Securing Your Digital Business

保护数字业务

来自 Web Security Products 副总裁 Josh Shaul 的观点

现今,对于信息安全首席信息官和其他高级业务主管需要了解的最重要的事情是什么呢?

我们处在一个信息安全的新时代。几十年来企业所依赖的传统“护城河和城堡”模式将过时且越发无足轻重:安全外围和防火墙组成的“护城河”环绕存放企业数据、应用程序和网络的“城堡”。应用、数据和用户已离开防火墙,进入云端,现在正穿越公共网络。他们已“越过护城河”,而传统的安全系统只是独守空堡。

是什么驱使他们转向云端呢?

当今,每个企业都是数字化企业,互联网是信息基础设施的关键部分。互联网为云端工作负载与本地数据和应用程序牵线搭桥。互联网将数百万甚或数以十亿计的设备连接起来,组成物联网。

出于以下各种原因,企业必须进入云端:
  • 其一,为了向客户输送快速、具有吸引力的数字化体验。客户对速度、可靠性和网络定制以及移动体验的期望在不断增加。所以我们会说“速度慢就完蛋”。在这个数字经济中,从来不乏替代品。不耐烦的客户将快速转向别处。
  • 其二,为了使员工富有成效。今天的员工需要在家、在路上、在客户所在地工作。他们可能需要在世界各地和途中使用系统和应用程序。
  • 其三,为了协调业务合作伙伴。这是一个由供应商、合作伙伴和承包商组成的全球性数字社区 — 各方都需要安全、快速和可靠地使用一个企业的应用和数据。
  • 其四,为了驱使数字化业务转型。为了数字化、加速业务流程、用技术提高产品和服务、为客户发布新的数字应用、开拓新市场、品牌全球化,企业必须利用云端的资源。

商业风险会带来什么影响?

企业现在希望并依赖互联网的速度、可靠和安全,这对完成任务至关重要,但即使在最佳条件下,互联网因自身设计缺陷而无法达到上述要求。同时,网络攻击对收入、经营活动和品牌声誉的影响极其严重。

数字化业务的中坚 — 网络和云端应用 — 一直处在恶意分子攻击的威胁之中。API 作为应用和数字体验的连接者,在安全周边创造了许多可乘之机,为攻击者开辟了成百上千的新端点。VPN、用户访问控制、认证信息保管库、认证系统 — 所有这些传统安全机制实际上成为了攻击和利用的潜在点。

不单是基础设施和数据在云端的分布产生新的风险。因为越来越多的人需要使用软件、网络和系统来开发和管理应用程序以带动企业数字化策略,所以,是开发应用程序和创造数字化体验的过程带来了风险。

然而,虽然企业接受了云端,但他们对安全、敏感数据的保护和依从性的要求依然如前。这些都没有改变。但是攻击界面和风险预测在以指数方式增长,必须以全新的方式来满足这些要求。数字时代的首席信息官面对着这一挑战:设法确保企业每天日益依赖的、越来越分散的云端网络的安全性和依从性。企业必须进入云端,在云端也必须安全。

请详细描述威胁形势是如何演变的。

当今的攻击者不再仅仅是利用最先进资源和工具的网络罪犯了。用户每天都有能力策划复杂、高度分散的攻击。通过利用免费获取的、高度复杂的工具箱和“雇佣攻击”服务,初学者和经验丰富的网络罪犯能够利用 DDoS 攻击摧毁全球网络,其成本、精力和复杂性只是传统的一小部分。

这种攻击不仅越来越多,而且变得更加复杂、危险。在过去,最大的威胁可能是敏感产品资料失窃,或网络密码盗用。但现在,数字化企业必须面对成百上千的新攻击。而这些攻击就在几年前还似乎是科幻小说 —“盗窃”资料并质要赎金的恶意软件,可在数秒间抓取内存里非加密、易受攻击的信用卡数据的抓取程序,使用一系列物联网设备(温度调节装置、电灯泡、Wi-Fi 路由器)来摧毁网站的联合攻击。在每种情况中,传统安全方法都无法在这个云端世界里有效应对。

那么,需要哪些新方法呢?

企业不仅需要确保安全的新方法,而且首先需要用新方法来设计自己的安全需求。

在准备方面,我们需要按照云端运行的方式构建安全。构建这种安全的目的是利用互联网的框架,而不是试图藐视它。企业资产所在之处都必须设有防护措施。传统的集中化安全方法无法做到这一步。如果试着将全部安全架构移入云端也不切实际。

在 Akamai,我们开始时有两个假设。其一、企业不再是安全边界;而整个云端是新的安全边界。或倒不如说,边界已彻底消失了。其二、我们使用的是“零信任网络”(Forrester 如此称呼) — 所有网络流量都可疑。在这种情况下,安全必须无处不在。无论用户、数据和应用在哪儿,安全都必须存在。

安全、政策、控制必须离开企业的“城堡”,来到云端的“边缘”。这会让安全更彻底、更易得。例如,如果安全不再成为一个特定基础设施配置的束缚,那么当一个互联网服务提供商出现服务中断时,企业还可以在其他提供商之间选择,因为他相信用户、应用、数据在任何新环境中都是安全的。

另外,在安全设计方面该怎么做呢?

