谭雯:互联网安全从IT到DT的转变

互联网IDC圈1月7日报道,1月5-7日,第十届中国IDC产业年度大典(IDCC2015)在北京国家会议中心隆重召开。本次大会由中国信息通信研究院、云计算发展与政策论坛、数据中心联盟指导,中国IDC产业年度大典组委会主办,互联网IDC圈承办,并受到诸多媒体的大力支持。

成都创新互联主营武宣网站建设的网络公司,主营网站建设方案,重庆APP开发,武宣h5成都小程序开发搭建,武宣网站营销推广欢迎武宣等地区企业咨询

中国IDC产业年度大典作为国内云计算和数据中心领域规模大、最具影响力的标志性盛会,之前已成功举办过九届,在本届大会无论是规格还是规模都"更上一层楼",引来现场人员爆满,影响力全面覆盖数据中心、互联网、云计算、大数据等多个领域。

数梦工场云安全专家谭雯出席IDCC2015大会并在大数据应用与安全技术论坛发表主题为《互联网安全从IT到DT的转变》的精彩演讲。

谭雯

数梦工场云安全专家 谭雯

以下为谭雯演讲实录:       

谭雯:大家好,我是数梦工场的谭雯,紧跟跟大家交流的是互联网安全从IT到DT的转变,最近这段时间一直在做安全产品的规划。在规划的这段时间里,我有一些不成熟的想法,今天的议题是我个人的观点,欢迎大家拍砖。大家都知道DT是一个数据技术,习大大说我们做大数据是有道理的,我们现在已经步入了数据时代,大数据潮流下网络安全是不是能顺应时代与时俱进。看到这些名词其实没什么感觉,至少我个人认为这些名词后面可能是血淋淋的案例,但是我跟客户讲胶片的时候客户总说你们就像当医生,总是把病夸大,不然药怎么卖。我很坚持把这些无感的名词列在这儿。

我曾经遇到一个客户,也是我的朋友,我把这些名词列到他面前跟他讲,心脏滴血漏洞,每一次攻击会造成多少KB的数据泄露,什么事件出了什么事,他很淡定,觉得这个东西跟我有什么关系,但是当我再打开这些网站的时候,社工库,现在价格便宜量又足,百度搜一下哪儿哪儿都是。乌云,每天数十个高危漏洞在发布,很多企业都中招了,尤其前段时间某网站据说泄露了好几亿用户,他们为这个事情下了很大的工夫去公关,把这个事平了,我那个兄弟开始觉得这个挺危险的,但还是觉得他很侥幸,至少他维护的网站没有泄露。最后我给他打开这个,是一个开行信息,这兄弟开始坐不住了。这说明网络威胁就潜伏在我们的身边,并不是跟我们没关系。当一段时间内网络安全事件频频发生的时候,在座的每一个人包括黑客自己,冰血作为一个社会人,当这种网络事件频频发生的时候,黑客也是个受害者。

现有的安全防御的不足遭受了很多的诟病,尤其是前段时间以互联网公司和传统安全厂商之间的争议,有人说他们争夺利益抢地盘,但我个人认为其实不是,这是对待同一个事件的不同看法之间的差异。我们刚才看到冰血这么厉害的人作为黑客,作为防御者的我们感觉到压力山大,他们的工具武器已经变得很先进了,可我们还是老三样地在那里做安全防御,这就是观点上的冲突。我是从传统安全厂商出来的,规划一个产品的时候更多的是从自己的角度去规划,比如产品的功能、产品的竞争力,我用什么样的能力去对标,我需要优化多少性能或者接口数能把竞争对手屏蔽掉,这个无可厚非,毕竟是商业,但是从用户的角度去看,你是为了卖你的药,作为医生你以卖药为目的,但我的痛谁知道。这样的话问题就来了,现在出了BAT这样的互联网公司,他们也是作为安全产品的使用者,作为甲方,他们其实是受过很多安全之痛的人,像阿里遭受过400多G的DDOS流量攻击,他们会认为当BAT这样的互联网公司有能力输出自己的安全能力的时候,他就会认为我甲方做的安全、我现在输出的能力更有说服力,这是我认为的不同立场上的观点的冲突。

