选型宝访谈:面对APT,如何以DLP构建金融数据泄漏的最后防线?

写在前面

在“数据即一切”的时代,数据安全是用户讨论最多的话题之一,也是这些IT管理和决策者们平时绷得最紧的那根神经。对于银行、保险等金融企业的CIO和CSO来说,情况更是如此,因为与其他行业相比,金融企业拥有的数据资产更庞大,也更关键:账户信息、交易数据、用户身份信息……保障这些核心数据资产的安全,对CIO和CSO们来说,是份内工作,更是使命和责任。

然而,要选择一款合适的数据安全产品,却不是一件容易的事情。长期以来,数据安全技术一直被国外企业所垄断,相关产品不但价格昂贵,还无法满足国内很多企业的合规性要求。

带着这些问题,选型直播采访了天空卫士的合伙人兼技术总监杨明非先生。

下面,就让我们一起来听,选型宝首席架构师李维良与杨明非先生的精彩对话吧。

李维良(主持人)

信息安全、网络安全、数据安全,它们之间的区别是什么?

杨明非

信息的概念很宽泛,它可以是落在纸面上的,也可以是存在电脑里的,也可以是记在大脑中的,当我们需要对这些信息进行保护的时候,信息安全的概念就出现了。因此,在这3个概念中,信息安全最大,也提出得最早。

随着计算机网络的出现和普及,网络安全的概念应运而生了。顾名思义,网络安全是和通信链路相关的,它更关注数据在传输过程中有没有被*和窃取。

近年来,数据安全的概念越来越受到关注,并频繁出现在我们的技术话语中。一方面,随着大数据时代的到来,数据已成为企业的核心资产,被人们称为“没有进入资产负债表的资产”,其价值正日益凸显。另一方面,来自内部和外部的安全威胁也变得日益频繁和复杂,而无论是防护还是窃取,目标都会落在数据上,数据安全无疑是信息安全的核心与灵魂。

从信息安全到网络安全,再到数据安全,是一个逐步聚焦的过程,也基本代表了安全理念和安全技术的发展历史。

李维良

今天的企业,特别是银行、保险等金融企业,所面临的安全威胁有哪些新的变化?

杨明非

在所有行业中,金融无疑是最受“青睐”的行业。在银行、保险、证券等企业中,存有大量和钱相关的信息,如账户信息、交易数据等,同时还有大量的客户信息,如×××号、电话号码等。这些信息数量大、价值高,很容易成为者的猎取目标。

随着时间的推移和技术的发展,这些企业所面临的安全威胁,也发生了“日新月异”的变化。大家可能还记得,在2008年奥运会期间,发生过多起针对银行系统的DDoS,这些以业务系统的“可用性”为目标,利用目标系统网络服务功能缺陷,或直接消耗其系统资源,使目标系统无法提供正常的服务。

而今天,APT(Advanced Persistent Threat)开始大量出现,这类均以窃取数据为目标,而且更加隐蔽,更加专业。新型威胁的大量出现,为金融企业的数据安全,带来了新的挑战。

李维良

今天,面对日益复杂和频繁的安全威胁,我们需要哪些新的理念、技术和产品?

杨明非

为了抵御各类安全威胁,金融企业配备了防火墙、IPS(防护)、IDS(检测)等安全设备,这些传统的安全设备有一个共同的特点:它们无法感知内容。

比如,它们能够检测到,某个URL中包含了一个SQL注入*,但它们无法知道,一个正在出站的WORD文档中的某张图片,包含了50条敏感的个人身份信息。

在新的安全威胁面前,传统防护设施已显得捉襟见肘,力不从心,无法为企业的核心数据资产提供更有效的保护。在这种情况下,一种新的理念和趋势出现了,那就是以数据为中心的安全,而基于UCS(统一内容安全)技术的DLP(数据泄漏防护),就是在这一趋势下诞生的典型产品。今天,业界普遍认为,采用UCS技术的DLP和ASWG(增强型Web安全网关)是保护用户核心资产的最有效途径。

李维良

UCS技术有哪些核心内容?它是如何对文件的复杂内容进行分析的?

