为什么检测网络攻击需耗时数个月

张珊珊

现有网络威胁解决方案，通常都是在尝试解决特定问题或阻止特定攻擊步骤的发生，其中包含了试图强固安全“边界”的防火墙（FW）、防止未经授权的设备连接到网络的网络访问控制（NAC）以及负责保护网络上设备的终端防护方案。

虽然这些解决方案大多能够自动解决小规模问题，却很难将它们作为高效安全生态圈中协同防御的一部分。而可提供实时分析的安全信息和事件管理（SIEM）系统其质量也仅仅与所收到的日志和告警类似，并且通常现有的解决方案都过于庞大。例如需要部署复杂的沙箱、欺骗环境或者基于代理的解决方案，而此方案必须将利用（Exploit）做频繁地更新。

随着广泛地使用过往只有国家级黑客才会运用的工具和技术，安全团队和首席信息安全官们（CISOs）面对的是更加厉害的对手，并且这些对手都已配备了最先进的网络武器。此外由于技术的进步，过去相当简单且大部分为台式机和服务器所构建的的企业网络，现在已经变成了一个连接所有东西的复杂环境，这环境从移动设备到咖啡机、车辆等不一而足，这使得企业的防御任务变得更加困难。

安全团队要实现网络完全安全的这一目标，与企业要实现业务便于开展这一最终目标之间必然存在着天然的矛盾。只要存在人为因素，这个差距就会体现在有瑕疵的工作流程、人为错误、未管理或未知的设备和零日漏洞上，而以上所述使得大规模地创建自动化防御解决方案几乎成为不可能的任务。无论差距是像墙上的小裂缝，还是大到像高速公路中间的隔离地带，对手都会利用它侵入。

为了自动防止小规模安全问题和保护他们的复杂网络负责，安全公司和CISOs经常试着利用这种情况，并尝试通过捆绑不同的检测和防御技术来创建大规模的“自动防御”解决方案，但每个解决方案都只专注于一个特定的问题且只提供一个狭隘的实施场景。

通过这样的方式，CISOs需定制不同产品的安全解决方案，这些产品不一定能够协同防御，并且在许多情况下，因技术层面不兼容，需要复杂的产品配置或实施网络环境的问题也层出不穷。

从调查中发现，相对于对资金充足且难搞的对手所发动的复杂网络攻击，大多数企业所采用的零零总总安全检测解决方案，皆类似于拼图游戏里尝试把不完整的拼图重新拼凑起来，但每片拼图却又是由不相关的人所构建的状况一样。诚然这是一项耗时的任务，要解决这个拼图难题，首先必须要能看到或勾勒出更大的图景，否则即使是训练有素的应急响应措施和安全专家也经常会遇到困难。

企业必须重新考虑目前实施检测攻击的方式并采用一个简单易用的解决方案，这样才能大大缩短企业对网络威胁攻击的反应时间，也才能使得企业可以在处理过程中节省开支。