开发者社区> 云栖大讲堂> 正文

信息安全的“无间道” 如何严防内鬼?

简介:
+关注继续查看

俗话说,明枪易躲,暗“贼”难防;外神好躲,内鬼难防。看过《无间道》或者玩过《三国杀》的应该都清楚,他们时刻以非内鬼身份去思考和与别人沟通,到关键时刻爆发,给予致命一击。

网络安全领域也是如此,一条黑色产业链正在无形的吞噬着这个时代,个人信息泄漏已经在生活中埋下了一颗定时炸弹,并且“内鬼”已经让这颗炸弹开始倒计时。

据公安部网站消息,自今年4月公安部部署全国公安机关开展打击整治网络侵犯公民个人信息犯罪专项行动以来,截至目前,全国公安机关网络安全保卫部门累计查破刑事案件1200余起,抓获犯罪嫌疑人3300余人,其中抓获银行、教育、电信、快递、证券、电商网站等行业内部人员270余人,网络黑客90余人,缴获信息290余亿条,清理违法有害信息42万余条,关停网站、栏目近900个,专项行动取得明显成效。

由此数据我们发现,信息泄露主要有两个渠道:内鬼加黑客,从这组数据看比例是270:90=3:1,也就是说信息泄露的75%为内鬼所为。

“内鬼”不除 个人信息安全难以保障

对数据比较敏感的同学不难发现,行业内部人员监守自盗的数字则要比黑客高出3倍,当然我们也不排除黑客躲藏技术或许更高一筹的情况,不过可以确认的是,“内鬼”已经成为现阶段信息泄漏的主要途径之一。“内鬼”不除,个人信息安全就难以得到保障。

“内鬼”因何如此猖獗?一方面是由于企业内网的薄弱,我们发现很多企业内网除了统一的整体安全保护体系例如防火墙、IDS、防病毒、数据库审计、口令密码等之外,基本没有专门的技术智能化保护措施,针对这些核心资源进行有效保护;另一方面,即使企业会根据业务需求制定内部安全策略,以权限的形式指派承担相关职责的人员,但这并不能有效防范拥有合法权限的内部用户的异常行为,即合法用户的异常行为。

因此基于内部用户的行为分析,能够发现内部人员的操作是否会对系统安全产生威胁,是解决内部威胁预警、检测并保证系统安全的重要技术手段。

基于内部用户的行为分析区别于基于特征的分析,后者虽然是一种立杆见影的手段,对于传统的安全风险很有效,但时效性欠缺,并需要强大的相应队伍。而基于用户行为的分析,是一种较为复杂的方式,通过数据统计的方式来寻找异常,但缺点是准确度不确定,收集的数据越完善,准确度越高。

如何做到准确无误的找到并抓获这个“内鬼”?就需要知道他访问的目的地、所用端口、什么协议以及访问了什么端口、IP等内容,好在很多网络安全设备厂商用标准数据交换方式很好的解决了这个问题。

以NetFlow标准为例,由于一个IP数据包的Flow至少定义了几个关键元素:源IP地址、目的IP地址、源端口号、目的端口号、第三层协议的类型等,NetFlow可以利用分析IP数据包的几种属性,快速区分网络中传送的各种类型的业务数据流。

而瀚思则可以通过大数据安全平台的采集器将日志和NetFlow统一收集,从而进行关联分析。

做好关联分析 最终揪出“内鬼”

但是,在做好关联分析前还要弄清楚一件事情:日志、网络流量、权量抓包的数据分析并不是新的课题,但为什么现在不奏效了?

