医疗保健公司成功阻挡数千次网络攻击

“感谢两位参加我们的访谈。如果方便的话，请用一分钟介绍一下自己、您的职位，以及贵组织的业务。”

是的，我是 Quynn Kars。我是网络安全架构师。我们在一家医疗机构工作。我是 Evan Martinez。我与 Quynn 密切合作，担任网络安全工程师，负责部署和推广这类产品。

您与 Akamai 的合作关系是如何开始的？目前贵组织正在采用 Akamai 的哪些产品？

我们主要是 Akamai Guardicore Segmentation 的客户。当时我们正在寻找一种微分段或东西向防火墙解决方案。那时候我们对具体想要什么还没有完全明确。在一次与我们长期密切合作的合作伙伴共同参加的厂商活动上，我很幸运地遇到了一位 Akamai 销售团队成员，并就我认为我们组织的需求进行了很好的交流，同时也讨论了我对行业发展趋势的看法，以及哪些方案可能对我们有所帮助。 我们很快就将 Akamai Segmentation 纳入了考虑范围。随后，通过几次产品演示和概念验证（PoC），我们逐步找到了正确的方向，并最终成为了 Akamai 的客户。

回顾贵组织采用 Guardicore 的过程，您认为它在部署方面为贵组织带来了哪些转变和改进？

在开展这个项目时，我们研究了多年来在各种环境中一直采用的传统防火墙架构，而我们希望采取一种不同的方法，既能减少人力投入，又能实现相同的目标。在这方面，Guardicore 满足了我们的所有需求，为我们提供了基于代理的解决方案。它让我们能够在第一天就部署并立即获得对流量的深度可视性和控制，而无需对整个环境进行大规模的基础设施改造。

从 AI 辅助的策略实施和策略建议方面来看，您有哪些体验？这些功能在贵组织中是如何落地的？又为组织带来了哪些改进？

GPE 对我们的流程改进非常显著，尤其是对网络安全团队而言，它大幅提升了我们将应用快速部署到实施模式的速度。 这不仅意味着应用负责人能够更快地完成并部署功能完善的隔离策略，也让我们工程团队在实际部署过程中大幅减少了工作量。部署这些策略所需的时间已经显著缩短，同时，为了全面梳理环境中所有应用所需的防火墙规则，我们所需要投入的人力工时也大幅减少。 这无疑是 GPE 为我们带来的最大提升。

到目前为止，您对 Guardicore Segmentation 的部署以及与 Akamai 的合作关系有何印象？

这真是太好了。Guardicore 基本上满足了我们所关注的每一项需求。我们需要可视性、便捷的控制能力以及精细化的管理，而这些需求从第一天起就得到了满足。整个部署过程都很顺利。我们很容易就建立起了对这款产品的信任。到目前为止，它在各个方面都满足了我们的需求。

在采用策略生成 Beta 版之前，您认为 AI 策略引擎与当时已有的其他微分段解决方案相比如何？从部署角度来看，采用该功能前后的情况有何不同？

从我的角度来看，再加上我与 Quynn 密切合作，我记得以前有很多次长达数小时的工作会议，我会坐在那里分析核心服务的流量日志，反向梳理流量情况。您可以想象，这需要投入大量的人力工时。 而且不仅如此，流量本身还必须存在，对吧？应用程序必须先产生这些流量。因此，我们以前不仅要投入数小时进行分析，还需要在一周内安排多次这样的工作会议，等待更多流量产生并持续收集数据，对吧？对于 GPE 引擎而言，它不仅仅是像我们之前那样利用实时数据。它会回溯分析过去 30 天内摄取的日志。因此，它能够发现一些我可能没有注意到的情况，比如自上次清除相关警报策略的命中计数以来所发生的情况。这样一来，它能够提供比以往更全面的视图，而不需要我投入越来越多的时间。

从您的角度和角色来看，您觉得人工智能政策引擎在某种程度上减轻了您团队的负担吗？ 这不是剥夺了发现的乐趣吗？

在开始这个项目之前，我们的应用程序所有者并不一定完全了解他们的应用程序在做什么、与什么进行交互，以及其他相关信息。 因此，拥有政策引擎使我们能够在对话中清晰地展示他们的应用程序正在做什么，以及我们从规则角度期望实现的目标。 通过这种方式，我们可以向应用所有者展示这些信息，并告诉他们：“根据过去30天的流量数据，我们预计需要屏蔽或允许哪些内容。” 他们只需完成一个验证步骤即可。 它让整个流程从头到尾都变得更加简单、更加容易，也更加流畅  。这真是太好了。

