打造多級(jí)防御體系 從容應(yīng)對(duì)虛擬化安全

責(zé)任編輯:vivian

2011-08-09 08:41:16

摘自:eNet硅谷動(dòng)力

ZDNET與賽門鐵克首席專家林育民與賽門鐵克大中華區(qū)產(chǎn)品市場(chǎng)經(jīng)理鄭偉共同探討了SEP12.1基于云安全架構(gòu)的信譽(yù)技術(shù)insight。而這僅僅是SEP12.1的眾多優(yōu)勢(shì)技術(shù)特性中的一環(huán)。

在文章《賽門鐵克SEP12.1以信譽(yù)洞悉企業(yè)端點(diǎn)安全》中,ZDNET與賽門鐵克首席專家林育民與賽門鐵克大中華區(qū)產(chǎn)品市場(chǎng)經(jīng)理鄭偉共同探討了SEP12.1基于云安全架構(gòu)的信譽(yù)技術(shù)insight.而這僅僅是SEP12.1的眾多優(yōu)勢(shì)技術(shù)特性中的一環(huán),在本篇中我們將與兩位專家一起揭開SEP12.1中主動(dòng)行為防護(hù)技術(shù)SONAR3,SONAR3如何與insight技術(shù)如何協(xié)同工作;以及對(duì)虛擬化安全的給力支持。

SONAR技術(shù)進(jìn)階 企業(yè)系統(tǒng)的最后一道防線

SONAR是Symantec Online Network for Advanced Response的縮寫,從全拼上不難了解,SONAR技術(shù)是一種前瞻性的響應(yīng)技術(shù)。作為賽門鐵克的主動(dòng)行為分析技術(shù),它基于2005年收購(gòu)的WholeSecurity的技術(shù)開發(fā),用于防御0day威脅和漏洞攻擊。目前SONAR技術(shù)已經(jīng)演進(jìn)到了第三代主動(dòng)防護(hù)技術(shù)。首先讓我們一起了解下SONAR技術(shù)的進(jìn)階過程,你會(huì)發(fā)現(xiàn)SONAR演變的細(xì)微變化,而每一次變化,都讓SONAR對(duì)惡意威脅的防護(hù)更具前瞻意義。

第一代SONAR:主動(dòng)防護(hù)技術(shù)可以在傳統(tǒng)的定義可用之前檢測(cè)新出現(xiàn)的間諜軟件和病毒。

第二代SONAR:應(yīng)用了實(shí)時(shí)在線智能和主動(dòng)監(jiān)控功能,可以在傳統(tǒng)定義發(fā)布前檢測(cè)并阻止新型威脅。

第三代SONAR:可在程序運(yùn)行時(shí)對(duì)其進(jìn)行檢查,識(shí)別并阻止惡意行為,即便是新的和以前未知威脅的惡意行為也不例外。

我們可以看到,SONAR 3也就是本文的主角之一,已經(jīng)具備了在程序運(yùn)行的同時(shí),對(duì)其行為進(jìn)行識(shí)別。賽門鐵克首席專家林育民表示,"SONAR是一種針對(duì)文件運(yùn)行行為的偵測(cè)技術(shù)也是目前全球唯一的混合行為信譽(yù)引擎,在沒有融合insight技術(shù)之前,SONAR主要關(guān)注文件運(yùn)行后行為的三個(gè)方面,是否更改系統(tǒng)的可執(zhí)行文件,是否更改系統(tǒng)的重要配置比如注冊(cè)表,是否更改DNS域名服務(wù)器的配置。SONAR目前可以偵測(cè)400多種可疑行為。"

Insight和SONAR 3在技術(shù)上的融合,可檢測(cè)新的威脅和快速變異的惡意軟件。在談及SONAR 3與insight信譽(yù)技術(shù)協(xié)同抵御安全威脅之前,林育民首先介紹了未與insight技術(shù)結(jié)合,SONAR技術(shù)所面臨的問題。他提到,"SEP12.1之前的版本是沒有融合Insight技術(shù)的,而這樣導(dǎo)致的最直接問題是無法充分的發(fā)揮出SONAR的技術(shù)優(yōu)勢(shì),因?yàn)闊o法將SONAR的行為偵測(cè)調(diào)整的過于敏感,太敏感的最直接問題就是會(huì)產(chǎn)生誤報(bào)。在結(jié)合了insight技術(shù)后,SEP12.1可以根據(jù)文件的信譽(yù)程度來決定其行為偵測(cè)的敏感程度是高是低,以有效降低誤報(bào)情況的發(fā)生。

通過SEP12.1所建立的多層防御體系,來有效防止各類的安全威脅和攻擊。林育民指出,"SONAR是整個(gè)SEP12里面的最后一道安全防線,第一道防線是網(wǎng)絡(luò)層防護(hù),網(wǎng)絡(luò)層防護(hù)由防火墻和入侵檢測(cè)防御體系構(gòu)成,防御開放端口、惡意連接、漏洞等所產(chǎn)生的攻擊行為;第二道防線是基于信譽(yù)的過濾,對(duì)可下載文件、網(wǎng)站URL等由信譽(yù)決定是否對(duì)威脅進(jìn)行阻擋;第三道防線是防病毒掃描,通過掃描文件的是否具有惡意代碼的特征以阻擋惡意文件;第四道防線是觸發(fā)SONAR行為偵測(cè)技術(shù),對(duì)新的或未知的安全威脅進(jìn)行防護(hù)。通過四道防線最終形成集網(wǎng)絡(luò)入侵防護(hù)、信譽(yù)評(píng)級(jí)防御、文件掃描防御、行為分析防御的終端安全縱深防御機(jī)制。"