不管他们争夺什么,最近这些年来入侵方式有什么不一样,我们作为建设者、防御者该做哪些转变。早些年的一些渗透以轻量化工具为主,能够下注入、扫描的小工具,无非扫描一些网站的端口、域名、地址,攻击目标也是以网络、设备和机器本身为主,以设备为主,做一些DDOS工具,篡改一下网页,彰显一下能力。现在不一样了,现在有公开的分布式扫描系统,不知道大家有没有用过知道创宇的产品,有漏洞的版本零点几秒就能列出来,这对黑客来说提供了利器,一把刀放在一个警察手里能保卫安全,落到罪犯手里就是一把凶器。还有大量数据库的泄露,以前攻击者获取用户的信息是比较难的,途径非常有限,现在大量泄露的数据库和社工库,他们要获取用户的数据就非常容易了。现在他攻击的方式开始从机器慢慢地转换成对人员的攻击,当我们还在尝试给黑客进行画像的时候,实际上黑客已经拿到了你足够多的信息给你进行人性弱点的分析,能够精准地猜出你的个人密码,但是我们的防御工具还是老三样。嘴里说要安全联动,但实际这些年来真正做到了吗,底下都是在干一些貌合神离的事情,其实谁动了谁知道。对于日志的记录很多也是维持在对于合规的满足度的要求上设计的,使用的效果怎么样,其实用户不知道,用户不投诉厂家也不关心,是这样一个现状。

可以说这样老式的传统的IT架构下,它已经到了非改不可的地步,我们应该要有一个什么样的防御体系呢?总的来说四点,漏洞要提前发现,攻击要事先预测,攻击发生的时候要能够及时地阻断,攻击结束后能够追根溯源。说得很好,但怎么样能做到?这是我画的一个简单的框架,我认为需要记录一个全量的数据,至少要包括流量数据,比如流量大小、攻击日志、Web日志等等,对于异常登陆要详细到什么程度,详细到登陆的时间、目标的服务器、使用什么样的用户名、什么样的密码,这些全量的数据汇聚到一个安全中心,结合威胁情报中心进行大数据的分析,这个威胁情报中心包含病毒库、漏洞库、同行业的事件库、黑客库、被泄露人员的信息库,被泄露人员是高危的弱势群体,很容易成为防御的短板。这些数据汇聚拉通后将解决信息孤岛的问题,有了这些基础就能展示以下这些安全能力,给黑客的画像、攻击的预测,做到对攻击的预测、对攻击的阻断、对事后的溯源,反过来能指导防御的改进。

刚才讲了DT安全框架,里面有两个关键点,一个是大数据分析平台,另外一个是全量的数据。常规的安全防御大多是基于一个规则和特征的匹配,单设备发现了攻击发送到日志主机,日志主机主要是做存储展示审计的作用,这对已知威胁是有用的,但是对于未知的威胁,像比较复杂的APT攻击他就没办法做到。怎么识别这样的攻击,这是整个问题的关键,要做到收集海量数据。一个有经验的警察能够很快地判断出一个人是不是小偷,他能够做出鬼鬼祟祟的定性判断的词语,这样的词语是根据规则和特征库,类似于监视器、检测仪这样的东西是检测不出来的,必须要根据后面警察的经验,他的经验实际就是一个数据分析。

举个例子说,警察刚从警校出来就得到了一个已知的特征库,他开始接道不同的案子,接到各种报案,他开始去分析,这就是一个分析的过程,他的经验越来越多,他就有了一些预判的能力,他和其他的警察进行交流实际是数据的共享和交换,最后他成为一个非常有经验的老警察,他把他的经验写成教材输出给新的警察在警校里使用,这样他完成了数据安全能力的转化,其实这就是大数据分析能力的转化输出。警察如果不这样去自我更新的话,他就会抓不到贼,同样一个安全人员,一个安全的防御体系,如果不具备自我完善的能力的话,他也是防不住黑客的。

低级安全能力的转化基于对大数据的分析,可以输出一个新的安全能力,能够对特征库和行为库进行总结。现在各个厂家都有自己的特征库的维护团队,他们维护的时候是作为产品的辅助销售或者增值的业务在销售,但实际上他们在整理特征库的时候经常会发生整理、收集、发布非常滞后,用户没有办法得到及时的更新,这样不仅是资源的浪费,对用户来说是潜在的安全风险。应该把这样的自我完善能力,这种转换能力进行常态化、标准化,这将重新定义DT的能力极限。

