是的，自上世紀90年代初以來，情況已經發(fā)生了變化。有些網絡位于云中，有些是虛擬的，有些依賴于應用程序到應用程序的連接，但是網絡仍然以某種方式將IT系統(tǒng)連接在一起。
在這一變革過程中，網絡安全也不得不與時俱進。在我看來，現(xiàn)代網絡安全必須支持以下幾點：
端到端覆蓋
檢查入口/出口流量的周邊安全性已經不夠了。必須將現(xiàn)代網絡安全控制裝入所有網段，以檢查東/西流量，云中的網絡通信，以及從遠程工作者到軟件即服務(SaaS)應用的網絡通信，其中流量從不接觸公司網絡。換句話說，應檢查所有網絡流量。
加密/解密功能
根據(jù)ESG的研究，目前50%到60%的網絡流量是加密的，而且未來還將繼續(xù)增加。(注:原作者為ESG員工。)這意味著一個全面的網絡安全體系結構必須包括在多個控制點解密和檢查流量的能力?，F(xiàn)代網絡安全技術也應該能夠檢測可疑流量，而不需要在所有情況下解密。這種功能已經包含在思科加密流量分析(ETA)等產品和Barac.io等供應商提供的獨立解決方案中。
以業(yè)務為中心的分割
減少攻擊面應該是所有現(xiàn)代網絡安全技術的首要要求。這相當于兩個功能:1)在應用層之間分割東/西流量;2)在用戶/設備和基于網絡的服務之間強制執(zhí)行軟件定義的外圍網絡分割規(guī)則。這些功能常常被含糊地稱為“零信任”。
中央控制平面和分布式執(zhí)法
這個是“必備的”。“所有網絡安全控制(即物理的、虛擬的、基于云的)必須報告到管理活動的公共控制平面(即配置管理、策略管理、變更管理等)。中央控制平面很可能是基于云的，所以CISO應該準備好規(guī)避風險的審計人員和業(yè)務經理來應對這一變化。有了中央指揮和控制的指示，網絡安全系統(tǒng)必須被檢測以阻止惡意流量，并執(zhí)行策略，而不管它們的位置或形式因素。請注意，雖然每個網絡安全供應商都將推銷自己的中央管理服務，但第三方軟件供應商(如FireMon、Skybox和Tufin)可能會在其中發(fā)揮作用。
全面的監(jiān)控和分析
正如一句古老的安全諺語所說:“網絡不會說謊。”“由于所有網絡攻擊都使用網絡通信作為其殺傷鏈的一部分，安全分析師必須能夠訪問OSI堆棧所有層的端到端網絡流量分析(NTA)。最好的NTA工具將用檢測規(guī)則、啟發(fā)式、腳本語言和機器學習來補充基本的流量監(jiān)控，這些工具可以幫助分析人員檢測未知的威脅，并將惡意活動映射到MITREATT&CK框架中。CISO必須投入廣泛的網絡，因為有很多強大的解決方案可以從純游戲的初創(chuàng)公司(如Bricata、Corelight、DarkTrace、IronNet、VectraNetworks等)、網絡專家(如思科、ExtraHop、NETSCOUT等)和網絡安全供應商(如Fidelis、FireEye、Lastline、HPE等)中選擇。當然要慎重購買!
網絡安全技術必須支持細粒度策略和規(guī)則，可以根據(jù)用戶位置、網絡配置或新發(fā)現(xiàn)的威脅/漏洞等方面的變化進行即時更改。組織必須能夠在任何需要的時候或任何地方啟動/關閉或更改網絡安全服務?，F(xiàn)代網絡安全控制必須能夠適應物聯(lián)網(IoT)設備和協(xié)議，這些設備和協(xié)議具有與標準操作系統(tǒng)相同的強有力的策略和實施。最后，必須圍繞易于訪問的API構建網絡安全體系結構，以實現(xiàn)快速集成。
SunMicrosystems早已不復存在(現(xiàn)在是Oracle的一部分)，但是無論網絡的形式如何，網絡仍然非常重要?，F(xiàn)代網絡安全體系結構不僅可以保護所有的網絡流量，還可以幫助組織減少攻擊面，提高威脅檢測/響應能力，幫助降低網絡風險。
