本文来自微信公众号“科技云报到”。
随着云计算、大数据、物联网等创新技术的加速落地，企业原有的网络边界被打破，各种终端设备如：笔记本电脑、台式机、平板电脑、智能手机、物联网终端等成为了新的安全边界。
在此背景下，想确保企业高效办公的灵活性、安全性和隐私性，就必须让终端设备具有与时俱进的安全能力，而不是一味通过管理措施去限制员工对终端设备的使用。
但是，要实现全面的终端安全防护并不容易，企业安全团队在开展终端安全能力建设时面临多重挑战。
终端安全事件频发
政策合规走向实战化
近年来，随着黑色产业链的萌生和壮大，网络安全环境愈加复杂，APT攻击、勒索病毒、挖矿等攻击手段大行其道，而传统终端防护手段已很难对此类攻击有防护效果。
过去十年，全球发生了多起终端安全事件，例如：
2016年发生多次针对ATM发起网络攻击导致ATM机自动吐钱的黑客事件，经过研究人员分析，黑客实现对银行内部的ATM专用网络植入了恶意程序，最终实现操控ATM机吐钱。
2017年5月，勒索病毒WannaCry爆发，全球范围近百个国家遭到大规模网络攻击，恶意病毒利用漏洞在内部网络大范围传播和感染，造成严重损失。
2020年12月，美国多个重要政企机构遭受了国家级APT组织的入侵，攻击疑似由于网络安全管理软件供应商SolarWinds遭遇国家级APT团伙高度复杂的供应链攻击并植入木马后门导致。
不仅如此，以网络钓鱼为代表的社会工程攻击也对企业终端安全构成了严峻的挑战由于开展网络钓鱼活动的成本不断降低，网络钓鱼已经成为目前最常用的终端安全攻击途径之一。
据思科公司研究报告显示，86%的企业都遇到过至少一次钓鱼攻击。只要有一名内部员工沦为网络钓鱼攻击的受害者，他们就可能无意中将恶意软件传播到整个网络，导致严重的后果。
从企业自身看，由于数字化转型的加速，企业对于终端设备的使用方式都发生了巨大的改变。
一方面，大多数企业都采用了多种终端设备，包括移动设备、笔记本、无线设备和桌面设备等。这些终端设备运行在不同的操作系统上，想要跟踪记录所有联网终端的操作与使用情况非常困难，这也使得安全团队对终端设备使用的可见性非常有限。
缺乏可见性严重影响了企业及时发现易受攻击的终端和发生在这些设备上的可疑活动。而大量的恶意软件正是利用这一特点，长期潜伏在已被攻陷的终端设备中，伺机窃取或加密组织的敏感数据。
另一方面，后疫情时代，远程办公已经成为现代企业工作模式的新常态，这让保护远程终端安全变得颇具挑战性。由于远程办公时，员工是在企业物理网络之外工作，往往难以严格遵循企业网络安全管理的最佳实践要求。
此外，企业对远程办公终端的安全控制能力也很有限，比如员工一旦在咖啡馆等公共场所遗失手机、笔记本等终端设备，就会危及企业整体的数据安全。
同时，很多企业都会允许并鼓励员工在自带设备（BYOD）上办公，但BYOD设备属于员工个人所有，企业如果无法对这些设备进行有效的管理和控制，将是企业未来终端安全建设中面临的一大挑战。
在政策层面，国家越来越重视网络安全，企业安全建设方和监管机构也从传统的“产品检查”转换为当代的“能力检查”，以往堆砌网络安全设备的就能应付合规要求和检查的方式，转变为实战化的效果验证。
面对外部网络安全环境、政策要求和企业数字化需求的变化，企业应如何开展终端安全建设？
企业需构建新一代
终端安全防护能力
研究机构Forrester在《终端安全管理的未来》研究报告中指出，对所有终端设备进行有效的安全防护和管理，是保护企业数字化转型安全开展的基础。而组织在开展新一代终端安全防护能力建设时，也需要重点关注以下技术发展趋势：
加大AI技术应用
将新一代AI技术用于终端安全建设已经越来越普遍，可以在无需人员干预的情况下自动修复端点问题。此外，AI为终端系统自我修复带来了更大的弹性。
研究人员认为，新一代终端安全防护平台需要在应用程序、操作系统和固件这三个主要层面提供自我修复，才能起到实际效果。
