安全理念带动安全创新

网络安全形势严峻

当今的网络安全形势无疑是非常严峻的，Palo Alto Networks大中华区总裁徐涌以互联网安全犯罪事件引出了话题，说明了如今安全形势的严峻与挑战。随着物联网的发展，安全形势已经由以前虚拟的网络安全转变为包括物理概念的安全，例如银行ATM机、智能家居、智能汽车等。因此网络威胁已不再局限于信息的泄露和篡改，甚至还直接威胁到了人身和财产的安全。

然而现在的一些企业却未能随形势转变自己的策略，很多企业有一个过渡时期，其安全策略的设置以及安全防御的架构往往是很久以前建立的，远远赶不上攻击手段的变化。加之人才短缺的问题，专业从事安全行业的人员远远少于市场的需求。

面对这样的现实，攻击与被攻击已经成为了常态，因为计算机成本的降低导致了各种攻击成本的降低，因此攻击变得愈加频繁。面对这种常态化攻击，企业如何来防范？徐涌表示，现在没有一家安全企业能够做到全方位的防御能力保证100%的不被攻入，虽然攻击成本降低了，但我们的防御能力要让攻击者的攻击成功率成本提高，而Palo Alto Networks正是采取了这样的策略，就是要让成功攻击的成本急剧增加，最终让攻击者得不偿失。

攻击的形式在不断变化，尤其是勒索软件的出现更是使企业叫苦不迭，因此从系统的大规模的攻击到小小的勒索软件，所以整个安全变化也是在不断变异。而相应的防御能力则是相对滞后的。

互联网安全发展趋势及应对策略

互联网历史的发展证明了互联网发展的瓶颈是决定其下一代成功的企业在哪里的关键因素。如今则是互联网经济时代，如互联网金融、互联网电商，极大颠覆了我们的生活。而随之而来的是安全问题，没有安全的防御策略，互联网经济是不可能长久的。有了安全，互联网才能成为商业模式，否则互联网仅仅是一个工具。

在全球一体化、互联网扁平化的经济环境里，用户不可避免成为全球的一部分。而攻击的来源则是来自于全球，如果企业只是专注于防御自己已知的东西是注定要失败的防御。

而Palo Alto Networks是通过平台来实现全球一体化防御的，其概念就是不管用户在哪里，在世界上任何一个地方发现了新的威胁，都会得到及时更新。

有的用户认为内网是安全的，只要进入了内网就不再需要安全防护了，但这是个很错误且很危险的想法。事实上，90%以上的攻击往往都是内部发起的，内网从来都不是绝对安全的。在这一点上，Palo Alto Networks一直在推进“零信任”架构，就是在网络里面要做到零信任，任何一点，任何一个人，任何合作伙伴，上下游供应商都是不信任的，这样一个架构才能做到全面防护。

Palo Alto Networks是一个平台，在十年的发展过程中，第一次提出的是下一代防火墙，下一代防火墙当时解决的是应用可视化的问题，同时也是解决各种各样防护工具的一体化。

在安全自动化方面，安全工具的数量与其来自于不同厂商的现状就导致了自动化是极其困难的。因此怎样缩小这个数量，就变得尤为重要。Palo Alto Networks集成了很多功能在工具上，使得工具数量减少了，平台上的软件可以协同工作，同时也增加了自动化的能力及自动防御的能力。

企业应当如何建立正确架构对安全进行正确认知？其防御的基本思路应当是，一是减少被攻击的途径；二是阻止一些已知威胁；三是识别和处置未知威胁。

若要减少被攻击途径，就要实现应用可视化：建立网络流量的可视化，分析并阻止未知流量；实施基于应用和用户的访问控制策略；组织高危应用中的危险文件类型；部署与风险对应的终端保护策略。

在预防已知威胁上：阻止已知的漏洞攻击恶意软件和C&C流量；阻止对恶意或钓鱼URL的访问；扫描SaaS应用中的已知恶意软件；阻止终端上的恶意软件和漏洞利用。

在识别并阻止未知威胁方面：检测、分析文件及URL 中的未知威胁；在整个组织中自动更新对未知威胁的识别和防御能力；建立积极的威胁防御和环缓解机制；在终端上阻止未知恶意软件和漏洞利用行为。其中在识别和阻止未知威胁方面无疑是最困难的。

企业还应建立整合的安全防御平台，通过正确部署和定位；物理和虚拟化环境相结合；最佳的安全信息技术资源；多重检测和预防机制；全球性的威胁分析知识体系；掌控全局，具备快速响应机制，以瓦解高级攻击的整个生命周期。

升级Traps防护产品

Traps是下一代高级端点安全防护解决方案，用以替代传统的防病毒方案，即从多个维度阻止漏洞利用和恶意文件，防护已知和未知威胁。

在阻止恶意文件方面，通过恶意文件隔离、检测和分析、进程执行限制、可信发行机构识别和应用白名单策略。在漏洞利用方面：阻止内存滥用、阻止恶意代码执行、阻止执行逻辑错误。同传统的防病毒防漏洞产品相比，Traps防护产品进行了很大创新。