itle="1.jpg" alt="1.jpg" width="700" height="466"/>
IT技術(shù)的改變，先從架構(gòu)來看，傳統(tǒng)的看，大家都在建數(shù)據(jù)中心，今天越來越多的客戶接受了云，尤其是國外、美國，絕大多數(shù)的客戶對公有云信任程度遠(yuǎn)遠(yuǎn)高于自建數(shù)據(jù)中心。另外，看到工作的環(huán)境，原來在實(shí)體機(jī)開發(fā)，現(xiàn)在是虛擬機(jī)、容器化，可以看到整個的趨勢在發(fā)生改變。
在開發(fā)的環(huán)境下，原來為了開發(fā)項(xiàng)目準(zhǔn)備很多的人專門開發(fā)一個程序，今天全都是微服務(wù)、DEVOPS、敏捷開發(fā)，整個開發(fā)環(huán)境也產(chǎn)生大量的改變。此外，原來只關(guān)心計(jì)算技術(shù)、筆記本電腦、臺式機(jī)、網(wǎng)絡(luò)設(shè)備，今天看到2019年底激活大概多少個IOT設(shè)備？是90億IOT設(shè)備。所以你面臨的終端會越來越多。
原來總覺得內(nèi)網(wǎng)是絕對安全的，今天來看也不一定。我們看到到2020年底有25%的攻擊是針對OT設(shè)備。整體來看，和傳統(tǒng)的IT，不管從方法、從設(shè)備、從技術(shù)都產(chǎn)生了巨大的變化。
再來看攻擊的方面，原來大家是竊取數(shù)據(jù)，今天大家越來越多聽到的是勒索、聽到了蠕蟲。原來的問題只是南北向打進(jìn)來，很少有東西向的穿越。今天可能一臺機(jī)器感染會橫向傳播，導(dǎo)致若干臺、數(shù)千臺設(shè)備中招。說明攻擊的方式也在發(fā)生改變，還有大量工控設(shè)備。你可以看到索尼的問題，拉斯維加斯賭場的問題，都是通過工控的設(shè)備。比如說，溫控系統(tǒng)、攝像頭系統(tǒng)來進(jìn)行攻擊?，F(xiàn)在增加了新的攻擊手段是挖礦，不是直接攻擊你的數(shù)據(jù)，而是占用你的CPU和內(nèi)存，用計(jì)算機(jī)資源幫助他獲取另外的利益，可以看到攻擊的手段各式各樣。
這些的原因是什么？數(shù)字化轉(zhuǎn)型。傳統(tǒng)看安全團(tuán)隊(duì)負(fù)責(zé)的是服務(wù)器、技術(shù)架構(gòu)，今天看各種數(shù)字化轉(zhuǎn)型蓬勃發(fā)展，有應(yīng)用服務(wù)器、虛擬化、云、容器，企業(yè)有工控安全、內(nèi)網(wǎng)企業(yè)IOT設(shè)備，越來越多的全都是暴露在互聯(lián)網(wǎng)側(cè)，導(dǎo)致了你面臨攻擊的風(fēng)險會越來越大。如果用傳統(tǒng)的方法只關(guān)注在服務(wù)器、PC、網(wǎng)絡(luò)設(shè)備，你會發(fā)現(xiàn)你會面臨越來越多的風(fēng)險。
在看Gartner報告怎么講？到2020年底，所有已知安全事件中99%是通過被利用的漏洞進(jìn)行，事件中99%是已知。說明沒有那么多的APP，沒有那么多的未知威脅和攻擊。如果你沒有處理好已知問題，而去把大量的資金或技術(shù)投在防止未知威脅是不應(yīng)該的。我們的報告可以看到什么信息？可以看到大概90分鐘就有高危漏洞產(chǎn)生，客戶里面平均8千到9千每個月新增漏洞數(shù)，一半以上客戶都受過網(wǎng)絡(luò)攻擊?？梢钥吹绞欠浅?yán)重的現(xiàn)象。
今天看過去的漏洞數(shù)據(jù)，這是Gartner的報告?？梢钥吹绞昵安⒉皇翘啵荒陰浊€漏洞，2017年達(dá)到14000個，2018年是16000個，可以看到數(shù)量是非常龐大的。具體分析來看，7%的漏洞是可利用的，你算算有多少？也得有好幾千個。通過傳統(tǒng)的對漏洞優(yōu)先級評分可以看到超過7的63%，超過9的12%。如果12%的話，基本上是兩千以上，數(shù)量太龐大了。對于企業(yè)來說、對于用戶來說，什么是真正的安全風(fēng)險？是不是把所有的漏洞都發(fā)現(xiàn)掉了？是不是把所有的攻擊都發(fā)現(xiàn)掉了？顯然不是。