在实际执行政策之前模拟政策的重要性，您认为这对组织有何影响，无论是避免错误警报还是防止系统故障？ 这对公司造成了什么影响？通过对每套策略规则集进行预警模拟，我成功获得了变更委员会的信任，这对我来说无疑是极大的帮助，对吗？

所以，每次当我实施执行模式时，无论是在一级、二级还是三级，我都需要将这些变更提交给变更委员会审批，并确保获得相应的批准。 与传统防火墙相比，我在获得审批者信任和好感方面所取得的进展要容易得多，效率也高出十倍，这要归功于我能够实施新的屏蔽规则。 这对管理人员来说非常有益，同时我也能够向应用所有者展示并让他们放心，我不会在他们休假期间造成系统中断，或者在半夜打扰他们，因为Guardicore可能会阻止他们不希望被阻止的某些流量。 因此，这极大地提升了组织内部的信任度。

在工具生态系统中采用人工智能并保护 AI 本身，您认为这有多重要？您认为具备可解释性的 AI 有多重要？我们需要更多证据来证明这一点，以执行这项政策，从 而不仅在整个组织中给予您安心。但同时，我们也需要让人类参与其中，以便提出政策建议、提供证据，并确保由人类来执行这些决策，而不是完全依赖自动化流程。 这对你来说有多重要？

很有趣，不是吗？因为这确实非常重要。 我们不想积累技术债务。有了这些 AI 政策，对吧？ 我们希望这些系统输出的结果是干净且能为组织创造实际价值的。 因此，提供关于这些即将出台的规则以及 AI 为工程师或团队提供的相关信息的解释性说明至关重要。 我相信，随着 AI 在行业中的应用越来越广泛，我们将在未来几年内看到这一趋势得到广泛推广。

Evan，你能否举个例子，说明有何建议有助于提升机构的安保状况？ 你能举几个例子吗？

当然可以。 因此，我可以举一个与 GPE 相关的例子，比如从应用 1 到应用 2 的通信，端口可能是 80、443 或其他任意端口。然后是第二个建议，它只需要一个 IP 地址就能实现同样的功能。 所以在我看来，这是一个明显的警示信号，表明我们在部署过程中遗漏了一个代理，或者在标注应用中遗漏了一个代理。 因此，我们需要进行一些调查，以确  定 Guardicore 未识别出标签或托管资产的终结点是什么。 然后我可以与应用团队合作，找出具体问题， 并为其分配正确的标签，这样我们不仅能提高可见性， 还能确保相关执行措施到位。 因此，我们的环境中不会出现任何不受控制的负载运行情况。

你知道，这些工具为你带来的任何可衡量的好处，比如在终端用户故障排除、节省时间等方面，或者你在运维过程中通过部署所体验到的 任何其他方面，你能想到的任何好处？

是的，绝对是的。 在运营方面，我虽然从网络安全的角度来看与我们所做的工作有些距离，但我实际上会被邀请参与故障排除或系统停机等会议，即使这些问题与我所管理的应用或系统无关，这只是因为我能够从进程层面了解问题的发生情况。 所以，我可以检测到，例如，如果一个应用服务器配置了 SMTP 中继，但对应的 DNS 记录指向的服务 器不存在，对吧？ 然后，农场中的其他 10 台服务器都配置了其他响应内容，这才是正确的配置，对吧？ 因此，我经常 被邀请参加故障排除会议，以深入了解流程细节，并为应用所有者提供额外的参考信息。

根据您的经验，您认为向同行解释 Akamai 在 AI 领域有哪些独特做法，这有多重要？

我认为这很重要，对吧？因为许多组织都在将 AI 技术引入其系统中，而这种做法是否真正能为终端用户或工程师带来价值，则是一个值得商榷的问题。 我认为，Akamai 处理这一问题的方式是最佳方法之一。 他们所做的其实是提供价值。 GPE 引擎可不仅仅是用来处理垃圾的。 虽然说起来容易，但这个引擎实际给出的建议确实很有用。 它为我们的组织创造了价值，同时也为我们节省了大量时间。这也是我希望看到更多供应商采取的做法。

在整个平台中，您认为哪些方面为您的组织带来了最大价值？

是的，我绝对可以说，GPE 引擎提供了最大的价值。 除了 Guardicore 为我们的环境提供的分段功能外，在完成购买并成为客户后，我们真正获得附加价值的地方在于 GPE 功能的发布。 所以，我和奎恩在任何时候都在同时进行多个项目。 我们参与了针对新项目的故障排除会议。 因此，为我们的部分高级用户节省部署阶段的时间，让我们能够腾出更多精力去处理其他可能效率较低的任务，这对我们来说是一个非常大的优势。

