随着我们迈向数字化转型的第三阶段，收集和分析应用从代码到客户的整个路径中各个环节的数据和遥测信息至关重要。企业高度依赖采用机器学习的分析技术，以获取消费者使用模式、库存跟踪和季节性变化等各类数据，从而提升性能、提高效率并增强竞争优势。同时，机器学习对于应对企业当前及未来将持续面临的高级安全威胁也至关重要。
然而，要充分发挥机器学习的价值，仍有一个至关重要的安全架构问题存在争议：应采用数据包过滤还是代理？近20年前，我在Cisco首席技术官办公室的安全创新团队实习时，这场争论就已十分激烈，并一直延续至今。
早期，网络数据包过滤因侧重速度和吞吐量而似乎占据了上风。数据包过滤方法以单个数据包为处理对象，因此过去通常比面向连接的代理方法更快。基于数据包过滤方法构建的安全解决方案逐渐演变为更具状态感知能力的引擎，并开始具备“应用感知”能力，更加关注应用和身份。不过，基于数据包过滤的安全方案，其核心价值主张仍在很大程度上依赖于高速检查单个数据包。
然而，随着时间的推移，能够深入理解应用的可编程代理不断发展，其价值超越了数据包过滤早期的优势。这种价值主要体现在两个方面：首先，代理可提供对每次交互的可见性，包括从用户到应用、从网络到应用，以及跨逻辑业务流的交互，从而能够检测高级攻击。其次，可编程代理可以注入代码、丰富标头并插入跟踪数据，对客户端和应用进行动态插桩。换言之，仅靠检查已不足以满足需求。代理具备对交互进行插桩的关键能力，可提供发现模式并生成可付诸行动的安全洞察所需的数据广度和深度。
检查与插桩的强大能力
显然，仍需过滤恶意流量，并将检测能力集中用于正常流量。通过将用户身份与其他访问控制策略关联起来，这种架构符合“零信任”设计方法，使组织能够兼顾检测的广度与深度。
此外，攻击手段的复杂程度已超出初级攻击的范畴。对于初级攻击，使用WAF等单个串联设备对连接进行“时间点”分析即可检测。要检测和缓解高级攻击，则需要在一段时间内，关联整个数据路径上的多个信号或数据点。
安全的未来有赖于遥测数据，而不仅仅是从数据包中提取的技术数据点。为此，需要全面了解从客户端到应用再到行为的整个交互过程。机器学习需要海量数据来建立和识别模式。因此，可编程代理是高级安全方法中至关重要的一环。通过检测工具获得的高保真数据可提供丰富的信息，帮助防御应用攻击，甚至预测此类攻击。
归根结底，如果企业在应对高级攻击时始终无法充分利用现有工具，就很难实现机器学习可能带来的性能提升、效率提高和竞争优势。
关于作者
相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。