增強加密是把雙刃劍
無處不在的加密也對企業(yè)安全造成了困擾——因為加密技術(shù)的存在，發(fā)現(xiàn)敏感數(shù)據(jù)流出或者檢測惡意軟件與其命令和控制服務(wù)器的通信變得更加困難。
云郵件服務(wù)、在線存儲網(wǎng)站，以及其他云應(yīng)用提供商已經(jīng)開始加密流量了。甚至社交網(wǎng)站都在加密他們的通信數(shù)據(jù)。最近，火狐也在實驗將加密擴展到網(wǎng)頁的各個部分。
戴爾最近的一份報告指出，進出企業(yè)防火墻的加密數(shù)據(jù)流量在去年里翻了一番，目前已經(jīng)占據(jù)全部通信流量的60%。但是，并不是所有的企業(yè)都對流經(jīng)企業(yè)網(wǎng)絡(luò)的流量全部進行加密做好了準(zhǔn)備。
幸運的是，盡管美國國防部門和情報機構(gòu)無力阻止加密的迅速擴張，企業(yè)依然可以采取一些措施來保證加密是利于企業(yè)發(fā)展而非相反。比如，最新型智能防火墻能夠解密并監(jiān)控進出防火墻的數(shù)據(jù)，幫助公司進行資料外泄防護和惡意軟件監(jiān)控。
該升級的防火墻
受無處不在的加密影響最大的，應(yīng)該是使用舊式防火墻和數(shù)據(jù)外泄防護解決方案的那些企業(yè)。
一旦瀏覽器開始加密所有東西，識別惡意流量將變得更加困難。安全分析員需要切實看到進出的流量才能判斷敏感數(shù)據(jù)是否正在流出或者惡意軟件有沒有被下載。加密在保護數(shù)據(jù)不被窺探的同時，也妨礙保護機制對惡意活動的檢測。
據(jù)一份調(diào)查報告，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備對60%的流量完全視若無睹。問題非常嚴(yán)重。不過，解決方案早已推出市場，以網(wǎng)頁代理和其他能夠提供解密方法的安全設(shè)備的形式。有了這些解決方案，就能使安全設(shè)施能夠檢查加密流量。
在過去，對流量進行解密和分析的系統(tǒng)往往會影響通信性能。因此必須購買專用設(shè)備來進行安全套接層(SSL)的卸載。另一個選擇是基于云的網(wǎng)頁應(yīng)用防火墻——盡管這讓企業(yè)不得不將自己的SSL密鑰交付給外部廠商。
流氓加密危害大
問題是外部代理并不總能夠解密所有進出公司系統(tǒng)的流量。
比如，使用未經(jīng)公司批準(zhǔn)的自有加密程序仍然可以加密文檔，再將文檔發(fā)送至云存儲、文件共享網(wǎng)站、個人電子郵件賬戶，或者不可信的第三方。而采用加密來隱藏惡意流量的惡意程序可不會與公司防火墻分享他們的密鑰。
不過也可這樣來想，即使不能解密這些數(shù)據(jù)流量，未經(jīng)批準(zhǔn)的加密流量本身就已經(jīng)是警報信號了。另外，惡意軟件有可能根本不知道它得經(jīng)過代理服務(wù)器才能連接上目標(biāo)主機。如果在網(wǎng)絡(luò)環(huán)境中發(fā)現(xiàn)始終有持續(xù)不斷的網(wǎng)絡(luò)監(jiān)控，就能夠分辨出是客戶發(fā)起的合法SSL連接還是惡意軟件的未授權(quán)連接。
當(dāng)然，惡意軟件作者們也會適應(yīng)環(huán)境的改變。
監(jiān)控流量目的地址和源地址
處理加密流量的另一種方法，是查找可疑目的地址。
攻擊者仍然需要將數(shù)據(jù)偷運出公司，而且他們通常使用已知的惡意基礎(chǔ)設(shè)施作為目的地。即使安全團隊查不到加密流量內(nèi)部的真實數(shù)據(jù)，依然可以通過觀察流量目的地來判斷是否發(fā)生了數(shù)據(jù)泄露。
除了已知惡意站點，公司還可以找尋其他標(biāo)明流量非法的信號。舉個例子，如果流量奔向Tor匿名網(wǎng)絡(luò)，那就可以直接阻止這一通信請求。然后流量源頭也是可以觀察的地方，并非所有的企業(yè)系統(tǒng)都需要與外界通信。
有時候問題不在于流量是否加密，而是應(yīng)不應(yīng)該出現(xiàn)流量。傳向陌生IP地址的大量數(shù)據(jù)就是潛在威脅的指示器。”
小心隱私問題
當(dāng)員工對隱私權(quán)有所保留，比如說工作間隙用互聯(lián)網(wǎng)處理點私事兒，那么IT部門發(fā)出的“此行為違反了公司通信守則”的警告會引起什么樣的反感?
建議企業(yè)最好讓員工明確知道當(dāng)自己登錄公司系統(tǒng)時自己的通信是被監(jiān)控的。這種做法可以顯示出公司是坦率的，而且還有減少公司設(shè)備和帶寬被濫用的額外好處。
或者，公司也可以選擇不檢查特定目的地址的流量，比如與個人財務(wù)狀況有關(guān)的網(wǎng)站。設(shè)置一個白名單，不解密到與社交網(wǎng)絡(luò)或金融等涉及個人事務(wù)的網(wǎng)站的流量。
