为什么原生网络设备审计还不够

在我之前的 博文 中，我分享了网络设备审计可以帮助你解决的主要问题。其中包括：控制设备配置、检测未授权行为并阻止扫描威胁。简而言之，我认为，要保持网络基础设施安全，并确保持续符合各项法规，你需要尽快开始对你的 网络设备 进行审计——越早越好。

那么，为这项重要任务你应该选择什么工具呢？大致有三种选择。

原生工具

原生审计工具适用于小型、简单的环境，以及完成某些运维任务。然而，它们以非结构化的方式提供信息，因此需要投入大量时间和精力去梳理所有日志，以识别重要事件——而且错过某个事件的风险通常高得令人难以接受。因而，仅靠原生工具无法帮助你实现安全目标并满足合规要求。

设备厂商提供的软件

你可以使用设备厂商提供的审计软件来补充原生审计。你可能会想：既然这些解决方案必须针对每个品牌的技术进行高度定制，为什么不更倾向于选择它们呢？

第一个问题：你的审计跟踪（audit trail）会分散在不同平台之间。比如，如果你想审计你的 Cisco 路由器和一台 Fortinet 交换机，就必须购买并管理两种不同的产品——而且你仍然无法在同一个地方获得整个网络中正在发生什么的完整视图。这会使排查事件变得困难，也难以确保安全性和合规性。

第二个问题：厂商的解决方案通常相当复杂，因此学习如何使用它们需要花费大量时间。既然市面上还有更易用的替代方案，为什么要忍受陡峭的学习曲线呢？

第三方软件

第三方解决方案主要有两种类型：免费和付费。虽然免费工具更省预算，但功能确实非常有限，因此你仍然无法高效地满足安全性和合规性的需求。

付费的第三方解决方案不会存在这些缺点。以下是我强烈建议为网络设备审计投资第三方软件的四个主要原因：

集中式审计追踪

第三方软件不依赖特定厂商，并将来自所有设备的审计信息集中到一个地方，因此您可以从单一控制台管理网络中的所有设备。您无需在不同产品之间切换，去检查是否存在任何可能导致安全事件或合规违规的违规行为或异常情况。相反，您可以在一个界面中实现对来自不同设备的事件进行集中监控。

此外，该解决方案会过滤掉噪声，让您获得关于设备周边所有活动的清晰且简明的信息——从可疑登录到硬件问题。同时，它还会在较长时间内保留所有审计数据，这对于调查与修复问题至关重要，即使这些问题在一段时间内未被发现；并且也有助于为合规审计准备报告。

持续的安全监控

原生日志的格式相当晦涩，因此很难突出显示重要事件并理解正在发生的情况。此外，原生工具既不提供便捷的日志事件搜索方式，也没有现成可用的报表。

第三方工具提供易读的预置报表，并配备灵活的过滤选项；因此你可以专注于真正重要的内容，定期检查网络设备的状态，并及时发现异常以便采取行动。例如，你能够发现针对网络的未经授权的配置变更，例如配置模式初始化或配置清除，查看所有细节，并在为时已晚之前做出响应。

此外，原生日志可能会被恶意管理员清除，让你陷入信息真空：既无法知道发生了什么，也无法追究肇事者的责任。另一方面，第三方工具通常会在事件日志之外，从多个相互独立的来源收集审计数据——例如配置快照和变更历史记录——因此恶意的内部人员无法消除其行为的证据。

对事件的响应更迅速

除了提供持续的 网络设备监控 之外，大多数第三方工具都能在关键事件发生时立即提醒你，例如异常登录事件或扫描威胁；这样你就能更快地展开调查并解决重要问题。

虽然你可以使用原生工具配置某些告警，但这项任务相当繁琐，而且告警本身也非常难以阅读和理解。结果就是，在问题导致安全事件、业务中断或合规失败之前，很难及时响应。

优化合规流程

许多法规要求组织 审计网络活动和设备使用情况，并向审计人员提供与标准要求和控制项一一对应的详细报告。正如我前面提到的，原生审计工具的报告功能较弱，因此需要大量手工工作来准备审计并在检查过程中回答审计人员提出的其他问题。第三方解决方案借助内置的报表和搜索能力，帮助你确保网络满足适用要求，并在审计期间提供合规性的确证性证明，从而大幅减轻这一负担。

如你所见，仅依靠原生 IT 审计工具几乎不可能高效且准确地审计网络设备。为了确保安全与合规，我建议部署第三方软件：它应支持你正在使用（以及计划使用）的所有厂商，并提供实现稳固、成熟的边界安全所需的安全情报。请记住，某些第三方解决方案还能让你将审计范围扩展到其他系统，例如 Active Directory、文件服务器、Exchange 和 Office 365，从而让你获得对整个 IT 基础设施中发生情况的全局视角；在评估选项时，这是一个非常值得考虑的巨大优势。