大型机、个人电脑、客户端/服务器系统、互联网、移动计算、云、混合云、物联网,信息技术从未停止进化。同样在进化的,还有我们对信任和安全的认知,以及我们是怎样实现信任和安全以保障互联网世界的安宁。
80年代个人电脑开始在全世界售卖时,除了那些军事、政府或科研用途的系统,没人觉得安全会是一个基本组件。然而,随着90年代早期互联网开始席卷世界,情况完全变化了。公司和客户的联网系统突然之间为坏人诈骗他人提供了大量的机会。如今,到了2016年,我们必须时常加强和升级我们设备和系统上的安全措施,以抵挡犯罪分子的攻击。
随着新技术和运动的引入,企业安全这些年来是如何进化的?在未来,我们又能看到什么景象呢?
1. 安全黑暗时代
在计算机出现之前,企业就有需要保护的资产了,其中一些还十分脆弱,比如知识产权。安全与控制通常从企业的财务部门开始演化,其中很多控制方法到今天依然有效。比如说,物理安全措施、审慎的人事审查,以及对高价值资产的双重管控。
2. 大型机的黎明
早期商业计算机系统执行批处理任务,通常都在大型机上。所有的计算资源一般都统一放置在一个地方——在我们开始称之为“数据中心”前一般是叫做“机房”的。当时的很多控制如今依然适用:保证人、机房和进出房间的物理部件(磁带、卡片叠、打印件)的安全。
3. 边界的引入
分时共享技术出现了,随后,客户端/服务器计算模式诞生。用户再也不用待在机房;系统可从任何地点访问。边界安全随着RADIUS之类协议被引入,与传统数据中心控制一起执行安保任务;支付卡PIN码和通信线路一类的东西也加上了加密来保护数据。
4. 互联网产生了新的脆弱点
互联网在1994年到来,边界安全随之得到重视。防火墙相当于数据中心大门守卫的网络版,虚拟专用网(VPN)让数据中心可以被虚拟延伸,安全套接字层(SSL)提供了安全通信和通用信任模型。另外,在线访问成为了愈趋重要的业务执行和保障渠道,而不仅仅是为在外员工访问所设。但是,新的攻击和弱点也同时显现了。所有这些终端都成为了新的攻击点。
5. 安全随云而来
云计算兴起了,随之而来的是资产纷纷从企业IT部门的物理管控中脱身而出,进入数据中心,与竞争者们的资产共处一室。这些资产的安全取决于云提供商。身份成为了安全的关键,也随着身份盗用而成为了攻击点之一。随着消费者互联网使用的腾飞(尤其是社交媒体),弱点也更加恶化,催生了渔叉式网络钓鱼之类的复杂攻击。因此,ID联盟诞生,帮助管理大量用户身份,在不同系统之间建立身份信任模型。
6. BYOD暴露出企业移动安全挑战
手机进化成了智能手机,接打电话和收发短信已不再是手机仅有的功能。这造成了终端数量和类型的大爆发。“自带设备办公(BYOD)”让企业IT设备安全问题更加复杂了(管控减弱,而复杂度增加),而WiFi和蜂窝网络也引入了新的攻击方法。加密和身份识别,以及移动设备安全的改进,变得比以往任何时候都要重要。
7. 安全随新应用架构而进化
虚拟化的发展促进了应用架构的革新。虚拟机让服务器资源得到了更好的利用、隔离和管理。如今,容器化和微服务成为了开发的新方式,尤其是在持续集成/持续部署的情况下。应用本身可采用能在任何地方运行且生命周期有限的计算单元,也就可以分布式部署。因此,安全也需要进化,专注于工作量,而不仅仅是基础设施和人。
8. 可信物联网的引入
下一个是什么?物联网将引发另一波联网设备数量的指数式暴增,新的复杂性和威胁随之引入。应用开发将沿更小、更轻的事件驱动计算路线发展。海量计算能力和数据存储将成为常规必备,让新的威胁和相应的对抗工具有了诞生契机。竞赛将会持续,魔高一尺道高一丈,防御者持续筑高城墙,而攻击者争取跳得更高。
随着新技术的引入和时代的发展,企业安全已经与过去大不一样,而改变还将持续到未来。
====================================分割线================================
本文转自d1net(转载)