DT安全架构下传统的安全分析平台已经遇到了一个瓶颈,第一是数据越来越大,有多元化的数据,有结构化的非结构化的,有日志有业务信息,甚至还有一些外部的情报信息,但是我们常规的安全设备没办法存储这样的海量数据,它的计算能力也没办法具备大数据分析的计算能力。曾经有一个搞运维的朋友跟我说他以前做日志维护的时候,有80%的精力都在收集、整理和处理日志格式的工作,只有20%的精力考虑分析审计这些日志数据。以金融为例,常规的IT架构下制成的银行每分钟的交易峰值在30万笔,数据存储在TB级,但是DT支撑下的金融每分钟是270万笔,而且它的数据存储量是EB级。由此可以看出常规的安全是以设备为单位的能力极限,每一台设备的计算和存储能力都是非常有限的,根本没法满足这样的大容量,DT下面的安全能力,它只能解决局部的条条块块的问题。

我们说DT安全需要进行大数据的分析,这个大平台里全量数据要进行采集,泄露的人员数据库要通过网络爬虫去采集,采集完了之后还要清洗,剔除重复数据冗余数据,进行语义一致的分析,加工、数据分析挖掘、算法选择、模型选择等等大数据的操作过程,这一系列的要求决定了DT安全的基本能力,那就是必须要具备云计算的能力和海量存储的能力。DT的安全是以平台为单位的架构,把成千上万的云计算能力结合在一起,汇集起来的云计算,去解决贯穿全局的问题,用大数据技术去整合挖掘和分析。这样的一个能力极限将会是DT安全最基本的能力要求。我一直认为我们原来常规的安全其实是最基础的保障,它就像围墙、摄像头、监控器、门禁这样的设备,没有它是不行的,区域隔离、访问控制和会话检测这样的老三样是不能丢的,它是最基础的,但是现在黑客实际上已经升级了,升级成黄金圣斗士,但我们还在原地踏步。

有个客户说你讲的挺好,天花乱坠,要花多少钱,没有钱怎么做。有个朋友曾经抱怨过,如果我有10万块钱的预算,我不会把它花在搞安全上,肯定会投在生产发展上、产品研发上,他认为这个东西还是不太重要的,因为太花钱了。安全在很长时间里都要灌输这种思想,一般不出问题,出了问题就很大,很多公司并没有安全管理的能力。其实不用再买很多设备,云计算就是在解决资源和成本的问题,这样的话我们又会遇到另外一个问题,客户说我的安全数据交给云端我不相信你说的大数据云安全中心,这就提到DT安全另外的转变,我们必须把一个个的孤岛防御连接起来形成一个长城,事实也证明单打独斗的结果就是被各个击破。据我所知很多用户没有专门的安全人员,在没有安全人员的情况下怎么办,我们无法回归到云计算的本质,云计算本质是一种服务的模式,没有必要住宾馆的时候自己在门口装个摄像头,装个门禁,雇个保安,这种事情可以交给第三方的人全权负责你的安全。实际上在AWS上也是这么做的,但传统安全建设往往是卖防盗门的在给你解决你全家的安全问题,时不时地帮你检查你家的墙壁、水管、窗户、水电,你打电话他就过来,这样是很没有效率的模式。DT时代的安全运维必将会融合传统的IT架构,会出现一个新的角色,第三方的安全管家,这是我个人的观点,他将帮你代管你的安全运维,为你的安全结果负责,这将是比较有效的安全的解决方式,解决了性能的问题。

刚才讲了DT安全下的架构改变、能力的转换和机械的升级、运营方式的改变,实际还有很多,避暑标准和规范,我们现在正在做的大数据的标准,大数据的国家标准在制定,大数据的安全,要保护大数据的交易交换合法化合规化,甚至销售是也是需要改变的,比如威客安全,他们的口号是让天下没有难做的安全,其实这也是一种非常好的销售模式的创新和改变。不知道在座有没有卖安全产品的,做一个安全项目卖个安全产品真的挺难的,吃饭喝酒不算,要非常拼。希望在DT安全架构下,销售模式的改变能够让我们这些从业者身心越来越健康,做网络安全的攻击者和防御者永远是对抗对立的立场。黑客的工具越来越先进,他们的水平其实都很高,据我所知他们经常通宵达旦地在那干活,在这里讲DT安全的转变无非是想引起大家的重视,人最痛苦的事情是比我们厉害的人比我们更勤奋,我们有什么理由拒绝这样的变化,拒绝这样的转变?大家后面可以再探讨,还有其他的转变,IT到DT的变化,欢迎大家跟我一起探讨,谢谢大家!


文章标题:谭雯:互联网安全从IT到DT的转变
浏览地址:http://myzitong.com/article/chjsjc.html