数据中心必须关注周边安全性问题

宋明成

随着智能设备以指数方式增加攻击向量，物联网、工业物联网和基于云计算的应用程序迅速增加了数据中心风险。在这个全球连接的时代，组织需要不断测试其安全措施，以防范复杂的威胁，这些威胁包括Web应用程序和无文件攻击、内存损坏、返回/跳转导向编程（ROP/JOP）以及受损的硬件和软件供应链攻击等。

虽然数据中心传统上依赖于检测和采取周边安全解决方案来降低风险，但新型网络威胁的激增已经提高了对预防的需求。根据波洛蒙研究所的研究，估计数据中心停机的平均成本超过740 000美元（自2010年以来增长近40 %），负责数据中心网络安全的工作人员必须寻求采用下一代预防策略来减少和关闭攻击面，并提高现有基础设施、流程和人员的效率。

几十年来，外围安全一直是保护数据中心的主要手段。然而，这种策略类似于一个中世纪城堡，其中保护的目标只限制在一个小区域内，并由具有严密防护入口点的坚固墙壁保护。数据中心在其周边建立了安全层，这些安全层深入协作，其理念是如果一个安全层没有抵御某些攻击，那可以通过下一个安全层进行防护。

与城堡一样，数据中心强调检测进出组织的流量。传统的流量检测方法包括映射出网络接入点以创建不断测试和加固周边设施。这对于检测攻击和生成警报非常有效，希望具有足够的安全性来防止安全层的破坏，而这可能导致停机、经济损失、声誉受损甚至环境危害。

数据中心的安全不再只考虑内部的保护事物。城堡型解决方案在大型机和有线终端的时代运作良好，但它们对于当今的威胁并不那么有效。事实上，无线通信（OTA）、物联网设备和云计算的出现使得数据中心的安全性降低。

目前，数据中心面临的主要安全挑战是，他们必须努力在内部部署数据中心、公共云、私有云和混合云中运行应用程序时保持其数据的私密性。虽然他们的许多客户将业务进一步扩展到云中，但这也可能无意中增加了克隆配置扩展攻击的风险。攻击者可以定位路由器、交换机、存储控制器、服务器以及传感器和交换机等操作技术组件的所有内容。一旦黑客獲得对设备的控制权，他们就可以进行更多扩展，从而可能跨网络攻击所有相同的设备。

如今的攻击来各种各样的地方，因为网络攻击者现在拥有更多的工具来规避周边安全检测，并从数据中心内部攻击目标。美国国防部信息网络联合部队总部运营总监Paul Craft上校在2018年5月举行的AFCEA防御网络运营研讨会上表示：“安全不仅仅与基础设施有关，这是我们的IT平台，将记录我们所有的数据，它也是我们的ICS和SCADA系统，也涉及我们所有跨域的网络。”

根据波洛蒙研究所的调查，许多攻击现在可以迅速从一个设备扩展到所有设备，这可以从黑客访问使用相同代码构建的200 000个网络设备的缺陷中看出。例如内存损坏（缓冲区、栈和堆）和ROP/JOP执行重新排序这样的无文件攻击，也成为了一种日益严重的威胁，其感染设备的可能性是传统攻击的10倍。

根据赛门铁克公司的2018年互联网安全威胁报告，过去一年中，对供应链攻击增加了200 %。很多组织和供应商现在只能控制其源代码的一小部分，因为现代软件堆栈由来自全球供应链第三方的二进制文件组成，这些二进制文件来自包含隐藏漏洞的专有和开源代码。此外，零日攻击迅速增长，很多黑客正在利用软件、硬件或固件中的未知漏洞攻击系统。

数据中心必须从只关注检测的安全性转向强调预防的安全性。由于许多新的攻击完全避开传统的网络和端点保护，最新一代的工具旨在抵御不断增长的攻击媒介类别。这不仅可以提高抵御最新威胁的安全性，还可以提高工具和流程在处理剩余内容方面的有效性。

如今，必须假设供应链中的硬件受到损害。这意味着企业需要在可能不受信任的硬件之上构建和运行受保护的软件。数据中心需要这种新的防御策略，采用深入的方法识别潜在的漏洞，并直接加强二进制文件，以便攻击无法实现或复制。

实现此目的的最佳方法之一是以某种方式转换设备中的软件二进制文件，从而使恶意软件无法更改命令并在系统中传播。这种方法称为“网络硬化”，可防止单个漏洞利用跨多个系统传播。它缩小了攻击面，并缩小了工业控制系统和嵌入式系统和设备中的漏洞，减少了物理损坏和人为破坏的机会。

最好的安全性总是假设黑客最终会入侵。而不是在漏洞利用后对受到攻击的漏洞作出反应，网络硬化可以防止恶意软件针对数据中心的攻击，而那些防御比较薄弱的组织最好不要取消这样的基础设施。