信息安全新测评技术

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，不再属于独立的产品或市场。一旦侦测到可疑的攻击，必须再通过其他不同层面的入侵指标进一步确认，例如：比较网络威胁侦测系统在沙盒环境中所看到的，以及实际端点装置所观察到的状况（包括：活动进程、操作行为以及注册表项等）。 端点侦测及回应解决方案

端点侦测及回应（EDR）市场是一个新兴市场，目的是为了满足端点（台式机、服务器、平板与笔记本）对高阶威胁的持续防护需求，最主要是大幅提升安全监控、威胁侦测及应急响应能力。这些工具记录了数量可观的端点与网络事件，并将这些信息储存在一个集中地数据库内。接着利用分析工具来不断搜寻数据库，寻找可提升安全状态并防范一般攻击的工作，即早发现持续攻击（包括内部威胁），并快速响应这些攻击。这些工具还有助于迅速调查攻击范围，并提供补救能力。 新一代安全平台核心：大数据信息安全分析 未来，所有有效的信息安全防护平台都将包含特定领域嵌入式分析核心能力。一个企业持续监控所有运算单元及运算层，将产生比传统SIEM系统所能有效分析的更多、更快、更多元的数据。Gartner预测，至2020年，40%的企业都将建立一套“安全数据仓库”来存放这类监控数据以支持回溯分析。藉由长期的数据储存于分析，并且引入情境背景、结合外部威胁与社群情报，就能建立起“正常”的行为模式，进而利用数据分析来发觉真正偏离正常的情况。 机器可判读威胁智能化，包含信誉评定服务

与外界情境与情报来源整合是新一代信息安全平台最关键的特点。市场上机器可判读威胁智能化的第三方资源越来越多，其中包括许多信誉评定类的选择。信誉评定服务提供了一种动态、即时的“可信度”评定，可作为信息安全决策的参考因素。例如，用户与设备以及URL和IP地址的信誉评定得分就可以用来判断是否允许终端用户进行访问。

以遏制和隔离为基础的信息安全策略

在特征码（Signatures）越来越无法阻挡攻击的情况下，另一种策略就是将所有未知的都当成不可信的，然后在隔离的环境下加以处理并运行，如此就不会对其所运行的系统造成永久损害，也不会将该系统作为矢量去攻击其他企业系统。虚拟化、隔离、提取以及远程显示技术，都能用来建立这样的遏制环境，理想的结果应与使用一个“空气隔离”的独立系统来处理不信任的内容和应用程序一样。虚拟化与遏制策略将成为企业系统深度防御防护策略普遍的一环。 软件定义的信息安全

所谓的“软件定义”是指当我们将数据中心内原本紧密耦合的基础架构元素（如服务器、存储、网络和信息安全等等）解离并提取之后所创造的能力。如同网络、计算与存储的情况，对信息安全所产生的影响也将发生变化。软件定义的信息安全并不代表不再需要一些专门的信息安全硬件，这些仍是必不可少的。只不过，就像软件定义的网络一样，只是价值和智能化将转移到软件当中而已。 互动式应用程序安全测试

互动式应用程序安全测试（IAST）将静态应用程序安全测试（SAST）与动态应用程序安全测试（DAST）技术进行结合。其目的是要通过SAST与DAST技术之间的互动以提升应用程序安全测试的准确度。IAST集合了SAST与DAST最好的优点于一单一解决方案。有了这套方法，就能确认或排除已侦测到的漏洞是否可能遭到攻击，并判断漏洞来源在应用程序代码中的位置。 针对物联网的安全网关、代理与防火墙

企业都有一些设备制造商所提供的运营技术（OT），尤其是一些资产密集型产业，如制造业与公共事业，这些运营技术逐渐从专属通信与网络转移至标准化网际网络通信协议（IP）技术。越来越多的企业资产都是利用以商用软件产品为基础的OT系统进行自动化。这样的结果是，这些嵌入式软件资产必须受到妥善的管理、保护及配发才能用于企业级用途。OT被视为产业界的“小物联网”，其中涵盖数十亿个彼此相连的感应器、设备与系统，许多无人为介入就能彼此通信，因此必须受到保护与防护。

