互联网时代的 企业安全发展趋势 第1期 2 2020 年预防将失效 ：通过普遍监控和集体情报保护信息 11 中国企业安全现状分析 23 企业安全解决方案 28 关于 360 互联网安全中心 专题调研报告，调研机构 ： 2 来自 Gartner 文件 ： 2020 年预防将失效 ：通过普遍监控和集体情报 保护信息 有针对性的高级攻击将使以预防为中心的战 到 2018 年，80% 的终端保护平台将包含用户 略 过 时。2020 年， 我 们 需 要 向 以 信 息 为 中 活动监控和入侵取证功能（2013 年不足 5%）。 心和以人为中心的安全战略转变，再结合内 部普遍监控和安全情报分享，才能确保企业 安全。 简介 2020 年，企业的外部威胁会产生多种可能的 情景，这取决于攻击者直接针对的是企业资 重大挑战 产还是个人。这种差异会因为对这些攻击做 • 信息安全无法再预防有针对性的高级 出的响应而进一步扩大 — 无论其是协调统 攻击。 一的机构还是分散的、有组织集团倾向的机 构（参见图 1，“2020 年安全和风险管理情景 • IT 部门将无法掌控用户使用的大多数用户 设备或服务。 • 在预防攻击方面投入的信息安全支出过 多，而在安全监控和响应能力方面的投入 不足。 • 如果不对关于威胁和攻击者的情报进行集 体共享，单个企业将无法进行自我防卫。 建议 • 立即启动一个项目，以了解企业中哪些部 门负责创建、移动、转换、存储和存档敏 感信息。利用所了解到的情况将投资按优 先顺序进行排序。 • 构建普遍监控。为未来五年逐年加强监控 而编制预算，增强监控技术的深度和广度。 • 在事故响应能力方面进行投资。设定一个 流程来快速了解已检测到的违规行为的范 围及影响，并为该流程配备员工。 • 向安全解决方案提供商提供大量企业的大 致情况，使之了解威胁和攻击者的情况。 规划”、“在未来情景中优化安全控制的四大 战略”、“有控制地释放个人数据”以及“加 大业务持续性管理力度，以应对‘联盟规则’ 情景”）。 不过，各种情景中都存在以下三大主要趋势 ： • 持续性危害。有针对性的高级攻击将会继 续增加，它们会绕开传统的保护机制，在 更长的时期内始终不被发现。因此，在所 有情景中，必须假设系统和个人都会受到 危害。 • 出于财务目的的攻击。大多数情况下，针 对企业和个人的有针对性的高级攻击都在 试图盗取敏感信息 — 客户信息、信用卡数 据、商业机密、配方、流程、计划、价格 和类似知识产权。在某些情况下，其目标 是通过进入关键系统或者使业务流程中断 来给目标企业造成经济损失。 • IT 部门将失去控制权。IT 部门越来越无法 直接掌控用户所使用的用户设备或服务， 这限制了 IT 部门实施“侵犯性”控制手段 的能力。消费化和“携带个人桌面”程序 战略规划设想 以及基于云的服务的使用量的增大趋势共 到 2020 年，60% 的企业信息安全预算将分 同创造了一种计算环境，在这种环境中， 配到快速检测和响应方法方面（2013 年不足 IT 部门将失去对所使用的消费设备和服务 10%）。 的控制。 3 图 1. 2020 年 Gartner 安全情景 有组织集团倾向 机构 邻里监督 联盟规则 企业 个人 目标 控制型家长式 可控风险 统一 信息来源 ：Gartner（2013 年 5 月） 总之，这些大趋势将在信息安全组织、流程 和战略方面引发多方面的转变（我们将在此 研究报告中讨论这些转变）： • 在 IT 堆栈结构中，将安全保护提升到保护 信息（而非保护系统）的高度 • 从以控制为中心的模式向以人为中心的模 式转变 • 使流程和开支朝着持续监控和普遍监控的 图 2. 典型的 IT 堆栈 人员 流程 应用程序和服务 目标转变 工作区 • 朝着利用集体情报和信誉服务的目标进行 转变 分析 向以信息为中心的安全战略转变 考虑典型的 IT 堆栈（参见图 2）。 2020 年，企业 IT 部门将不再掌控设备，在使 用基于云的服务时，它们可能会也可能不会 控制最终用户使用的网络、服务器、操作系 统和应用程序。2020 年，IT 部门可以真正直 操作系统 网络 硬件 信息来源 ：Gartner（2013 年 5 月） 信息 4 接控制的还剩下什么？答案是信息本身。在 信息的媒介（例如，网络基础设施和终端） 大多数情况下，信息必须成为信息安全战略 到保护数据和信息本身的转变的需要，将是 的焦点。 所有情景中最重要的转变。 这是一种朝向信息安全的基础的回归，因为 如果攻击者把企业系统作为目标，信息安全 信息安全的目标始终是保护信息的机密性、 战略将需要关注那些用于访问、处理和存储 完整性、真实性、可用性和实用性，以及保 信息的企业系统。具体来说，这包括增加在 1 护对信息的访问。 对于许多企业来说，对设 应用程序安全方面的投资，例如，应用程序 备、应用程序和服务器的控制和加锁是达到 安全扫描仪、应用程序安全防火墙、数据库 目的的一种手段。为了实现保护信息的目标， 审核和保护、文件共享监控和保护以及企业 我们利用设备所有权，通过加锁和控制来保 内容管理系统的保护（包括诸如 Microsoft 的 护信息。