Check Point 剖析IT技術(shù)潮流及其安全考慮

目前IT 環(huán)境及相應(yīng)的安全挑戰(zhàn)日趨復(fù)雜，互聯(lián)網(wǎng)安全解決方案領(lǐng)先廠商Check Point軟件技術(shù)有限公司從千絲萬縷中點出十大信息技術(shù)熱門課題，并提出其相關(guān)的安全觀點：

    熱點1：虛擬化

    由于能有助企業(yè)整合其IT資源及削減有關(guān)開支，虛擬化技術(shù)在近年逐漸升溫，這個熱潮在2011年將有增無已。摩根士丹利的研究報告指出，CIO們在2011年將把其企業(yè)的服務(wù)器進一步虛擬化，比例或?qū)⒏哌_55%，2010年這一比率只為42%。Information Week在去年6月發(fā)表的調(diào)查結(jié)果顯示，28%的公司已經(jīng)使用了“私有云”，而有30%計劃將會使用。

    然而，Check Point對正在或準備采用虛擬化技術(shù)的機構(gòu)提出忠告，這種技術(shù)有多種安全隱憂，例如機構(gòu)決策者表示其IT安全管理團隊缺乏虛擬網(wǎng)絡(luò)的專    門技巧及經(jīng)驗，而且覺得新的信息安全方案所費不菲；其它挑戰(zhàn)包括缺乏服務(wù)器虛擬化的最佳范例供參考；以至不能挪用現(xiàn)有安全工具至虛擬化環(huán)境等。

    熱點2：云計算

    很多企業(yè)不論其規(guī)模大小對構(gòu)建內(nèi)部及專用IT云環(huán)境興趣甚濃，估計今后數(shù)年，適用云環(huán)境的應(yīng)用將如雨后春筍。云計算帶來的安全挑戰(zhàn)也不容小覷，根據(jù)摩根史丹利去年所發(fā)表的CIO云計算調(diào)查，企業(yè)最關(guān)注的云計算安全風(fēng)險為數(shù)據(jù)安全和失去控制，其次為數(shù)據(jù)的便攜性和所有權(quán)、法規(guī)遵從及可靠性等。

    Check Point指出，有效的安全保護與控制密不可分，企業(yè)對與其業(yè)務(wù)至關(guān)重要的應(yīng)用不能撒手不管，而在使用云計算環(huán)境時，企業(yè)卻往往不知道是誰在共用資源，這將導(dǎo)致很多安全漏洞。

    熱點3：IT消費品化和移動性

    許多IT技術(shù)原先定位于電子消費品市場，隨后逐漸廣泛應(yīng)用到商業(yè)環(huán)境中。這方面的硬件產(chǎn)品包括各款智能手機（iPhone、BlackBerry或Android設(shè)備等），而消費類應(yīng)用則包括網(wǎng)上即時通訊、社交網(wǎng)絡(luò)和IP電話等，這一趨勢也被稱為“IT消費品化”。

    這些私人設(shè)備、應(yīng)用和技術(shù)在企業(yè)的使用帶來了極大的安全挑戰(zhàn)。具體來說，企業(yè)必須確保所有企業(yè)數(shù)據(jù)和資源在這些移動設(shè)備或服務(wù)傳輸過程中是安全的，同時保證他們的員工能夠隨時隨地訪問網(wǎng)絡(luò)。

    移動計算已經(jīng)是大多數(shù)公司日常工作生活的一部分。事實上，隨著移動設(shè)備在許多市場超過了100%的普及率，這幾年企業(yè)移動辦公人數(shù)已激增。同時，CIO都在窮于應(yīng)付不斷增

    加連接至企業(yè)網(wǎng)絡(luò)的員工設(shè)備，有鑒于此，今后與移動設(shè)備有關(guān)的安全事故將不斷增加。因此企業(yè)需盡快保護其移動辦公的安全性。

    熱點4：安全威脅的復(fù)雜性

    互聯(lián)網(wǎng)威脅層出不窮、變本加厲是眾所周知的趨勢，從簡單的病毒和蠕蟲、安全威脅至今發(fā)展成多種形態(tài)、組合而復(fù)雜的形式，一次攻擊就使用了多種黑客技術(shù)的攻擊。此外，許多網(wǎng)絡(luò)攻擊使用自動掃描Web潛在漏洞的方式，使得每個人都成為可能的攻擊目標(biāo)。

