淺談Fortinet的威脅情報和Security Fabric
作者:星期二, 九月 18, 20180

威脅情報技術(TI)自2015年引入中國以來,已經過了四個年頭。從一開始的概念階段,逐漸落地并形成了各種形態和商業模式。國內的360、微步在線、天際友盟,國外的IBM、Mcafee、思科、賽門鐵克都有著各自的TI,Fortinet也不例外。后者在TI方面的積累和能力,更是有著自己的特點和優勢。

近日,Fortinet全球首席安全戰略官 Derek Manky來華出席 ISC 2018 互聯網安全大會。期間,與幾家國內知名IT與信息安全媒體溝通,介紹了Fortinet的威脅情報和其極具開放與整合能力的安全體系架構:Security Fabric。

Fortinet全球首席安全戰略官 Derek Manky

570個零日漏洞 CPRL的強大

締造了UTM(統一威脅管理)這一全球流行安全技術概念的Fortinet,早在2000年就成立了FortiGuard實驗室,目前實驗室有200多位安全分析師,為全球40萬用戶提供威脅情報服務。

經過了數年的普及,威脅情報技術實現已不再神秘,無非就是根據需求,做好收集、分析、交付、使用等階段的工作。但在這些階段中,有一項關鍵能力對威脅情報的質量起著決定性的作用。

威脅檢測能力,比如業內熟知的沙箱技術,把惡意代碼放到沙箱里執行,然后進行檢測解析。而Fortinet僅在威脅檢測方面就擁有大量專利,其中最值得一提的是一項名為CPRL(內容模式識別語言)的專利。其理念是通過機器學習,自動編寫程序來檢測新的病毒,自動機器篩選,最后進行人工處理。

隨著時間的過去,其威脅檢測的效率越來越高,發現零日漏洞能力越來越強。由于這項專利技術,Fortinet于2016年啟動的一個專門進行零日漏洞檢測的項目團隊,截至到今年的第二季度已挖掘出570個零日漏洞。

發現漏洞之后,我們再要做的是負責任的披露,讓有漏洞的廠商先行制作正式補丁。在正式補丁出來之前,與對方合作先通過Fortinet的安全硬件和軟件提供一個虛擬補丁以保護安全。

目前,FortiGuard絕大部分的威脅檢測工作能通過人工智能的機器學習來取代,安全技術專家則主要從事復雜的工作,比如提供可執行情報或事件響應服務等。而在以前,技術專家只能靠手工分析,或者編寫防御方面的策略為主。

設備、工具的聯動與超一流的合作伙伴

之前安全牛的文章介紹過,Security Fabric 是一個安全整體架構的解決方案,2016年發布。經過兩年多的時間里,已經形成了包括WAF、郵件網關、沙箱、威脅情報、終端安全、云安全、無線安全、IoT、SD-WAN等多種安全組件的體系化防御架構。

體系化是指各組件之間能夠協同聯動。比如,非常重要的沙箱技術。其優勢在于可以進行深度檢測,但缺點在于不能高效攔截。但如果與防火墻等安全網關設備,以及安全策略整合在一起,即可實現自動化緩解威脅。

除了設備和工具之間的聯動,更重要的是廠商之間的配合。Fortinet不僅與如終端安全、工業互聯網安全等廠商合作,還與公/私有云、甚至通迅廠商都有非常好的合作,如VMware/OpenStack/AWS/Azure/阿里云/谷歌云/青云等,其中與阿里云的合作更是其國內的標桿案例之一。在其100多位合作伙伴中,不乏思科、賽門鐵克、IBM、Mcafee這樣的國際大廠商。

其實也很容易理解,黑產的強大之處在于其黑色產業利益鏈的聯盟,在于地下暗網相互之間的聯盟。而安全守衛者,廠商,之間也必須聯盟,包括設備、架構之間的協同聯動,包括安全情報的共享與互通。只有這樣,防護方的視野、技術能力、反應速度才能抵御黑色利益的巨大威脅。

正如UTM的“統一”技術基因,Security Fabric 也是遵循了這一“整合”理念。綜上所述,這個安全架構可以用三大特點來概括:開放、聯動和自動化。而且,這三大特點是階梯性的。因為開放才能聯動,而只有聯動才能做到自動化。

相關閱讀

從下一代防火墻到下一代安全體系

威脅情報的價值很多 但相關性才是最有價值的

 

分享:
0

相關文章

寫一條評論

 

 

0條評論