这是由于在大数据时代,企业的这些数据量要以亿为单位,而“内鬼”的异常行为所产生的日志,只有几条,在大数据技术和机器学习技术的能力不完善的情况下,要做到在这些数据中查找出几条的异常数据,说成大海捞针也只是有过之而不及。

HanSight瀚思不担心这个问题,相反,对于我们来说,数据量越大,数据源越多,对于分析的结果越精准。

正如上文提到的,有了日志和数据流,HanSight UBA就可以如鱼得水,其基于实际安全场景的多维度异常检测功能,通过独特的“仪表盘”功能将机器学习和算法产生的各种数值结果翻译成用户能够理解的安全场景。

实测表明,在普通的服务器上,HanSight UBA利用GPU优化的高速算法,一分钟内就能完成大部分企业业务场景下的行为数据分析,得益于HanSight瀚思特殊数据库和算法,这要比用Spark实现快三四十倍。

HanSight UBA 产品界面

瀚思希望利用机器学习让让潜在的威胁浮出水面,更让威胁发现速度和准确率方面远快于传统的网络威胁发现解决方案。

落实到具体的分析规则,客户可以与HanSight瀚思共同定制。就内部威胁而言,分析被审计用户当前审计周期的行为和行为的相似性,同时针对具有异常行为的用户通过敏感活动屏蔽方法分析具体的异常活动,并通过更新敏感活动权重以建立一个动态更新的异常行为检测模型。最终从不同维度,按系统预设的不同模块生成分析结果,以图表来展现局内整体的安全态势。

其实针对企业中的“内鬼”,堡垒机技术是一个很好课题,它综合了运维管理和安全的融合,切断了终端计算机对网络和服务器资源的直接访问,继而采用协议代理的方式,接管了终端计算机对网络和服务器的访问。如果“内鬼”想绕过堡垒机也并无可能,但这一些都不会逃过大数据安全分析平台的眼睛,通过收集的服务器日志进行关联分析,就该可以发现该用户是否通过堡垒机登陆。

特洛伊木马攻破固若金汤的特洛伊的道理,我们耳熟能详,最坚固的堡垒,往往都是从内部攻破的,信息安全也同样如此。

多年前,在攻防之间总有着“道高一尺魔高一丈”的说法,因为我们发现攻击者总是在暗,防守者却在明,演变到今天,已经不再是明暗,信息安全领域开始上演“无间道”大戏,而大数据安全分析平台不仅可以让黑客的攻击暴露在运维人员的眼前,也必然可以让内鬼的每一次行动在该平台下无所遁形。


作者:HanSight瀚思

来源:51CTO

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
【DB吐槽大会】第73期 - PG 统计信息无法迁移
大家好,这里是DB吐槽大会,第73期 - PG 统计信息无法迁移
47 0
RDIFramework.NET ━ .NET快速信息化系统开发框架-第3章 软件安装、配置、运行方法
版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/chinahuyong/article/details/7979367 RDIFramework.NET ━ .NET快速信息化系统开发框架 第3章 软件安装、配置、运行方法   第3章 软件安装、配置、运行方法  3.1 软件安装   一、框架数据库的安装。
962 0
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
19691 0
政府安全资讯精选 2018年第六期 国家互联网信息办公室公布《微博客信息服务管理规定》;中国信息安全测评中心正式发布《中国信息安全从业人员现状调研报告(2017年度)》
国家互联网信息办公室公布《微博客信息服务管理规定》;中国信息安全测评中心正式发布《中国信息安全从业人员现状调研报告(2017年度)》
1901 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
17986 0
RDIFramework.NET ━ .NET快速信息化系统开发框架-4.3 平台主界面
版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/chinahuyong/article/details/7979372 RDIFramework.NET ━ .NET快速信息化系统开发框架 4.3 平台主界面  4.3 框架主界面   用户登录成功后,便进入到RDIFramework.NET(.NET快速信息化系统开发整合框架)主界面。
972 0
+关注
云栖大讲堂
擅长前端领域,欢迎各位热爱前端的朋友加入我们( 钉钉群号:23351485)关注【前端那些事儿】云栖号,更多好文持续更新中!
3918
文章
1754
问答
文章排行榜
最热
最新
相关电子书
更多
OceanBase 入门到实战教程
立即下载
阿里云图数据库GDB,加速开启“图智”未来.ppt
立即下载
实时数仓Hologres技术实战一本通2.0版(下)
立即下载