對用戶的安全風(fēng)險是什么？上面的圖非常好，我非常的喜歡這幅圖，是針對用戶的核心業(yè)務(wù)能產(chǎn)生攻擊的漏洞才應(yīng)該是你真正關(guān)注最優(yōu)先級處理的問題，這才是你真正的安全風(fēng)險，而不是全部的發(fā)現(xiàn)。這對于企業(yè)來說是非常重要和需要看的點(diǎn)。
今天來看，把安全的投資分成三個方面：事前、事中和事后。有很多的企業(yè)在投資大量的預(yù)算和資金在這部分，我們叫做“安全的事中防御”，買了防病毒、DLP等等，也有一些在新建C情報，我們叫“事后的回促系統(tǒng)”，沒錯都是有價值的，對于安全的整個鏈條來看都會有價值，但往往忽略的是事前到底有什么樣的安全風(fēng)險、有什么樣的問題。
四個問題，在你們的企業(yè)中是否有被利用的風(fēng)險？如果利用你現(xiàn)在的平臺來看是否能發(fā)現(xiàn)？這些風(fēng)險的修補(bǔ)等級是怎么樣的？是高還是低？怎樣才能降低被利用的風(fēng)險？以及跟同行、跟金融、跟制造業(yè)相比到底處在什么樣的安全水平。我相信你如果不能做很好平衡投資，如果光投資實(shí)時保護(hù)，還是沒有太多的意義。
曾經(jīng)有個金融客戶經(jīng)過紅藍(lán)對抗以后CSO得出結(jié)論是什么？有Gartner上線的（，不講哪個公司的產(chǎn)品，仍然被打穿。說明什么？沒有不透風(fēng)的墻，純靠被動防御或監(jiān)測系統(tǒng)是不能完全發(fā)現(xiàn)和預(yù)防你風(fēng)險的。傳統(tǒng)來看，企業(yè)客戶最喜歡投資的一定是保護(hù)，他見效最快、最直接。今天來看，雅虎、萬豪、，去年出了很大的安全事故，他買了什么樣的產(chǎn)品？把大量的資金投在風(fēng)險可視部分。做CSO認(rèn)為是平衡的投資，而不單單只是投某一塊，這是從廠商角度的建議。
今天來看問題是什么？可視化的能力夠不夠？你有多少資產(chǎn)？舉個最簡單的例子，最近比較熱門的話題是RDP0708，Web（英），找到可能受到影響、可能被攻擊的資產(chǎn)是第一步，但有什么方法去找？靜態(tài)數(shù)據(jù)。準(zhǔn)嗎？以數(shù)據(jù)來看靜態(tài)數(shù)據(jù)往往不準(zhǔn)，和實(shí)際數(shù)據(jù)存在巨大的偏差。曾經(jīng)跟一個客戶CSO聊，上線系統(tǒng)非常的規(guī)范，根本不可能說系統(tǒng)上線了不知道，應(yīng)用裝上去不知道?？赡苣愕牧鞒谭浅５囊?guī)范，問題是什么？買了第三方產(chǎn)品，里面帶了Web（音）是以第三方平臺包進(jìn)去的，這時候再有更好靜態(tài)的表的管理系統(tǒng)也發(fā)現(xiàn)不了資產(chǎn)。對于資產(chǎn)的存量可視不光是IP、不光是端口，包括應(yīng)用路口、應(yīng)用版本全部具備可視。
缺乏優(yōu)先級處理是什么？大家覺得我有漏洞掃描的產(chǎn)品就夠了，能把所有的漏洞數(shù)全都掃出來。舉一個幫中國金融客戶做測試的時候，掃出12萬中危以上的漏洞，2500個資產(chǎn)對應(yīng)12萬漏洞。剛剛史總說一個券商的安全團(tuán)隊(duì)5個人左右，怎么處理12個洞？顯然不行。假如說，把中危去掉看高危和嚴(yán)重的仍然有6萬個，數(shù)字非常的龐大。哪些洞是產(chǎn)生實(shí)質(zhì)威脅的是最大的，而不是高危嚴(yán)重的，這是很大的問題。