其中，嵌入在固件中的自我修复将最重要，因为它确保端点上运行的所有软件。固件层面的自我修复也很有必要，如果在端点上运行的端点安全代理崩溃或损坏，固件层面的自我修复有助于快速修复。
体系化的终端安全能力
统一终端安全防护平台可以提供终端检测和响应（EDR）、漏洞管理、反网络钓鱼以及生物特征验证。
调查发现，企业组织需要为整合的终端安全管理和防护平台提供统一视图，实时了解所有终端的安全运行情况，体系化解决方案能力也将成为评价终端安全厂商竞争力的重要因素。
增强用户的应用体验感
新一代终端安全解决方案需要广泛收集用户体验监测数据，并作为产品优化的参考依据。
增强用户体验可以先从缩短设备启动时间的这一场景开始，随后范围会扩大到应用程序、网络和身份验证机制等。
增强用户体验的目的是提供更安全的终端安全应用，同时让用户几乎感觉不到对数字化业务的影响。
以隐私数据保护为中心
企业需要在支持员工自带设备的同时，加大对核心应用和隐私数据的保护。因此，新一代终端安全能力建设需要更关注以数据和应用程序为中心的保护，而不是对硬件设备的保护。
目前，独立的数据安全技术已经被大量采用，即便在员工自己购买的终端设备上，也可以使用虚拟化隔离系统，来分离公司数据和个人数据，这样不仅为员工提供了更好的灵活性，也为企业带来了更好的安全性。
新一代终端安全解决方案
的关键性能力
那么，从技术上看，新一代终端安全解决方案需要具备哪些关键性能力？
事实上，由于传统终端安全关注已知威胁，如防病毒、终端HIPS、HWAF类，基于已知特征进行防护，对于APT攻击、勒索、挖矿等高级攻击、病毒、木马的变种等高级威胁，这些基于规则的主机防护软件都已经失去了作用。
因此，新一代终端安全产品需要新技术来补充上层的安全能力：
主机行为分析
利用终端病毒检测能力、行为检测能力等，结合终端安全服务端上的关联分析能力，精准识别主机各类异常文件及异常行为，包括：僵木蠕异常文件分析、密码嗅探、U盘异常文件操作、边界文件行为分析、Webshell后门分析、反弹shell分析、挖矿木马分析等。
威胁情报
基于大数据技术统一汇聚各类终端日志，结合绿盟实时威胁情报数据（IP、域名、样本hash），通过威胁分析建模引擎、异常行为分析引擎等进行深度危险关联分析以及威胁判定实现对APT攻击等的有效检测。
机器学习
依赖于对攻击数据的训练及学习，不断增强威胁检测模型及检测能力，从而更加准确、智能化的应对威胁及其变种。
威胁狩猎
利用终端诱捕系统中的蜜罐检测技术、模拟IP技术、模拟漏洞技术、模拟服务技术、诱饵技术等，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁。
内存马检测
针对主机的内存保护技术，可有效应对一些新型攻击手段、病毒变种等威胁，特别是内存Webshell，从而保障业务系统的安全。
微隔离技术
基于零信任的设计理念，提供对终端精细化的点对点自适应访问控制能力，以保证终端安全风险的精细化即时响应。切实做到既能保证威胁的有效隔离，又能保证业务影响最小化。
自动化响应
基于安全分析产生的运维事件，进行运维模型的构建，进一步确定当前威胁运维模型的防护模型，并基于当前的事件智能提取防护参数，从而形成一系列的安全防护策略。同时，系统还可以根据客户化诉求，确定自动化执行防护策略或者人工审核执行。
溯源分析
提供全景式展示攻击者的攻击时序过程、攻击所处攻击阶段及对应的ATT&CK攻击图谱、可视化攻击进程父子关系等，帮助运维人员溯源攻击者的行为及最终意图。
需要特别指出的是，以上安全能力建设都不是独立的，而是需要与整体的安全防护框架及体系紧密融合。它不仅要保证终端自身的安全，也要保证其他层面的安全。
而整体的安全防护包括网络安全、应用安全、数据安全等多个方面。在整体防护的基础上，通过对终端设备的加强防护，可以有效防范终端设备被攻击的风险，保障企业的信息安全。