当你在评估不同的分段解决方案时，你觉得 Guardicore 作为一家分段解决方案提供商，最终是如何成功缩短隔离部署时间的？

它是否扩大了其价值，使其能够在整个组织中进行时间到部署的估算？ 你觉得 Akamai 是如何真正将这一点落实到公司运营中的？ 

你知道，我认为最准确的说法是，这个行业在很长一段时间内都有一套固定的做法，就是将东西部分割开来。 就是说，你需要部署一个传统防火墙，将其放置在你想要的网络接入点，并设置相应的防火墙规则，或者，你也可以在交换机上配置访问控制列表（ACL）。 拥有一个代理程序，只需制定策略，将其安装在机器上，然后就可以开始运行，这大大加快了部署速度。 我们最初计划采用传统方法， 这需要几个月的时间来处理停机、维护窗口等问题，才能 真正开始看到流量并做出决策。 而使用 Guardicore 后，只需一周时间，我们就能在所有机器上安装代理程序并完成部署流程。 当然，我们和所有人一样，都需要经历这些阶段，但实现这一目标所需要的时间要短得多。 然后，我们就可以开始制定政策并做出决策了。我们可以开始利用这些现成的数据来做一些实际的事情。 所以我认为这非常有帮助，而且这很可能是行业未来的发展方向。

你觉得如何？你知道，Akamai Guardicore 确实介入并推动了该组织实施零信任模型。 这是否让你在实际操作中对 Guardicore 的应用有了新的认识，意识到它甚至可以超越东西向防火墙的范畴，实现更多可能性？ 除了你最初想要的结果之外，你是否从这个工具中获得了其他用途或价值 ？

当然可以。因此，我们在成为客户并了解产品功能后，显然已经制定了项目计划，规划了后续的实施步骤。 正如你所提到的，随着我们对产品的了解不断加深，我们逐渐开始真正理解我们能用它来做什么，因此情况也随之发生了变化。 所以，我们在最初决定将某些应用隔离并搁置一旁后，并没有深入探讨具体细节。之后，我们在第二阶段部署中重新审视了这些问题，并重点关注那些高度敏感的系统。例如，如果某个系统不再接收安全更新，我们可能会为其提供替代解决方案，并对基于流程的规则执行更 严格的管控。 你知道，防护栏已经建好了，而且规模要小得多。 所以，你不是在为某个特定环境部署应用程序，而是要使用一组服务器集群，而你并不希望这些服务器与你的工作站、邮件服务器或其他任何设备进行通信。

就目前的部署情况来看，您今天大约保护了多少个应用程序？

是的，我们目前收到的申请书数量已经超过 100 份，而且随着组织的不断发展壮大，这个数字还在持续增长。 这无疑让整个过程变得非常简单。

你觉得需要多长时间才能真正理解事件响应，以及它是否能加速你的平均修复时间？ 你知道，从调查的角度来看，你属于哪个部门？

是的，这是肯定的。你知道，我们的安全运营中心 (SOC) 分析师和事件响应团队，包括埃文和我，我们也是这个团队的一员。 这使我们能够快速、准确地了解正在发生的事情，对吧？ 从这个过程的角度来看，就好像是 XDR 警报针对某个进程触发了一样。 现在，我们不仅要分析 XDR 日志并尝试将所有信息拼凑起来，还能看到这台机器在过去7天内与哪些设备进行了通信。 它究竟做了些什么？该进程是否正在进行网络通信？因此，它确实为我们提供了另一种层次的可见性，而 XDR 工具可能无法提供，或者无法提供像 Guardicore 那样优质的服务。

从部署带有隔离功能的微隔离解决方案的角度来看，你有什么感受？比如说，你多久会发现一次配置错误，或者是如果没有 Akamai Guardicore Segmentation，你觉得可能会错过的恶意活动？

因此，我想说，我们发现几乎每个应用或大多数应用都存在问题——虽然并非所有问题都与安全有关，但配置错误是肯定存在的。 因此，我经常会再次遇到这两种情况，无论是简单的请求从 80 端口而不是 443 端口发出，还是关键系统运行的是 FTP 而不是 SFTP 任务 。 你知道，我们可以通过 GPE 或者直接查看日志来轻松地获取这种可见性，甚至可以深入到进程层面。 它为我们提供了一种简单的方法来导出网络日志，将其提供给应用程序所有者，并分配修复任务，比如要求他们在下个月内完成修复工作。 如果这不可能实现，你可以回来找我们，我们会尽力想办法解决。 但仅凭这种可见性，我们就能获得大量见解，从而能够以某种方式改进这些任务。我想这就结束了。

非常感谢两位抽出宝贵时间。我们非常感谢合作伙伴和客户，同时也感谢各位观众的支持。