189 8069 5689

论封闭网络的安全-创新互联

这两天Heart bleed漏洞在互联网上掀起了轩然巨波,作为基础安全软件的重大漏洞,影响深远,各大互联网公司、甲方、乙方、白帽子甚至央视等媒体全都行动起来,同仇敌忾,竞相测试、打补丁、升级、报道宣传......,大家忙得不亦乐乎,给广大网民很好地科普了一把信息安全。

创新互联是一家专业提供讷河企业网站建设,专注与成都网站制作、成都做网站、HTML5建站、小程序制作等业务。10年已为讷河众多企业、政府机构等服务。创新互联专业网站制作公司优惠进行中。

与沸沸扬扬的互联网安全相比,物理隔绝的企业、政府等封闭网络似乎显得静悄悄,关心和了解该漏洞的人估计屈指可数,采取的行动也一定没有互联网来得热烈。因为封闭,表面上没有乱七八糟的威胁,也没有技艺高超的黑帽子和白帽子测试带来的压力,封闭网络的网管们一定没有动力加班熬夜在第一时间补上漏洞。而这种情况,也绝不是第一次出现。

不同于开放的互联网,物理隔绝的封闭网络没有那么多的用户、没有那么多的应用、没有讨厌的黑帽子和白帽子。然而,这并不代表封闭网络高枕无忧,Openssl作为基础的安全库,很可能在操作系统、web应用、设备远程配置、甚至应用安全网关中广泛涉及。由于缺乏在光天化日之下的考验,缺乏与***者的共同进化,封闭网络存在的安全漏洞与开放网络相比一定过之而无不及。

因此,对于封闭网络的安全,首先需要有可控的“邪恶”力量对其内部进行***性测试,就像猫和老鼠的共同进化一样,封闭网络的防护也不能没有“天敌”。至少,封闭网络应该对照已公开的漏洞,对其进行弥补,这是封闭网络安全的底线。遗憾的是,现实中,有的封闭网络可能连这条底线都无法满足,却要追求所谓的“自主可控”,殊不知,缺乏审查和考验的私有设计更不值得信任。

除了在威胁发作第一时间打补丁、堵漏洞、升级特征库以外,封闭网络的安全还应该注重基于白名单的控制方式,如对用户进行认证授权、对终端进行准入控制、对应用进行分发管理......,非白即黑,没被允许的即默认禁止。这也是许多封闭网络通常所采用的。然而,这里面仍然存在着两大难题。首先是白名单的管理问题,终端和用户的白名单尚可解决,难得的是应用,现代操作系统之上的应用可谓汗牛充栋,一旦封闭网络的规模和用户大到一定程度,几乎无法对应用实施白名单,这也不是技术上的难题,难得是安全与业务可用的平衡。更难的还是白名单的判断问题,何为白?合法用户、合法终端、合法应用真的就值得信任吗?一次判断以后是否就可以高枕无忧,这里的关键还在与对其异常的持续检测,内部人员作恶、合法终端和应用带有的0day,特别是在APT的大背景下,高价值的封闭网络几乎难以幸免***,这更需要对在封闭网络中获取各种信息进行精准分析。DARPA的主动认证项目根据用户内部网络中的行为如敲键方式、软件操作习惯、甚至在面对异常时的反映来对用户进行持续的认证,甚至有望取代CAC认证卡和口令,这应该是封闭网络安全的发展方向。

最后,由于漏洞总是客观存在,封闭网络作为高价值目标,难以做到防护的万无一失,转而应该借鉴可靠性的一些设计思想,瞄准在遭受***后关键业务仍然可用为目标,Mitre将这方面的设计思想称之为网络空间弹性Cyber Resiliency。冗余、跳变、关键系统的分割、沙盒、对***的重定向、非持续的提供服务,都是具体的弹性机制。这方面的研究且听下回分解。

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。


网页名称:论封闭网络的安全-创新互联
网站地址:http://cdxtjz.cn/article/ccgsoj.html

其他资讯