但是，这会把加锁、所有权和控制 SharePoint 之类的平台）。基于云的服务中的 等同于信息安全，将手段与最终目标混为一 企业信息可以通过加密技术来保护，也可以 谈。所有权和严格控制代表着信任。在未来， 通过使用云入口安全代理（请参阅“云入口 当 IT 部门越来越无法掌控或控制技术的使用 安全代理越来越重要”）的令牌化进行保护， 或发送时，人们就需要使用新的信任模型了。 或者使用专为信息保护和云加密网关设计的 信息安全战略需要从自下而上的设备和以网 特定平台（请参阅“2012 年云安全的技术成 络为中心的战略，转变为自上而下的以信息 熟度曲线”）进行保护。在这些情景中，我们 为中心的战略，且该战略注重信息本身（参 的保护工作集中在图 5 的左半部分。 见图 3）。 如果攻击者以个人为目标，信息安全战略将 根据实际发生的情景是四种情景中的哪一种， 需要更加关注消费方面，即保护最终用户设 攻击者将更改他们攻击信息的目标和方式（参 备上的信息（无论是企业拥有的信息还是个 见图 4）。无论如何，从保护用于保存和传输 人拥有的信息）。有一种简单而笨拙的方法会 图 3. 自上而下的以信息为中心的安全模式 人员 信息 自上而下 — 以信息和 流程为中心，“可共享性” 流程 应用程序和服务 工作区 操作系统 应用程序、数据库、文件共享和协作系统 都是储存和处理信息的容器。 企业不能处理好将敏感信息放在何处的问题。 需要进行信息生命周期保护。 网络 硬件 信息来源 ：Gartner（2013 年 5 月） 自下而上 — 设备和 操作系统定位，“加锁” 5 图 4. 信息安全战略的不同重点 保护企业系统 对信息的访问 保护个人和设备 对信息的访问 目标 个人 企业 监控用户活动 和信息使用 监控对企业系统 和信息的访问 信息来源 ：Gartner（2013 年 5 月） 图 5. 以企业为中心的信息保护模式与以个人为中心的信息保护模式比较 以个人为中心 以企业为中心 Web 应用程序 设备加密 传统应用程序 VDI 和远程查看器 数据库 eDRM? 文件共享 SharePoint 和 其他内容门户 信息来源 ：Gartner（2013 年 5 月） 移动操作系统 和 Windows 容器 6 加密整个设备以防设备丢失或被盗，但是这 从以控制为中心的安全模式转变为以人为 种方法对有针对性的高级攻击毫无作用，因 中心的安全模式 为这种高级攻击进行的是基于凭据的访问。 到 2020 年，针对信息安全的传统的技术性方 另一种方法是将企业内部的信息以及处理信 息的应用程序保存在一个中央位置，使用托 管虚拟桌面 (HVD)/ 虚拟桌面基础设施或类似 的技术，向最终用户远程呈现信息。同样， 使用远程查看器应用程序也可以获得相同的 最终结果，无需传输整个桌面，只需查看文 档（请参阅“如何控制文件同步服务并防止 企业数据泄露”）。 法（以控制为中心）将被淘汰。2013 年，这 种方法就已经越来越难以维持下去了。最大 的难题是 ：这种方法试图使信息免受由合理 访问信息的人员造成的蓄意损害或意外损害， 同时又设法最大限度地减小对效率和灵活性 产生的消极影响。IT 交付模式的多样性和复 杂性以及数据量的剧增，使针对安全问题的 传统方法站不住脚。以人为中心的安全模式 (PCS) 创建了一种现代、高效、侵犯性小且成 如果允许将企业信息存储在本地设备上，则 本较为低廉的安全模式，可以替代传统的“加 针对移动和非移动系统，将出现用于特定于 锁”模式。 应用程序和独立于应用程序进行控制的解决 方案（请参阅“用于企业数据管理和安全的 移动应用程序容器的技术概述”）。此时，将 使用加密技术单独保存潜在的敏感企业信息， 以实现逻辑隔离，这将使删除数据就像废除 密钥一样简单。 PCS 是一种针对信息安全的战略方法，强调个 人的责任和信任，不再强调限制性和预防性 的安全控制。PCS 以一套主要原则和个人的权 利及相关责任为基础。PCS 的前提是员工拥有 一定的权利，但这些权利是与特定责任相连 的。这些权利和责任建立在以下理念的基础 建议 之上 ：如果个人没有履行自己的责任或者其 • 从传统的方法转变为开始使用信息生命周 行为方式没有尊重其同事和企业的利益相关 期方法，通过确定在企业用户和系统中创 建、操作、转换、存储和存档敏感信息的 位置，来保护信息。 者的权利，那么这些个人将受到处罚。 这种权利和责任的紧密结合在员工之间创造 了一种集体的互相依赖性，利用了公司内的 • 假 设 到 2020 年 大 多 数 设 备 和 服 务 都 将 现有社交资本。PCS 原则侧重于运用检测性 不 受 信 任， 从 信 息 层 级 开 始 设 计 保 护 措 及反应性控制以及透明的预防性控制，而不 施，一路向上兼顾各层级，直至消费系统 侧重于运用侵扰性的预防性控制。同时该原 或服务。 则还假设个人拥有适当的知识来了解其权利、 责任和相关决策。 • 不要对所有应用程序和系统采用相同的保 护级别。根据应用程序和系统保存的信息 在情景规划象限中，只要目标是个人，就适 的敏感性和关键性以及这些应用程序和系 合运用 PCS 原则。在控制型家长式情景中， 统所