軟件定義安全正在成為一個IT流行詞，但它是否盛名之下，其實難副?本文中，專家Kevin Beaver探討了在企業中該技術的優勢和劣勢。

也許你還沒有聽說過，現在網絡安全的最新流行語是軟件定義安全。

軟件定義網絡(SDN)的姊妹技術——軟件定義安全(SDS)讓企業可以通過軟件部署和自動化網絡分段、入侵檢測及其他網絡安全控制，而不是使用更傳統的孤立的安全控制。SDS利用類似虛擬化的與硬件層分離的資源來跨越我們所知道的傳統界限，例如網絡分段和業務功能，從而把安全控制帶到更高的層次。

那么，SDS適合你的企業嗎?從表面上看，SDS似乎與現在我們管理安全所做的事情差不多，它只是通過為特定企業定義和定制化的政策和對象來在更高層次管理安全性。這類似于現在企業管理某些存儲系統、防火墻政策和目錄服務內對象的方式。SDS只是將這個概念構建在更高層次的抽象化中。這是邏輯與物理的區別。

軟件定義安全提供了很多可改善企業安全性的優勢，例如：

• 讓企業可以跨越物理和邏輯界限管理特定的安全組和系統(例如，通過針對主機、應用和類似網絡實體的政策)，這些已被證明很難有效地管理。

• 簡化移動、云計算和整個傳統企業網絡系統的動態安全域，讓企業可以按意愿構建和拆除系統，同時，可以跨系統一致地執行安全政策，無論時間和這些系統的位置如何。

• 對于企業內已經部署的其他軟件定義技術(例如SDN)，SDS提供與它們更好的整合，從而為入侵防御、身份和訪問管理、數據丟失防護和地理位置等安全技術提供更加全面的自動化。

• 在更高層次專注于智能化，即在軟件層，而不是硬件層，這允許企業架構師和安全管理人員把重點放在政策，而不是在較低水平運行系統。

當然，事物都有兩面性，SDS也有一些潛在的缺點，包括如下：

• 跨越可能或可能不支持SDS的各種系統及平臺配置、部署和執行安全政策最初可能需要時間學習。

• 創建和管理安全政策可能會帶來新型的復雜性。在你的企業部署該技術之前，應該明確誰、什么、何時、何地以及為什么等問題。

• 運行SDS仍將需要特定服務器硬件(在你的企業或者云中)。

• 價格可能是一個問題：雖然硬件相對便宜，大多數SDS產品都很昂貴，并有更高的利潤。

• 惡意軟件保護和內容過濾安全等技術的外圍安全控制可能無法在這種水平擴展

你的企業將需要認真考慮來決定哪些安全控制將通過SDS來部署。有些企業可能會比其他企業更加受益于SDS，例如在高度管制的行業(如金融行業)或者具有全國性或全球性規模的大型企業。SDS并不是放之四海而皆準的技術;每個企業的用例都會有所不同。最后，重點不應該是你的安全控制是基于硬件還是基于軟件，而是真正能夠幫助你減小風險的控制。

目前來看，筆者認為SDS的重點應該導致企業最大痛苦的領域，這些可能是IPS、訪問控制和事件日志記錄及監控等領域，但你的部署肯定會受限于供應商所支持的范圍。然而，如果你是英特爾或賽門鐵克用戶，你就很幸運：這些供應商現在可以提供這些服務給你。

正如云計算、大數據以及網絡安全，筆者認為SDS將會成為下一個熱門流行語，我們將會不斷地聽到這個詞。對于它是否會給企業帶來積極的影響，我們還要拭目以待。筆者對于這個領域的創新持樂觀態度。