新聞中心
安博通看RSA2018：網(wǎng)絡(luò)安全可視化，有的在升起，有的在墜落（上篇）
安博通預(yù)測全球安全策略可視化平臺四大發(fā)展趨勢！
有的在升起，有的在墜落，歌詞里這樣寫道：
"Something's rising
something's falling
as we're drifting by
Someone's praying
someone's failing
as we walking by"
圖：舊金山日落景色
在2017年的RSA大會上，安博通產(chǎn)品經(jīng)理就對領(lǐng)先的的網(wǎng)絡(luò)安全可視化平臺產(chǎn)品做出過詳細的分析，詳情可參考去年的分享文章：
https://mp.weixin.qq.com/s/bnNvnLpxGkG0AVVUfqA0eQ 產(chǎn)品經(jīng)理看RSA-網(wǎng)絡(luò)安全可視化產(chǎn)品的求同和存異。
2018年的RSA大會上，安博通作為國內(nèi)網(wǎng)絡(luò)安全可視化的領(lǐng)導(dǎo)者，繼續(xù)對參展的網(wǎng)絡(luò)安全可視化平臺進行深度調(diào)研，從而為讀者帶來第一手資料。在調(diào)研中，安博通產(chǎn)品經(jīng)理發(fā)現(xiàn)在過去的一年中，不論是產(chǎn)品本身、解決方案還是未來發(fā)展方面，都呈現(xiàn)兩極分化的趨勢：有的在扎實奮進中上升，而有的在停步不前中墜落，我們將在下文中給出詳細分析。
2018四大發(fā)展趨勢
DEVELOPMENT TREND
在2018年的會議調(diào)研中，我們發(fā)現(xiàn)安全策略可視化平臺品類的產(chǎn)品呈現(xiàn)出以下四個主要的發(fā)展趨勢：
1發(fā)展閉環(huán)的策略和事件架構(gòu)
看到下面這張圖片，長期關(guān)注Gartner或安博通的讀者不會陌生：
圖：Gartner提出新一代自適應(yīng)安全防御架構(gòu)
上圖是Gartner提出的新一代自適應(yīng)安全防御架構(gòu)，強調(diào)通過預(yù)測、檢測、防御和響應(yīng)的流程實現(xiàn)持續(xù)監(jiān)控與分析，完成閉環(huán)防御流程。今年的RSA會議中，安全策略可視化廠商也紛紛提出類似的架構(gòu)，例如：
圖：Redseal提出快速事件調(diào)查架構(gòu)
圖：Skybox提出自動化策略生命周期管理架構(gòu)
圖：Algosec提出安全策略管理生命周期架構(gòu)
同Gartner提出新一代自適應(yīng)安全防御架構(gòu)一樣，各大安全策略可視化平臺廠商都在紛紛強調(diào)“流程閉環(huán)”的重要性。在2017年的調(diào)研中，策略可視化廠商大都只能提供“檢測+防御”能力，即可以根據(jù)計算的路徑地圖進行異常檢測告警，也可以據(jù)此來使用其他安全設(shè)備進行防御威脅，但不具備閉環(huán)事件的能力，產(chǎn)品方案更加傾向于“運維工具和威脅中心”。而2018年我們看到更多的廠商在豐富自身的解決方案，希望提供“檢測+防御+預(yù)測+響應(yīng)”的全流程能力，將產(chǎn)品方案提升到“防御體系”的高度。說到底，可視化產(chǎn)品方案的終極目的還是通過可視呈現(xiàn)來提升安全響應(yīng)能力，而非為了可視化而可視化。
為了實現(xiàn)全流程生命周期閉環(huán)，各廠商紛紛進行能力大融合，在平臺上支持或完善簡單的功能組合：策略路徑地圖+威脅情報+漏洞分析+風險預(yù)警+報表推送+異常告警+策略梳理+響應(yīng)策略下發(fā)，不管實際效果如何，這套方案至少在紙面上走完了“檢測+防御+預(yù)測+響應(yīng)”的全流程，在價值層面能夠切實地閉環(huán)解決某些特定的安全威脅（例如勒索病毒），而不是總在威脅發(fā)生后馬后炮地給出應(yīng)急響應(yīng)方案，這說明策略可視化平臺廠商的意識取得了進步。
另一方面，為了滿足閉環(huán)流程，廠商紛紛推出響應(yīng)類特性。例如，Redseal推出Best Practice（最佳實踐）功能，在該功能中Redseal平臺對所有設(shè)備的操作進行記錄，并根據(jù)內(nèi)建的數(shù)據(jù)庫來提示認為可能存在風險的操作，及時提醒用戶進行修復(fù)響應(yīng)，以便第一時間縮小攻擊面，控制風險范圍。
2用戶視角的精細化過程管控
在調(diào)研中，安博通產(chǎn)品經(jīng)理發(fā)現(xiàn)，各大廠商相比去年更加強化了工作流（workflow）的概念，盡管各家的命名不同，但其本質(zhì)都比較類似：將閉環(huán)的流程設(shè)計為工作流功能，并針對盡量詳細的流程定義，通過Step by Step的步驟式操作，站在用戶視角進行過程控制。
