4月18日，由網(wǎng)絡(luò)世界與OWASP共同主辦的“應(yīng)用安全高峰論壇2014 ”在亮馬河大廈舉行，本次大會(huì)的主題是“下一代應(yīng)用安全”。正如網(wǎng)絡(luò)世界報(bào)社副總編輯文山在大會(huì)致辭中所指出的那樣，如今我們置身Web2.0時(shí)代，網(wǎng)絡(luò)安全充斥在我們的日常生活中。國(guó)內(nèi)外企業(yè)用戶對(duì)網(wǎng)絡(luò)安全尤其是應(yīng)用安全的重要性日趨認(rèn)同。網(wǎng)絡(luò)安全在特殊產(chǎn)業(yè)鏈條上的意義和定位也成為制約IT和其他方面發(fā)展的關(guān)鍵因素。能否很好的解決網(wǎng)絡(luò)安全問題，不僅關(guān)系到產(chǎn)業(yè)自身的發(fā)展，也必將對(duì)我國(guó)信息化的發(fā)展進(jìn)程產(chǎn)生重大影響。
智能安全打破網(wǎng)絡(luò)邊界
從攻擊形式到攻擊目的，網(wǎng)絡(luò)安全的威脅一直在不停的變化。從最初的腳本攻擊病毒、木馬，到如今的DDoS[注]和APT[注]攻擊;過去的黑客攻擊更多為了展示技術(shù)，而現(xiàn)在網(wǎng)絡(luò)犯罪團(tuán)伙大多出于利益驅(qū)動(dòng)。這些變化都為今后的網(wǎng)絡(luò)安全防范提出了一些新的應(yīng)對(duì)視角。前不久在美國(guó)舉行的RSA大會(huì)上，“智能安全”成為熱點(diǎn)趨勢(shì)之一，即從一定程度反應(yīng)出下一代網(wǎng)絡(luò)安全的發(fā)展方向。而智能時(shí)代做到以下幾點(diǎn)尤為重要：第一，更早的發(fā)現(xiàn)威脅。第二，更準(zhǔn)確的定位威脅。第三，更有效的安全管理。
山石網(wǎng)科副總裁、首席技術(shù)專家楊慶華認(rèn)為，智能關(guān)聯(lián)對(duì)于下一代防火墻[注]意義重大。然而，下一代防火墻標(biāo)準(zhǔn)中根本沒有聯(lián)動(dòng)這個(gè)概念。其實(shí)對(duì)威脅的分析有眾多維度，包括網(wǎng)絡(luò)流量分析、工作負(fù)載分析、網(wǎng)絡(luò)入侵取證、終端行為分析、終端入侵取證。但并不是說其中一個(gè)維度出了問題，網(wǎng)絡(luò)就必定有問題。因?yàn)椋菏紫?，很多問題未必要實(shí)時(shí)做，因?yàn)榫W(wǎng)絡(luò)狀態(tài)實(shí)時(shí)未必有用。其次，至少有兩個(gè)架構(gòu)層符合違規(guī)可能才構(gòu)成威脅。第三，一定要去做主動(dòng)的網(wǎng)絡(luò)分析，才能得到更好的安全防護(hù)。
然而，現(xiàn)實(shí)情況通常是企業(yè)級(jí)用戶管理員幾乎不看日志。一是因?yàn)槿罩倦y懂，二是日志量太大。楊慶華認(rèn)為，系統(tǒng)可以去做這件事，將搜集來的數(shù)據(jù)加以分析并形成規(guī)則，變成一個(gè)建設(shè)性的執(zhí)行者，這便是下一代智能防火墻。下一代智能防火墻基于傳統(tǒng)防火墻和下一代防火墻的用戶識(shí)別以及應(yīng)用識(shí)別功能，同時(shí)加入行為的信譽(yù)指數(shù)和全網(wǎng)健康指數(shù)，構(gòu)成了一個(gè)綜合性、多維度的安全分析?？梢詫?shí)時(shí)分析流量，可以對(duì)未知威脅提前發(fā)現(xiàn)并予以處理，用戶和主機(jī)行為可以實(shí)現(xiàn)可視化。
楊慶華認(rèn)為，網(wǎng)絡(luò)行為的信譽(yù)度是下一代智能防火墻的另一個(gè)重要方面。其基于六種威脅進(jìn)行防護(hù)、形成網(wǎng)絡(luò)各個(gè)點(diǎn)的行為信譽(yù)報(bào)表，來對(duì)二到七層進(jìn)行安全防護(hù)，可以非常直觀的知道網(wǎng)絡(luò)中哪些行為是異常的，并能夠清楚呈現(xiàn)網(wǎng)絡(luò)的健康狀態(tài)以及全網(wǎng)的健康報(bào)告。
下一代智能防火墻給用戶帶來的價(jià)值頗多。首先，可以識(shí)別未知的風(fēng)險(xiǎn)。其次，可以更早的去檢測(cè)到未知的威脅，并且看到威脅的等級(jí)，并能實(shí)時(shí)的掌握用戶的狀態(tài)、可用性、延遲、以及響應(yīng)速度。最后，通過可視化的一系列工具提到全面的用戶體驗(yàn)。
NGFW能代替WAF嗎
2005年，網(wǎng)絡(luò)安全界話題最多的是UTM能否替代防火墻;2009年，爭(zhēng)論最多的則是IPS能否替代WAF;2013年則更多圍繞“NGFW能否替代WAF”展開了一場(chǎng)口舌博弈。然而，NGFW究竟能否像一部分人所期待的那樣能夠完美地解決應(yīng)用層的問題?