    此外，現(xiàn)今的互聯(lián)網(wǎng)攻擊不僅針對個人，也越來越多把企業(yè)作為目標(biāo)。它們基本上是由全球各地的網(wǎng)絡(luò)罪犯發(fā)動，是有組織及有動機的犯罪行為，旨在謀取經(jīng)濟利益或侵犯知識產(chǎn)權(quán)。 2010年，網(wǎng)絡(luò)犯罪造成企業(yè)20多億美元的經(jīng)濟損失，這在今后將有增無已，促使企業(yè)考慮采用主動而扎實的網(wǎng)絡(luò)防御，例如入侵防御 (IPS)等安全措施。

    熱點5：IT整合和安全的復(fù)雜性

    現(xiàn)今安全復(fù)雜性是企業(yè)的頭痛問題。根據(jù)Information Week的2010年安全決策者調(diào)研，這是目前企業(yè)所面臨的頭號信息和網(wǎng)絡(luò)安全挑戰(zhàn)。 

    隨著企業(yè)不斷努力提高他們的安全級別，以防御最新的威脅，現(xiàn)在的安全環(huán)境比以往更加復(fù)雜。隨著企業(yè)為安全基礎(chǔ)設(shè)施增加更多的保護層，它們往往部署多種單點安全產(chǎn)品，包括IPS、防火墻、VPN、防病毒、防垃圾郵件、網(wǎng)絡(luò)訪問控制（NAC）、數(shù)據(jù)防泄密（DLP）和URL過濾功能，有時可能會管理來自不同廠商的15種方案，這增加了管理工作的難度和成本。

    此外，網(wǎng)絡(luò)通信本身也變得復(fù)雜。越來越多的應(yīng)用在網(wǎng)絡(luò)使用，它們包括個人或商業(yè)用途，而且由內(nèi)部或外部供應(yīng)商提供或來自云計算，法規(guī)遵從的因素也不能忽略，這都令安全管理員的工作更加艱巨。

    熱點6：數(shù)據(jù)安全與丟失

    電子數(shù)據(jù)的大幅度增加有目共睹，這令保護數(shù)據(jù)成為企業(yè)重中之重的工作。根據(jù)2010年P(guān)onemon調(diào)研所的一項調(diào)查顯示，數(shù)據(jù)泄露為機構(gòu)造成的平均經(jīng)濟損失逐年增長，僅2009年就達到了平均675萬美元的巨大數(shù)目。導(dǎo)致機構(gòu)和企業(yè)數(shù)據(jù)丟失的“元兇”包括：U盤與筆記本電腦、企業(yè)電子郵件、公共網(wǎng)絡(luò)電郵、Wi - Fi網(wǎng)絡(luò)、光盤和DVD光盤。事實上，企業(yè)網(wǎng)絡(luò)發(fā)送的大約1/5電子郵件的內(nèi)容涉及法律、財務(wù)或合規(guī)風(fēng)險。

    Check Point 指出，一些安全措施可以幫助企業(yè)減輕這種風(fēng)險，如媒介/硬件加密或采用數(shù)據(jù)防數(shù)失涉密（DLP）解決方案，因此機構(gòu)應(yīng)該對它們詳加考慮。

    熱點7：Web 2.0 及社交網(wǎng)站

    現(xiàn)在，Web 2.0已經(jīng)成為一個不可或缺的商業(yè)工具，用戶在Web上沖浪、分享信息、下載文件、聊天、更新博客或觀看視頻的時間平均占每個工作天的1/4。根據(jù)《經(jīng)濟學(xué)人》雜志的數(shù)據(jù)，最受歡迎的100個網(wǎng)站中有45％支持用戶生成內(nèi)容，其中60%被惡意軟件感染。此外，目前有許多Web應(yīng)用程序有漏洞，但沒有廠商提供相應(yīng)的補丁。因此，企業(yè)應(yīng)該加強執(zhí)行本身和員工的安全政策。應(yīng)用控制級別要使企業(yè)在不妨礙員工效率的情況下，實現(xiàn)更周全的安全防御。

