你的企業(yè)網(wǎng)絡(luò)第7層保護(hù)現(xiàn)在處于什么狀態(tài)?奇怪的是，應(yīng)用控制仍然是最難處理的網(wǎng)絡(luò)邊界，少數(shù)組織仍然必須使用一些有十多年歷史的傳統(tǒng)內(nèi)容過(guò)濾系統(tǒng)和防火墻技術(shù)。
然而，在今年的RSA大會(huì)上，思科發(fā)布了一個(gè)開(kāi)源Snort入侵檢測(cè)系統(tǒng)引擎，它旨在成為一個(gè)有效的應(yīng)用層安全工具。它的名稱(chēng)是OpenAppID。
雖然OpenAppID聽(tīng)起來(lái)很不錯(cuò)，但它仍然是一個(gè)新產(chǎn)品，所以不可避免地會(huì)遇到與其他新軟件一樣的問(wèn)題。
在本文中，我們將介紹OpenAppID及其特性，了解一些適合企業(yè)的使用案例。
OpenAppID的工作原理是什么?
根據(jù)思科的介紹，OpenAppID允許一個(gè)公司高效地創(chuàng)建自己的應(yīng)用程序防火墻。通過(guò)一組應(yīng)用程序標(biāo)識(shí)符——實(shí)際上是用于區(qū)分不同應(yīng)用程序流量的簽名，網(wǎng)絡(luò)與安全管理員就可以在Snort系統(tǒng)中創(chuàng)建、共享和實(shí)現(xiàn)自定義的應(yīng)用程序檢測(cè)規(guī)則。OpenAppId可用于創(chuàng)建流量警報(bào)、阻擋流量及執(zhí)行與環(huán)境相關(guān)的流量分析，以及生成關(guān)于網(wǎng)絡(luò)中應(yīng)用程序使用情況的報(bào)表。
這些穩(wěn)定的特性使管理員坐在辦公桌前就可以分辨出惡意應(yīng)用程序和非法使用，從而處理已有及新出現(xiàn)的威脅。此外，它還消除了對(duì)于第7層安全供應(yīng)商的依賴(lài)。直到現(xiàn)在，需要這種功能來(lái)檢測(cè)和阻擋應(yīng)用層流量的企業(yè)還沒(méi)有其他選擇，只能購(gòu)買(mǎi)某一種商業(yè)產(chǎn)品。有了OpenAppID之后，企業(yè)現(xiàn)在就可以使用Snort作為基礎(chǔ)建立一個(gè)自定義的開(kāi)源應(yīng)用程序防火墻，它可以根據(jù)組織需要?jiǎng)?chuàng)建流量警報(bào)或阻擋應(yīng)用程序流量。而Snort是一個(gè)許多安全專(zhuān)家都非常熟悉的工具。
OpenAppID目前支持超過(guò)1,500個(gè)應(yīng)用程序。管理員也可以自己編寫(xiě)應(yīng)用程序檢測(cè)器。
OpenAppID所支持的眾多應(yīng)用示例。
OpenAppID適用于哪些環(huán)境?
