企業(yè)反病毒保護(hù)：AV簽名值得嗎？
許多企業(yè)長期以來都是依靠基于簽名的防病毒技術(shù)保護(hù)自身免受信息安全威脅的侵害。很多時(shí)候，殺毒軟件一直是并且現(xiàn)在還是許多公司唯一擁有的反惡意軟件手段，這無意中給公司帶來了風(fēng)險(xiǎn)。
期望防毒軟件能夠保護(hù)一個(gè)系統(tǒng)遠(yuǎn)離所有類型的威脅已經(jīng)不再合理（即便曾經(jīng)合理過）。作為數(shù)量眾多且前所未見的病毒類型，蠕蟲病毒及其他惡意軟件還在增長；傳統(tǒng)的基于簽名的防毒軟件已經(jīng)跟不上病毒的步伐，常常被病毒繞過，導(dǎo)致了更多的感染。一些防毒軟件要么成為病毒的直接攻擊目標(biāo)，要么給用戶使用帶來嚴(yán)重的問題。
病毒和惡意軟件的升級(jí)迫使安全廠商在其核心的防毒軟件中添加新的保護(hù)措施——如云查殺，以加強(qiáng)反惡意軟件的能力；同時(shí)企業(yè)們也正在設(shè)法阻止日益增多的病毒以及針對(duì)企業(yè)的定向攻擊。在這篇文章中，我們將要討論，繼續(xù)為防毒軟件套件花錢是否值得，或者企業(yè)們是否應(yīng)該嘗試一下其他類型的能夠減輕安全威脅的技術(shù)。
誰該關(guān)心殺毒軟件？
首先，是那些并沒有意識(shí)到基于簽名的殺毒軟件查殺性能越來越差的人。咨詢公司Cyveillance去年報(bào)告說，根據(jù)他們對(duì)十多個(gè)流行的反惡意軟件的測試，發(fā)現(xiàn)這些軟件平均只能檢測不到20%的新出現(xiàn)的惡意攻擊。這意味著，隨著僵尸網(wǎng)絡(luò)的增加，對(duì)敏感數(shù)據(jù)和網(wǎng)上銀行的攻擊越來越多，每一家企業(yè)都應(yīng)該重新評(píng)估殺毒軟件是否還值得付出金錢和成本去管理。
通常，將殺毒軟件作為保護(hù)系統(tǒng)的全面策略的一部分是一個(gè)好主意，且并不一定要使用基于簽名的防毒產(chǎn)品。許多更加高級(jí)的殺毒軟件，如基于行為檢測的、或基于云查殺和云增強(qiáng)的，能夠提供更大的安全保障。企業(yè)應(yīng)該小心評(píng)估和測試先進(jìn)的殺毒軟件，確保這些軟件可以集成到現(xiàn)有的安全策略中，并且對(duì)整個(gè)系統(tǒng)來說足夠成熟穩(wěn)定。因?yàn)楹蛡鹘y(tǒng)的殺毒軟件相比，采用新技術(shù)的殺毒軟件還不夠成熟。
有些人認(rèn)為只是桌面系統(tǒng)才需要?dú)⒍拒浖窃S多服務(wù)器也需要?dú)⒍拒浖员銓?duì)客戶端系統(tǒng)進(jìn)行持續(xù)的保護(hù)——例如文件服務(wù)器可能會(huì)允許沒有保護(hù)措施的客戶端下載服務(wù)器上可能已被感染的文件——同時(shí)還需要提供措施來保護(hù)服務(wù)器本身。過去，企業(yè)們花了大量的金錢在殺毒軟件上，但是，以后他們應(yīng)該考慮將部分錢用于構(gòu)建別的保護(hù)措施，同時(shí)保持對(duì)殺毒軟件一定程度的使用。底線就是，如果你的殺毒軟件沒有起到保護(hù)服務(wù)器和客戶端的效果，那么就考慮更換殺毒軟件或者換一種保護(hù)措施。
企業(yè)還可以做什么？
大多數(shù)企業(yè)會(huì)發(fā)現(xiàn)他們應(yīng)該采取一種更加綜合的方法，作為僅使用殺毒軟件的補(bǔ)充，以增強(qiáng)系統(tǒng)防護(hù)，并建立一個(gè)多層次、有縱深的安全體系。考慮到處于更加陳舊狀態(tài)的AV簽名，這將特別有用。