各组织一般根据资产价值和敏感度确立防护等级。例如,对客户数据进行额外的安全防护。但是方法往往都是初步的,不够细化 — 这是额外防护,有或无。这只是一个方面。另一方面是应用和传送是怎么暴露资产的。企业被暴露在了什么具体危险之中,如何进行缓解?展示一下攻击和资产损失的情景。防护策略应该结合资产价值和潜在风险来确定。

在宏观层面,一个组织可以遵循内部标准、行业标准和法规遵从规定的程序和最佳实践,但依然无法充分避免网络攻击。正如我们讨论的那样,原因是威胁和安全格局在不断变化。我们的目的是灵活快速应对新威胁。这需要一个灵活的安全技术平台,而不是现有单点解决方案的集合。因此,要从未来的灵活性和即时保护出发设计安全方法。

较分散的安全防护是怎么运行的?

在云端,当然规模越大越好。云端交付平台的性能和安全需求只能通过扩大规模和分布实现。因此,Akamai 在 130 个国家/地区的互联网中部署了 20000 多个服务器,在任何给定的时刻都占全球网络流量的 30%。

扩大规模和分布可带来较大的能见度 — 大量有关用户、终端性能、网络性能和互联网性能的实时信息。这些信息是云边界安全功能的支柱。这包含对互联网安全漏洞利用(包括对我们支持的所有企业的全部攻击)的实时了解,是前所未有的。

实时安全情报是指随着威胁演变,阻止威胁的能力也随之发展,能够在互联网边缘打击网络应用程序和 DDoS 攻击。在大多数情况下,Akamai 可以在攻击者自身所在的一个网络跳跃点内阻止攻击,确保恶意流量尽可能远离企业数据中心。

除非服务器遍布全球,能测量和比较所有可用路径,否则流量路由的速度不可能快过互联网。除非服务器位于网络源头,并遍布全球,否则您无法在安全威胁刚一出现时就能发现。您也无法可靠地抵抗 DDoS 的攻击,除非您比所遭受的攻击具备更大容量。因此,还是规模越大越好。

企业可以怎样利用云端安全重新配置和提高防护呢?

他们的基本挑战是围绕访问的。无论企业是在云端还是在传统的数据中心,访问应用程序和数据都需要开放访问方法,而这就成为了恶意分子的巨大潜在攻击面。所以,一个企业如何能在不妨碍或延缓业务的情况下提供快速、简单、安全的远程访问同时将“坏人关在门外”呢?举两个例子。

在传统防火墙安全模式中,您一般让外部用户通过 VPN 访问企业网络,有时甚至不远万里给他们送一个自己企业预先配置好的笔记本电脑。不幸的是,VPN 访问极有可能成为一个攻击途径。许多重大安全漏洞都是这样产生的。比较好的替代方案是,只将防火墙后的应用程序连接到暴露于公共网络的小型 Web 应用程序。因为防火墙的连接器只能与所需应用程序通讯,而不会连接到您网络上的其他应用程序,所以您无法将全部网络开放给 VPN 用户。

另一个常见情况是使分支机构访问企业应用程序。传统配置是将分支机构网络连接到私人 WAN 上,然后再连接到您企业的数据中心。因此,流量位于“企业边界”内,通过传统防火墙获得保护。但是,当分支机构的一名员工通过直接连接访问公共网络时会发生什么呢?突然,一切努力都徒劳了。这个连接很容易被企业安全防护之外的恶意软件、钓鱼式攻击和其他威胁利用。

Akamai 的方法是实时监视互联网的域名服务请求,从而巧妙获得威胁所在的网域。用户被自动、立即阻断意外或故意访问恶意网域和服务。这种验证在毫秒内就可以完成,甚至在 IP 连接之前,因此早早地将威胁扼杀在“安全攻击链”内,而这离企业边界还很远。

总结起来,您主要想对首席信息官和其他业务和技术主管说些什么?

如果您的企业还没有实现数字化,是该数字化的时候了。如果您还没有进入云端,那您迟早会进入的。不管您的客户、员工和商业伙伴在何处,也不管他们在用什么设备,您都需要为他们带来最好的、最安全的数字化体验。

因为今天的数字化商业都存在于云端,所以其信息安全也必须存在于云端。云端性能和安全的关键是扩大规模、分布和提高可见性。不管哪里出现了情况,您都需要注意发生了什么情况,并对威胁做出实时应对。

数字资产已经“跳出城堡”,跳出了传统安全方法的控制范围。云端安全已经变得很重要。它能够显著提高企业的安全态势,降低业务风险。同时给予企业开展和扩大数字化业务的信心和斗志。

Related CIO Content