第 23 叨

    在古今中表的文学文章中，，，，，，爱情与CP总是成为读者关注的焦点。。。。。

    好比中国古代神话爱情故变乱事中的梁山伯与祝英台、金庸笔下的神仙眷侣杨过与幼龙女、莎士比亚戏剧中罗密欧与朱丽叶的惨痛爱情……

    除了人与人之表，，，，，，网络安全产品也是拥有显著CP属性的。。。。。

    或许绝大无数用户已经习惯了，，，，，，某些产品或者职能模？？？？？？？樽苁浅啥猿鱿郑，，，，相互之间职能互补、共同默契，，，，，，能够显著阐扬出“1+1>2”的成效，，，，，，甚至于有不罕用户对于肆意一方单独出现而感触到十吩戽怪。。。。。

    恰在今年，，，，，，RSAC将“Strong Together”作为大会主题，，，，，，不仅强调了人与人、组织与组织必要在一路，，，，，，安全产品也该当越发缜密的结合，，，，，，可谓是进一步激励了安全产品之间搞CP。。。。。

    细细数来，，，，，，安全产品CP还真不少。。。。。

    防火墙&VPN：陪同是最长情的告白

    自上世纪70年代以来，，，，，，互联网技术获得了飞速的发展。。。。。出于安全性和保密性的思考，，，，，，人们火急必要对一些不受控的接见行为进行限度。。。。。

    因而防火墙的雏形产生了，，，，，，在尝试室里，，，，，，它可能实现单一的网络过滤职能。。。。。

    在经过一系列的技术演变之后，，，，，，1994年，，，，，，CheckPoint首创人吉尔·舍伍德正式带来了世界上第一款可商用的防火墙，，，，，，奠定了几十年来防火墙在网络安全产品中不成颠簸的老迈职位。。。。。

    与防火墙相比，，，，，，VPN的出现要略微晚一些，，，，，，但同样与互联网的发展有着缜密的关系。。。。。

    上世纪九十年代，，，，，，全球化趋向使得大量企业出现了各地甚至跨国分支机构网络互联的需要，，，，，，但运营商提供的专线租赁的模式不仅价值昂贵，，，，，，在安全性方面也没有加密传输的保障。。。。。

    VPN的出现解决了这样一个难题，，，，，，它通过在各个机构之间成立一个虚构专用的加密通讯隧路，，，，，，在大幅提升组网效能的同时，，，，，，相对保障了接见的安全性。。。。。

    随着防火墙的宽泛利用，，，，，，VPN的需要也越来越多：当身处表网的用户想要接见内部网络时，，，，，，就会被防火墙阻断，，，，，，此时不得不通过VPN来达到接见内网的主张。。。。。

    正因如此，，，，，，防火墙和VPN的命运被紧紧绑缚在了一路，，，，，，一个掌管堵，，，，，，一个掌管疏，，，，，，共同守护组织的网络天堑，，，，，，形影不离。。。。。

    2004年9月，，，，，，IDC初次提出了统一威胁治理UTM概想，，，，，，将防火墙、VPN、邮件过滤等天堑安全能力整合到了一路，，，，，，防火墙与VPN从此实现了“爱情长跑”，，，，，，彻底走在了一路，，，，，，几十年如一日。。。。。

    时至今日，，，，，，只管VPN的职位受到了诸如SD-WAN等新技术的挑战，，，，，，但防火墙和VPN仍旧相互陪同在一路。。。。。各类机能壮大的防火墙，，，，，，依然将VPN视作标配。。。。。

    例如ca88登陆平台新一代智慧防火墙，，，，，，基于第四代高机能SecOS操作系统（鲲鹏平台），，，，，，美满整合了传统防火墙、VPN、防病毒、防缝隙利用等，，，，，，可在大流量、复杂场景、多安全职能开启的情况下维持高机能，，，，，，为客户提供矫捷组网、精密化接见节造、高效威胁检测等职能，，，，，，陆续三年在有着“中国含金量最高的防火墙测试”之称的中国移动防火墙集采测试中脱颖而出，，，，，，并屡次入围中国移动、中国联通等大型客户的防火墙集采项目。。。。。