信息安全技术方向

方向之一:量子通信，代表技术：量子密码学、量子加密技术

代表机构:University of Cambridge, University Of Bristol还有与其合作的Toshiba，国内的有中科大。因为这块主要跟物理相关，价值所在:理论上讲，如果量子通讯小型化和可靠性达到一个程度，现代密码学的一大问题，在\不安全的公开信道的安全通信\这块就完全解决了，采用量子加密技术，复杂的多方安全协议用于密码交换和协商,就不再需要了。目前可靠性仍然在提高中。

方向之二：云计算方面：

1.各种云计算系统（IaaS/PaaS/SaaS）本身的安全方案，这是传统的网络安全技术在云计算领域的延伸和重新分布，但并没有引入革命性的安全技术；

2.利用云计算技术来加强传统的安全解决方案，如终端防病毒体系增加云查杀、云防火墙（实现防火墙集群的联动和动态安全策略更新）；

3.在云计算IaaS环境中实现可信计算的普及（基于虚拟TPM，逐级签名与信任传递，保护虚拟OS及核心服务的完整性）；

4.在云计算IaaS环境中实现安全解决方案的虚拟化，如虚拟防火墙、虚拟网络准入控制（NAC），实现租户自由组网及自定义访问控制；

5.将安全特性包装成为云服务，如防攻击CDN； 方向之三：大数据方面：大数据威胁情报技术

1.利用大数据平台及建模，进行APT事件挖掘、事件分析。终端安全： 2.各种新型终端的安全性。安全技术方面：

3.密文检索、同态加密等；业务安全：这是安全从业者和业务都容易忽略的方面，安全人员要主动担起这一块的职责，贴近业务，私人定制，将安全与业务紧密结合。特别是涉及到交易、支付等场景。

目前壮大的技术： ① 数据分析:

数据分析是指用适当的统计分析方法对收集来的大量数据进行分析，提取有用信息和形成结论而对数据加以详细研究和概括总结的过程。这一过程也是质量管理体系的支持过程。在实用中，数据分析可帮助人们作出判断，以便采取适当行动。

分析工具

Excel作为常用的分析工具，可以实现基本的分析工作，在商业智能领域Cognos、Style Intelligence、Microstrategy、Brio、BO和Oracle以及国内产品如Yonghong Z-Suite BI套件等。

数据来源：

1、搜索引擎蜘蛛抓取数据； 2、网站IP、PV等基本数据； 3、网站的HTTP响应时间数据； 4、网站流量来源数据。 步骤：

数据分析过程的主要活动由识别信息需求、收集数据、分析数据、评价并改进数据分析的有效性组成。

识别需求

识别信息需求是确保数据分析过程有效性的首要条件，可以为收集数据、分析数据提供清晰的目标。识别信息需求是管理者的职责管理者应根据决策和过程控制的需求，提出对信息的需求。就过程控制而言，管理者应识别需求要利用那些信息支持评审过程输入、过程输出、资源配置的合理性、过程活动的优化方案和过程异常变异的发现。

