報(bào)告數(shù)據(jù)泄露并非不可避免

報(bào)告數(shù)據(jù)泄露并非不可避免

又一天，又一次數(shù)據(jù)泄露?？此撇豢杀苊獾某晒魰?huì)在infosec的專業(yè)人士中滋生出一種絕望的感覺(jué)。

但SANS研究所本周發(fā)表的一份白皮書說(shuō)，他們不應(yīng)該放棄。該文件稱：“如今，員工和預(yù)算有限的大公司和小公司都采用了行之有效的技術(shù)，這些技術(shù)能夠抵御或避免大多數(shù)攻擊，并極大地減少成功的攻擊造成的傷害。

“例如，那些強(qiáng)調(diào)積極主動(dòng)的安全努力以減少關(guān)鍵業(yè)務(wù)資產(chǎn)中的漏洞的組織，比那些沒(méi)有技能和工具來(lái)優(yōu)先和集中安全努力的組織更不可能遭受重大業(yè)務(wù)損害。成功的安全計(jì)劃不僅僅依靠更快的事故反應(yīng)來(lái)應(yīng)對(duì)傷害避免和減少的挑戰(zhàn)。”

建議中沒(méi)有什么新的內(nèi)容，但這篇文章提醒我們，采取眾所周知的步驟來(lái)避免某些漏洞和減輕其他許多漏洞將降低一個(gè)組織成為受害者的可能性。

把錢花在網(wǎng)絡(luò)安全上并不能證明一個(gè)組織正在變得更好。問(wèn)問(wèn)多倫多的副尼古拉斯·約翰斯頓...

投資建立安全運(yùn)營(yíng)中心的組織在網(wǎng)絡(luò)安全方面的投入越來(lái)越多，但是......

“關(guān)鍵是讓安全團(tuán)隊(duì)了解業(yè)務(wù)影響，能夠用這些術(shù)語(yǔ)表達(dá)風(fēng)險(xiǎn)，并能夠展示安全方面的改進(jìn)如何導(dǎo)致可衡量的業(yè)務(wù)影響減少，”該報(bào)表示。“通過(guò)培養(yǎng)局勢(shì)意識(shí)(及時(shí)準(zhǔn)確地了解我們需要保護(hù)什么、存在什么樣的脆弱性以及對(duì)這些目標(biāo)有哪些真正的威脅)，并將其與優(yōu)先預(yù)防和緩解行動(dòng)的工具和技術(shù)相結(jié)合，安全小組可以迅速采取行動(dòng)，避免最具破壞性的事件，并以指數(shù)方式減少不可避免的事件對(duì)業(yè)務(wù)的損害。

本文提出的一個(gè)關(guān)鍵點(diǎn)是，深入防御-增加大量的層次和工具-不是一個(gè)解決方案。優(yōu)先安排工作人員資源和采購(gòu)安全產(chǎn)品和服務(wù)，首先處理風(fēng)險(xiǎn)最高和最常見(jiàn)的領(lǐng)域，是有效和高效的網(wǎng)絡(luò)安全的關(guān)鍵。

因此，例如，一個(gè)組織需要制定安全策略，創(chuàng)建一個(gè)基線(庫(kù)存硬件/軟件，發(fā)現(xiàn)您的漏洞)，評(píng)估風(fēng)險(xiǎn)(并解決這些問(wèn)題)，減輕風(fēng)險(xiǎn)(通過(guò)補(bǔ)丁和變更管理)，消除風(fēng)險(xiǎn)的根源(通過(guò)軟件分析、網(wǎng)絡(luò)體系結(jié)構(gòu)、意識(shí)培訓(xùn)、特權(quán)管理)，以及監(jiān)測(cè)和報(bào)告(通過(guò)事件響應(yīng)、日志安全分析)。

記錄和連接程序?qū)τ趧?chuàng)建可重復(fù)和適應(yīng)性強(qiáng)的安全流程至關(guān)重要。使用網(wǎng)絡(luò)安全框架(如NIST網(wǎng)絡(luò)安全框架、CIS關(guān)鍵安全控制、PCI數(shù)據(jù)安全標(biāo)準(zhǔn)優(yōu)先指導(dǎo)方針、健康信息信任聯(lián)盟(H IT RUST)共同安全框架)是重要的。事實(shí)上，SANS-像其他專家一樣-堅(jiān)持認(rèn)為，在前六個(gè)CIS控制之后(例如創(chuàng)建和維護(hù)硬件/軟件庫(kù)存和控制管理特權(quán))可以擊敗絕大多數(shù)真實(shí)世界的攻擊。

“識(shí)別、緩解和屏蔽漏洞所需的基本安全流程和控制措施是眾所周知的，”該文件說(shuō)。”關(guān)于威脅和攻擊的信息并不缺乏。為了在預(yù)算和人員配置的現(xiàn)實(shí)約束下取得成功，網(wǎng)絡(luò)安全管理人員需要首先關(guān)注能夠跟上業(yè)務(wù)速度和攻擊快速演變的綜合流程，然后實(shí)施“武力倍增器”，以支持安全資源的準(zhǔn)確和及時(shí)優(yōu)先排序。

“通過(guò)將資源集中于保護(hù)最關(guān)鍵的商業(yè)資產(chǎn)免受最具破壞性的潛在威脅，安全計(jì)劃可以避免許多違規(guī)行為，并大幅降低任何確實(shí)發(fā)生的業(yè)務(wù)影響。