 EPP&EDR：你若不离不弃，，，，，，我必生死相依

    EPP是终端安全；；；；；；；て教ǎ，，，，EDR是终端检测与响应平台，，，，，，二者本是分歧时期的产品，，，，，，却因统一块阵地而走在了一路。。。。。

    最初的终端安全没有什么花里胡哨的概想，，，，，，有的只是一个单纯的防病毒软件。。。。。那时，，，，，，杀毒就是终端安全的全数。。。。。

    很快，，，，，，随着组织终端、利用数量的不休攀升，，，，，，单纯的反病毒已经不能满足终端安全必要了，，，，，，因而安全厂商把终端有关的反病毒、设备治理、利用治理、缝隙和补丁治理等等职能进行了整合，，，，，，为客户提供更壮大的终端安全；；；；；；；つ芰。。。。。

    EPP应运而生，，，，，，直到此刻EPP也一向是；；；；；；；ぷ橹斩说闹髁Σ。。。。。

    但EPP并非没出缺点。。。。。黑客的攻击伎俩是会不休变动的，，，，，，免杀、白利用、逃逸、无文件攻击等等技术层出不穷，，，，，，这让依附静态规定匹配的EPP防病毒模？？？？？？？槟岩哉屑。。。。。

    2013年7月，，，，，，Gartner分析师初次提出了EDR的概想，，，，，，强调基于终端大数据同时结合表部谍报进行分析检测，，，，，，实现对可疑攻击行为的发现、响应和溯源。。。。。

    由于在应对未知攻击方面的独到优势，，，，，，EDR已经问世就受到热捧，，，，，，再加上各大安全厂商、分析机构以及媒体的炒作，，，，，，一度出现了EDR要取代EPP的论调。。。。。

    但明眼人都知路，，，，，，威胁发现仅仅是终端安全的一部门，，，，，，EDR看上去光鲜亮丽，，，，，，但背后的设备治理、缝隙治理等脏活累活，，，，，，还得靠EPP去打理。。。。。

    所幸的是，，，，，，EDR并没有迷失在多星捧月的高光里，，，，，，也没有厌弃看起来已经不再时尚的EPP，，，，，，而是不离不弃，，，，，，为终端安全添砖加瓦。。。。。

    久而久之，，，，，，EPP和EDR就被整合在了一路，，，，，，过上了“持证上岗”的生涯。。。。。

    ca88登陆平台天擎基于“系统化防御、数字化运营”的思想，，，，，，全面整合了EDR、EPP等技术，，，，，，可能为客户提供横跨Windows、Linux、MacOS、移动平台的一体化终端安全能力，，，，，，全面覆盖病毒防护、高级威胁检测与响应、调查溯源、资产治理以及补丁治理等，，，，，，援手客户构建全覆盖、全统一、全协同的一体化终端安整个系；；；；；；；同时依附多元的基础数据、丰硕的运营知识、统一的运营平台，，，，，，保险终端安全成效。。。。。

    IDC汇报显示，，，，，，ca88登陆平台天擎已陆续五年位居国内终端安全软件市场首位。。。。。

   NDR&蜜罐：两情若是久长时，，，，，，釉祚在朝朝暮暮

    作为EDR的同门师兄弟，，，，，，网络检测与响应技术NDR正式面世的功夫要稍晚一些。。。。。

    同样是在2013年，，，，，，Gartner分析师针对网络侧也提出了一个新概想网络流量分析NTA，，，，，，检测网络流量中暗藏的异常行为和威胁，，，，，，添补从前入侵检测系统IDS的不及。。。。。

    但NTA依然存在好多问题：误报数量依然居高不下，，，，，，并且没能解决发现威胁后的响应措置问题，，，，，，因而不得不依附人为措置。。。。。

    所以，，，，，，安全厂商们发展了对NTA类型产品的改进，，，，，，好比引入机械进建、威胁谍报，，，，，，提升检测正确率；；；；；；；引入设备联动能力，，，，，，在发现威胁后，，，，，，挪用其他设备对威胁进行阻断。。。。。

    与EDR类比，，，，，，各人起头习惯将此类规划称为NDR。。。。。

    直到2020年，，，，，，Gartner正式将原NTA规划沉新定名为NDR规划，，，，，，并于6月11日颁布了首份NDR市场指南，，，，，，NDR也正式面世。。。。。

