基于云的端點安全服務(wù)與企業(yè)內(nèi)部安全服務(wù)相比遠(yuǎn)不夠成熟，如何在經(jīng)驗和案例均不足的現(xiàn)階段成功完成自己的云端安全服務(wù)?這是個困擾著很多CSO的問題。

　　所謂知己知彼百戰(zhàn)不殆，除了對自身的需求做一番仔細(xì)的考量外，另一方面就是搞清供應(yīng)商的產(chǎn)品和服務(wù)了，雙管齊下才能確保攻下云端安全服務(wù)這個碉堡。

　　在云端安全三大注意事項：部署、警報與報告一文中，我們已經(jīng)做了初步闡釋，而本文將進(jìn)一步揭秘供應(yīng)商端點安全服務(wù)中的各種缺失，為企業(yè)完善云端點安全提供“知彼”的途徑，以便企業(yè)用戶在選擇云服務(wù)時少走彎路。還是以Tolly集團(tuán)最近發(fā)布的原型部署機(jī)制體驗報告為基礎(chǔ)，依然是來自五大知名云服務(wù)供應(yīng)商的服務(wù)產(chǎn)品，真相如下，給CSO們提個醒，選產(chǎn)品一定要在下面的細(xì)節(jié)擦亮眼睛：

　　云端點授權(quán)需明確

　　某些云端點安全服務(wù)允許使用者創(chuàng)建多個管理用戶，然后將不同企業(yè)部門的管理工作委托給特定管理員。某些安全服務(wù)甚至提供“只讀”管理員角色，旨在幫助管理者在進(jìn)行端點安全監(jiān)控時確保其內(nèi)容不變。

　　但是并非所有的供應(yīng)商都能做到這一點，如果大家的企業(yè)希望將不同端點部門的管理職責(zé)委托給不同管理員，一定要向服務(wù)供應(yīng)商核實是否提供此類功能。當(dāng)然，最重要的是搞清楚管理員能對端點客戶端進(jìn)行哪些管理操控。

　　云服務(wù)策略配置有缺失

　　端點運行所遵循的規(guī)則通常由策略配置文件來定義。在研究中，我們試圖建立一套具有以下屬性的策略：每四小時更新一次簽名文件、每天運行一次全局掃描并在反惡意軟件掃描中排除特定文件/目錄。令人驚訝的是，如此基本的策略配置屬性居然都無法在全部五種云端點安全服務(wù)中實現(xiàn)。舉例來說，某項服務(wù)不允許對簽名文件的更新頻率做出任何修改，也不允許設(shè)置掃描例外。另一家供應(yīng)商的產(chǎn)品則將默認(rèn)策略設(shè)為只讀，因此所有其中不支持的功能就只有通過創(chuàng)建一套自定義策略才能實現(xiàn)——這也是我們達(dá)成上述屬性需求的惟一途徑。

　　反惡意軟件系統(tǒng)的任務(wù)在于搶在威脅損害端點之前對其進(jìn)行檢測與隔離。通常情況下，威脅的隔離審查工作應(yīng)該由管理員執(zhí)行。經(jīng)過審查流程，管理員往往會刪除實際威脅并對錯誤警報結(jié)果予以放行，這樣被一次誤報的文件就不至于在未來的掃描中再次遭到攔截。令人驚訝的是(請原諒我們又驚訝了)，并不是所有參與評測的端點安全服務(wù)中的反惡意軟件都提供這項功能。某些只是簡單將全部被檢測為病毒的文件刪除，這樣粗暴的解決方式很可能給多數(shù)企業(yè)帶來大麻煩。

　　同樣地，我們也觀察了管理員應(yīng)當(dāng)如何處理被誤報為病毒且遭到隔離的文件。由于某些服務(wù)根本不提供警報內(nèi)容管理功能，因此管理員根本無法對誤報狀況做出補(bǔ)救。只有一款產(chǎn)品允許管理員自動將誤報項目添加至例外名單，其它幾種產(chǎn)品只能通過手動方式添加例外項目，從而讓誤報對象繼續(xù)正常運行。(雖然添加工作倒也不算復(fù)雜，但如果誤報狀況數(shù)量龐大，肯定會明顯消耗管理員的時間與精力。)

