導言

威脅管理是指對威脅的發現與控制，這是網絡安全體系結構中的核心內容，一個好的威脅管理系統可以幫助安全管理人員更好地對網絡中的威脅進行發現、分析和解決。一般來說，威脅管理系統需具備這四方面的能力：威脅發現能力、威脅分析能力、威脅處理能力、自動化能力。

從上面的描述可以看到，威脅管理實際上是一個從發現，到分析，再到處理的閉環管理過程。從管理學的角度來看，閉環是一個完備的管理系統的必備過程。下面的故事充分說明了閉環威脅管理的重要性。

A企業是一個超過3000人的大型企業，由于業務的需要，大量的業務都需要通過網絡開展，對網絡的穩定性、安全性的依賴程度非常高。但是由于網絡上存在大量攻擊和員工在工作期間濫用P2P，導致對外發布企業信息的Web服務器經常由于遭到DDoS攻擊而癱瘓，企業內部信息經常泄密而被競爭對手獲取，業務高峰期間的網絡帶寬經常不夠而導致業務的服務質量很低。面對這些問題，負責網絡安全運維的網管小向每天成了接線員，而負責網絡運維的技術處郝處長也經常在大會小會上都成為領導和各個業務部門的主管們的批評對象。

人機合一 安全無憂

為了解決網絡安全運維問題，A企業在2010年初通過公開招標的方式部署了大量的安全設備，其中，所購買的IDS負責企業全網的安全事件的監控。自從部署了這些設備之后，A企業的網絡安全狀況得到了明顯的改善：員工機器的中毒現象明顯減少了，對外發布企業信息的Web服務網由于遭到DDoS攻擊而癱瘓的現象基本不見了，由于大量P2P下載文件而導致的網絡擁塞也得到了很好的控制，幾次蠕蟲的爆發都在早期被發現并及時進行了有效控制，發現了幾臺被攻陷的僵尸主機并進行了有效清理，發現了很多員工機器上被種了木馬并及時進行處理，避免了可能出現的機密資料泄密的事件。同時，由于IDS的存在，安全管理員小向對網絡中存在的安全威脅與發生的攻擊行為了如指掌，因為小向長期從事網絡安全的運維工作，對網絡安全中涉及到的威脅、攻擊、事件等都比較清楚，因此在上了這些安全設備之后，小向的工作更是如魚得水，安全事件的處理更加及時有效，工作效率顯著提高。看到自己的愛將越來越進入狀態，每天不再疲于奔命地四處救火，而且安全狀況明顯改進，技術處的郝處長不由得心中暗喜，自覺得從此將天下太平，安全無憂。

安全的核心要素

可是好景不長，突然有一天，小向提出了辭職。郝處長雖心有不舍，但是他覺得，我已經有了這么多先進的網絡安全設備，經過這半年的運行，已經證明這些設備的威力強大，小向想走也留不住，那就讓他辭職吧。

小向離開之后，郝處長迅速地招聘來了新的安全運維管理員小滕，雖說小滕在網絡安全運維這方面的經驗遠不如小向豐富，只能算個新手，但郝處長并不擔心，因為他覺得有這些先進的網絡安全設備在，公司的網絡安全就不會出什么大問題。可是，接下來的事情證明郝處長大錯特錯了。

·在2011年4月份的某一天，通過IDS設備的監控，發現有大量蠕蟲病毒爆發，面對著IDS不斷產生的事件報警和界面上急促閃爍的標志極嚴重威脅的紅色警燈，新來的小滕一時間束手無策，不知如何處理。由于處理不當，蠕蟲迅速蔓延至全網，于是2011年之前的狀況又出現了——業務部門的電話如潮水般地打了過來，自以為網絡固若金湯的郝處長再次被推到了風口浪尖，難掩尷尬與不安。

·蠕蟲事件剛剛平息，在2011年4月份的下旬，向外發布企業實時信息，承擔業務在線交易的Web服務器突然受到來自外部僵尸網絡的大規模DDoS攻擊。由于經過了精心策劃，此次DDoS攻擊偽裝成與正常業務流量差別不大的“正常流量”，通過精心構造的請求，穿透了抗壓Cache，導致后端I/O飆升，進而達到拒絕服務攻擊的目的。怎么辦？對于剛剛入門的小滕來說，一切來得太突然、一切顯得那么難。業務告急！每秒鐘都在損失80%的流量！每秒的損失將近千元！！！老總們再也坐不住了，業務部的主管們急得頭發都立了起來，于是，大家將焦急、憤怒的目光再次集中到了郝處長身上，此時郝處長早已崩潰……萬般無奈之下，離職的小向被臨時請了回來，通過在WAF（Web應用防火墻）設備上自定義規則的方式解決了這次DDoS攻擊，算是幫郝處長解了燃眉之急。

經過這兩件事，郝處長漸漸意識到，缺少了小向的設備完全不像他想象的那么強大，之前的“太平盛世”實際上是和小向與設備的緊密結合分不開的，而且人才是安全的核心要素。（未完待續）