隨着網絡安全形勢日漸嚴峻，廠商對網絡安全防禦也十分警惕，與此同時，隨着廠商對安全威脅的理解深入與技術創新，防護和抵禦手段不斷涌現，催生了新網絡安全環境下令人期待的產業。
網絡安全攻擊通常可植入後門程序或者控制漏洞，隱匿地獲取被攻擊方的信息和數據。APT攻擊通常不僅僅爲了短時間內攻破對方信息系統，而是長年累月的潛伏在對象系統直至完成收集或者破壞任務。由於APT攻擊通過長達數年的觀察、分析、監視至掌控，一旦獲取到重要的情報信息或是需要完成破壞任務，那麼將整個數據庫全部轉移甚至將被全部摧毀也是輕而易舉，破壞程度之大甚於原來的所有攻擊方式。
APT攻擊中通常使用0day漏洞，即官方軟件廠商或者網上尚未公開發布補丁的漏洞。由於其動機和目的的隱祕性，在公開環境中很難探尋到特定APT攻擊的蹤跡。另外攻擊的方式具有戰術思想，在發動多種混合攻擊的同時善於將主要的攻擊手段隱藏在內，傳統的防禦措施束手無策或者僅能識別防禦其小部分的僞裝攻擊，而無法全局控制和抵禦真正的威脅。
從目前的攻擊方式及手段來看，主要通過最小網絡授權、網絡應用管理和網絡審計監測三種方式進行抵禦與防護。
最小網絡授權源於安全領域頂尖諮詢機構Forrester提出的“零信任網絡”概念。其認爲所有的流量都不可信，無論訪問來自於何種位置，都必須遵守最嚴格的控制訪問策略。作爲隔斷內部網絡和外部網絡第一道防線的防火牆是最基礎的角色，通過限制網絡互訪來保護內網資源。
傳統的防火牆分爲四種類型，包過濾、狀態性協議監測、網絡地址轉換（NAT）以及虛擬私用網絡接入（VPN），主要適用於OSI模型中傳輸層與網絡層的防護。而隨着攻擊技術的不斷升級，傳統的防火牆存在着無法檢測加密Web流量、對於Web應用防護能力不足、深度檢測擴展能力有限、遭遇攻擊時有效流量無法通過等問題，日漸難以對應未來的複雜網絡威脅環境。
於是，下一代防火牆（NGFW）應運而生，其能夠支持全面面向安全漏洞與威脅的特徵碼，動態啓發性的探測攻擊方式及手段，同時能夠識別在應用和應用層上執行獨立於端口和協議，而不是根據純端口、純協議和純服務部署網絡安全政策，有效的彌補了傳統安全設備在設備性能、訪問控制、應用識別和內容安全等方面的缺陷，在未來相當長的階段中能較爲成功的承擔起Forrester“零信任網絡”模型中網絡隔離網關的角色。
對於企業內部信息系統而言，網絡應用的管理成爲防禦APT攻擊的重要方式，相對應的安全防護產品應用防護系統（WAF）成爲完善這一方式的有利手段。WAF是執行系列針對HTTP/HTTPS的安全策略專門爲Web應用提供保護的一款產品，主要面向Web服務器。雖然與下一代防火牆同爲在應用層層面的防護，但是兩者的部署位置與防護對象均不同。從防護對象來說，NGFW的防護對象是網絡中的外部應用，例如P2P下載、外部網頁訪問等，而WAF的防護對象主要是內部服務器，兩款產品的保護對象、防護的威脅種類、安全需求均不同。其次，從部署位置來說，NGFW一般部署在整個網絡的網關位置，而WAF部署在WEB服務器之前，二者的性能壓力也完全不同。
在面對APT的混合攻擊時以上防護方式可能也會存在百密一疏，或者更新的APT攻擊手段超越了目前的業界已有的防護措施。細緻、精確的網絡審計監測系統則成爲監測預警、過程記錄、事後追溯的強有力手段。在爲自身業務提供高效的網絡運營平臺同時，日趨複雜的IT業務系統與不同背景業務用戶的行爲也給網絡帶來潛在的威脅，如內部業務數據、重要敏感文件通過電子郵件、數據庫訪問、遠程終端訪問、網絡文件共享等方式被篡改、泄露和竊取，都極有可能成爲APT攻擊者發現、利用並進行長期潛伏、日後破壞的手段。
網絡安全防禦，是一項長期工程，不可放鬆警惕，要時時刻刻保持高度神經，有效監控業務系統訪問行爲和敏感信息傳播，準確掌握網絡系統的安全狀態，及時發現違反安全策略的事件並實時告警、記錄，同時進行安全事件定位分析，成爲防禦APT攻擊的重要方式和手段，網絡安全審計系統成爲必不可少的組件，只有這樣，才能保證杜絕網絡攻擊事件發生。
本文轉自：leagsoft 企業新聞