收集数据

有目的的收集数据，是确保数据分析过程有效的基础。组织需要对收集数据的内容、渠道、方法进行策划。策划时应考虑：

①将识别的需求转化为具体的要求，如评价供方时，需要收集的数据可能包括其过程能力、测量系统不确定度等相关数据；

②明确由谁在何时何处，通过何种渠道和方法收集数据；

③记录表应便于使用；④采取有效措施，防止数据丢失和虚假数据对系统的干扰。

分析数据

分析数据是将收集的数据通过加工、整理和分析、使其转化为信息，通常用方法有：

老七种工具，即排列图、因果图、分层法、调查表、散步图、直方图、控制图；

新七种工具，即关联图、系统图、矩阵图、KJ法、计划评审技术、PDPC法、矩阵数据图；

过程改进

数据分析是质量管理体系的基础。组织的管理者应在适当时，通过对以下问题的分析，评估其有效性：

①提供决策的信息是否充分、可信，是否存在因信息不足、失准、滞后而导致决策失误的问题；

②信息对持续改进质量管理体系、过程、产品所发挥的作用是否与期望值一致，是否在产品实现过程中有效运用数据分析；

③收集数据的目的是否明确，收集的数据是否真实和充分，信息渠道是否畅通；

④数据分析方法是否合理，是否将风险控制在可接受的范围； ⑤数据分析所需资源是否得到保障。 ② APT:

高级持续性威胁(Advanced Persistent Threat，APT)，威胁着企业的数据安全。APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。

网络安全，尤其是Internet互联网安全正在面临前所未有的挑战，这主要就来自于有组织、有特定目标、持续时间极长的新型攻击和威胁，国际上有的称之为APT（Advanced Persistent Threat）攻击，或者称之为“针对特定目标的攻击”。

APT（Advanced Persistent Threat）--------高级持续性威胁。是指组织(特别是政府)或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集，在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞，在这些漏洞的基础上形成攻击者所需的C&C网络，此种行为没有采取任何可能触发警报或者引起怀疑的行动，因此更接近于融入被攻击者的系统或程序。

APT攻击模式

1.攻击者发送恶意软件电子邮件给一个组织内部的收件人。例如，Cryptolocker就是一种感染方式，它也称为勒索软件，其攻击目标是Windows个人电脑，会在看似正常的电子邮件附件中伪装。一旦收件人打开附件，Cryptolocker就会在本地磁盘上加密文件和映射网络磁盘。如果你不乖乖地交赎金，恶意软件就会删除加密密钥，从而使你无法访问自己的数据。

2.攻击者会感染一个组织中用户经常通过DNS访问的网站。著名的端到端战网Gameover Zeus就是一个例子，一旦进入网络，它就能使用P2P通信去控制受感染的设备。

3.攻击者会通过一个直连物理连接感染网络，如感染病毒的U盘。 APT攻击特点 1.极强的隐蔽性 对此可这样理解，APT攻击已经与被攻击对象的可信程序漏洞与业务系统漏洞进行了融合，在组织内部，这样的融合很难被发现。例如，2012年最火的APT攻击“火焰(Flame)”就是利用了MD5的碰撞漏洞，伪造了合法的数字证书，冒充正规软件实现了欺骗攻击。

2.潜伏期长，持续性强

APT攻击是一种很有耐心的攻击形式，攻击和威胁可能在用户环境中存在一年以上，他们不断收集用户信息，直到收集到重要情报。他们往往不是为了在短时间内获利，而是把“被控主机”当成跳板，持续搜索，直到充分掌握目标对象的使用行为。所以这种攻击模式，本质上是一种“恶意商业间谍威胁”，因此具有很长的潜伏期和持续性。

3.目标性强

不同于以往的常规病毒，APT制作者掌握高级漏洞发掘和超强的网络攻击技术。发起APT攻击所需的技术壁垒和资源壁垒，要远高于普通攻击行为。其针对的攻击目标也不是普通个人用户，而是拥有高价值敏感数据的高级用户，特别是可能影响到国家和地区政治、外交、金融稳定的高级别敏感数据持有者。 APT攻击的危害

一般认为，APT攻击就是一类特定的攻击，为了获取某个组织甚至是国家的重要信息，有针对性的进行的一系列攻击行为的整个过程。APT攻击利用了多种攻击手段，包括各种最先进的手段和社会工程学方法，一步一步的获取进入组织内部的权限。APT往往利用组织内部的人员作为攻击跳板。有时候，攻击者会针对被攻击对象编写专门的攻击程序，而非使用一些通用的攻击代码。

