2018年11月，美国国会通过一项法案，成立了网络安全和基础设施安全局（CISA）。CISA隶属于美国国土安全部，负责从联邦层面应对日益严重的网络攻击威胁。美国人事管理局（OPM）在2015年发生的大规模数据泄露事件使这一威胁受到广泛关注，该事件导致2,200万名联邦雇员的个人数据遭到泄露。
提升联邦网络安全水平的一个关键要素是可见性，CISA正通过持续诊断与缓解（CDM）计划解决这一问题。去年，美国国会将CDM计划的资金增加了5,350万美元，使该计划的拨款总额达到2.135亿美元。
该计划旨在缩小各机构的威胁面，提高其网络安全态势的可见性，增强响应能力，并简化报告流程。随着这些资金实际投入技术领域，各机构需要认识到，没有任何一家供应商能够独自解决CDM涉及的所有问题。
基于这一点，下面深入了解几项有助于实现可视性的技术，并分析它们之间的关系。
SSL可见性
先从一个看似显而易见的问题说起：联邦机构需要了解其网络中的进出流量，以确认其中不含恶意流量。许多安全设备可以检查流量并检测威胁，但如果流量经过加密，就无法执行这些操作，而互联网数据中有90%都经过了加密。
这在一定程度上形成了两难局面。加密虽然可以保护数据隐私，但也可能掩盖恶意软件。要解决这一难题，可以使用SSL可视化产品。这类产品会根据IP信誉、端口和协议、URL分类等上下文，在将流量转发至安全工具之前对其进行解密和重新加密。
SSL可视化工具让安全设备能够专注于其擅长的工作，即真正分析流量，而不必将宝贵资源耗费在密集的解密和重新加密过程中。缺少这一关键步骤，就无法全面洞察网络威胁。
改进监控
如果机构无法解密其网络中的入站和出站流量，就无法正确记录这些流量，而日志记录和报告是CDM要求的关键组成部分。只有正确解密流量，机构才能将其发送到集中位置，以便进行日志记录、监控、报告和进一步分析。
例如，在正确解密和记录日志后，各机构便可利用行为分析、人工智能和机器学习来分析流量行为。目前，88%的联邦民事机构正在使用一款名为Einstein的工具开展此类分析。
但同样，这些环节必须相互配合。没有上述解密，就无法进行高级分析。
保护资产
SSL可见性可解密加密流量，使安全设备能够协助记录和保护这些资产。但保护资产的方法有很多。首先，机构需要防范OWASP十大威胁和新出现的零日攻击。另一种风险缓解策略是记录和监控流量，以便进行分析，这进一步凸显了网络安全各组成部分之间的相互关联。
同样，许多多服务应用保护平台也能够且必须防范恶意机器人流量。各行各业都面临账户接管、漏洞侦察或拒绝服务等自动化攻击，美国联邦政府也不例外。
整合应用
CISA的CDM计划带来了一项复杂但重要的难题，任何机构都无法仅依靠一家供应商解决。随着机构需要防御的攻击类型日益增多，资产保护本身就需要多种解决方案。但要实现这种保护，还必须满足其他要求，例如解密流量并记录日志。
归根结底，机构无法保护看不见的资产。这正是CDM计划的驱动力，但机构必须确保部署适当的工具，以获得必要的可见性。解密加密流量、将其发送到中央日志、运行行为分析并建立适当的资产保护，是一个良好的起点。
作者：Ryan Johnson，F5联邦解决方案工程负责人
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。