360張聰：喧囂過後，終端安全回歸本源

最近幾年的RSAC上終端都是熱點，參與廠商多、新概念多、技術創新快，這也反應了終端安全在整個安全領域的地位，而在RSAC2018上，終端安全領域開始呈現明顯的「沉澱」趨勢。作為終端安全領域的一位老兵， 360企業安全集團副總裁張聰分享了他對終端安全領域趨勢、方向的思考和判斷。

筆者在最近的幾年RSAC當中，親眼看到了終端安全從一片死寂到喧囂異常，整個展廳裡面充斥著終端的新概念，誰都要往終端安全上靠一靠。今年的參展廠商，與往年狀態明顯不同，一些深耕終端的新貴，有的已經站上了業界領袖的位置；而原本在終端上有深厚積累的殺毒軟體廠商，也紛紛重新迎頭趕上，在喧囂過後再次佔領了一席之地。

產業：新貴的逆襲

首先是展覽位置的變化。原來只在南館有小展台的 Carbon Black 和 Cylance，今年逆襲到了代表大廠的北館，而且展台巨大。這兩家代表兩個不同的終端安全演進方向的廠商，在相隔數米的地方持續秀著肌肉。雖然兩家解決終端安全問題的思路不同，但大家解決的都是同一個問題：「殺毒軟體裝了之後為什麼沒用」。在短短的幾年內，通過機器學習等更多高級技術進行事先的防禦加強，和通過EDR進行事中的快速響應，兩個思路都各自得到了客戶的認同，迅速佔領了市場，兩個廠商也成了終端安全這個古老而嶄新領域當中逆襲的新貴。

除了這兩家之外，以 CrowdStrike、Cybereason、SentinelOne、Endgame 為代表的終端新勢力也表現搶眼，除了各自的擁躉之外，今年也帶來了各自的新技術，這些我們在後面的技術部分當中解讀。

產業：經典再度傳承

除了這些新貴之外，具有深厚終端安全傳統的殺毒軟體廠商，在經歷了幾年的沉寂之後，也紛紛推出了各自卧薪嘗膽之後的新解決方案，紛紛將機器學習、EDR加入到了傳統的殺毒方案當中。畢竟終端安全還是一個需要較多積累的領域，客戶對於部署實施也是希望盡量減少影響，因此殺毒廠商擴展到 EDR和通過機器學習來加強防護能力也是自然而然的事情。去年的RSAC上我們就發現了這樣一個趨勢，即終端安全產品會持續走向融合，防護、檢測、響應、預測會逐步在一個產品上實現閉環。今年廠商們繼續在整合的道路上越走越遠，可以預見在未來的某一天，新的終端安全將不再區分產品是殺毒產品還是EDR產品，而是形成新的終端安全產品。

技術：解決勒索軟體問題最受關注

說完產品方向的變化，說說技術的變化。由於WannaCry的全球性影響，針對勒索軟體的防護手段創新自然而然地變成了熱點。剝開各家對於技術的不同包裝（EDR起家的說是EDR，防護起家的說防護），大家在底層的技術上其實非常一致：通過機器學習或規則驅動的預先防護、通過誘餌機制主動暴露勒索軟體行為、以及通過行為分析來對未知的勒索軟體進行響應。各個廠商的差別在於側重點不同，分析和溯源界面各有所長。

拋開各家對於技術的包裝，有效性仍然是客戶最關注的點。對於有效性各方都有自己的一套話術來試圖說服客戶。筆者對於客戶的建議是不用糾結於具體的技術手段和營銷話術，還是從廠商能力的角度分析。真正有效的勒索軟體防護的背後一定是一個專業的分析和應急響應團隊，緊跟最新的威脅發展，同時產品能夠與專業團隊之間建立實時的連接，這種實時的架構才是解決新型高級威脅的根本之道。

技術：雲端交付的自動化防護和相應成為大趨勢

除了勒索軟體，另一個最常出現的辭彙是「Automation（自動化）」。這個辭彙出現在自動化防護和自動化響應兩個場景當中。當被問及產品的自動化如何實現的時候，大家的思路驚人的一致：實時連接到雲，藉助雲的能力進行自動化。再往深里問，大家都承認，最後拼的還是雲端的人的能力，這也整個行業對於「人是安全的尺度」的認同吧。

將安全防護和安全響應能力上雲，通過雲端的自動化輔助人工的方式在國內也不是新的概念，360使用雲查殺已經接近10年。在國際上，政企市場已經普遍接受了這種思路，但在國內政企客戶仍然存在諸多實際的限制，這個方面本土的廠商通過私有雲或行業雲的解決方案，而非一刀切的公有雲方案，貌似是更接地氣的做法。

技術：終端技術融入到了更多的方案當中

除了專業的終端安全公司，前幾年的RSA上還出現了很多做SIEM和網路安全的公司也在試圖涉足終端數據採集領域。今年這種風向發生了大變化，越來越多的廠商開始謀求與專業終端安全廠商的合作來獲取終端的能力。最典型的便是Carbon Black與IBM QRadar的聯合，通過終端產品向SIEM提供數據和接受指令完成整體的閉環。

考慮到終端領域的深度和專業性，出現這種情況並不意外。終端安全產品的兼容性、實施複雜度和產品技術本身的專業性，導致了非專業終端安全廠商很難完全搞定，因此產業界之間分工合作，會是未來的一大趨勢。

總結

整體上說，今年的終端安全不像前些年一樣遍地開花，炙手可熱，應該說喧囂已過。剩下的廠商，都是在謀求解決問題和更多的協同上花費了主要的精力。這也是終端安全最終回歸本源的一個表現吧。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！