传统威胁有增无减新型威胁层出不穷

随着网络的发展，互联网已经逐渐成为人们生活中不可或缺的重要依靠，但信息安全的问题也随之越来越严峻。近几年来，信息安全问题已经成为业界关注和讨论的热点，目前，木马、僵尸网络、钓鱼网站等传统网络安全威胁有增无减，分布式拒绝服务（ DDOS 攻击）、高级持续威胁（ APT 攻击）等新型网络攻击愈演愈烈。

面对如今越发严重的安全形势，传统的安全行业也面临巨大的挑战。数据显示，十几万家企业发生数据泄露，五百强中近一半的企业都在内，因为安全事件影响到众多高管引咎辞职离开公司。其中大部分都是由于 APT 高级持续性攻击导致的， APT 攻击以其独特的攻击方式和手段，使得传统的安全防御工具已无法进行有效的防御。 APT 攻击不是一个整体，而是将众多入侵渗透技术进行整合而实现的隐秘性的攻击手法，可以在很长一段时间内逐步完成突破、渗透、窃听、偷取数据等任务，其体现出两方面的特点——“针对性”和“持久性”。 APT 攻击的主要目标行业有政府、军队、金融机构、电信等行业，主要途径是通过电子邮件、社交网站、系统漏洞、病毒等一系列方式入侵用户电脑。企业不能防御 APT 攻击，主要是因为无法检测到 APT 攻击的方式和手段，因为 APT 攻击是未知威胁，无法确定它的攻击路线和渠道，它有很强的隐蔽性和持续性，它可以潜伏在电脑中很长时间不被发现。

2.1.2 已有检测技术难以应对新型威胁

传统的防御措施主要是依靠防火墙技术、入侵检测技术以及防病毒技术，任何一个用户，在刚刚开始面对安全问题的时候，考虑的往往就是这三样，传统的防御虽然起到了很大的作用，但还是面临着许多新的问题。

首先，用户系统虽然部署了防火墙，但仍然避免不了蠕虫泛滥、垃圾邮件、病毒传播以及拒绝服务的侵扰。并且未经大规模部署的入侵检测单个产品在提前预警方面存在着先天的不足，且在精确定位和全局管理方面还有很大的空间。

其次，虽然很多用户在单机、终端上都安装了防病毒产品，但是内网的安全并不仅仅是防病毒的问题，还包括安全策略的执行、外来非法侵入、补丁管理以及合规管理等方面。

所以说，虽然传统的防御仍然发挥着重要作用，但是用户已渐渐感觉到其不足之处，因为它已经无法检测和防御新型攻击。简单的说，网络攻击技术已经超过了目前大多数企业使用的防御技术。

2.2 当前安全体系建设存在的问题

l  安全设备不断增多带来的的管理复杂性

为了应对不同的攻击在网络中部署了基于不同技术的多种设备，这些设备管理方式，使用方法各不相同，都需要管理和运维人员去了解和掌握，但是在企业中专职的安全管理运维人员数量较少，安全设备的大量增加无疑会增加工作量以及管理复杂性。

l  安全设备间无法协同难以形成合力

大量不同厂商的安全设备之间无法协同工作，在技术实现，使用方式等方面都各不相同，针对同一个安全事件往往会产生不同的告警结果，给管理人员带来很大困扰。尤其是当前 APT 攻击逐渐成为趋势，依靠单个设备的检测无法达到很好的效果，安全设备间的协同工作就显的更加重要。

l  告警信息难以解读

当前安全设备的告警信息通常展示内容有限，而且只针对特定时间段内的问题进行告警，缺少相关联的上下文信息，不同的设备提供了不同维度的告警信息，这就要求管理人员能够识别这些告警，并将不同设备的告警进行整合以发现存在的问题，同时设备上大量的告警信息，以及误报也给管理人员解读告警带来了难度。

l  安全问题定位和调查费时费力

由于以上两点的原因，当有安全问题发生时，管理人员需要在不同的设备间进行日志信息查看、整合、分析以定位问题发生的原因，从而进一步还原问题发生的过程以修复安全漏洞，这不仅对管理人员的安全能力提出了挑战，同时调查证据的收集需要花费大量的时间，到安全漏洞弥补完成，已经对组织造成很大影响。

l  威胁情报落地困难

为了更好的应对高级可持续攻击，威胁情报的引入和使用成为了各种组织的首选，但是将威胁情报应用到当前安全设备中变得困难重重，一部分设备不具备接收威胁情报的能力，可能需要在投入资金进行升级改造，另一部分设备虽然具备接收能力，但是各个厂商接口标准不统一也使得威胁情报的使用耗时费力。