WebRay CTO權(quán)小文在題為“高性能Web應(yīng)用防火墻設(shè)計(jì)與NGFW異同”的主題演講中認(rèn)為，下一代防火墻的核心是一體化引領(lǐng)和一體化策略，多運(yùn)用DPI、DLP的檢測(cè)以及特征匹配的技術(shù)等。而應(yīng)用防火墻WAF的主要功能是：第一，解決外部安全的問題，包括信息泄露、木馬檢測(cè)、以及協(xié)議完整性。第二，解決服務(wù)器前面臨的負(fù)載均衡、列入檢測(cè)問題。第三，保護(hù)的核心資產(chǎn)是服務(wù)器。大量的DDoS都是針對(duì)服務(wù)器，因此要處理DDoS的流量。而如果下一代防火墻要處理這些，則其性能消耗是巨大的。
他認(rèn)為，防火墻的標(biāo)準(zhǔn)僅是WAF設(shè)計(jì)時(shí)必須遵循的標(biāo)準(zhǔn)之一。例如，對(duì)應(yīng)用層擴(kuò)展的處理始終圍繞服務(wù)器。同時(shí)，特征匹配是檢測(cè)的規(guī)則，這就是最簡(jiǎn)單的防火墻的規(guī)則。此外，WAF的核心思想必須圍繞服務(wù)器展開。近幾年，更多的應(yīng)用安全廠商將把負(fù)載均衡和廣義網(wǎng)加速整合在WAF中。根據(jù)Gartner2014年的報(bào)告(如圖)，國(guó)內(nèi)安全廠商一直在致力于自動(dòng)策略學(xué)習(xí)、對(duì)數(shù)據(jù)的挖掘、對(duì)策略自動(dòng)學(xué)習(xí)的調(diào)整，而這些所涉及的算法之復(fù)雜是WAF與NGFW的很大區(qū)別。
應(yīng)用安全“新”在哪
國(guó)人對(duì)網(wǎng)絡(luò)安全的了解，最早期關(guān)注在桌面安全領(lǐng)域。之后的一段時(shí)期，更多地聚焦于對(duì)各種設(shè)備的入侵檢測(cè)及防御。目前，越來越多的關(guān)注點(diǎn)落腳在應(yīng)用安全方面。Web應(yīng)用的存在，使得攻擊者只需一個(gè)簡(jiǎn)單的sec注入，就可輕松拿到所有目標(biāo)數(shù)據(jù)。隨著網(wǎng)絡(luò)上的應(yīng)用流量不斷增加，敏感數(shù)據(jù)面臨著遭受針對(duì)企業(yè)應(yīng)用的漏洞攻擊的風(fēng)險(xiǎn)。如此一來，數(shù)據(jù)恢復(fù)流程、法律訴訟費(fèi)用以及知識(shí)產(chǎn)權(quán)數(shù)據(jù)丟失所帶來的財(cái)務(wù)影響會(huì)非常嚴(yán)重。許多管理員認(rèn)為他們的網(wǎng)絡(luò)是安全的，因?yàn)樗麄儾渴鹆朔阑饓?，但是，黑客?huì)選擇攻擊應(yīng)用層，因?yàn)樵搶哟嬖诟蟮穆┒础?/P>
陳亮向參會(huì)者介紹了OWASP和應(yīng)用安全聯(lián)盟。OWASP目前的重點(diǎn)研究領(lǐng)域首先是針對(duì)WAF的防注入、防跨站基礎(chǔ)功能進(jìn)行的測(cè)試。此外，OWASP還進(jìn)行防御能力測(cè)試和WAF的自身安全測(cè)試及性能測(cè)試。應(yīng)用安全聯(lián)盟是由行業(yè)專家、應(yīng)用安全廠商、應(yīng)用安全行業(yè)用戶的代表共同成立的開源技術(shù)的非盈利組織，對(duì)于促進(jìn)行應(yīng)用安全技術(shù)交流及對(duì)廠商和用戶的技術(shù)指導(dǎo)均有重要的意義。