杨明非

UCS基于统一的企业数据安全策略,通过指纹识别、数据分类、实时安全扫描等先进的数据安全技术,对企业各种数据内容进行全方位的保护,包括企业敏感数据的泄漏检测和阻断、恶意代码或病毒的下载保护、恶意网站访问的识别和拦截等。

文件内容分析是UCS的核心技术之一,它的实现细节,讲起来时间会比较长,我在这里只为大家简要介绍一下。首先,我们要建立各种通道,将数据捕获过来,这个通道可以是网络中的一个旁路,也可以是终端上的一个插件,或者是一个代理服务器。获得数据之后,我们要做的第一个动作,是按照协议和格式,将其还原成文件。如果文件的内容是图片,我们会利用OCR(光学字符识别)技术,将其转换成文字。对于文字内容,我们会进一步做自然语言的语义分析,判断其中是否包含敏感信息,如果有敏感信息,再做阻断、加密等后续处理。

将上述过程拆开来看,每一步都不是特别复杂,但要将其整合起来,并在网络上实时运行,快速处理大量数据,就非常具有挑战性了。

李维良

SecGator DLP,它的产品形态是怎样的?

杨明非

SecGator DLP是我们的主打产品之一,它实际上是一个产品系列。从形态上来说,既有硬件盒子,也有虚拟机这样的纯软件。从功能上来划分,则有三个大的类型:第一种是网关,它主要是以旁路、代理等方式,获取网络流量;第二种是终端,它以软件的形态,安装在Windows或苹果电脑上,并对USB口输出等行为进行监控和管理;第三种是管理平台(UCSS),它是整个系统的大脑。

李维良

SecGator DLP 支持哪些部署方式?

杨明非

SecGator DLP的部署方式非常灵活,既支持传统的本地部署,也支持混合云部署和纯云化部署。

传统部署是大家比较习惯的一种方式,在这种方式下,SecGator DLP网关(UCSG)以合盒子的形态,串接在企业内网的出口处。UCSG监控所有的网络请求,并将监控到的敏感信息发送至UCSS做DLP事件记录。

对那些拥有很多分支机构的大型企业来说,购买大量的盒子,不但需要庞大的费用支出,也会带来管理上的难题。在这种情况下,混合云部署是不错的选择。在这种方式下,网关(UCSG)被搬到了云端,成为Hybrid UCSG,本地终端通过路由器GRE方式,将流量指向Hybrid UCSG,后者监控所有的网络请求,并将监控到的敏感信息发送至UCSS做DLP事件记录。

而对于100人左右,甚至规模更小的企业来说,纯云部署无疑是更经济适用的方式。纯云部署将UCSG和UCSS全部搬到了云端,企业只需通过路由器的GRE方式,将流量导向云端的Cloud UCSG,自身不需要额外购买任何硬件设备。

李维良

面对海量数据和深度内容分析所带来的大吞吐量和高密度运算,SecGator DLP是如何解决性能瓶颈问题的?

杨明非

SecGator DLP系列产品的高性能,是通过两种方式得到保证的。首先,在设计上,我们采用了统一而灵活的系统架构,在这个架构下,我们又使用了很多新技术,以确保每个单体的高性能。

第二,我们同时使用了并行计算技术。SecGator DLP中的任何一个模块,我们都可以把它拆分出来,并按需进行横向扩展。通过灵活扩展和并行计算,可以大幅提高SecGator DLP的整体性能。

李维良

哪些行业、哪种类型的企业更需要SecGator DLP这样的产品?目前有没有成功的应用案例?

杨明非

针对DLP产品,我们前段时间刚做了一个市场分析,发现各行各业都需要它, 只要你的企业有数据,并认为数据是企业的重要资产。

当然,这其中也有一些热点行业。首先是金融企业,它们自身有数据保护的强烈需求,同时又有更多的合规性要求;第二个是互联网企业,特别是那些2C的公司,它们手里有大量的个人隐私信息需要保护。另外,医疗、制造业、军队、*等,也是DLP产品的需求主体。

目前,天空卫士的SecGator DLP等数据安全产品,已经在航空、快递物流、金融(银行、保险、基金、证券)等行业,得到了非常广泛的应用。

李维良

SecGator DLP和ASWG与新一代防火墙(NGFW)是什么关系?

杨明非

ASWG和NGFW在功能上有一些交集,比如,它们都可以对URL进行分类,知道用户访问了哪些网站。SecGator DLP/ASWG与NGFW、传统防火墙、上网行为管理等设备等并不冲突,它们可以配合使用,共同为数据提供多重保护。

但是,与DLP产品相比,其他安全设备都无法对文件的内容进行深度分析。比如,某个员工向外发送了一个WORD文档,这个动作很多设备都可捕捉到,但是只有基于UCS的DLP会告诉你:这个文档内嵌了一张图片,而图片中含有50个敏感的电话号码。

李维良

谢谢杨总的分享。

上一篇:选型宝访谈:面对新型威胁,如何构建全局可视的企业“安全大脑”?


下一篇:选型宝访谈:怎样构建端到端的IT透视能力?