向美國國家網(wǎng)絡(luò)安全計劃取經(jīng)
據(jù)美國網(wǎng)絡(luò)可視化供應(yīng)商Lumeta公司的首席運營官Michael Markulec稱，正在進行的美國國家網(wǎng)絡(luò)安全計劃包括“可信互聯(lián)網(wǎng)連接（Trusted Internet Connection，TIC）計劃”和“愛因斯坦計劃”，為私營企業(yè)實現(xiàn)網(wǎng)絡(luò)防御提供了路線圖。Markulec表示，網(wǎng)絡(luò)基礎(chǔ)設(shè)施屬于美國國家關(guān)鍵基礎(chǔ)設(shè)施的公司將可能執(zhí)行該計劃。在此次廣泛深入的采訪中，Markulec剖析了是否應(yīng)該使用深度包檢測來清除惡意流量、云計算如何改變企業(yè)部署網(wǎng)絡(luò)防御的方式以及利用所謂的端到端加密是否能夠真正保護信用卡資料等問題。Markulec認(rèn)為，良好的網(wǎng)絡(luò)安全仍可歸結(jié)為基本的深度防御方法。以下為訪談內(nèi)容：
您參與了美國“可信互聯(lián)網(wǎng)連接計劃”中的國家網(wǎng)絡(luò)安全項目，您對白宮解密“國家網(wǎng)絡(luò)安全綜合計劃（Comprehensive National Cybersecurity Initiative，CNCI）”行動綱要有何評論？
Michael Markulec：很高興能看到白宮解密CNCI。因為85%的關(guān)鍵基礎(chǔ)設(shè)施掌握在私營企業(yè)手中，如果要解決關(guān)鍵基礎(chǔ)設(shè)施問題，我們確實需要建立一種大家都可以利用的合作關(guān)系。Lumeta公司已經(jīng)獲得了許可，并與我們的一些客戶在其機密網(wǎng)絡(luò)上開展合作。人們可能希望這一計劃能夠囊括最先進的技術(shù)，我認(rèn)為安全計劃的部分解密可以實現(xiàn)這一目標(biāo)。
具體到TIC計劃，美國政府正試圖將互聯(lián)網(wǎng)接入點的數(shù)量減少到可管理的程度。這一提議并沒有什么新意，許多企業(yè)組織在過去數(shù)年來一直都是這樣做的。政府網(wǎng)絡(luò)是一種獨特的網(wǎng)絡(luò)，因為政府的辦事機構(gòu)遍布全國各地。政府網(wǎng)絡(luò)涵蓋了你能想到的一切機構(gòu)，從科羅拉多大峽谷的護林站到退伍軍人醫(yī)療中心再到軍事基地，包含了成千上萬的互聯(lián)網(wǎng)鏈。TIC計劃旨在將互聯(lián)網(wǎng)接入點的數(shù)量減少到可管理的程度，從而可以監(jiān)控這些網(wǎng)關(guān)，以確保政府部門能夠識別進出政府網(wǎng)絡(luò)的流量。我認(rèn)為許多部門已經(jīng)在整合網(wǎng)絡(luò)接入點方面取得了進展，而我們現(xiàn)在要做的是仔細(xì)檢查這些可靠的連接。
從已披露的信息來看，“愛因斯坦計劃”有哪些令您感興趣的地方？
Markulec：事實上，“愛因斯坦3計劃”是要監(jiān)控政府網(wǎng)絡(luò)連接，以分析進出政府網(wǎng)絡(luò)的流量。雖然“愛因斯坦計劃”的具體內(nèi)容尚未公布，但是大家都認(rèn)為，它將以線速對數(shù)據(jù)包進行深度檢測，以查看數(shù)據(jù)包的實際內(nèi)容。因此，我認(rèn)為“愛因斯坦計劃”是控制對政府機密數(shù)據(jù)訪問的一個重要組成部分。
在今年的RSA大會上，隱私小組的一些專家提出，應(yīng)該允許政府授權(quán)互聯(lián)網(wǎng)服務(wù)提供商（ISP）進行深度包檢測并清除惡意和非法的流量，您對此有何看法？
Markulec：政府管理和監(jiān)控他們自己的網(wǎng)絡(luò)，當(dāng)然有權(quán)在自己的網(wǎng)絡(luò)上這樣做。如果打算在ISP級檢測數(shù)據(jù)包，當(dāng)然會涉及到隱私問題。但我們同時也要看到，僵尸網(wǎng)絡(luò)、木馬、蠕蟲病毒以及其他的一般性非法程序在網(wǎng)絡(luò)上大行其道。因此，從理論上講，用戶也會希望ISP能夠過濾這些惡意流量。我理解關(guān)于ISP閱讀電子郵件的隱私問題。但我認(rèn)為，當(dāng)談到像拒絕服務(wù)攻擊（DoS）這樣的流量時，很明顯你將會保持中間立場；顯而易見的是，ISP具有監(jiān)控這種流量的工具。為什么不干脆清除這些流量，將其拋到九霄云外，以避免其影響最終用戶呢？我認(rèn)為我們確實有必要討論一下這個問題。實際上，在其他通訊方式和通訊系統(tǒng)中，我們已經(jīng)這樣做了。