Ixia高級(jí)業(yè)務(wù)發(fā)展經(jīng)理孫震表示，所謂應(yīng)用安全和仿真在測(cè)量領(lǐng)域已經(jīng)出現(xiàn)很多年。通過技術(shù)上的變化和理念上的創(chuàng)新得到了一些新的拓展。而對(duì)于Ixia來說，“新”在哪里?其一，Ixia正在仿真一個(gè)典型的環(huán)境，而不像過去那樣仿真只是針對(duì)單個(gè)業(yè)務(wù)。其二，Ixia提出了流量場(chǎng)景測(cè)量的概念。
Ixia始終在數(shù)據(jù)測(cè)試的核心能力上發(fā)展。近兩年，Ixia對(duì)于運(yùn)營(yíng)商市場(chǎng)和行業(yè)網(wǎng)市場(chǎng)進(jìn)行了戰(zhàn)略性部署并投入了更多的精力。對(duì)于金融等行業(yè)網(wǎng)客戶而言，數(shù)據(jù)網(wǎng)絡(luò)應(yīng)用的規(guī)模和復(fù)雜度越來越高，其對(duì)于IP的測(cè)試需求也會(huì)逐步顯現(xiàn)，雖然過去他們對(duì)于網(wǎng)絡(luò)測(cè)試的關(guān)注較少，然而隨著網(wǎng)絡(luò)規(guī)模的提升，可靠性、數(shù)據(jù)傳輸?shù)臏?zhǔn)確性和及時(shí)性對(duì)諸如高頻交易等新業(yè)務(wù)的影響越來越大，他們?cè)诰W(wǎng)絡(luò)測(cè)試方面也有更多重視。
從測(cè)試視角看各個(gè)行業(yè)，其共同關(guān)注的就是數(shù)據(jù)的可靠性、及時(shí)性和安全性，有些行業(yè)如金融機(jī)構(gòu)如果出現(xiàn)問題，會(huì)影響很大。這方面也是Ixia在通信測(cè)試中，包括從路由交換測(cè)試和網(wǎng)絡(luò)測(cè)試到應(yīng)用、安全測(cè)試都較為擅長(zhǎng)的領(lǐng)域。除此之外，還有對(duì)網(wǎng)絡(luò)環(huán)境的持續(xù)監(jiān)測(cè)過程，Ixia也具有相關(guān)的“網(wǎng)絡(luò)可視性”解決方案，能夠幫助其優(yōu)化監(jiān)測(cè)環(huán)境。
陳亮最后總結(jié)到，未來更大的網(wǎng)絡(luò)攻擊不會(huì)僅存在于互聯(lián)網(wǎng)，而會(huì)向辦公平臺(tái)轉(zhuǎn)移。如近期微軟就在推云辦公平臺(tái)。作為一種新興的應(yīng)用模式，云計(jì)算[注]將傳統(tǒng)的應(yīng)用計(jì)算資源整合形成容量更大、速度更快的云服務(wù)中心。其以虛擬化技術(shù)為基礎(chǔ)，以網(wǎng)絡(luò)為載體，提供基礎(chǔ)架構(gòu)(IaaS[注])、平臺(tái)(PaaS[注])、軟件(SaaS[注])等服務(wù)，整合大規(guī)模可擴(kuò)展的計(jì)算、存儲(chǔ)、數(shù)據(jù)、應(yīng)用等分布式計(jì)算資源進(jìn)行協(xié)同工作的超級(jí)計(jì)算模式，在大幅度節(jié)省用戶計(jì)算成本的同時(shí)提高了計(jì)算效率，它會(huì)給源代碼分門別類，卻也隱藏著極大的安全隱患。根據(jù)云計(jì)算安全聯(lián)盟(CSA)去年發(fā)布的報(bào)告，云計(jì)算所帶來的數(shù)據(jù)泄露、數(shù)據(jù)丟失和數(shù)據(jù)劫持三類威脅日益猖獗。在此背景和大環(huán)境下，身份認(rèn)證和數(shù)據(jù)的安全就顯得猶為重要，而數(shù)字證書非對(duì)稱的加密特性為上述問題提供了解決之道。