǒng)治理員想發(fā)送所有Snort警報到syslog辦事器，他們會瀏覽到etc/snort/snort.conf 并在建設(shè)文件末尾增加以下號令：
output alert_syslog:host=10.0.0.1:514, LOG_AUTH LOG_ALERT
上述號令的前提是，該syslog辦事器的IP地址是10.0.0.1，并且它正在監(jiān)聽UDP端口514。當(dāng)系統(tǒng)治理員建設(shè)警報來記實異常進(jìn)站和/或出站連接、在本地收集中插進(jìn)新設(shè)備或治理員覺得值得警戒的其他收集事務(wù)時，這個號令出格有效，并具有高度可擴大性。
結(jié)論
持續(xù)安然監(jiān)控正在聯(lián)邦當(dāng)局和私營部門內(nèi)獲得鞭策力。河山安然局的CDM步履為聯(lián)邦當(dāng)局用戶供給了一個共同的框架，并概述了合適各行各業(yè)企業(yè)的擺設(shè)編制。這個框架的可用性，和CDM采購和談(各類安然監(jiān)控東西)應(yīng)當(dāng)會鞭策聯(lián)邦當(dāng)局內(nèi)的擺設(shè)。并且，聯(lián)邦當(dāng)局的步履很可能會鞭策私營企業(yè)，在全部公共和專用收集內(nèi)給安然根本舉措措施擺設(shè)帶來一種新的緊急感。