按照我對(duì)于開(kāi)源軟件的理解，通常我們必須付出才會(huì)換來(lái)回報(bào)。Snort是一個(gè)可靠的工具，而OpenAppID看起來(lái)又是一個(gè)不錯(cuò)的功能，所以這種免費(fèi)組件可能會(huì)擦出火花。但是，這并不意味著它可以輕易變得像商業(yè)產(chǎn)品(如下一代防火墻)一樣好用。Snort非常不錯(cuò)，OpenAppID也一樣優(yōu)秀，但是它仍然是一種新產(chǎn)品，因此它不可避免地會(huì)有與其他新軟件一樣的問(wèn)題，未來(lái)也很快會(huì)有新特性和新變化到來(lái)。
在寫(xiě)這本書(shū)時(shí)，我了解到許多關(guān)于Sourcefire的感知應(yīng)用產(chǎn)品。它有非常多的技術(shù)，這些技術(shù)對(duì)復(fù)雜企業(yè)網(wǎng)絡(luò)管理有很大的幫助。然而，我認(rèn)為思科不會(huì)讓自己的商業(yè)產(chǎn)品受到Snort與OpenAppID等開(kāi)源產(chǎn)品的影響。希望這家公司能夠同時(shí)支持兩種產(chǎn)品，這樣企業(yè)就可以根據(jù)自己的需要進(jìn)行選擇。
但是按照這種說(shuō)法，一個(gè)企業(yè)是否應(yīng)該嘗試通過(guò)OpenAppID實(shí)現(xiàn)更好的第7層網(wǎng)絡(luò)安全控制呢?在加入OpenAppID大潮之前，要慎重考慮以下幾個(gè)方面：
1.首先要考慮一下：企業(yè)安全項(xiàng)目準(zhǔn)備要實(shí)現(xiàn)什么目標(biāo)?目前有哪些業(yè)務(wù)風(fēng)險(xiǎn)?奇怪的是，許多組織還無(wú)法回答這些問(wèn)題。最后要做的是用一個(gè)新技術(shù)去解決一個(gè)新問(wèn)題，而現(xiàn)在還不知道這個(gè)風(fēng)險(xiǎn)是否會(huì)對(duì)企業(yè)環(huán)境產(chǎn)生重大影響。
2.現(xiàn)在公司部署的安全控制中，有哪些已經(jīng)有了與OpenAppID類(lèi)似的功能(如：下一代防火墻、內(nèi)容過(guò)濾、終端保護(hù))?OpenAppID與它們有何不同?是否更好一些?
3.組織是否有內(nèi)部專(zhuān)業(yè)人員負(fù)責(zé)實(shí)現(xiàn)與監(jiān)控這種工具?部署了OpenAppID之后，所有東西都受到監(jiān)控;你是否負(fù)責(zé)承擔(dān)這種挑戰(zhàn)?如果從技術(shù)角度看沒(méi)有問(wèn)題，那么時(shí)間上是否有問(wèn)題?每當(dāng)企業(yè)增加一個(gè)新的網(wǎng)絡(luò)安全功能時(shí)，一定還會(huì)有相關(guān)聯(lián)的其他技術(shù)，否則是無(wú)法高效地完成目標(biāo)。為了給OpenAppID及網(wǎng)絡(luò)應(yīng)用保護(hù)留下 更多的時(shí)間，你愿意放棄哪些東西?
如果這些問(wèn)題都不存在，那么很有可能OpenAppID就適合你的公司使用。但是，一定要先在測(cè)試環(huán)境中試用它，或者至少要在不會(huì)產(chǎn)生負(fù)面影響的一小部分生產(chǎn)網(wǎng)絡(luò)中試用，直至使它得到正確配置。一定不要向管理層推薦一些僅僅經(jīng)過(guò)概念驗(yàn)證的產(chǎn)品，這樣做的最終結(jié)果是得不償失。
在第7層安全上，一些犯罪黑客會(huì)發(fā)起非常新的惡意應(yīng)用程序攻擊。雖然企業(yè)的技術(shù)跟進(jìn)速度會(huì)稍稍落后一些，但是他們一樣可以有相同的技術(shù)環(huán)境。就像肉搏戰(zhàn)雙方最終都會(huì)倒地一樣，大多數(shù)網(wǎng)絡(luò)安全斗爭(zhēng)最終都會(huì)出現(xiàn)在最低的第7層;這些企業(yè)安全團(tuán)隊(duì)需要密切關(guān)注的區(qū)域。OpenAppID提供的免費(fèi)網(wǎng)絡(luò)應(yīng)用控制所提供的保護(hù)與監(jiān)控級(jí)別有可能幫助我們將網(wǎng)絡(luò)安全推向一個(gè)新高度。