Clever Geek Handbook

网络安全如何改变IT市场（第3部分）

尽管预算每年都在增长，并且信息安全工具种类繁多，但每年我们收到的事件统计数字，增加的泄漏量和网络钓鱼电子邮件数量等仅增加了几倍。为什么会这样？信息系统越来越复杂和规模越来越大，有可能对“重叠”安全控制的有效性产生负面影响。在系列文章的第三部分中，我们将讨论作为软件系统和网络本身的体系结构不可或缺的一部分的安全性，以及有关信息不对称的信息，信息不对称将来可能会将方法转变为“技术”保护。







介绍



基于外围的模型反映了在Internet的早期形成的经典的信息安全方法。通过这种方法，该公司有一个内部安全网段，在该网段中放置了受信任的工作站，而有一个外部网段，该网段具有不受信任的资源，对该资源的访问进行了控制。在内部和外部网段之间放置了防火墙，这确定了与外部世界合作的规则。这种方法很快被证明是无效的。局域网中工作站数量的增加导致了几乎无法控制每个主机的事实。当必须唯一标识每个实体而不考虑连接点时，不仅试图监视外围，而且试图监视内部设备已导致零信任方法。零信任方法的广泛实施带来的困难导致了这一概念的进一步发展，这种概念可以称为“数字信任”。在“数字信任”的情况下，系统的每个设备或每个用户都有某些行为模式，可以将其视为“正常”行为。例如，在智能手机或笔记本电脑上安装了一组特定的软件，可以通过在网络上生成特定流量来识别它们。用户打开的程序和站点还定义了特定的行为模式。与这些模式的明显差异可以看作是由用户/设备欺骗或恶意软件引起的安全事件。可以称为“数字信任”。在“数字信任”的情况下，系统的每个设备或每个用户都有某些行为模式，可以将其视为“正常”行为。例如，在智能手机或笔记本电脑上安装了一组特定的软件，可以通过在网络上生成特定流量来识别它们。用户打开的程序和站点还定义了特定的行为模式。与这些模式的明显差异可以看作是由用户/设备欺骗或恶意软件引起的安全事件。可以称为“数字信任”。在“数字信任”的情况下，系统的每个设备或每个用户都有某些行为模式，可以将其视为“正常”行为。例如，在智能手机或笔记本电脑上安装了一组特定的软件，可以通过在网络上生成特定流量来识别它们。用户打开的程序和站点还定义了特定的行为模式。与这些模式的明显差异可以看作是由用户/设备欺骗或恶意软件引起的安全事件。可以通过网络上特定流量的生成来识别。用户打开的程序和站点还定义了特定的行为模式。与这些模式的明显差异可以看作是由用户/设备欺骗或恶意软件引起的安全事件。可以通过网络上特定流量的生成来识别。用户打开的程序和站点还定义了特定的行为模式。与这些模式的明显差异可以看作是由用户/设备欺骗或恶意软件引起的安全事件。



网络安全方法的这种演变反映了由于信息系统的复杂性不可避免地增加而改变保护方法的普遍事实。但是，信息安全支出与事件之间不断扩大的差距表明，网络安全范式必须改变。世界各地的研究人员越来越倾向于这样一种观念转变，即这种变化将发生在信息系统的攻击者和防御者之间存在的信息不对称性领域。不对称反映了一个事实，即攻击者学习信息系统的时间超过了设计信息系统的时间，而且攻击者需要查找并实现单个漏洞，而在设计时必须查找所有漏洞。



努力消除信息不对称



由于对信息系统的任何攻击总是在侦察过程之前进行的，因此使攻击者尽可能难于执行此过程的想法似乎很明显。您当然可以阻止对某些过程和设备的访问，从而保护它们免受外部研究的侵扰，但实践表明，这种方法并不总是有效的。不断改变信息系统参数的想法已经越来越普及。结果，攻击者获得的信息在接下来的时刻变得无关紧要。这种方法称为移动目标防御（MTD-基于移动目标的防御）。