    Check Point 指出，類似基于IP的防火墻政策和URL過濾等傳統(tǒng)工具在2.0環(huán)境中有其局限，因此企業(yè)需要采用新的安全控制，能夠區(qū)分在互聯(lián)網(wǎng)上運行的數(shù)以千計的應(yīng)用程序，同時提供更佳的可視性，令防火墻能分辨使用同樣協(xié)議及端口的不同應(yīng)用，以便進行更好的監(jiān)控和管理。

    熱點8：公司管治、風(fēng)險和法規(guī)遵從

    現(xiàn)今企業(yè)需要遵循的數(shù)據(jù)防泄密法規(guī)既多且嚴，它們不僅要遵從所在行業(yè)的規(guī)定，也要遵守當(dāng)?shù)胤?，例如歐盟指令、其他本地數(shù)據(jù)隱私和數(shù)據(jù)泄露的規(guī)條。比如上市公司要遵守薩班斯法案（Sarbanes - Oxley法案）；醫(yī)療機構(gòu)必須遵守HIPAA（健康保險流通與責(zé)任法案）和HITECH（經(jīng)濟健康信息和臨床醫(yī)療技術(shù)），以及PCI DSS（PCI數(shù)據(jù)安全標(biāo)準）；金融服務(wù)機構(gòu)要遵守GLBA（Gramm - Leach - Bliley法案），以及巴塞爾協(xié)議II。這些僅僅是最常見和標(biāo)準的規(guī)定。

    這樣的規(guī)定是為了保護客戶、員工、合作伙伴或投資者不被欺詐和身份被盜竊。然而，對于企業(yè)，這些最終會成為IT人員和安全預(yù)算的負擔(dān)。例如，在有數(shù)據(jù)泄露信息披露法的國家，企業(yè)數(shù)據(jù)安全的花費往往比在沒有這種法律的國家高。 

    根據(jù)Information Week 去年的調(diào)研，行業(yè)和政府法規(guī)遵從是推動機構(gòu)實施安全項目的最大因素。隨著公司開始大規(guī)模虛擬化他們的數(shù)據(jù)中心和IT環(huán)境，安全的復(fù)雜程度將繼續(xù)上升。

    熱點9：降低成本

    盡管經(jīng)濟在復(fù)蘇中，企業(yè)仍然面臨降低基礎(chǔ)設(shè)施和運營成本的巨大壓力。機構(gòu)的IT預(yù)算仍然普遍緊張，CIO都在大幅削減支出預(yù)算。對于IT管理員來說，這意味著他們只能用更少的錢卻做更多的事。

    為了最大限度地提高投資回報率（ROI），企業(yè)會更傾向于“不可或缺”的技術(shù)，而不是“可有可無”的技術(shù)。最重要的是，解決方案需要能夠隨著業(yè)務(wù)發(fā)展和和新威脅出現(xiàn)而擴展。由于財政壓力的增加，企業(yè)必將繼續(xù)關(guān)注節(jié)約成本的技術(shù)，例如虛擬化和云計算，這又回到如何保障此等技術(shù)的安全性問題。

    熱點10：綠色IT

    綠色IT也是近期強調(diào)的熱點之一。隨著能源價格飆升和消費者環(huán)境意識的提高，企業(yè)必須考慮發(fā)展綠色科技。而且，綠色IT趨勢也使精明的IT決策者可以把生態(tài)與經(jīng)濟現(xiàn)實相結(jié)合。

    以全局觀應(yīng)對安全挑戰(zhàn)

    Check Point總結(jié)說，企業(yè)要成功化解各種安全挑戰(zhàn)，它們需要全新的思維，過往頭痛醫(yī)頭，腳痛醫(yī)腳，使用各種不同的單點安全產(chǎn)品并不可取，有效的方針是構(gòu)建一個靈活及可擴展的基礎(chǔ)設(shè)施，既可以提供周全的保護，并可以隨著企業(yè)不斷變化的安全需求而擴展。