掌控云趨勢(shì) 助虛擬化基礎(chǔ)架構(gòu)一臂之力

SEP12.1不僅擁有基于云的信譽(yù)技術(shù)insight,還擁有確保虛擬化基礎(chǔ)架構(gòu)安全的先進(jìn)特性。根據(jù)市場(chǎng)調(diào)查機(jī)構(gòu)Technavio的最新報(bào)告顯示,2010年全球虛擬化安全管理解決方案的市場(chǎng)規(guī)模為3.37億美元,預(yù)計(jì)在2014年將達(dá)到15.73億美元,年復(fù)合成長(zhǎng)率(CAGR)將高達(dá)46.9%.報(bào)告還指出,虛擬化安全管理解決方案市場(chǎng)成長(zhǎng)的動(dòng)力主要為服務(wù)器虛擬化的持續(xù)普及,以及虛擬化安全風(fēng)險(xiǎn)的持續(xù)增加。隨著虛擬化技術(shù)被更廣泛的應(yīng)用于企業(yè)數(shù)據(jù)中心,桌面和云端,隨之而產(chǎn)生的安全問題也越來越引起企業(yè)的關(guān)注,比如虛擬機(jī)遷移所產(chǎn)生的安全問題,虛擬機(jī)數(shù)量增長(zhǎng)所引發(fā)的補(bǔ)丁更新問題,管理技術(shù)的新特性的使用給了黑客更多可趁之機(jī)等等。面對(duì)如此持續(xù)高增長(zhǎng)的市場(chǎng),對(duì)虛擬化安全問題的考量也逐漸成為企業(yè)選擇相關(guān)安全解決方案的重要因素。SEP12.1針對(duì)虛擬化安全的解決方案,給企業(yè)在未來掌控云的趨勢(shì)發(fā)展,部署虛擬化基礎(chǔ)架構(gòu)給予了足夠的信心。

在林育民看來,虛擬化安全與傳統(tǒng)安全最大的不同在于,對(duì)邊界安全的定義越來越模糊。他指出,"使用虛擬化技術(shù)后,一臺(tái)物理主機(jī)中包含多個(gè)虛擬機(jī)和虛擬化網(wǎng)絡(luò),意味著其防護(hù)邊界的消失,更明確一點(diǎn)是邊界變得模糊。所以,虛擬環(huán)境的防護(hù)邊界需要定位到每個(gè)虛擬機(jī),因?yàn)槿魏我粋€(gè)虛擬機(jī)都可能攻擊相鄰的虛擬機(jī)。同時(shí)在整個(gè)虛擬化環(huán)境中,對(duì)于安全廠商而言最大的挑戰(zhàn)是病毒掃描風(fēng)暴,如果多個(gè)虛擬機(jī)同時(shí)啟動(dòng)病毒掃描,那么物理主機(jī)的磁盤的I/O將都會(huì)被占滿,直接造成其他的虛擬機(jī)無法正常運(yùn)行。導(dǎo)致云服務(wù)會(huì)沒辦法保障服務(wù)質(zhì)量,甚至造成服務(wù)中斷。"

SEP12.1針對(duì)虛擬化環(huán)境的安全,可通過四種技術(shù)對(duì)虛擬機(jī)的安全進(jìn)行防護(hù),更好的規(guī)避病毒掃描風(fēng)暴的產(chǎn)生。林育民指出,"第一個(gè)技術(shù)是Virtual Image Exception虛擬鏡像排除,簡(jiǎn)稱VIE技術(shù),可將標(biāo)準(zhǔn)虛擬機(jī)鏡像中的文件加入到白名單中,從而優(yōu)化掃描。針對(duì)克隆部署的虛擬機(jī),對(duì)具有相同標(biāo)準(zhǔn)鏡像的虛擬機(jī),直接排除掃描動(dòng)作,極大降低掃描的性能開銷;第二個(gè)技術(shù)是Shared Insight Cache緩存服務(wù)器,針對(duì)類似的應(yīng)用,同樣的文件只掃描一次。在緩存服務(wù)器上共享虛擬機(jī)之間的掃描結(jié)果;第三個(gè)技術(shù)是Virtual Client Tagging虛擬客戶端標(biāo)示,以識(shí)別虛擬機(jī),創(chuàng)建虛擬機(jī)的特殊策略,并支持虛擬機(jī)的搜索。通過代理的方式,不論你運(yùn)行是是何種虛擬機(jī),哪一家的技術(shù),都能夠自動(dòng)識(shí)別;第四個(gè)技術(shù)是Offline Scanning虛擬機(jī)離線掃描,即使虛擬機(jī)沒有運(yùn)行的需要,也同樣能夠掃描。"

通過四種虛擬化安全技術(shù)的聯(lián)動(dòng)和有步驟的虛擬機(jī)鏡像排除流程,如圖所示,以降低病毒掃描風(fēng)暴的產(chǎn)生,使得虛擬機(jī)之間的掃描和更新隨機(jī)化,防止資源使用率的增長(zhǎng),從而使得虛擬化環(huán)境策略能夠輕松執(zhí)行。

磁盤的I/O使用將是原來的1/21,CPU的使用將是原來的1/5,掃描所用時(shí)間減少5.5倍,證明SEP12.1在虛擬機(jī)上的性能有了大大提高。

SEP12.1對(duì)于企業(yè)虛擬化技術(shù)的使用而言,最大價(jià)值在于其針對(duì)VMware、Citrix和Microsoft虛擬環(huán)境進(jìn)行優(yōu)化,易于管理的物理和虛擬客戶端,最大限度提高性能和密度,同時(shí)絲毫不會(huì)影響安全性,助企業(yè)保護(hù)虛擬化基礎(chǔ)架構(gòu)一臂之力。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)