眾所周知，如果沒有完整的、詳細(xì)的主機(jī)資產(chǎn)清單，安全運維團(tuán)隊就無法確保組織的安全，因為任何人都無法保護(hù)“未知”東西的安全。雖然在過去很長一段時間內(nèi)，在定義網(wǎng)絡(luò)邊界后，在封閉的IT環(huán)境中，對所有硬件、軟件和網(wǎng)絡(luò)元素進(jìn)行統(tǒng)計和監(jiān)視還是可控的。
不幸的是，那已經(jīng)屬于過去時。隨著云計算、移動設(shè)備、物聯(lián)網(wǎng)等技術(shù)的快速發(fā)展，傳統(tǒng)網(wǎng)絡(luò)邊界已經(jīng)不復(fù)存在。因此，編制一份完整的資產(chǎn)清單并使之保持最新狀態(tài)變得更加困難和復(fù)雜。隨著那些資產(chǎn)盲點在網(wǎng)絡(luò)環(huán)境中成倍增加，黑客入侵、數(shù)據(jù)泄露、惡意軟件感染以及不合規(guī)的風(fēng)險也在成倍增加。
這也是為什么互聯(lián)網(wǎng)安全中心(CIS)在新發(fā)布《*安全控制》報告中，將“授權(quán)和未授權(quán)設(shè)備及軟件的清點”放在前兩位。互聯(lián)網(wǎng)控制(CIS)在報告中表示，如果采用下述這五種控制方式，組織可以將遭受的網(wǎng)絡(luò)攻擊風(fēng)險概率降低85%。在報告中排名前5的控制項分別是：
硬件資產(chǎn)庫存與控制;
軟件資產(chǎn)庫存與控制;
持續(xù)的漏洞管理;
控制管理員權(quán)限的使用;
保護(hù)移動設(shè)備、筆記本電腦、工作站和服務(wù)器上軟硬件的配置。
換句話說，使IT資產(chǎn)清單保持正確是至關(guān)重要的。上文CIS控制項1和控制項2，表明對網(wǎng)絡(luò)上設(shè)備的全面了解，是減小公司攻擊面的第一步，資產(chǎn)清點是夯實公司系統(tǒng)安全最關(guān)鍵的一步。畢竟，如果不知道自家網(wǎng)絡(luò)上都有些什么，也就談不上跟蹤這些資產(chǎn)了。主機(jī)作為資產(chǎn)最豐富集中地，確保能夠?qū)崟r、清晰地了解其資產(chǎn)整體情況更是不容忽視。
主機(jī)環(huán)境的完全可見性
系統(tǒng)必須為自己組織的所有主機(jī)資產(chǎn)(包括硬件和軟件)提供全面的可見性。如果沒有這種廣闊的全景視圖，就無法正確地保護(hù)主機(jī)的安全。比如自己企業(yè)組織中有哪些服務(wù)器，分別運行什么軟件，它們是如何打補(bǔ)丁的?如果你不知道自己擁有什么，就很難回答上述這些基本問題。主機(jī)資產(chǎn)的可視化為主機(jī)環(huán)境、應(yīng)用脆弱之處、部署防御等都提供了堅實的基礎(chǔ)。
目前國內(nèi)已經(jīng)有一些領(lǐng)先安全廠商在資產(chǎn)清點方面做出了令人驚喜的成績。例如青藤資產(chǎn)清點，只需要在主機(jī)上安裝輕量級Agent，就可以持續(xù)主動地從主機(jī)中收集各種數(shù)據(jù)，并將其提供給安全引擎進(jìn)行分析。在這個平臺上，這些信息被聚合、索引、關(guān)聯(lián)和分析。
青藤的資產(chǎn)清點擁有強(qiáng)大的搜索引擎，能夠在幾秒鐘內(nèi)解決簡單或復(fù)雜的查詢，幫助客戶輕松了解主機(jī)上資產(chǎn)情況，比如：
機(jī)房中有多少臺主機(jī)來自某個品牌 ?
有哪些主機(jī)資產(chǎn)受到特定漏洞的影響?
哪些主機(jī)安裝了特定的軟件?