　　云端點交互問題多　作為研究報告的最后一部分，我們審視了如何以各種方式與特定端點進(jìn)行交互操作。

　　按需掃描觸發(fā)機(jī)制：如果某個端點出現(xiàn)可疑行為或大量威脅，安全管理員必然希望為其設(shè)置一套按需掃描觸發(fā)機(jī)制，從而在此類情況再次發(fā)生時改動進(jìn)行處理。令人驚訝的是，五項評測服務(wù)中居然有一項完全不支持該功能。其它幾項則只允許在組級別進(jìn)行按需觸發(fā)。因此，如果要對某個單獨端點進(jìn)行掃描，我們必須創(chuàng)建一個新組并將對應(yīng)端點分配到該組當(dāng)中，然后才能實現(xiàn)掃描觸發(fā)。有鑒于此，我們不得不向供應(yīng)商提出質(zhì)疑：為什么不提供指向單一設(shè)備的選項?在現(xiàn)有方案下，管理員幾乎不可能在無需手動操作的前提下實現(xiàn)自動掃描觸發(fā)。

　　暫時禁用反惡意軟件功能：需要暫時停用反病毒功能才能正常安裝的程序倒不太多見，然而暫時叫停反惡意軟件掃描工具確實能夠簡化端點的故障排查流程。因此，管理員當(dāng)然希望能對端點上的反惡意軟件功能隨時進(jìn)行開啟及關(guān)閉。然而結(jié)果再次令人失望，五項評測服務(wù)對象中僅有一項能滿足我們的要求。在其它服務(wù)方面，惟一停用反惡意軟件掃描的方式就只有將其徹底卸載。這一狀況很可能成為眾多大型企業(yè)用戶運營流程的絆腳石。

　　遠(yuǎn)程LAN喚醒：休眠系統(tǒng)通常會繼續(xù)使用已經(jīng)過期的簽名文件，且未能及時更新操作系統(tǒng)及應(yīng)用程序安全補(bǔ)丁。由于大多數(shù)系統(tǒng)會在啟動時自動執(zhí)行上述維護(hù)工作，因此休眠系統(tǒng)的喚醒機(jī)制也是一項非常實用的功能。LAN喚醒(簡稱WoL)功能會向LAN Mac地址發(fā)送一個名為“魔法包”的數(shù)據(jù)包，從而觸發(fā)計算機(jī)的啟動流程、觸發(fā)網(wǎng)絡(luò)中各設(shè)備的開機(jī)時序。

　　在我們此次研究的五款云端點服務(wù)方案中，只有一款提供WoL功能。也許其它反惡意軟件供應(yīng)商認(rèn)為該功能對威脅檢測流程并無積極意義，但它確實能在檢測系統(tǒng)狀態(tài)或確保系統(tǒng)擁有最新補(bǔ)丁與病毒簽名方面起到重要作用。

　　總結(jié):

　　雖然傳統(tǒng)內(nèi)部端點安全產(chǎn)品市場已經(jīng)相當(dāng)成熟，但云基礎(chǔ)同類方案還顯得非常青澀。由于主流供應(yīng)商拿出的方案缺少眾多相當(dāng)基本的功能，企業(yè)用戶恐怕需要對現(xiàn)有內(nèi)部方案中的功能與云端點服務(wù)版本進(jìn)行一一比照，從而找出必要但卻尚處于缺失狀態(tài)的項目。好消息是云服務(wù)供應(yīng)商們能夠更簡便、更頻繁地改進(jìn)產(chǎn)品，因此客戶的問題反饋應(yīng)該能夠很快在方案中得到體現(xiàn)——這也正是云機(jī)制的最大優(yōu)勢之一。