    与NDR相比，，，，，，蜜罐出现的功夫要早得多。。。。。

    1988年，，，，，，Clifford Stoll博士在论文中描述了蜜罐的构思：设置陷阱引诱攻击者，，，，，，纪录攻击者的痕迹，，，，，，延误入侵的脚步，，，，，，同时；；；；；；；ふ媸抵副。。。。。

    然而在接下来的十多年里，，，，，，蜜罐技术也只是作为一种梦想存在。。。。。

    直到2000年前后，，，，，，蜜罐产品才从开发者的手中诞生，，，，，，可能模拟成虚构的操作系统和网络服务，，，，，，并对黑客的攻击行为做出回应。。。。。

    蜜罐的商用使得IDS有了最佳伴侣：前者自动出击，，，，，，后者则严兵秣马。。。。。并且，，，，，，蜜罐不像IDS对所有可疑行为都很敏感，，，，，，它的属性就决定了只有攻击者才会触发蜜罐。。。。。

    所以，，，，，，蜜罐根基上没什么误报。。。。。

    听起来所有都很美好，，，，，，但从蜜罐诞生那一刻起，，，，，，供给商们就一向在解决两个问题：

    一是仿真性问题，，，，，，“一眼假”的陷阱无法糊弄攻击者；；；；；；；

    二是安全性问题，，，，，，决不能让攻击者利用蜜罐为跳板，，，，，，渗入到真实的业务系统中。。。。。

    出于这两方面的思考，，，，，，蜜罐的利用一向受到很大的限度，，，，，，无论是最早的IDS、还是后来的NTA、NDR，，，，，，只管相互倾慕，，，，，，却始终没能走在一路。。。。。

    不外功德多磨，，，，，，技术的发展也不是一旦一夕的事件。。。。。

    好在ca88登陆平台天眼解决了这个问题。。。。。

    在流量检测与响应方面，，，，，，ca88登陆平台天眼基于多个威胁检测引擎，，，，，，能够精准发现网络流量中的攻击行为；；；；；；；利用本地大数据平台对全量数据进行查问，，，，，，结合威胁谍报和攻击链分析对事务进行分析、研判和回溯。。。。。

    另一方面，，，，，，天眼可与ca88登陆平台攻击诱捕系统（蜜罐）进行美满联动。。。。。借助天眼的全流量分析能力，，，，，，蜜罐可能急剧构建切合真实业务逻辑的“陷阱”，，，，，，将攻击流量自动牵引至蜜罐中隔离起来，，，，，，使攻击者相信已初步获得部门指标的节造权，，，，，，并且不能横向渗入进正常系统中。。。。。最终，，，，，，蜜罐产生的威胁告警会发送至天眼分析平台中进行统一的告警治理。。。。。

   SIEM&SOAR： 一见倾心

    SIEM诞生于2005年，，，，，，同样是由Gartner分析师提出的概想，，，，，，中文全称是安全信息和事务治理。。。。。

    从字面意思上来理解，，，，，，SIEM的初衷或许很单一，，，，，，就是把系统中产生的和网络安全有关的信息和事务网络起来进行统一治理。。。。。

    不外随着网络空间的攻防匹敌越来越强烈，，，，，，险些所有的网络安全产品城市收到一份魂灵拷问：你能检测到网络攻击吗？？？？？？？？

    所以这十多年来，，，，，，攻防匹敌逐步发展成为SIEM的主题，，，，，，Gartner更是在2016年直言攻防检测将成为推动SIEM发展的主题驱动力。。。。。

    因而安全厂商不休将各类检测能力整合进SIEM，，，，，，如关联分析、威胁谍报、用户实体行为分析……

    但问题出现了。。。。。由于SIEM壮大的数据整合能力，，，，，，海量日志、数据汇集于此，，，，，，从而产生了过量的告警，，，，，，远远超出了人为能够措置的领域。。。。。

    用户火急必要一种步骤可能对海量告警进行初筛，，，，，，就像医院的分诊台。。。。。通常的安全事务能够依照既定的“剧本”，，，，，，自动化实现响应措置流程，，，，，，而分析师只必要关注那些系统无法判定的高级威胁。。。。。

    SOAR的出现使这个问题迎刃而解。。。。。

    2017年，，，，，，Gartner提出了现如今广为接受的SOAR的概想，，，，，，即安全编排、自动化与响应，，，，，，其主题指标是为安全运营人员提供机械辅助和自动化，，，，，，以提升他们的工作效能，，，，，，而这种自动化是通过对流程的编排（即剧本）来实现的。。。。。

