Bret Hartman去年加入思科，擔(dān)任思科安全技術(shù)部門的首席技術(shù)官。他目前向安全與管理部門的高級副總裁Chris Young匯報(bào)。與Yound類似，Hartman之前是EMC安全部門RSA的一位執(zhí)行官。這位來自RSA的主管將如何影響思科的安全戰(zhàn)略呢?我們?yōu)榇瞬稍L了Bret Hartman。

您擔(dān)任思科安全CTO的目標(biāo)是什么?

Brett Hartman：讓思科更加重視安全性，并且保證安全性一直處于思科的戰(zhàn)略中心。這其中的關(guān)鍵是就是讓安全性直接進(jìn)入網(wǎng)絡(luò)結(jié)構(gòu)，當(dāng)您使用這些網(wǎng)絡(luò)設(shè)備時(shí)，安全性就植根于思科的細(xì)胞之中。我們的戰(zhàn)略依賴于思科的其他戰(zhàn)略，所以實(shí)際上onePK的概念和軟件定義網(wǎng)絡(luò)功能就與安全性密切相關(guān)。

有許多供應(yīng)商宣稱安全性屬于網(wǎng)絡(luò)結(jié)構(gòu)的一部分。那么思科的安全戰(zhàn)略又有何不同?

Hartman：思科將安全性值入到網(wǎng)絡(luò)結(jié)構(gòu)中，因?yàn)樗伎飘a(chǎn)品的大范圍部署，我們與其他大多數(shù)公司的做法是不同的。因?yàn)檫@都關(guān)系到政策的真正執(zhí)行。您想擁有世界上的最佳安全策略，但這是不可能的，如果能夠攔截流量并控制流量流，那么策略就已經(jīng)不重要了。這關(guān)系上如何利用已經(jīng)部署的大量思科設(shè)備。

在某種意義上，它與思科之前提出的安全戰(zhàn)略自我防衛(wèi)網(wǎng)絡(luò)是一致的，但重點(diǎn)是圍繞onePK的新趨勢使網(wǎng)絡(luò)更能實(shí)現(xiàn)這個(gè)目標(biāo)。首先，在解決實(shí)現(xiàn)安全性時(shí)，有兩個(gè)問題：一是可見性。您必須查看基礎(chǔ)架構(gòu)的運(yùn)行狀態(tài)。然后您必須執(zhí)行這些策略，確定要做什么才能夠保護(hù)想要保護(hù)的東西。

關(guān)于思科onePK的API，它就是關(guān)于可見性和執(zhí)行。您可以利用現(xiàn)有的全部路由器、交換機(jī)及其他設(shè)備，監(jiān)控比以前更多的內(nèi)容。然后，您可以將策略應(yīng)用到這個(gè)結(jié)構(gòu)上。

另一種方式是將安全的重點(diǎn)放在設(shè)備(主要部署在網(wǎng)絡(luò)邊界的設(shè)備)、防火墻和反病毒軟件上。問題是，我們面對的安全挑戰(zhàn)是分布式安全問題。各種手機(jī)連接了云。這是一個(gè)極大的分布式系統(tǒng)。只使用一兩臺設(shè)備是絕對無法解決問題的。它已經(jīng)遍布所有位置。您必須對任意設(shè)備、任意位置和任意云服務(wù)應(yīng)用安全策略。我們將它稱為任意至任意的問題。當(dāng)您確實(shí)有很多連接時(shí)，您該如何在這樣復(fù)雜的環(huán)境上應(yīng)用策略?您不可能只通過部署一個(gè)設(shè)備來解決問題。它必須遍布整個(gè)結(jié)構(gòu)。這就是我們要實(shí)現(xiàn)的目標(biāo)。

我們利用思科ONE和onePK接口創(chuàng)建一個(gè)安全服務(wù)平臺，它可以跨越整個(gè)協(xié)議棧;它可以嵌入到路由器和交換機(jī)中，也可以在需要時(shí)部署為物理設(shè)備。它可以部署到虛擬環(huán)境、私有云和公共云中。您可以得到相同的安全服務(wù)，而不僅僅是一個(gè)設(shè)備;它將分布到整個(gè)協(xié)議棧中。

這是否意味著防火墻和IPS等設(shè)備將消失?

Hartman：我認(rèn)為它們將發(fā)生變化。許多設(shè)備將消失和棄用。有一個(gè)例子，如果您想了解入侵防御領(lǐng)域，那么您會一定關(guān)注于設(shè)備的分析功能，即檢測網(wǎng)絡(luò)內(nèi)容。您可以在一臺有許多x86內(nèi)核的物理設(shè)備上做，非常快速且非常便宜。但是，在執(zhí)行時(shí)，您可以將這些策略應(yīng)用到現(xiàn)有的路由器和交換機(jī)上。這些策略不會應(yīng)用到一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)上，而是應(yīng)用到所有位置。您可以在一個(gè)企業(yè)網(wǎng)絡(luò)中實(shí)現(xiàn)，阻止一個(gè)攻擊在這個(gè)LAN中傳播。

看看IT安全趨勢，您一定知道許多安全供應(yīng)商在增加越來越多的安全服務(wù)。首先就是安全控制。然后是內(nèi)容監(jiān)控和環(huán)境監(jiān)控，以及反病毒和威脅保護(hù)。所有供應(yīng)商只是在堆砌安全服務(wù)。趨勢是讓安全服務(wù)部署到最有效實(shí)施的網(wǎng)絡(luò)棧中。

有一些客戶說：“我不淘汰自己的安全設(shè)備。”您會怎么回復(fù)他們?

