軟件定義安全正在成為一個IT流行詞，但它是否盛名之下，其實難副?本文中，專家Kevin Beaver探討了在企業(yè)中該技術(shù)的優(yōu)勢和劣勢。

也許你還沒有聽說過，現(xiàn)在網(wǎng)絡(luò)安全的最新流行語是軟件定義安全。

軟件定義網(wǎng)絡(luò)(SDN)的姊妹技術(shù)——軟件定義安全(SDS)讓企業(yè)可以通過軟件部署和自動化網(wǎng)絡(luò)分段、入侵檢測及其他網(wǎng)絡(luò)安全控制，而不是使用更傳統(tǒng)的孤立的安全控制。SDS利用類似虛擬化的與硬件層分離的資源來跨越我們所知道的傳統(tǒng)界限，例如網(wǎng)絡(luò)分段和業(yè)務(wù)功能，從而把安全控制帶到更高的層次。

那么，SDS適合你的企業(yè)嗎?從表面上看，SDS似乎與現(xiàn)在我們管理安全所做的事情差不多，它只是通過為特定企業(yè)定義和定制化的政策和對象來在更高層次管理安全性。這類似于現(xiàn)在企業(yè)管理某些存儲系統(tǒng)、防火墻政策和目錄服務(wù)內(nèi)對象的方式。SDS只是將這個概念構(gòu)建在更高層次的抽象化中。這是邏輯與物理的區(qū)別。

軟件定義安全提供了很多可改善企業(yè)安全性的優(yōu)勢，例如：

• 讓企業(yè)可以跨越物理和邏輯界限管理特定的安全組和系統(tǒng)(例如，通過針對主機、應(yīng)用和類似網(wǎng)絡(luò)實體的政策)，這些已被證明很難有效地管理。

• 簡化移動、云計算和整個傳統(tǒng)企業(yè)網(wǎng)絡(luò)系統(tǒng)的動態(tài)安全域，讓企業(yè)可以按意愿構(gòu)建和拆除系統(tǒng)，同時，可以跨系統(tǒng)一致地執(zhí)行安全政策，無論時間和這些系統(tǒng)的位置如何。

• 對于企業(yè)內(nèi)已經(jīng)部署的其他軟件定義技術(shù)(例如SDN)，SDS提供與它們更好的整合，從而為入侵防御、身份和訪問管理、數(shù)據(jù)丟失防護和地理位置等安全技術(shù)提供更加全面的自動化。

• 在更高層次專注于智能化，即在軟件層，而不是硬件層，這允許企業(yè)架構(gòu)師和安全管理人員把重點放在政策，而不是在較低水平運行系統(tǒng)。

當(dāng)然，事物都有兩面性，SDS也有一些潛在的缺點，包括如下：

• 跨越可能或可能不支持SDS的各種系統(tǒng)及平臺配置、部署和執(zhí)行安全政策最初可能需要時間學(xué)習(xí)。

• 創(chuàng)建和管理安全政策可能會帶來新型的復(fù)雜性。在你的企業(yè)部署該技術(shù)之前，應(yīng)該明確誰、什么、何時、何地以及為什么等問題。

• 運行SDS仍將需要特定服務(wù)器硬件(在你的企業(yè)或者云中)。

• 價格可能是一個問題：雖然硬件相對便宜，大多數(shù)SDS產(chǎn)品都很昂貴，并有更高的利潤。

• 惡意軟件保護和內(nèi)容過濾安全等技術(shù)的外圍安全控制可能無法在這種水平擴展

你的企業(yè)將需要認(rèn)真考慮來決定哪些安全控制將通過SDS來部署。有些企業(yè)可能會比其他企業(yè)更加受益于SDS，例如在高度管制的行業(yè)(如金融行業(yè))或者具有全國性或全球性規(guī)模的大型企業(yè)。SDS并不是放之四海而皆準(zhǔn)的技術(shù);每個企業(yè)的用例都會有所不同。最后，重點不應(yīng)該是你的安全控制是基于硬件還是基于軟件，而是真正能夠幫助你減小風(fēng)險的控制。

目前來看，筆者認(rèn)為SDS的重點應(yīng)該導(dǎo)致企業(yè)最大痛苦的領(lǐng)域，這些可能是IPS、訪問控制和事件日志記錄及監(jiān)控等領(lǐng)域，但你的部署肯定會受限于供應(yīng)商所支持的范圍。然而，如果你是英特爾或賽門鐵克用戶，你就很幸運：這些供應(yīng)商現(xiàn)在可以提供這些服務(wù)給你。

正如云計算、大數(shù)據(jù)以及網(wǎng)絡(luò)安全，筆者認(rèn)為SDS將會成為下一個熱門流行語，我們將會不斷地聽到這個詞。對于它是否會給企業(yè)帶來積極的影響，我們還要拭目以待。筆者對于這個領(lǐng)域的創(chuàng)新持樂觀態(tài)度。