基于网络的恶意软件检测部署的成功关键

日期: 2013-10-20 作者:Michael Cobb翻译:邹铮 来源:TechTarget中国 英文

恶意软件变体的疯狂增长给端点安全带来了巨大挑战。随着端点的数量和种类的明显增加,企业必须部署外围网络安全技术来保护所有最终用户、服务器和流量,以及应对不断增长的流量、恶意软件以及其它网络威胁。 基于网络的恶意软件检测(NBMD)是基于签名的端点反恶意软件检测的替代品。这种产品“总是开启状态”,并且能够应对现代恶意软件用来绕过客户端安全使用的技巧。

然而,部署往往是一个挑战:要发挥其最大的效果,NBMD必须采用串联部署,而且,如果没有精心配置,它可能变得过于“激进”,破坏关键任务应用以及业务流程。 在本文中,我们将讨论如何成功地串联部署基于网络的恶意软件检测,包括如何管理和配置这些系统来避免影响应……

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

恶意软件变体的疯狂增长给端点安全带来了巨大挑战。随着端点的数量和种类的明显增加,企业必须部署外围网络安全技术来保护所有最终用户、服务器和流量,以及应对不断增长的流量、恶意软件以及其它网络威胁。

基于网络的恶意软件检测(NBMD)是基于签名的端点反恶意软件检测的替代品。这种产品“总是开启状态”,并且能够应对现代恶意软件用来绕过客户端安全使用的技巧。然而,部署往往是一个挑战:要发挥其最大的效果,NBMD必须采用串联部署,而且,如果没有精心配置,它可能变得过于“激进”,破坏关键任务应用以及业务流程。

在本文中,我们将讨论如何成功地串联部署基于网络的恶意软件检测,包括如何管理和配置这些系统来避免影响应用基础设施的最佳做法。

NBMD的优势

传统的反恶意软件检测是基于供应商的签名:供应商会隔离并检查在网络中发现的恶意软件,并编写签名来告诉反恶意软件产品应该如何辨识这种恶意软件,然后,分发签名到其反恶意软件产品的客户。

相比之下,NBMD则是在沙盒环境实际执行可疑文件,以确定其行为是可疑还是恶意,从而确定已知和未知的恶意软件。NBMD产品提供的这种额外分析可以发现难以检测的定制的多态恶意软件,这种恶意软件通常用于高级持续威胁或者说APT攻击中。

虽然位于外围的设备具有低延迟性(它不需要发送文件进行分析),但在繁忙的网络中检查所有流量和未知文件仍然是一个巨大的挑战,即使入站点和出站点保持在最低限度。对于这个问题,最新的NBMD产品的做法是,将部分或者全部分析转移到云中,帮助降低成本、提高可扩展性和准确性。

基于云的NBMD服务的一大优势在于,通过对很多客户遇到的大量恶意软件进行分析,客户可以从中收益。并且,它能够作为所有文件哈希、指标和测试的中央资料库,这样,新的恶意软件的暴露面减少了,因为我们不需要将更新的结果分发到所有本地设备。然而,NBMD在网络内部署的方式对其有效性以及普及率有着很大的影响。

成功地部署基于网络的恶意软件检测

为了最大限度地发挥NBMD产品的优势,NBMD需要进行串联式部署;与其他串联部署的安全设备(例如防火墙和入侵防御系统)一样,NBMD产品可以在恶意软件进入网络前,捕获并阻止恶意软件。带外或者端口镜像部署模型意味着它更像是典型的监控器,检查流量,当发现恶意软件进入网络时发送警报。但这种部署不能很好地在服务器或者云中扩展,因为管理员可能被警报“淹没”,毕竟所有这些警报都需要进行调查,并尽快解决以防止造成损害。串联部署NBMD给了企业更多的灵活性来发出警报或阻止。

虽然在恶意软件进入网络前进行阻止很好,但自动地阻止所有可疑文件进入网络也有其缺点,即误报可能会破坏关键应用程序和影响用户工作流程。顺利地过渡到串联检测以及从警报过渡到拦截的唯一方法是,花时间慢慢收紧规则来消除误报造成的问题。企业应该对于供应商所谓的自学型系统持怀疑态度;企业应该定义政策,并随着时间的推移调整政策直到其可行,这里并没有捷径可走。

最初,企业可以将NBMD设备设置为仅阻止已知恶意文件,同时,对于任何存在不确定因素的文件发送警报,并确保有足够的资源可用来处理这可能带来的额外的工作量。一旦确定某些文件类型不会破坏任何进程或者应用程序,它们就可以从警报要求移除。在此期间,定期检查关键应用程序的日志以捕捉错误消息,这可能发现关键文件被阻止或延迟的迹象。同时警告支持台,对于常见的工作流程,用户可能会遇到延迟或者中断,他们应该会从用户得到反馈,这个过程将有助于定义规则。

NBMD也可用于识别各种其他企业威胁,包括可能是恶意的出站网络流量,例如,感染的设备和攻击者的命令控制中心之间的典型的通信。根据协议、目的地、时间、文件类型和数据包内容等指标,企业可以只允许某些应用程序发送数据到网络外部,这样企业可以防止受感染设备发送数据出去,从而阻止数据泄漏。

然而,即使部署了良好设置的NBMD产品,企业仍需要在端点部署一些传统反恶意软件保护来加强保护,无论设备是否位于企业网络。

展望NBMD的未来

对于努力应对高级威胁的企业而言,在补充并最终取代传统反恶意软件程序的过程中,基于网络的恶意软件检测产品是一个有吸引力的产品。虽然在NBMD部署过程中,仍然有很多障碍需要突破,如果企业能够有足够的毅力和决心来配置这些设备,最终将获得丰富的回报。

翻译

邹铮
邹铮

相关推荐