……
除此之外，搜索中使用多個條件的組合可以在更窄的范圍內(nèi)進(jìn)行運行查詢，如下圖所示，通過篩選可以看到有多少臺主機(jī)部署在機(jī)房7-313機(jī)房中，以及在Mary名下的主機(jī)數(shù)量。
資產(chǎn)的深度可視化
當(dāng)然上述這種持續(xù)的數(shù)據(jù)收集和發(fā)現(xiàn)過程僅是實現(xiàn)主機(jī)資產(chǎn)清單流程的第一步，如果收集的數(shù)據(jù)都很淺顯，那么擁有完整的主機(jī)資產(chǎn)列表也是遠(yuǎn)遠(yuǎn)不夠的。信息安全團(tuán)隊需要深入了解主機(jī)資產(chǎn)，包括硬件規(guī)格、已安裝的軟件、已批準(zhǔn)的賬戶、root權(quán)限和安裝包等。青藤資產(chǎn)清點系統(tǒng)為這些數(shù)據(jù)點建立索引，可以組合其中幾個數(shù)據(jù)點進(jìn)行查詢，從而獲得與資產(chǎn)清單相關(guān)的特定問題的答案。
深度的資產(chǎn)可視化為組織提供了每個資產(chǎn)的多維視圖。當(dāng)然如果要編譯這樣詳細(xì)的資產(chǎn)清單，就必須通過自動化方式收集整合所有的主機(jī)資產(chǎn)信息：
1. 主機(jī)基本信息：包括主機(jī)名，主機(jī)IP等，還包括主機(jī)管理信息(業(yè)務(wù)組，負(fù)責(zé)人，機(jī)房位置，標(biāo)簽)、固定資產(chǎn)編號;
2. 系統(tǒng)硬件清理：包括系統(tǒng)內(nèi)核，CPU，內(nèi)存，硬盤，磁盤使用分布等各類硬件信息;
3. 所有安裝的軟件：包括應(yīng)用程序、驅(qū)動程序、實用程序和插件以及各自的版本;
4. 虛擬環(huán)境細(xì)節(jié)，包括鏡像
5. 批準(zhǔn)的用戶帳戶，并記錄他們的登錄狀態(tài)
6. 開放的端口
提供資產(chǎn)關(guān)聯(lián)能力
如果無法對資產(chǎn)數(shù)據(jù)與風(fēng)險發(fā)現(xiàn)和入侵檢測關(guān)聯(lián)，那么資產(chǎn)列表的價值也是有限的。因為每天都有新的漏洞被發(fā)現(xiàn)，舊的漏洞可能會在某個時刻變得更加危險，例如它們包含在黑客的攻擊工具包中。
研究表明，黑客入侵風(fēng)險在一周內(nèi)達(dá)到中等水平，而當(dāng)一個關(guān)鍵系統(tǒng)的漏洞持續(xù)存在一個月或更長時間時，這種風(fēng)險就會變得很高。SANS研究所在最近一項關(guān)于持續(xù)監(jiān)控實踐的研究中指出，關(guān)鍵的漏洞最好在一天或更短的時間內(nèi)得到補(bǔ)救。青藤的產(chǎn)品以資產(chǎn)清點作為數(shù)據(jù)支撐平臺，為每項資產(chǎn)提供完整視圖，與青藤自適應(yīng)平臺中的風(fēng)險發(fā)現(xiàn)和入侵檢測系統(tǒng)全面關(guān)聯(lián)，實現(xiàn)一鍵查看，幫助機(jī)構(gòu)組織快速查詢，并在幾秒鐘內(nèi)獲得關(guān)于其安全性和合規(guī)性整體情況。
與此同時，如果某臺主機(jī)感染了惡意軟件或安裝未經(jīng)批準(zhǔn)的軟件，該主機(jī)可能很快就會從安全狀態(tài)變?yōu)椴话踩珷顟B(tài)，因此盡快標(biāo)記這些主機(jī)，這樣能為后續(xù)采取必要的行動來保護(hù)主機(jī)安全或者滿足合規(guī)要求埋下伏筆。
有效彌補(bǔ) CMDB 缺失信息
青藤資產(chǎn)清點另一個關(guān)鍵功能是能夠與CMDB連接，并不斷地向其提供新鮮、詳細(xì)的數(shù)據(jù)。盡管許多CMDB實際上充當(dāng)其企業(yè)的IT資產(chǎn)清單，但事實是，它們的信息常常是過時的。因為CMDB產(chǎn)品初衷是為編譯初始資產(chǎn)清單而設(shè)計的，并不是為持續(xù)更新而設(shè)計的，對于安全運維人員來說，更新它是一件費時費力的事情。
青藤資產(chǎn)清點系統(tǒng)，能夠不斷檢測關(guān)于新資產(chǎn)和更改資產(chǎn)的細(xì)粒度的數(shù)據(jù)，與 CMDB 系統(tǒng)關(guān)聯(lián)，有效補(bǔ)充缺失的數(shù)據(jù)，提高管理者對整體資產(chǎn)把控能力。當(dāng)CMDB的信息總是最新且全面的時候，它就能夠更好地說明和映射IT資產(chǎn)之間的層次結(jié)構(gòu)和依賴關(guān)系。這使得IT部門能夠更有效地完成各種關(guān)鍵任務(wù)，例如變更管理、服務(wù)請求、事件響應(yīng)、系統(tǒng)修復(fù)和影響分析。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