对该主题的兴趣增长是值得注意的，这可以追溯到有关MTD主题的领先数据库中的出版物数量。主要突破发生在2011年之后，当时在美国，MTD主题已包含在国家安全技术开发的优先领域中。之后，美国（DARPA）和其他国家（欧盟，印度，中国等）的各种基金分配了有关MTD主题的大量赠款。如果在2011年有50篇关于MTD主题的出版物，那么到2017年，每年有500多种。但是，他们在早期并没有取得重大的技术突破。出现了已成为事实上的行业标准的MTD方法，例如ASLR技术，让您可以随机混合应用程序在RAM中使用的地址部分。现在，所有操作系统都使用ASLR。



没有太多的叠加安全产品能够进入市场并开始销售。在这里，您可以选择Morphisec，它安装在端点上并且可以充当所使用内存区域的一层。附录CryptoMove允许您转换秘密加密，并使用MTD将其分发到多个站点。



MTD用于混淆本地网络参数和地址的解决方案变得不那么受欢迎了。这些发展中的大多数仍保留在理论研究中，尚未反映在大型信息安全厂商的产品中。尽管事实上MTD技术已经成为处理内存的事实上的标准，但是根据MTD方法论的信息系统的全面保护并没有发生。未能通过客观证明有效的如此精美的理论而失败的原因可能不是因为它的无效性，而是因为难以将MTD方法应用于实际系统。该系统不能完全唯一。一些应用程序组件必须理解其他组件，通信协议必须是通用的，并且用户必须能够识别软件结构。在整个IT开发历史中，他们遵循标准化和流程最大程度统一的道路，而这条道路使他们面临了我们现在面临的网络安全问题。信息不对称问题的关键结论是需要改变信息系统功能结构的统一范式，并转向其参数的最大随机化原则。结果，系统本身由于其独特性，将获得对攻击的“免疫力”，并将弥合信息不对称方面的差距。结果，系统本身由于其独特性，将获得对攻击的“免疫力”，并将弥合信息不对称方面的差距。结果，系统本身由于其独特性，将获得对攻击的“免疫力”，并将弥合信息不对称方面的差距。



大多数MTD方法发现很难将它们区分为特定的产品解决方案。例如，许多发展集中于随机化以防止代码注入。最简单但同时有效的方法是解释代码命令的随机化。例如，在经典的SQL命令中添加了一个随机数，否则，解释器就无法将其理解为命令。假设INSERT命令被解释为INSERT命令，仅具有解释器已知的唯一代码：INSERT853491。在这种情况下，即使由于缺乏参数验证而存在真正的漏洞，也无法进行SQL注入。尽管此方法有效，但显然不能使用“覆盖”安全性功能来实现，而必须是数据库服务器本身逻辑的一部分。系统随机化的另一个重要方法是代码多样化。



程序代码多样化



代码多样化意味着我们可以在功能上克隆程序，同时修改程序代码。关于此主题的研究很多，但大部分工作仍停留在研发水平，而没有变成具有商业意义的解决方案。通常，这些程序可让您通过有限的零附加功能“增加”逻辑电路的数量，或对代码的某些部分执行模板替换。最后，多样化的程序通常具有与原始程序相同的漏洞。



这种方法的主要问题是已经编写的代码被馈送到多样化器的输入。分散器无法“理解”某些软件结构的重要性，因此，它无法真正使它们多样化，而只能将模板中的一个代码替换为另一个，或生成其他“无用”代码。



为了从根本上解决多样化的问题，有必要实现应用程序代码的自动生成。如果我们可以消除程序员编写特定命令和算法构造的工作量，那么我们将解决多样化的问题。代码自动生成假定您可以在更高级别上创建一个程序，例如，具有一系列功能要求或图形关系-然后，将自动为此构造生成代码。



在过去的几年中，有许多方法可以生成代码。





可能会出现一个逻辑问题：安全与它有什么关系？代码生成技术的革命最终将导致网络安全的革命。如果打开CVE数据库，则可以发现90％以上的漏洞不是软件开发中的逻辑错误，而是它们在程序代码中的特定实现（一个有争议的问题是CVE中的硬件漏洞是否也包括在此处）。如果将开发移到更高的抽象级别，则可以用两种结果来表示：



  1. , «». , .
  2. . . , . . , , , , .