當(dāng)涉及到企業(yè)的病毒防護(hù)時(shí)，白名單、灰名單以及沙箱等技術(shù)對(duì)眾所周知的主機(jī)安全非常重要。全面補(bǔ)丁管理、防火墻、IDS/IPS等這些主機(jī)安全措施，一般的企業(yè)都應(yīng)該已經(jīng)具備。白名單的意思是預(yù)先定義允許在某一系統(tǒng)上運(yùn)行的程序名單并阻止名單之外的所有程序的運(yùn)行，這種方法可以防止多種類型的惡意軟件。灰名單與白名單有點(diǎn)類似，但是，就如它的名字所暗指的那樣，灰名單沒有白名單那么嚴(yán)格。灰名單技術(shù)對(duì)不在名單內(nèi)的可執(zhí)行文件的簽名和行為進(jìn)行安全檢查，以確定其是否屬于惡意軟件；安全檢查可以是基于云服務(wù)的，能夠及時(shí)跟進(jìn)最新的查殺項(xiàng)目。如果被檢查的程序沒有被確定為惡意的，那么就允許運(yùn)行。沙箱技術(shù)將可執(zhí)行文件放入與主機(jī)系統(tǒng)隔離的環(huán)境中運(yùn)行，如果該文件是惡意的，那么就可以防止它感染主機(jī)系統(tǒng)。上述所有技術(shù)，或者任何一個(gè)，都可以為系統(tǒng)帶來更強(qiáng)大的安全防護(hù)。
其他一些技術(shù)如全盤加密和虛擬化（虛擬化技術(shù)如果用于安全防護(hù)，將與沙箱技術(shù)類似）等，也可以用于在不同場景下對(duì)系統(tǒng)進(jìn)行保護(hù)。全盤加密技術(shù)可在系統(tǒng)關(guān)機(jī)被盜的情況下保護(hù)你的數(shù)據(jù)；虛擬化技術(shù)則是將未授信的代碼或程序放置在獨(dú)立的虛擬機(jī)上運(yùn)行，而不是在主系統(tǒng)上，大大減少了惡意軟件利用漏洞影響底層系統(tǒng)的可能，從而能夠減少系統(tǒng)風(fēng)險(xiǎn)。一些對(duì)安全性能有嚴(yán)格要求的公司可能還希望擁有端口控制（這樣可以控制允許被接入系統(tǒng)的設(shè)備的種類）或者能夠控制數(shù)據(jù)拷貝目的地的DLP產(chǎn)品。
對(duì)殺毒軟件進(jìn)行評(píng)估，確定哪些安全防護(hù)手段是必要的，這個(gè)建議適用于所有的系統(tǒng)，不管是何種操作系統(tǒng)或硬件，而且也包括智能手機(jī)平臺(tái)以及其他非傳統(tǒng)的終端設(shè)備。但你要記住：并不是所有系統(tǒng)都需要所有種類的保護(hù)，保護(hù)措施要與系統(tǒng)的具體要求相適宜。例如，不接觸敏感數(shù)據(jù)的系統(tǒng)就不需要全盤加密；如果一臺(tái)服務(wù)器不允許客戶端用DNS等易傳播惡意軟件的協(xié)議進(jìn)行連接的話，它甚至都不需要安裝防惡意軟件。這些建議都假設(shè)操作系統(tǒng)已得到很好的保護(hù)、用戶沒有以管理員身份登錄，并且用戶都具有基本的安全防范意識(shí)。
結(jié)論
宣告基于簽名的殺毒軟件的死亡是毫無根據(jù)的，但是該類軟件已處于危險(xiǎn)期，必須加以改變并適應(yīng)新一波針對(duì)特定目標(biāo)的攻擊浪潮。現(xiàn)在所謂的殺毒軟件最終也會(huì)像其他類型的軟件一樣，被滿足市場需要的新的軟件所替代。如果一個(gè)企業(yè)還沒有仔細(xì)評(píng)估過關(guān)于殺毒軟件的立場，那么是時(shí)候考慮未來的需求，然后再對(duì)那些滿足要求的軟件或保護(hù)措施進(jìn)行投資了。
【編輯推薦】
