攻击检测系统：一种更好的检测恶意软件的模式

随着恶意软件日益复杂化，企业必须扩展其安全最佳实践来加入双层安全技术。目前有很多双层安全技术；攻击检测系统（BDS）作为单层安全工具的补充 技术，其价值在于检测恶意软件的能力。具体来说，攻击检测既能识别恶意软件被传入网络的初始状态，也能确认感染系统或网络后的情况。

BDS部署模型

攻击检测部署模式和入侵检测系统或入侵防御系统类似，这取决于你选择的供应商，它们包含以下内容：

• 带外部署—使用跨越交换机的端口或者映射数据到BDS的网络分流器
• 内线部署—这与网络入侵防御系统完全相同
• 端点部署—利用安装在每个企业资产上的客户端

每种部署方案都有其优缺点。而选择哪一种则完全取决于你所了解的攻击面、网络架构、垂直行业和数据隐私法（物理数据所在国家的法律）。其中数据隐私法很重要，因为有些厂商需要从你的网络收集数据，再发送到他们的云基础设施中。虽然这并不是技术问题，但是如果供应商需要在你的企业内部执行分析或者数据要被发 送到其云计算进行后处理，你就需要向供应商了解这些问题。

在供应商的云计算中进行后处理有很多优势，他们采用大规模并行处理，并根据需要扩展资源，这对你完全是公开的，而且还是可扩展的。但是，其他供应商也能够在你的企业内提供相同水平的优势。最终，如果所有这些处理工作是在你的企业或者供应商的云中进行，这两种部署模式都将得出相同的答案：基于先前已知的样本或者全新的事物来识别未知或已知恶意软件。

了解你的攻击面

了解你的攻击面是企业基础设施中最重要的一方面。BDS在这方面非常成功，前提是它了解你的操作系统和经批准的应用（特别是那些连接到互联网的应用），因为这是攻击者用来攻击的主要载体。这是一个非常重要的工作，因为你需要抵御针对操作环境的威胁。

进入你的基础设施的最终途径是通过内部用户，这包括内部员工和远程员工。企业应该禁用远程VPN用户的分离通道；否则，你的恶意软件检测投资将失去作用。如果禁用分离通道难以实现，笔者建议考虑提供端点BDS客户端的供应商。

你需要从选择正确的BDS开始，帮助你检测企业可能面临的威胁。