【51CTO.com快譯】如今的端點安全解決方案仍然缺少對顯著缺陷、安全漏洞以及由安全事故引發之恐懼情緒的應對能力，端點安全與合規方案供應商Promisec公司指出。

[[159666]]

根據Promisec公司公布的數據，89%的副總裁與高管層IT領導者受訪者表示其對于可能在未來一年內出現的安全事故感到恐懼，而只有32%的受訪者表示其已經擁有部署到位的高級端點安全方案。

事實上，73%的受訪者認為端點已經成為目前最易受到攻擊活動影響的薄弱環節。需求已經如此明顯，而分析師對端點安全方案的市場前景做出的樂觀評價也從側面證明了這一點。根據MarketsandMarkets發布的報告，這部分市場總值將由今年的116.2億美元增長至2020年的173.8億美元。分析企業TechNavio公司則指出，這部分市場在2014年至2019年之間的年均復合增長率將達到10.4%。

通過以上數字，我們可以看到企業確實需要在端點保護與緩解相關恐懼情緒方面獲取指導意見。而這也將成為CSO們迫在眉睫的重要任務。

安全漏洞的來源

Promisec公司產品管理負責人Steve Lowing指出，端點安全領域的一部分缺陷與漏洞主要源自軟件更新補丁與應用屏蔽機制缺失以及影子IT的持續存在。

“企業在某些風險程度極高的系統當中根本無法獲得能夠解決問題的充足安全補丁，其中包括多種端點系統，”Lowing表示。目前的重要挑戰在于，一系列新型元素與場景開始持續涌現，特別是BYOD所引發的個人設備在企業環境內的大量介入。這些資產在企業網絡環境中的存在時間還不太長，因此不足以保證IT部門為其提供特定的管理窗口以執行理想的安全性保障標準，Lowing解釋稱。

而作為應對舉措，企業可以使用NAC等工具以避免端點對企業網絡進行訪問——直到殺毒以及反惡意軟件更新等基于設備的安全應用部署到位，從而對設備進行全面掃描及清理。不過必須強調的是，安全軟件還僅僅是必要保護體系的其中一層。

“我們發現即使確保各類殺毒軟件處于最新更新狀態，其仍然不足以對端點進行可靠的安全保護。”Lowing指出。

“物聯網設備的處理能力不足以支持傳統端點安全解決方案。這意味著我們很難在有限的處理能力、存儲容量與內存水平之下實現基于主機的入侵檢測及預防能力。”Trend Micro公司網絡安全戰略副總裁Ed Cabrera表示。

應用程序屏蔽機制的普及工作正在推進當中，但目前此類解決方案的部署方式仍然存在缺陷。影子IT在當前這股愈演愈烈的未認證BYOx(即自帶一切趨勢，包括BYOA自帶應用以及BYOC自帶云)潮流的推動之下已經成為安全漏洞的重要根源。具體來講，由于IT部門未提供必要的支持甚至根本沒有意識到需求的存在，企業員工開始引入或者使用自己喜好的第三方生產力方案。

另外，端點保護工作中的缺陷與漏洞絕不單純局限于員工設備范疇。物聯網已經成為端點保護工作當中的最新薄弱環節，這主要是因為相關設備的資源非常有限。“物聯網設備的處理能力不足以支持傳統端點安全解決方案。這意味著我們很難在有限的處理能力、存儲容量與內存水平之下實現基于主機的入侵檢測及預防能力，”Trend Micro公司網絡安全戰略副總裁Ed Cabrera指出。而這也將成為縮小物聯網設備攻擊面工作當中的關鍵性挑戰。

保護端點，緩解恐懼

企業應當采取最佳實踐以推動補丁更新，而這就要求我們對任意系統提供測試環境并將其納入補丁管理工作當中。企業應該利用管理政策實現面向設備的自動化已測試補丁發布，而且最終發布時間最好控制在測試完成后的一周之內。

另外，上述補丁測試與向生產環境普及的執行工作應該盡可能覆蓋更多系統，至少要包含各類主流瀏覽器、應用程序以及操作系統。目前提供端點補丁管理解決方案的廠商包括Lumension、IBM以及賽門鐵克。“Ninite等簡便工具能夠幫助用戶根據應用程序的實際需求進行端點更新，”Lowing指出。他的觀點應該比較可靠，因為Ninite并非Promisec公司的產品。

實現對應用程序的更好控制。對于任何一款安全工具，我們都很難指望這類應用控制產品能夠切實契合現有端點環境的真實需要。管理員必須要學習并配置此類軟件并調整相關設置，從而保證其能夠與每個端點相對接。單純采購產品并將其接入網絡根本無法起到理想的效果。

為了對設備資產中的應用控制機制加以調整，我們需要利用黑名單/白名單工具以逐步了解每個端點的獨特需求并決定在默認情況下拒絕哪些應用的接入請求。企業應當主動驗證環境中的一切變化因素(包括文件、注冊表以及驅動程序)以加強應用控制能力，并根據最新威脅情報服務制定必要的轉變方針，Lowing解釋稱。

通過維護一套原始備份鏡像，包括設備操作系統、應用程序、設備管理策略以及所需控制機制，企業能夠擁有用于識別變更情況的基準點。應用程序控制與屏蔽機制足以抵御任何檢測到的、未經授權的變化情況，而其基礎就是將現場端點情況與鏡像內容加以對比。企業應該更為積極地更新這一鏡像基準方案，從而利用新補丁實現最優控制并縮小攻擊面。另外，應用屏蔽機制有助于解決影子IT問題，包括各類BYOx狀況。

如果物聯網設備未來具備了足夠的處理能力及其它資源以支持基礎性端點安全保護技術，特別是IDS/IPS，那么我們應當確保將其安裝在每一臺物聯網設備當中。網絡IDS/IPS配合成熟的威脅情報解決方案將能夠及時揪出攻擊者對受控物聯網設備的入侵嘗試。舉例來說，一套高級威脅情報解決方案能夠利用沙箱機制檢查網絡流量，并通過檢測引擎發現病毒、惡意軟件、指揮與控制服務器及傳輸手段，外加任何其它威脅跡象，Cabrera表示。

未來展望

盡管端點屬于一類新興攻擊面，但其中潛藏的可觀利潤與收益——包括物聯網與移動技術的便利性與生產力提升效果——將使其進一步普及，并因此帶來更為巨大的安全風險。企業必須拓展自身能力以確保對現有安全措施加以充分利用，同時保證具體利用方式能夠切實帶來理想效果。另外，企業還需要進一步敦促產品供應商打造更加先進的特定端點安全選項，從而在未來的發展過程中擁有更為可靠的保護工具。

原文標題：Endpoint security still inadequate despite growing threats

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】