此外，APT攻击具有持续性，甚至长达数年。这种持续体现在攻击者不断尝试各种攻击手段，以及在渗透到网络内部后长期蛰伏，不断收集各种信息，直到收集到重要情报。

更加危险的是，这些新型的攻击和威胁主要就针对国家重要的基础设施和单位进行，包括能源、电力、金融、国防等关系到国计民生，或者是国家核心利益的网络基础设施。

对于这些单位而言，尽管已经部署了相对完备的纵深安全防御体系，可能既包括针对某个安全威胁的安全设备，也包括了将各种单一安全设备串联起来的管理平台，而防御体系也可能已经涵盖了事前、事中和事后等各个阶段。但是，这样的防御体系仍然难以有效防止来自互联网的入侵和攻击，以及信息窃取，尤其是新型攻击（例如APT攻击，以及各类利用0day漏洞的攻击）。

③ 云计算安全（SDN之类）:

云计算安全可以促进云计算创新发展，将有利于解决投资分散、重复建设、产能过剩、资源整合不均和建设缺乏协同等很多问题。

软件定义网络（Software Defined Network, SDN ），是Emulex网络一种新型网络创新架构，是网络虚拟化的一种实现方式，其核心技术OpenFlow通过将网络设备控制面与数据面分离开来，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能。

云计算安全定义： 逻辑的安全抽象化

这是指我们开始从物理分离出逻辑。下一代安全的一个重要组成部分是让技术在不同层互动的能力。这意味着部署虚拟服务直接与底层物理组件互动。

可扩展的安全服务

下一代安全使用各种服务来控制和保护基础设施数据。应用程序防火墙、基于API的安全以及网络流量服务监控都提供新水平的安全性。

数据安全和控制

设置控制来管理入站用户和用户组。创建一个动态的环境，其中数据和用户

在利用云计算时，都将得到智能的管理。此外，由于数据和虚拟机都是灵活的，并能够穿过多个数据中心点，下一代安全正在定义所有这些信息在穿过不同云计算点时应该如何被控制和保护。这将帮助提高数据安全性、完整性和控制。

云计算安全框架等10项标准被批准为国际标准。云计算因其节约成本、维护方便、配置灵活已经成为各国政府优先推进发展的一项服务。美、英、澳大利亚等国家纷纷出台了相关发展政策，有计划的促进了政府部门信息系统向云计算平台的迁移。但是也应该看到，政府部门采用云计算服务也给其敏感数据和重要业务的安全带来了安全挑战。美国作为云计算服务应用的倡导者，一方面推出“云优先战略”，要求大量联邦政府信息系统迁移到“云端”，另一方面为确保安全，要求为联邦政府提供的云计算服务必须通过安全审查。工业和信息化部副部长毛伟明出席“2014年世界标准日宣传周”活动时透露，截至目前，工业和信息化领域的标准总量已达5.3万项；今年前三季度，已下达行业标准制修订计划1636项、复审计划2275项，批准发布行业标准2419项。

潜在的未来的技术方向： ① 智能家居:

智能家居需要信息安全来保证自身和使用者的安全;而许多包含个人、家庭隐私数据的家居，其数据本身的安全与否也会影响现代人的信息安全。

智能家居信息安全风险不容忽视。在大数据时代，用户个人的身份特征和消费习惯都变成可以存储、可以处理、可以深挖及可以整合利用的各种数据。智能家居是加速数字化的利器，当收集的用户信息足够详细，用户在现实生活中接近互联网上的“裸奔”的隐患也就越大。

② 可穿戴设备:

可穿戴设备即直接穿在身上，或是整合到用户的衣服或配件的一种便携式设备。可穿戴设备不仅仅是一种硬件设备，更是通过软件支持以及数据交互、云端交互来实现强大的功能，可穿戴设备将会对我们的生活、感知带来很大的转变。

