思科新安全战略：添加Sourcefire AMP到网关

如果说，思科新安全产品和战略可以概括为一句简单的话，那应该是首席安全官John N. Stewart说的一句话。“这是一个创新，” “现在也正是该创新的时候。”

[[109335]]

在2014 RSA大会前夕的新闻发布会上，Stewart和安全主管Christopher Young及Martin Roesch传达了不同的信息。思科安全战略一直没有更新，但在周一，思科高管不仅宣布了源自2013年收购的Sourcefire的第一批产品，还宣布了一个战略计划——专注于推出帮助企业应对攻击前、期间和攻击后的产品。

思科宣布已经添加Sourcefire的高级恶意软件防护(AMP)技术到其web、电子邮件和云内容网关产品系列中。AMP是一个数据挖掘引擎，它通过提取文件元数据来确定文件带来的风险，从而识别恶意文件，不是基于签名，而是基于行为。

Sourcefire公司创始人兼首席技术官，现任思科安全部门副总裁兼首席架构师Roesch称AMP是“我们现在最酷的产品。”他表示AMP重新评估信息的方式很独特。如果新数据显示已知好文件实际上不是好的，或者已经变坏，AMP会重新挖掘其数据集并自动发送通知给客户来触发修复工作。

思科安全部门高级副总裁Young表示，添加AMP到思科内容安全网关(包括现有客户)是思科新战略的一部分;其中采用了更务实的做法来进行针对外围和设备的消息传送，Sourcefire的攻击检测和阻止以及攻击后界定、隔离和修复补充了思科传统的攻击前发现、政策执行和终端硬化。

“我们我们估计，在安全行业，超过70%的资金花在攻击前，”Young表示，“但在安全行业将会发生重大消费转变(工具和服务)，转移到攻击‘期间’和攻击‘后’阶段，因为现在的攻击很复杂，这将迫使企业这样做。”

另外，思科推出了新一代8300系列FirePOWER多功能网络安全设备。思科表示，这些产品提高了50%的监测吞吐量，在四堆叠格式提供高达120 Gbps吞吐量。

而对于Sourcefire的传统开源产品，例如Snort和ClamAV，思科推出了OpenAppID，针对Snort的新的开源应用识别功能，让开源入侵检测系统的用户将其转变成应用防火墙。

Roesch表示，OpenAppID让企业第一次能够接触除传统商业产品外的应用检测和控制技术。利用超过1000个OpenAppID检测器(基本是针对具体应用程序的签名)或者企业自己创建的检测器，企业可以使用Snort来制定政策，以禁止或限制Facebook或Farmville等应用程序，或者根据情况触发某些动作，例如仅当启用双因素身份验证时允许访问Gmail。

我们都知道，思科历来并不是开源技术的坚实支持者，Roesch表示Sourcefire的成功证明开源技术提供了强大的公信力，特别是Snort在两年内从几行代码发展为世界上最常用的入侵检测系统。

“人们知道我们是谁，他们可以信任我们，我们正在推动这方面产品的发展，”Roesch表示，他还提到与用户协作的优势，“协作能带来更强大的解决方案，还可以提高信任度。”

Stewart承认，Web恶意软件、BYOd和物联网等安全趋势让威胁检测和管理变得更加困难。他表示，思科的新产品和战略能够应对威胁环境的现实，并能够解决信息安全专业人员短缺问题，安全技术必须改进来弥补这个缺口。

“当涉及到人力资本问题，我不知道我能聘请到多少人，所以不是很清楚人们能否分析所有数据，”Stewart表示，“解决这个的最好地方是网络，这正是思科的核心业务。”