多數(shù)企業(yè)是如何對待網(wǎng)絡(luò)防御的？在過去五年中，企業(yè)實現(xiàn)網(wǎng)絡(luò)防御的方法是否發(fā)生了改變？
Markulec：確實有一個成熟度曲線。政府部門、金融服務(wù)業(yè)和制藥業(yè)確實在微調(diào)其網(wǎng)絡(luò)防御系統(tǒng)。這些行業(yè)已經(jīng)部署了深度防御戰(zhàn)略，控制了其網(wǎng)絡(luò)上的所有資產(chǎn)和出入點，并確實在考慮微調(diào)其網(wǎng)絡(luò)防御系統(tǒng)。在過去的五年中，我看到越來越多的行業(yè)和企業(yè)正在沿著這條成熟度曲線向前邁進，并達到金融服務(wù)業(yè)現(xiàn)在所處的位置。即使5到10年前根本不關(guān)心網(wǎng)絡(luò)安全的傳統(tǒng)行業(yè)（例如制造業(yè)和石油化工業(yè)），它們現(xiàn)在的控制系統(tǒng)——SCADA（監(jiān)控和數(shù)據(jù)采集）網(wǎng)絡(luò)和電網(wǎng)——也全部支持IP協(xié)議。你可以看到，這些行業(yè)確實在向前發(fā)展，而且在安全態(tài)勢方面實現(xiàn)了跨越式發(fā)展。基本的網(wǎng)絡(luò)防御方法效果良好，有助于確定關(guān)鍵資產(chǎn)、部署深度防御戰(zhàn)略、主動監(jiān)控網(wǎng)絡(luò)邊界并識別內(nèi)部威脅。這些都是金融服務(wù)業(yè)和制藥業(yè)十年來一直津津樂道的內(nèi)容，現(xiàn)在正開始擴展到其他行業(yè)。
云計算如何改變企業(yè)實現(xiàn)其網(wǎng)絡(luò)防御的方式？
Markulec：作為一名真正的網(wǎng)絡(luò)人員，我可以說云計算很早就已經(jīng)出現(xiàn)了。X.25網(wǎng)絡(luò)和幀中繼網(wǎng)絡(luò)實際上都是云計算網(wǎng)絡(luò)，它們都屬于公共云，由多個用戶和企業(yè)（如AT&T）共享，提供存儲和其他基于網(wǎng)絡(luò)的服務(wù)。因此，我傾向于認(rèn)為“云計算”不是一個新概念，而是一個新名詞。但是，當(dāng)我們考慮云計算的不同層次時，將會面臨一系列問題。在基本的云計算層次——軟件即服務(wù)中，企業(yè)關(guān)注的是應(yīng)用和數(shù)據(jù)共享。在更高的云計算層次——平臺即服務(wù)中，你可以認(rèn)為Salesforce.com托管一個大型數(shù)據(jù)中心，支持多個客戶端登錄，并面臨一些物理連接問題——既要確保VLAN（虛擬局域網(wǎng)）設(shè)置正確，又要確保訪問控制列表和防火墻實現(xiàn)期望的功能。當(dāng)談到云計算時，我們最終指的是基礎(chǔ)設(shè)施即服務(wù)。即使在美國聯(lián)邦政府內(nèi)部，國防部信息系統(tǒng)局（DISA）還建立了自己的私有云，以便為不同機構(gòu)提供云計算服務(wù)。這就是所謂的快速域計算環(huán)境（Rapid Area Computing Environment，RACE）。但是，基礎(chǔ)設(shè)施即服務(wù)實際上與舊的幀中繼網(wǎng)絡(luò)類似，都允許多個用戶登錄同一個網(wǎng)絡(luò)——如何區(qū)分這些流量？如何確保它們進入適當(dāng)?shù)乃淼溃恳郧暗木W(wǎng)絡(luò)防御方法確實有效，有助于你了解已配置的功能，并確保訪問控制列表和防火墻實現(xiàn)期望的功能。
支付業(yè)正在努力解決保護途經(jīng)不同網(wǎng)絡(luò)的信用卡持有人資料的問題。我們聽到許多對流經(jīng)網(wǎng)絡(luò)的信用卡資料進行端到端加密的方案，您認(rèn)為端到端加密可行嗎？
Markulec：端到端加密只是解決問題的方法之一，而不是包治百病的靈丹妙藥。我們當(dāng)然不能將各種數(shù)據(jù)都放在互聯(lián)網(wǎng)上，并且指望在端設(shè)備之間互相加密和傳輸數(shù)據(jù)。當(dāng)然，你可能希望保護安全連接經(jīng)過的網(wǎng)絡(luò)。而在安全連接內(nèi)部，你可能又希望根據(jù)期望的安全級別加密數(shù)據(jù)。我認(rèn)為這是一種深度防御。可以將保護數(shù)據(jù)（無論是靜止的還是流動的）、保護連接（安全隧道）和保護網(wǎng)絡(luò)作為一個整體統(tǒng)籌規(guī)劃。如果部署了這種深度防御，那么你就有更大的可能確保交易安全，任何人都不能劫持你的信用卡信息。
【編輯推薦】