    很快，，，，，，在Gartner的一手“撮合”下，，，，，，SOAR和SIEM能够说是“一见钟情”。。。。。

    Gartner在 SIEM的最新界说中出格强调了SIEM该当基于SOAR的响应集成，，，，，，并且将SOAR视作为SIEM产品的一个沉要职能。。。。。

    目前来看，，，，，，SIEM和 SOAR结合方式重要蕴含两种：

    其一是SIEM产品中内置一个附加的SOAR模？？？？？？？；；；；；；；

    其二是将SIEM和SOAR打包成一个套件进行联动部署。。。。。

    好比，，，，，，ca88登陆平台态势感知与安全运营平台NGSOC（主题平台是SIEM）以大数据平台为基。。。。。，，，，通过网络多元、异构的海量日志，，，，，，利用关联分析、机械进建、威胁谍报等技术，，，，，，可能为安全运营人员提供威胁发现、调查分析及响应措置的安全运营工具。。。。。

    在SOAR方面，，，，，，ca88登陆平台SOAR能够与ca88登陆平台NGSOC或者第三方SIEM平台进行很好的联动，，，，，，将分散的安全工具与职能转化为可编程的利用和作为，，，，，，而后借助编排和自动化技术，，，，，，将团队、工具和流程高度协同起来，，，，，，从而将来自SIEM平台的告警措置效能提升十倍以上。。。。。

    番表篇：除了CP还有什么？？？？？？？？

    有专情的，，，，，，天然也少不了“滥情”的，，，，，，也就是俗称的“海王”。。。。。

    首先被想到的应该就是威胁谍报。。。。。

    威胁谍报技术发展至今，，，，，，已经成为提升所有安全设备检测效能和正确率的主题伎俩之一。。。。。因而威胁谍报不仅仅是见一个爱一个，，，，，，也是人见人爱的“俊男靓女”。。。。。在前文所述的CP中，，，，，，或多或少都有威胁谍报出现的影子。。。。。

    ca88登陆平台威胁谍报检测引擎依附ca88登陆平台威胁谍报中心多年技术堆集、海量的文件诺言库和IP谍报库，，，，，，支持细粒度的规定设置，，，，，，具备微秒级威胁谍报查问能力，，，，，，检测正确率可达99.9％。。。。。

    为解决ca88登陆平台大客户的威胁谍报利用痛点，，，，，，ca88登陆平台对表颁布了一站式本地化威胁谍报运营系统（简称TIOS）。。。。。TIOS整合了多个威胁谍报组件，，，，，，融合了ca88登陆平台全面独有的数据视野，，，，，，结合威胁图谱分析的关联视图展示，，，，，，实现威胁谍报数据接入、出产、处置、运营与消费的关环建设。。。。。

    另表一个则是ca88登陆平台的“关门门生”——流量解密编排器。。。。。

    只管它相对陌生，，，，，，但受欢迎水平却丝绝不亚于威胁谍报，，，，，，无论是防火墙、WAF、IDS还是NTA、NDR，，，，，，都向其抛出了橄榄枝。。。。。流量解密编排器堪称“全能CP”的不二人选。。。。。

    这重要是由于为了应对加密流量的威胁，，，，，，所有处置网络流量有关的安全设备都需具备解密能力。。。。。在同时串联部署多个安全设备的情况下，，，，，，由于解密能力参差不齐，，，，，，导致流量处置效能极其低下。。。。。

    ca88登陆平台颁布的国内首款流量解密编排器则沉点解决了这个问题：在流量解密方面，，，，，，通过搭载硬件加快卡，，，，，，并共同自研的异步挪用技术，，，，，，理论上能够将SSL解密机能提升10倍以上；；；；；；；在流量编排方面，，，，，，ca88登陆平台初创了智能化服务链编排技术，，，，，，可能将明文报文分发至服务链上的各个安全设备，，，，，，从而实现“一台设备成功解密，，，，，，多台设备成就共享”，，，，，，大幅提升了加解密效能。。。。。

    作者简介

    本期叨主：魏开元

    安全圈“首席编剧”，，，，，，写点幼故事还原网络攻防一线的明枪暗箭。。。。。