Joshua Corman是IBM公司互联网安全系统事业部的首席安全战略师，他认为有8种趋势破坏了IT安全从业人员有效防范网络犯罪的能力。从为厂商服务的角度来说，Corman表示他以独特的定位来捕捉安全的薄弱环节。通过名为"八种肮脏的秘密"的幻灯片演示和各种研讨会的形式，Corman希望能推动厂商向更好的方向发展。以下是八种肮脏的秘密的总结，Corman将其作为让厂商保持诚实的实践方法。
肮脏的秘密之一：厂商不需要预防风险，只有买方才需要
这是个导致接下来七种"肮脏的秘密"产生的诱因。Corman表示，这些厂商进入安全市场的目标是为了赚钱，而不是保证用户的安全。
位于休斯顿的Wartsila Corp.公司地区信息管理经理Tom Vredenburg表示，Corman的观点和他在实践中经历的现实情况是相吻合的。"在这种情况下，安全不仅成为一种幻影，而且厂商本身在预防和评估方面也很模糊。他们是软件分销商还是风险管理者？他们是服务提供商还是网络设计者？我购买的是合作还是许可证授权？他们中多数人都不知道自己的定位--他们只是把产品销售那些实际上并不真正需要的多数人--作为一种保险"。
有几家安全厂商正在于这种理念抗衡，Cloakware产品管理总监特里.布朗就包括在内。
布朗表示"归根结底这仍然来源于厂商对安全市场利润的追逐，但是现在由于经济形势的不景气，厂商和用户都开始挖掘更加合理的市场预期，重新调整市场和IT支出"。
肮脏的秘密之二：AV验证冗长
尽管AV工具可以侦测到蠕虫这样的复制木马，但是他们却无法识别特洛伊这样的非复制型木马。虽然自从恶意代码开始出现以来，特洛伊木马就呈泛滥之势，但Corman表示AV识别测试却没有承担起相应的责任。因此企业用户就对安全形成了一种错误的认识，错误的以为他们购买的AV工具正在保护他们免受所有木马病毒的侵害。
Corman表示"目前特洛伊和其他类型的非复制恶意木马占到各种威胁企业安全的病毒总数的80%甚至更多。AV责任标准不再能清楚的反映出威胁的真实状态"。
肮脏的秘密之三：没有边界
Corman表示那些坚持认为存在网络边界的人可能就像他们相信圣诞老人的存在一样。这倒不是说没有边界，只是企业用户混淆了便捷的真实概念。安全厂商也没有采取什么纠正这种错误观念的行动。由于以上在肮脏的秘密之一里提到的原因，肮脏的秘密之三的事实是被掩盖的，导致企业用户去盲目购买那些在解决他们特殊风险方面没有起到作用的产品。
"我们必须对边界的概念予以定义"Corman认为"终端就是边界，用户就是边界。更可能的是企业流程就是边界，或者说信息本身就是边界。如果你没有任何关于边界的基本假设就去设计你的安全控制，当你有了这种概念就会更加安全。我们总是在试图制造错误，如果我们对边界加以控制，结果就很更好。对于很多威胁来说，我们不能再错上加错了"。
肮脏的秘密之四：风险管理对厂商造成威胁
风险管理确实能帮助企业用户理解自己的业务和他们最高级别的风险，Corman表示。但是企业用户的优先权却并不重视与厂商销售的产品理念相一致。
"厂商关注的是单个的问题，因此你会继续购买他们单个的产品"Corman指出"如果你对企业内部的风险优先权没有清晰的认识，厂商就会暗自窃喜，不断的向你推销产品。安全必须和你企业的优先权设置向符合并提供支持。而很多厂商下，厂商是让企业用户去跟着他们的销售逻辑走"。
肮脏的秘密之五：有更多比软件漏洞还严重的风险
Corman表示安全市场上受关注最多的是软件漏洞。但是软件仅是三种受到威胁的方面之一，另两种是薄弱的配置和人员。不幸的是，后两种比起软件安全漏洞的风险更大。
"我们必须去寻找这些系统弱点并打上补丁，我们也必须了解企业用户就像自身最薄弱的链接一样不堪一击。我们应该更多的去关注和缓解另外两种风险，而不仅仅是把注意力集中在软件上"Corman强调说。
肮脏的秘密之六：法规遵从对安全造成威胁
诸如法律和沙宾法案，支付卡行业信息安全标准等法规都推动企业用户去投入更多的资金去关注信息安全。安全厂商显然也捕捉到了这种事实，有针对性的为企业用户提供各类产品，涵盖符合支付卡行业法规遵从的各种产品到满足HIPAA法案要求的卫生保健领域的灵丹妙药。当然这些工具会让企业用户购买的安全产品根本无法正确解决他们所面临的真实风险。
肮脏的秘密之七：厂商盲点导致Storm泛滥
Storm僵尸网络可以被复制和变种。Storm类型的僵尸网络正处于活跃期，从它初次出现到现在几乎有两年时间了。这怎么成为可能的呢?Corman认为原因是：
1）僵尸网络在消费者领域得到蓬勃发展。他们通过散布垃圾邮件到洪水式的股票诈骗来从中牟利。
2）他们将杀毒软件玩弄于鼓掌之间。大量被Storm所利用的技术和创新都并不新鲜；他们只是巧妙的利用了AV验证和AV厂商的盲点。
3）Malcode并不需要弱点。多数Storm僵尸网络都善用社会工程，体育赛事或者假期期间进行渔利。
肮脏的秘密之八：安全需要自己做主
没有战略的技术就是一团乱麻，Corman表示。安全产品的数量和变化的频率在多数企业中都过度饱和了，超出了他们能适应的能力。
"企业仅仅意识到他们现有投资能力的一小部分。另外产品的成本通常也是总体拥有成本的一部分"Corman称"你自己来完成这项工作还是有时间的"。
因此厂商社区必须停止向企业推销产品，让他们自己来进行选择。
网友评论