2015年网络安全10大经验之谈

提供免费安全经验

2015年对于安防行业来说是一个令人振奋（和恐怖）的一年。安防市场增长是个天文数字，据市场调查公司Gartner的资料显示，预计全球范围内的信息安全支出到今年年底将达 754亿美元。同时，威胁变得比以往任何时候都更为严峻，各行业持续受到网络攻击的猛烈冲击。在此即将进入2016年之际，我们准备迎接安全市场的更丰硕、更具影响的一年，让我们回顾一下2015年积累的各种经验。

10、点解决方案是不够的

RSA总裁阿米特·约伦（上图）在RSA大会开幕式上大胆宣称：安防行业正在对抗攻击的战斗里节节败退，而且，除非采用新的方法， 安防行业还将继续败退。约伦表示，与其建造具有越来越多点解决方案的更大的墙，安全行业需要聚焦可视性、身份和认证、威胁智能、整合解决方案和更强的围绕重点区域资源的优先处理。远离传统以边界为基础的技术是大趋势，过去一年里该趋势得到各方面的回应，记者在过去一年里采访过的所有安全专家都同意，需要利用更多类型的解决方案才能打赢安全之战。

9、安全问题不会消失

从2015年可以明确看到，安全问题不会消失，如果有什么变化的话，问题只会变得更糟。根据隐私权信息交流中心（Privacy Rights Clearinghouse）的资料显示，2015年里有184个漏洞公之于众，涉及到各个行业。今年备受关注的漏洞包括Office of Personnel Management公司、百利、Anthem、Premera、CareFirst、Planned Parenthood等等。赛门铁克高级事件响应经理鲍勃•沙克尔（Bob Shaker）表示，由于各种猛烈的网络攻击，一众高管认识到受攻击极有可能是不可避免的，这对于将建立应付攻击和事件响应机制 的推到最前沿有帮助。

沙克尔说表示，“越来越多的董事会和高管正在寻找帮助，以建立事件响应方案和计划、举行桌面演习和训练自己的团队，力求积极采取措施，做足准备应对攻击，在漏洞被攻破时，减少整体影响。”

8、第三方作为攻击向量

事关不单单客户的环境有风险，第三方供应商也可能带来巨大的风险。一些大安全事件已成为安全威胁的代名词，包括Target和家得宝，2015年里其他大漏洞事件包括OPM、益百利和陆军国民警卫队，这些都是由第三方的安全漏洞造成的。BitSight首席技术官斯蒂芬·博耶（Stephen Boyer）表示，第三方攻击造成的影响是一种趋势，这种趋势从2015年起到未来几年将持续。他引述了2015年Verizon数据泄露报告，该报告发现，70％的攻击影响了二次受害者。

博耶表示， “2015年有迹象表明，攻击者针对的是防卫薄弱的第三方，并且会利用这些第三方作为跳板进而对更广泛的生态圈进行攻击破坏。在未来几年里，不仅需要监视自己公司内部的安全态势，而且还要管理第三方供应商的风险和安全。这样做已经越来越重要了。”

7、重点也需要放在里面

赛门铁克产品行销全球企业安全高级主管Piero DePaoli表示，很多安防行业的重点是保护不受到来自外部的威胁，而另一方面，防止内部威胁也很重要。根据Verizon的数据泄露报告资料，20.6％的全部攻击是由于内部误用导致的，另外的15.3％是由设备被盗或丢失导致的。

DePaoli表示，“员工往往是企业的最大威胁，其中有恶意性质的和意外性质的。他们可能会有意地企图窃取数据，他们也可能只是一些可以以假乱真的网络钓鱼骗局的牺牲品，导致无意中泄露了公司的信息。这就是为什么持续对员工进行网络安全和公司政策的教育特别重要。“

6、物联网安全需要的来临

Rapid7产品及工程高级副总裁Lee Weiner表示，物联网设备加紧了进入主流市场的步伐，围绕物联网的安全威胁日益成为一个现实问题。2015年里，连接汽车、儿童游戏设备、婴儿监视器、芭比娃娃、步枪等产品显露了更多的漏洞，这一点成为许多企业用户和个人用户的共识。

Weiner 表示，“我觉得在2015年，人们开始意识到这些真正的风险，意识到这是一个现实问题。我认为我们能在2016年取得一些进展，但我们还有很长的路要走。”

5、安全成了董事会议题

Rapid7的Weiner表示，在2014年，围绕安全的对话开始成为董事会议题。这一趋势在2015年有更快的发展。

Weiner 称，“董事会真的开始向管理团队询问关于网络安全和网络风险的事。他们以前是不会这样做的。”

Weiner表示，具体来说，董事会开始着手获得更多有关的知识，在做安全决策时更加理智。人们认识到安全方面的挑战会持续，而且，大量的实例表明，安全漏洞被攻破后会直接影响公司的声誉、财务状况和高管，这些都推动了这一转变。Weiner称。他预计该趋势在2016年里会加速。

4、可见性需要出现历史新高

Black Duck产品战略副总裁Mike Pittenger表示，2015年的种种迹象表明，企业环境和潜在漏洞的可见性需要加剧。

Pittenger表示，“防御时需要针对弱点的可见性， 这是显而易见的，但往往在实际中没有用到。”

这包括针对设备的可见性、针对软件的可见性等等。专家表示，这种威胁是复杂的，由于物联网和BYOD成指数级增长，网络上出现大量的设备和软件即服务的应用程序，因而导致经认可和未经认可的软件比以往更容易进入网络环境 。

3、未来的立法之路不平坦

Blue Coat首席技术官Hugh Thompson表示，过去一年表明，安防行业将面对“崎岖的”网络安全和数据隐私立法之路。2015年里多项法案触礁，包括美英安全港协议、元数据保留裁决、欧洲和其他地区的数据主权决定、网络安全信息共享法案，以及最近在巴黎恐怖袭击后对加密的新一轮辩论。他表示，这些事件和立法行动已经加强了人们对合规性的认识，唤醒了企业对方式和地点、技术部署的需要的关注，突显出未来灵活部署的需要。

2、手里的数据怎么办？

虽然在过去的几年里，更换式信用卡常常是攻击的目标，但2015年的数据窃取出现了新的基调，势必产生长期影响，坊间出现对诸如健康档案、社会保险号、甚至影响声誉的数据等不可变信息的数据窃取，例如Ashley Madison泄露事件。

Blue Coat的Thompson表示，“我认为，我们学到的一点就是，我们还不知道如何处理那些不能被擦除的数据。我们在2016年会发现这一点的。”他表示，这包括更加重视数据保护技术、云计算访问安全性经纪和垂直市场费用。

1、解决方案提供商可以从中大赚一笔

对于解决方案提供商来说，2015年里有一件事情变得比以往任何时候都更加清晰，那就是安全性为他们的业务提供了一个巨大的机会。

Blue Coat的Thompson表示，“它的增长速度比我所知道的科技领域内的任何其他总体可设定市场都要快。既然是这样的情况，如果解决方案提供商规划好他们的业务，他们就自然应该考虑建立一个相应的专业知识和关系的团队，重点开发相关的区域。“

2015年里解决方案供应商确实已经开始这样做了。例如，Raven Data Technologies首席执行官Matt Johnson重新调整了旗下围绕安全的全部管理服务业务（该业务现在名为Phalanx Secure）。Johnson表示，现在的业务同比增长300％以上。