缺乏商業(yè)的度量，一臺辦公電腦和業(yè)務(wù)服務(wù)器權(quán)重是一樣的嗎？它倆有同樣風(fēng)險的時候先處理哪個、后處理哪個？從資產(chǎn)的維度、從應(yīng)用的維度，基于度量。坦白地說，現(xiàn)在也沒有，完全憑手工、憑經(jīng)驗(yàn)去做。現(xiàn)在的問題在哪里？有些問題覺得我有了掃描類產(chǎn)品、我有了資產(chǎn)掃描的產(chǎn)品就有了安全風(fēng)險可視能力。坦然說，你有這兩樣也回答不了上面的三個問題。
原來評價一個風(fēng)險是高危、中危、低危，這是傳統(tǒng)的攻擊。今天來看漏洞的數(shù)據(jù)不停地增長，看高危嚴(yán)重也仍然太多，仍然不能幫用戶從海量風(fēng)險中分析出來哪些是真正的對他能產(chǎn)生實(shí)質(zhì)威脅，甚至攻擊的風(fēng)險是什么。優(yōu)先級分析傳統(tǒng)的看到高危、嚴(yán)重、中危。新的聚焦體系在哪里？如何讓真正的威脅能夠更少，真正讓用戶處理的威脅更小。目標(biāo)能讓我有時間，比如說，今天只能修50個，能告訴我哪50個最重要嗎？哪些最優(yōu)先處理的？重要的是從三個維度將風(fēng)險能夠智能分析出來。哪三個維度？資產(chǎn)的價值/資產(chǎn)的嚴(yán)重性、漏洞數(shù)據(jù)、攻擊數(shù)據(jù)。攻擊數(shù)據(jù)包括漏洞情報，漏洞是不是能利用。現(xiàn)在在暗網(wǎng)和黑客界是不是有攻擊腳本？是不是有大量的黑客利用漏洞進(jìn)行漏洞攻擊。所有的綜合判斷幫你分析哪些是不是真正要處理。
所以我們公司做了優(yōu)先級預(yù)測系統(tǒng)，通過150多項(xiàng)不同維度的數(shù)值幫你判斷修補(bǔ)。此外，漏洞評分包括有沒有攻擊的模式、攻擊的腳本有沒有，包括可利用方面去評估。漏洞情報，暗網(wǎng)上有POC，在Gartner有沒有公布等等。舉0708最最關(guān)心的度，剛出來評分只有5.9，CVSS角度認(rèn)為這個洞可被利用，利用復(fù)雜度不是很高，所以給了很高的分。值到上個禮拜，我們的評分才會被它調(diào)成9.9。從5.9調(diào)到9.9的原因是什么？在公開出現(xiàn)攻擊腳本被廣泛的散播在各個暗網(wǎng)以及黑客渠道里面。
洞剛出來沒有實(shí)質(zhì)的威脅，修補(bǔ)優(yōu)先級并不是最高的。但真正有了黑客已經(jīng)有了POC腳本有了攻擊，顯然你最先修的是這個洞。我們可以讓客戶真正聚焦在3%的風(fēng)險上，而不是讓你在海量漏洞中發(fā)現(xiàn)了一堆扔給運(yùn)維部門，結(jié)果我修的太多了，這可能是和傳統(tǒng)的廠商有不太一樣的觀點(diǎn)。
重要的是安全可視的平臺需要做什么，需要有哪些可視能力？風(fēng)險可視能力，包括資產(chǎn)的維度。剛剛講了開放的端口、IP應(yīng)用、應(yīng)用版本、路徑這些需要有非?？梢暷芰?，能夠清楚的知道到底有什么樣的資產(chǎn)。對于漏洞風(fēng)險可視能力，不管是在容器層面、在虛擬化層面、在操作系統(tǒng)、在中間件數(shù)據(jù)庫、Web應(yīng)用安全風(fēng)險可視能力。可視能力來了以后最重要的是能夠分析，當(dāng)我去除雜疑能夠聚焦在真正產(chǎn)生實(shí)際威脅的是什么。度量能力是什么？要跟同行和制定策略的去比，到底現(xiàn)在做的好還是不好，這樣的平臺才能真正幫你帶來風(fēng)險完全可視能力。
目前，Tenable全球有2700家公司，進(jìn)入中國三年不到的時間，在中國有了近三十家券商、兩個交易所、四個大銀行以及高科技公司，包括華為、中信等等。我們的產(chǎn)品涵蓋內(nèi)容相對比較多，是安全里面更細(xì)分的一塊，有相應(yīng)的解決方案。