因此，所生成的“软件”由于其唯一性而对于攻击者而言是未知的，因此消除了以前的信息不对称性。而且，即使考虑到系统中存在的漏洞，功能和软件参数的这种“模糊”也为攻击者创造了无法克服的障碍。由于缺乏信息不对称而导致的漏洞将永远不会被发现。> Deepfake技术对信息安全构成威胁



信息系统的新现实



如您所见，我们看到一种克服信息系统的攻击者和防御者之间的信息不对称的趋势，这可以通过以下几个特征来表示：



  1. 无论外部协议和交互接口如何，都可以最大程度地建立开发的伪随机性（数据模型，机器指令，功能等）。
  2. 在设计阶段和信息系统运行阶段都过渡到关键参数的动态结构。


这不会导致解决所有网络安全问题，但是肯定会对信息安全市场进行重大转变。



在这里，我们将面临行业中的一些关键变化：



  1. 病毒和杀毒软件时代的终结。如果说防病毒曾经几乎是网络安全产品的代名词，那么今天它们的市场份额已经大大降低了。如果最终所有软件缺陷仅存在于逻辑级别而没有利用代码错误的能力，那么恶意软件的概念将成为历史。这将是整个网络安全技术时代的终结，也许某些供应商现在还没有在组织业务。
  2. () . — , . , (AI) (ML) , , . NLP- (NLP — Natural Language Processing, ) , . . , — NLP (PhishNetd-NLP, ). , (Deepfake).
  3. . , - «» .
  4. , . ( , .), - (Web Application Firewalls), «» «» , ( , Darktrace).


-



IT和信息安全市场在技术上相互影响并存。安全是信息系统中的常见问题。现在仅由于强制使用了大多数网络安全工具，才存在一个单独的网络安全市场，但是这种趋势在不久的将来可能会改变。只有控制公司中用户行为的系统（DLP，活动监视，UEBA等）才能感到最有信心：他们可能会保留自己的“独立”市场，而控制网络攻击，渗透测试，代码分析等系统。克服了信息系统设计中的信息不对称问题而进行了改造。



最重大的变化将发生在编码领域。即使在未来的几年中我们不在开发中转向4GL，也没有任何革命，但多元化原则仍将成为通用规则，因为现在ASLR就是这样的规则。在这里，不仅有明显的好处与开发速度的提高（可能与开发人员的资格下降）有关，而且在网络安全领域也具有优势。由于程序员的错误，我们出现漏洞的可能性较小，并且可以通过向其添加伪随机元素来进一步使代码多样化。当然，这种过渡不会很快发生。创新的主要障碍可能是这些资金未“强加”到IC上，因此不太可能创业公司和高科技企业将是进步的动力。



第二个重要组成部分是信息系统的总体多样化和向动态参数的过渡。例如，如果要使用MTD方法在IPv6上设计具有动态寻址的局域网，则可以将未经授权的主机排除在网络之外。它们将像体内的异物一样被“拒绝”。同样，在其他过程中使用MTD会使未经授权更改正常操作变得困难。这使您可以免受未经授权的修改和渗透到系统中。



这如何对IT市场产生重大影响：



  1. , - , .
  2. (open-source) open-source . «algoend»- . open-source — . , :

    • open-source ( ),
    • open-source , «algoend».


    , open-source , .
  3. AI / NLP . , — , ( ) , . NLP-, — NLP .
  4. . , (deception) . deception-, «» , .




综上所述，可以预见，从长远来看，我们将逐渐摆脱与程序代码错误相关的网络安全问题，直到消除信息不对称将这一问题减少到零为止。但这不能解决所有网络安全问题。安全是了解IS的功能流程和控制这些流程的能力的一种卓越要素。系统越复杂，在其功能中出现逻辑错误的可能性和人为因素的影响就越大。



有一个非常明确的轨迹，未来的网络安全市场将在人为因素管理解决方案之间划分，而低级安全性将不再以强制保护的形式存在，而将成为平台IT解决方案的组成部分。



作为网络安全改造IT市场（部分2）

如何改变网络安全的IT市场（第一部分）



原创文章发表在这里


More articles:


All Articles