Hartman：問題在于要利用現(xiàn)有的設(shè)備。這正是這個(gè)新架構(gòu)的關(guān)鍵所在。它實(shí)際上是一個(gè)運(yùn)行在思科現(xiàn)有硬件平臺之上的軟件架構(gòu)。onePK是現(xiàn)有產(chǎn)品的軟件固件升級。整個(gè)方法的目標(biāo)是使它能夠變得更先進(jìn)。您最不想做的事情就是讓人們丟掉所有設(shè)備，然后重要開始。我們將onePK視為一個(gè)自然進(jìn)化。我們現(xiàn)有的下一代防火墻已經(jīng)在使用onePK。我知道，我們每一種產(chǎn)品的新版本都將越來越多地使用onePK。

ASA-CX防火墻如何使用onePK?

Hartman：在管理方面——能夠連接底層網(wǎng)絡(luò)結(jié)構(gòu)，主要是在管理接口上。

您是否認(rèn)為思科安全戰(zhàn)略還包含了SDN的其他方面?例如，是否在安全性中應(yīng)用了OpenFlow?

Hartman：是，肯定有。首先，標(biāo)準(zhǔn)支持對于可信度至關(guān)重要。這絕不是僅僅關(guān)于思科設(shè)備或思科產(chǎn)品。如果要讓它真正走向正途，那么它必須能夠與其他產(chǎn)品實(shí)現(xiàn)互操作。它肯定先從OpenFlow開始。我們開發(fā)的云支持也肯定與OpenStack密切相關(guān)。此外，我們還會用一些新興安全標(biāo)準(zhǔn)共享不同的環(huán)境信息。

這種方法會不會比直接在網(wǎng)絡(luò)中部署安全設(shè)備復(fù)雜很多?

Hartman：如果您有一個(gè)物理設(shè)備，那么最大的優(yōu)點(diǎn)就是它可以作為一個(gè)獨(dú)立管理的設(shè)備。但是，這里有一些欺騙人，因?yàn)槟鷮?shí)際上并不管理這個(gè)設(shè)備，而是管理它所有周邊組件。許多大型組織可能會部署50個(gè)這種獨(dú)立安全產(chǎn)品，他們必須投入人力管理和控制這些設(shè)備。而這個(gè)架構(gòu)的目標(biāo)就是將這些管理整合并集中在一起。

這是我們在安全策略和管理方面的重要投入。否則，復(fù)雜管理會帶來風(fēng)險(xiǎn)。為此，我們開發(fā)了身份驗(yàn)證服務(wù)引擎(Identify Services Engine)，這是一個(gè)管理不同用戶和設(shè)備的訪問策略的強(qiáng)大產(chǎn)品。

它還與思科Prim和Prime Security Manager整合，這是我們實(shí)現(xiàn)的安全產(chǎn)品集合。但是，按照您的觀點(diǎn)，在使用分布式架構(gòu)時(shí)，最好在架構(gòu)之上部署一個(gè)管理框架。否則，您會遇到很多問題。您一定不能將這些服務(wù)作為獨(dú)立分散的服務(wù)進(jìn)行管理。您必須將它們作為一個(gè)系統(tǒng)。

鑒于思科Prime是另一個(gè)業(yè)務(wù)單元，思科如何實(shí)現(xiàn)這種管理?

Hartman：安全是思科整體戰(zhàn)略的一個(gè)重要組成部分，也是擴(kuò)展和交付大范圍IT解決方案的一個(gè)重要組成部分，而不僅僅涉及網(wǎng)絡(luò)基礎(chǔ)架構(gòu)。所以，我們將繼續(xù)開發(fā)和交付能夠適應(yīng)思科各個(gè)產(chǎn)品系列的安全戰(zhàn)略。

例如，作為公司CTO，我會與其他部門的CTO協(xié)作，當(dāng)然也包括負(fù)責(zé)Prime產(chǎn)品的CTO，這樣我們就能夠?qū)崿F(xiàn)一致的安全戰(zhàn)略。這實(shí)際上會激勵(lì)思科各個(gè)業(yè)務(wù)部門，一起協(xié)作完成這個(gè)聚和的安全戰(zhàn)略。這并不多見。

它受到每一個(gè)業(yè)務(wù)部門的重視，因?yàn)樗胁块T都將安全視為一個(gè)重要的競爭手段，無論是數(shù)據(jù)中心團(tuán)隊(duì)、企業(yè)網(wǎng)絡(luò)團(tuán)隊(duì)、服務(wù)提供商團(tuán)隊(duì)還是移動與協(xié)同團(tuán)隊(duì)都一樣。我們確實(shí)在思科的各個(gè)部門實(shí)現(xiàn)核心技術(shù)。我的作用是保證我們有一致的安全性，沒有分隔。