引发的问题： 隐私问题

人们对网络的依赖日益增强，可穿戴设备强化了这种依赖性，当到处印刻着健康指数、行为习惯、生活偏好和工作履历痕迹的时候，个人隐私泄露的危险大大增加。可以获得的个人数据量越多，其中的隐私信息量就越大。只要拥有了足够多的数据，我们甚至可能发现有关于一个人的一切。我们知道，互联网将每时每刻都释放出海量数据，无论是围绕企业销售，还是个人的消费习惯，身份特征等等，都变成了以各种形式存储的数据。大量数据背后隐藏着大量的经济与政治利益，尤其是通过数据整合、分析与挖掘，其所表现出的数据整合与控制力量已经远超以往。

信息安全风险

可穿戴设备以其独特优势在给人们的工作和生活带来便捷的同时，也面临着前所未有的信息安全风险，带来诸多社会问题。在可穿戴设备背后隐藏的安全隐患中，与我们日常生活联系最为紧密的威胁莫过于此类设备可集成用户数据信息，使个人隐私保护面临巨大挑战。现有的智能眼镜等可穿戴设备并未从根本上改变数据信息收集、传送以及使用的方式，而是强化了对网络的依赖性。无线连接技术是实现可穿戴设备应用潜力的关键所在。用户通过蓝牙或无线网络将可穿戴设备中获取的数据信息传送到智能手机或云端，这些数据在传输过程中，若无充分的安全机制作保障，则易遭到黑客拦截，泄露个人隐私。可穿戴设备信息被实时

传到云端后，云服务提供商就储存并处理着大量用户的隐私数据，黑客只要通过攻击云端，并利用大数据分析技术对这些庞杂、种类多样的数据进行深入挖掘，就可获取有价值信息。可以说，用户健康状况、生活方式和行动踪迹等详细的个人信息肆意地漂浮在公开化的网络空间中，任人窥探、分析、整合或研究。

解决办法 首先，加强对可穿戴设备信息安全问题的重视。国家应在推进可穿戴设备发展的同时，尽快出台相关行业法规标准、安全管理和隐私管理等方面的管理措施，进一步明确对可采集的信息范围、时间等；持续关注可穿戴设备的安全问题，加大宣传力度，加强对敏感数据的保护与监管。

其次，加强可穿戴设备信息安全防护技术研发和体系建设。可穿戴设备提供商、相关服务商和应用开发者应共同努力，提升此类设备的安全防护能力。可穿戴设备提供商应与专业信息安全厂商合作，加大对信息安全技术研发的投入力度，进一步增强可穿戴设备的安全防护能力；可穿戴设备的相关服务提供商应加强与设备相关的云计算、物联网等服务平台的信息安全体系建设和安全防护工作，进一步完善数据处理方面的精细加密环节；可穿戴设备应用开发者应提高软件开发水平，尽量避免或及时修复安全漏洞。

最后，引导可穿戴设备的使用者要增强自我安全防护意识，保护个人信息安全。可穿戴设备的使用者应杜绝数据的源头泄露，不将设备乱借他人，防止他人输出可穿戴设备记录的个人信息等；在选择可穿戴设备时，要尽量选择信誉度高、有保障的服务厂商，及时开放安全防护软件，避免设备感染恶意软件，导致信息泄露；使用可穿戴设备时，应注意运用加密软件对上传到云端的敏感数据进行加密处理，降低信息泄露的可能性；注意网络通道的安全性，避免使用公共无线网络等不安全网络。此外，用户使用可穿戴设备的社交分享功能时，要注意保护自己的隐私信息，

③ 车联网安全:

