压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

　　在2014年黑帽大會(huì)上，雅虎首席信息安全官Alex Stamos譴責(zé)企業(yè)級(jí)安全公司沒(méi)能應(yīng)付好“大規(guī)模和系統(tǒng)多樣性”，并呼吁供應(yīng)商抓住機(jī)遇進(jìn)行創(chuàng)新。

　　雅虎每個(gè)月需要處理來(lái)自超過(guò)8億獨(dú)立用戶的流量，并運(yùn)行數(shù)以萬(wàn)計(jì)的Web服務(wù)器。然而，根據(jù)該公司的首席信息安全官表示，安全行業(yè)并沒(méi)有產(chǎn)品能夠有效支持這種大型網(wǎng)絡(luò)資產(chǎn)的規(guī)模和系統(tǒng)多樣性。

　　在2014年美國(guó)黑帽大會(huì)上，雅虎的Alex Stamos(在今年年初組織了另類(lèi)RSA大會(huì)–TrustyCon大會(huì))表示，安全供應(yīng)商過(guò)于專(zhuān)注于“將更多功能整合在單一產(chǎn)品中”，而忽略了基本功能、帶寬和處理能力，而這正是雅虎等公司保護(hù)其用戶和數(shù)據(jù)所需要的功能。

　　這一趨勢(shì)產(chǎn)生了Stamos所謂的“超級(jí)智能比薩餅盒”，或者說(shuō)單任務(wù)安全設(shè)備，這種設(shè)備有時(shí)候只能處理該公司環(huán)境中數(shù)千臺(tái)服務(wù)器中一臺(tái)前端服務(wù)器的流量，因?yàn)樗鼈円幚砀鞣N安全情報(bào)。

　　Stamos特別指出了類(lèi)似PaloAlto公司的PA-7500等產(chǎn)品，該產(chǎn)品是Palo Alto下一代防火墻產(chǎn)品系列中最昂貴的產(chǎn)品。他表示他個(gè)人認(rèn)為，PA-7050本身不錯(cuò)，但當(dāng)開(kāi)啟所有安全功能時(shí)，其最大吞吐量只有100Gbps，這意味著雅虎將需要購(gòu)買(mǎi)幾百臺(tái)這種設(shè)備來(lái)為該公司一臺(tái)交換機(jī)的流量提供安全服務(wù)。對(duì)于像雅虎這樣的高流量Web特性，這種安全架構(gòu)完全不實(shí)用，這就好像把一名警察安排在城市的每個(gè)街角。

　　與此同時(shí)，Stamos表示雅虎的安全團(tuán)隊(duì)正努力辨別注冊(cè)該公司各種服務(wù)的數(shù)百萬(wàn)用戶中，哪些是合法用戶，哪些正試圖進(jìn)行欺詐活動(dòng)，這種情況就像是聚集在商場(chǎng)的世界末日后的幸存者面臨僵尸的猛攻。

　　“在我們的商場(chǎng)中每個(gè)月有8.5億用戶，我們需要知道誰(shuí)是僵尸，誰(shuí)是真正想加入我們的合法用戶，”Stamos表示，“這是非常難以解決的問(wèn)題。”

　　企業(yè)安全產(chǎn)品：價(jià)值vs霧件

　　企業(yè)往往很難找到提供投資回報(bào)率的企業(yè)安全產(chǎn)品。他提到一家不愿透露名稱的企業(yè)軟件安全公司試圖向其公司推銷(xiāo)一款產(chǎn)品，該產(chǎn)品可以操縱Windows內(nèi)核來(lái)判斷是否有“APT攻擊者”(賣(mài)方所描述的)已經(jīng)滲透到Windows系統(tǒng)。

　　根據(jù)Stamos表示，該產(chǎn)品不僅給雅虎的架構(gòu)帶來(lái)了不可接受水平的平臺(tái)不穩(wěn)定性，而且它還完全忽略了在相同環(huán)境中運(yùn)行的Mac和Linux系統(tǒng)。

　　很多時(shí)候，企業(yè)安全公司忽視了各種規(guī)模的企業(yè)環(huán)境中的系統(tǒng)多樣性；很多這些環(huán)境包含Windows替代品和孤立的傳統(tǒng)系統(tǒng)，這些都是關(guān)鍵系統(tǒng)，必須得到保護(hù)。

　　在Stamos明確表達(dá)了他不需要安全供應(yīng)商所提供的功能的同時(shí)，他還提到他希望看到更多的東西：即可以發(fā)送數(shù)據(jù)回人類(lèi)的“啞巴”傳感器，然后人可以查看數(shù)據(jù)判斷是否存在異常，并在必要情況下進(jìn)行進(jìn)一步調(diào)查。Stamos提到了基本上是成功的銀行業(yè)的安全模式，其中可疑轉(zhuǎn)賬會(huì)被銀行職員標(biāo)記和審查，然后他們會(huì)鎖定賬戶直到他們聯(lián)系到賬戶持有人。

　　Stamos分享了他在未來(lái)希望從企業(yè)安全公司看到的安全技術(shù)清單，包括相當(dāng)于MySQL的免費(fèi)增值密鑰管理、具有輕型遠(yuǎn)程認(rèn)證的ARM服務(wù)器和具有遠(yuǎn)程握手功能的OpenSSL。

　　他指出，雅虎是HackerOne的客戶，他還希望看到漏洞獎(jiǎng)賞機(jī)制添加某種形式的自動(dòng)驗(yàn)證，讓企業(yè)必須要獨(dú)立評(píng)估每個(gè)提交給他們的漏洞，這將提高沒(méi)有大型專(zhuān)門(mén)的安全團(tuán)隊(duì)的漏洞獎(jiǎng)賞機(jī)制外包企業(yè)的吸引力。

　　最重要的是，安全行業(yè)不要再以害怕復(fù)雜攻擊者(例如來(lái)自美國(guó)國(guó)家安全局)會(huì)攻擊他們?yōu)榻杩冢惶剿餍碌谋Ｗo(hù)方法。這種借口忽略了這樣的事實(shí)，絕大多數(shù)用戶都不會(huì)受到這種攻擊，而是受到簡(jiǎn)單釣魚(yú)攻擊的影響，這些攻擊也困擾著雅虎電子郵件服務(wù)的用戶。

　　Stamos宣布在2015年雅虎電子郵件用戶將可以使用終端到終端PGP加密，他最后懇求安全行業(yè)將其注意力轉(zhuǎn)移到保護(hù)“普通”用戶，而不是采取默認(rèn)的態(tài)度認(rèn)為他們會(huì)簡(jiǎn)單地取消任何和所有安全措施。

　　“我最討厭的事情是我們不能保護(hù)用戶的安全，因?yàn)樗麄儾宦斆鳌Ｈ绻覀儤?gòu)建的系統(tǒng)讓25%不能使用，我們將會(huì)失敗，”Stamos表示，“普通用戶確實(shí)會(huì)輸入其密碼到任何位置，這意味著我們需要取締密碼。”

　　“在斯諾登泄密事件后，我們有一種虛無(wú)主義讓我們沒(méi)有專(zhuān)注于真正的東西，”Stamos補(bǔ)充說(shuō)，“這是關(guān)于了解你用戶面對(duì)的真正問(wèn)題，我們作為一個(gè)行業(yè)需要放松一些限制。”