例如，Skybox在系統(tǒng)中使用Ticket概念支撐工作流，系統(tǒng)中定義多個Ticket并行管理，需要在每個Ticket內(nèi)定義工作流程，流程包括：發(fā)起請求->技術(shù)細節(jié)確認->風險評估->實施細節(jié)確認->最終校驗的5步。Ticket和用戶進行綁定，包括用戶創(chuàng)建Ticket、管理自己的Ticket、請求Ticket、處理實施需求、關(guān)閉或分析Ticket，高級用戶能夠處理下級用戶的Ticket。
圖：Skybox Ticket流程
在Ticket流程的引導(dǎo)下，用戶將會對每一項業(yè)務(wù)變更執(zhí)行精細化的5步管理，在每一步中逐步分析影響后進行評估，流程上不斷進行審批，直到最終流程閉環(huán)，對于系統(tǒng)內(nèi)多個正在執(zhí)行的Ticket和其他工作，使用TASK（任務(wù)）概念來進行并發(fā)管理。
圖：Skybox TASK管理
我們最早發(fā)現(xiàn)Workflow概念，是在Tufin廠商的產(chǎn)品中，Tufin使用Workflow對策略變更進行過程管控，在2018年Tufin繼續(xù)加強workflow的功能，其流程包括發(fā)起請求、業(yè)務(wù)審批、目標風險分析、風險回顧和確認（升級版）、技術(shù)設(shè)計、確認等步驟，通過逐步升級的風險分析，確保策略管理可在長生命周期內(nèi)進行閉環(huán)。
圖：Tufin Workflow
另一個新特性是，各廠商開始支持用戶分權(quán)功能，即：可定義不同用戶可讀寫的數(shù)據(jù)、功能模塊范圍，也可以定義用戶間的級聯(lián)關(guān)系，從而有效地支持復(fù)雜的組織架構(gòu)中多用戶不同職權(quán)的需求。
圖：Redseal用戶權(quán)限設(shè)置
3面向業(yè)務(wù)、服務(wù)業(yè)務(wù)、運營業(yè)務(wù)
業(yè)務(wù)、業(yè)務(wù)還是業(yè)務(wù)，在2018年，安博通產(chǎn)品經(jīng)理看到了各家廠商將產(chǎn)品與業(yè)務(wù)更緊密的貼合，站在業(yè)務(wù)運營者的角度執(zhí)行調(diào)度工作。
例如，Alogosec提出Business Flow概念，例如下圖中定義網(wǎng)銀業(yè)務(wù)的Business Flow，其子業(yè)務(wù)還包括CRM業(yè)務(wù)、ATM業(yè)務(wù)等等，針對不同的業(yè)務(wù)進行過程管理。在Business Flow中，產(chǎn)品從原有的管理員視角中跳出，不再關(guān)注于策略、子網(wǎng)、IP，而是直接站在業(yè)務(wù)角度去分析風險和執(zhí)行處置。雖然從技術(shù)角度這個轉(zhuǎn)變并不一定非常困難，但其貼近用戶、提升體驗、凸顯價值的產(chǎn)品設(shè)計思路非常值得借鑒。
圖：Algosec Business Flow
對于用戶來講，一項重要的業(yè)務(wù)就是合規(guī)（Compliance）。在產(chǎn)品中，各大廠商也針對合規(guī)業(yè)務(wù)給出了解決方案，例如在Skybox產(chǎn)品進行業(yè)務(wù)錄入和訪問關(guān)系錄入時，其定義并非全靠安全基線（Baseline），而是根據(jù)合規(guī)需求（例如PCI）提供現(xiàn)成的合規(guī)配置模板調(diào)用，讓合規(guī)業(yè)務(wù)落地變得更為簡單。
圖：Skybox基于模板進行合規(guī)業(yè)務(wù)定義
Firemon公司在2018年推出了新品GPC（Global Policy Controller），該產(chǎn)品的理念是直接服務(wù)業(yè)務(wù)、省去中間步驟，在下文的Firemon廠商簡析中我們將會介紹該產(chǎn)品。
安博通產(chǎn)品經(jīng)理認為，產(chǎn)品從功能化到業(yè)務(wù)化的轉(zhuǎn)變，意味著產(chǎn)品希望在最終用戶端能得到更廣泛的驗證，也意味著產(chǎn)品開始走向平穩(wěn)發(fā)展階段。
4應(yīng)用環(huán)境和數(shù)據(jù)來源大爆發(fā)
從應(yīng)用環(huán)境來看，各大廠商在2018年均推出了公有云部署方案，主要表現(xiàn)為對AWS和Microsoft Azure的支持，而且宣稱支持當業(yè)務(wù)從端切換到云環(huán)境時，能夠提供不間斷的服務(wù)。此外，Alogosec等廠商還提出，其產(chǎn)品可以應(yīng)用于工控領(lǐng)域以及容器領(lǐng)域（例如Docker），可見除了產(chǎn)品特性的縱向增長，各廠商也開始發(fā)展產(chǎn)品應(yīng)用場景的橫向增長。
圖：Algosec部署適應(yīng)性
此外，從信息來源來看，部分廠商的安全策略可視化平臺目前可以支持從SDN環(huán)境、SIEM、掃描器、EDR軟件等方面采集信息，這種信息來源的爆發(fā)式增長，對產(chǎn)品的數(shù)據(jù)處理和分析能力提出了更高的要求，對于用戶來說，從越多的來源獲取情報，就能獲得越好的安全保障。
圖：Redsel信息來源展示