根据中国物联网校企联盟的定义，车联网（Internet of Vehicles）是由车辆位置、速度和路线等信息构成的巨大交互网络。通过GPS、RFID、传感器、摄像头图像处理等装置，车辆可以完成自身环境和状态信息的采集；通过互联网技术，所有的车辆可以将自身的各种信息传输汇聚到中央处理器；通过计算机技术，这些大量车辆的信息可以被分析和处理，从而计算出不同车辆的最佳路线、及时汇报路况和安排信号灯周期。

车联网是近年来IT行业发展的一个重点方向，作为一种电信增值业务，在未来几年将有可观的产值。文中通过分析车联网产业的发展现状，提出了一种基于多级安全的车联网平台，该平台采用分级架构实现车与人、车与路、车与网、车与信息的无缝融合，并采用了可信计算、多安全级终端等先进的安全机制保证信息安全。基于多级安全的车联网平台设计将为相关产业的发展提供一种新的思路。

车联网的的安全问题主要存在于两部分。一部分是采集的车辆信息的传递过程中，车辆信息包括车辆的位置信息、车辆的状态信息，而这些信息中有些是个人的隐私(例如:私家车的位置信息、车里人员信息等)。如果发生泄露可能造成比较严重的后果。由于目前车辆本身不可能含有强大的数据实时计算与处理功能，因此需要将数据通过互联网传递到具有强大数据功能的部分即云端，但是在传递过程中数据的一致性、保密性都存在问题。第二部分是云端的安全问题，目前所使用的云分为两种子一种是公有云，一种是私有云。

针对车辆信息的安全问题,由于车辆的所有性质不同分为公共汽车、私有车(个人车辆、单位车辆)，其中公共汽车的车辆位置信息、车内客户信息是可以被公众合理使用的，因此这些信息的安全问题主要集中在保证信息的正确性、一致性即保证车辆的相关信息能够正确的、不被篡改，同时不被病毒感染。因此可以主要采用加密的方式，目前加密方式主要有对称方式、非对称方式这两种方式，其中对称方式由于重点在于加密算法的变化，这种方式需要经常改变的每辆车的加密算法更新的数据量比较大。采用非对称方式,只需要更新私密密钥即可以保证数据加密后的安全性，同时这种方式传递的数据量较小，而且可以在公交汽车每天回到总站后统一更新。这种方式方便快捷、数据量更新小，因此推荐采用这种加密方法。而针对私有车辆由于其车辆信息要经过云端的处理从而提供车辆的路况信息等对车主有用的信息，但是又不希望所有人均可以获得车辆的相关，基于这种情况一方面对向云端传递的数据进行加密，同时增加私人用户的许可与授权认证。通过这两部分的安全设置一方面保证数据的安全性，另一方面也保证了这些信息只有合法用户才能有效使用。

加密数据通过互联网传递到云端后也同样涉及到安全问题，首先是用户身份的供应、注销以及身份认证过程。在云环境下，实现身份联合和单点登录可以支持云中合作企业之间更加方便地共享用户身份信息和认证服务，并减少重复认证带来的运行开销，同时，通过云端身份的使用也在一定程度上保证了只有合法用户才能够使用云与车辆信息对信息的安全进一步提高。其次，由于云用户中普遍存在数据加、解密运算需求，云密码服务的出现也是十分自然的。除最典型的加、解密算法服务外，密码运算中密钥管理与分发、证书管理及分发等都可以基础类云安全服务的形式存在。云密码服务不仅为用户简化了密码模块的设计与实施，也使得密码技术的使用更集中、规范，也更易于管理。此外，对于安全事故责任的明确需要用户提供必要的相关信息，而普通用户缺乏举证能力。因此，第三方审计的作用凸显出来了。第三方提供满足审计事件的所有证据以及证据的可信度说明，同时第三方审计也从一个侧面保证了云服务商提供满足各种要求与规定的服务。通过以上几种手段从技术层面到监督层面上提供了保证云安全运行、安全使用，从而为车联网的安全使用提供了技术支持。

本文来源：https://www.bwwdw.com/article/05y7.html