拿好这本“IR修炼手册”，变身高手

网络安全应急响应（IR）正在变化

企业级的安全市场，除了传统的服务器、工作站、设备之外，越来越多的云、IoT、移动设备也快速纳入到企业安全环境中。企业需要面对更多的服务提供者、设备厂商以及服务和产品的分散化，安全问题无法像过去一样被封闭在可控的范围内，越来越多的薄弱环节变得更加易受攻击。

1

1. 传统的IT环境变化慢、相对比较稳定；混合IT环境下，云环境也会部署传统设备，IR需要更快的响应。

2. 传统的日志上报路径是SIEM到SOC再到IR；混合IT环境下，会有更多外部的日志出现，对这些日志的可靠性和可用性都是不小的挑战。

3. 传统环境的运营技术（Operational Technology，缩写OT）在防火墙后端；混合IT环境下，OT和IT的界限模糊了，二者之间的互动连接方式也越来越多样化。

4. 混合IT环境中的技术支持团队需要更加贴近云产品开发团队。

混合IT环境在更加高效的同时，也给IR带来了更多的安全风险，传统的IT、 IR经验不能被直接复制到混合IT环境中。高效和安全，不可兼得，企业需要找到适合自己的平衡点。

2

1. 需要同更多的设备提供商打交道。

2. OT连接增加的同时，也增加了被攻击的风险。

3. OT环境中的专业系统越来越多，但却缺乏相关的专家。

4. 云环境的变化很快，平台和服务都可能快速变化，无法确保及时了解各种系统、服务的最新状态。

5. 缺乏统一的云服务维护模式和工具。

混合IT环境对IR的挑战

传统安全设备同云环境的协同，需要针对不同的云环境进行适配，安全能力由传统的依赖硬件平台变成同云环境紧密相关，处理IR的技术支持团队或者运营团队需要同开发团队进行更加紧密的配合，这对双方都是很大的挑战。黑产团体也越来越多的关注云安全漏洞，缺乏完善安全保护的云环境更容易受到安全威胁。

1

1. API滥用

2. 可用性攻击，比如DDoS

3. 缺乏身份控制

4. 云策略和配置采用默认方式，未进行优化

5. 资产暴露

拿API滥用来说，API的开发者主要考虑效率和功能，很少考虑安全，很少有API开发者会考虑当同一个API被多次恶意调用会发生什么，当面临API  DDoS的时候往往束手无策。

云环境的变化是极快的，传统可以靠人工处理的IR，在云环境中大部分需要通过自动化的IR来解决，否则从人工看到告警到开始响应，这个告警可能都已经失效了。

典型的如针对游戏网站的DDoS攻击，当本地抗D设备被打爆、需要云清洗的时候，如果云清洗的响应是几十分钟乃至小时级，游戏用户早就离开了，云清洗需要做到分钟级甚至是秒级响应。

如何应对IR的挑战？

想要提高IR的效率同时保障新的混合IT SLA（Service Level Agreement），云环境中关键的IR改进措施如下。

1

云环境中的IR关联角色包括本地部署技术支持团队、云技术支持团队、运营服务团队，开发团队、合作方团队，这些团队的接入权限要有明确的区分，接入的范围要有明确的边界。

2

量化云资源的安全策略，包括技术。这些安全策略应该从可视化的角度来设计，是否可视以及是否采用这些策略都是可以选择的。

3

TTP包括SOP、SLA和工具等等，人员的重要性应该放在IR前面，经验丰富的人员可以通过最佳实践来将流程由人工变成自动化。

4

云环境中的设备、应用的部署需要有清晰的管道，并且要不断提高工具的自动化和智能化。

5

云用户的业务不断变化，也需要云服务和应用的开发不断改进。

IR的能力是运营能力的展示，需要强大的解决方案混合IT能力、技术能力、标准化能力、开发能力以及人员培养体系、标准化体系和持续改进体系共同支撑，方能应对安全业务乃至客户业务不断变化带来的挑战。IR的核心能力是快，没有这个核心能力，其他也都无用武之地。正所谓皮之不存，毛将焉附。

绿盟科技 Cloud In a Box 解决方案

绿盟科技基于国际市场日益增多的混合IT安全服务的需求，提出了“Cloud In a Box”的云地端到端的解决方案。基于这套方案云清洗的IR可达到秒级，安全团队的干预和处置能达到分钟级的要求。

“Cloud In a Box”的方案在近日喜提硅谷通信《信息安全产品指南》颁发的“2019年全球卓越奖”。硅谷通信作为国际知名信息安全研究和咨询指导机构，其发布的《信息安全产品指南》在帮助终端用户了解可选解决方案、保护其数字资源安全方面具有权威的指导作用。

	请点击屏幕右上方“…” 关注绿盟科技公众号NSFOCUS-weixin

↑↑↑长按二维码，下载绿盟云APP