建站
咨詢
售后
建站咨詢
新聞中心
Verizon的2015 PCI合規(guī)報告(The Verizon 2015 PCI Compliance Report)指出了缺乏防火墻維護和安全性測試是未能滿足PCI合規(guī)的主要原因。專家Kevin Beaver提供了一些成功管理這些任務的小技巧。
創(chuàng)新互聯(lián)公司專注于新興網(wǎng)站建設(shè)服務及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供新興營銷型網(wǎng)站建設(shè)，新興網(wǎng)站制作、新興網(wǎng)頁設(shè)計、新興網(wǎng)站官網(wǎng)定制、微信小程序開發(fā)服務，打造新興網(wǎng)絡公司原創(chuàng)品牌,更為您提供新興網(wǎng)站排名全網(wǎng)營銷落地服務。
關(guān)于防火墻和PCI合規(guī)之間的關(guān)系，Verizon的2015 PCI合規(guī)報告很能說明問題。這篇報告揭示了缺乏防火墻維護和安全性測試不僅僅是導致企業(yè)未能達到PCI DSS合規(guī)的兩個主要原因，也是導致數(shù)據(jù)泄露的主要原因。
根據(jù)這份報告可知，2014年遭受數(shù)據(jù)泄露的組織只有27%滿足PCI DSS的防火墻維護要求。
雖然我不同意報告中所說的防火墻是組織的第一道防線，因為防火墻可能并沒有辦法管理到企業(yè)的移動辦公員工，但是防火墻無疑是安全性和合規(guī)性的一個重要組成部分，尤其是在網(wǎng)絡分段和PCI范圍縮小的情況下。不管“老派”網(wǎng)絡邊界安全控制是如何實現(xiàn)的，他們對于企業(yè)控制來說很重要。
眾所周知，企業(yè)進行防火墻維護的方式各有不同。但是，在這篇文章中，我將討論這些差距以及如何解決這些問題。
防火墻的管理問題
無論您是負責小型或中型企業(yè)整體的信息安全，還是在一家大企業(yè)專門的防火墻團隊工作，防火墻管理、維護和測試有關(guān)的潛在挑戰(zhàn)都非常相似。
一個主要的問題是時間，或者是缺乏時間管理。還有一部分問題和預算有關(guān)。再就是“影子IT”的問題了，也就是員工發(fā)號施令使其發(fā)生變化的部分。
還有就是閑置不用，采購了好的工具，但是尚未部署和實施不當。就像Verizon的報告中所說的：“我們看到了很多這樣的例子。一些組織已經(jīng)配備了下一代防火墻，但是并沒有使用它的程序感知功能，從而讓他們的網(wǎng)絡暴露給利用社交媒體應用程序的威脅和端口跳轉(zhuǎn)攻擊”。我在工作中也相當頻繁地看到這個現(xiàn)象。
解決方案
鑒于上述的挑戰(zhàn)和復雜性，IT團隊要如何武裝他們企業(yè)的防火墻，有效地管理其規(guī)則庫，然后不斷地檢測出弊端?
首先，我不建議手動來管理防火墻，除非你的組織只有一個或兩個防火墻，而且每個防火墻只有少量規(guī)則。
改善防火墻管理，處理變化和減少風險的其它幾個必備措施：
? 管理必須要有安全性意識，對于網(wǎng)絡現(xiàn)狀和組織正面臨的挑戰(zhàn)要有清晰的概念，沒有買入，就沒有支持，就是這么簡單。
? 所有關(guān)鍵部門之間的溝通都需要得到改善，包括防火墻團隊、安全團隊、IT運營和服務支持團隊。我已經(jīng)見過無數(shù)企業(yè)內(nèi)部的IT部門之間幾乎沒有溝通，和外部的業(yè)務團隊也沒有溝通。當溝通癱瘓時，一切也就完了。
? 在系統(tǒng)運行中斷或泄露事件中，真正的業(yè)務連續(xù)性和應急響應程序必須到位。否則，公司就會在最不合時宜的時候當機。
? 企業(yè)的防火墻環(huán)境中應該有合理的標準。我看到很多公司的網(wǎng)絡環(huán)境中有各個供應商的防火墻。雖然對于某一特定功能，一些供應商的產(chǎn)品會比其它廠商的好，或者為了網(wǎng)絡某一區(qū)域，企業(yè)需要部署一個下一代防火墻，但是如果一個企業(yè)在環(huán)境內(nèi)運行相同或相似系統(tǒng)可以簡化很多事情。
? 安全測試技術(shù)必須超越防火墻規(guī)則庫分析或單純的審核。測試技術(shù)應包括運行漏洞掃描器(網(wǎng)絡和Web)，以及任意其他工具，如Metasploit，甚至需要一個知己知彼的網(wǎng)絡分析者來破解防火墻的漏洞。如果企業(yè)看得夠深，他們會發(fā)現(xiàn)諸如弱口令，過時的協(xié)議(SSL和SSH版本1)這些問題。
? 諸如安全性檢測、漏洞檢測、風險防火墻規(guī)則，清除過時的規(guī)則這些行為都需要執(zhí)行。這些測試應定期并持續(xù)執(zhí)行，即每季度或每半年，或之后任意重大系統(tǒng)更改。一些企業(yè)使用諸如AlgoSec防火墻分析儀這樣的工具幾乎實時來做到這些測試。一旦組織建立了它的測試流程，有些事情就可以在短短幾分鐘內(nèi)完成。當一個組織在其它領(lǐng)域也這樣采取措施，它就會以更高的標準要求自己，并成功讓自己保持在防火墻監(jiān)督之上。
如果有必要，企業(yè)可以繼續(xù)實施信息技術(shù)基礎(chǔ)構(gòu)架庫(ITIL)或其它正式的變更管理流程。然而，值得注意的是，如果人們不按程序辦事，那么這些流程也僅僅只起到了展示的作用。舉個例子：我曾經(jīng)為一個大型電子商務公司的業(yè)務做一個項目。有一天，防火墻的團隊成員沒有遵循既定的變更管理流程，對核心防火墻進行了一些帶外(未經(jīng)測試)變更。不幸的是，在變更過程中，防火墻規(guī)則庫被損壞，電子商務應用和互聯(lián)網(wǎng)之間的所有通信被中斷。核心應用中斷，最終后果是幾個小時內(nèi)對該企業(yè)造成了六位數(shù)美元損失。
作為負責防火墻的工作人員，安全人員必須在安全和現(xiàn)實之間做好平衡。永遠不要讓審計或合規(guī)引起的繁文縟節(jié)妨礙到工作。如果一個企業(yè)認真地思考一下，在其網(wǎng)絡環(huán)境中基于需求使用正確的工具，制定合適的工作流程，那么防火墻維護和管理都可以做得很好。
最后，有一個很重要的問題：當涉及到防火墻管理和合規(guī)疏忽，企業(yè)是存在技術(shù)問題還是人員問題?再多的政府和行業(yè)法規(guī)，或是新的方法好像都無法解決這個問題，但是紀律可以。紀律可以讓你了解風險在哪里，紀律可以更好地配合安全措施來管理網(wǎng)絡，紀律可以讓你做到需要做的事情，然后反復一遍又一遍地盡我們的能力做到很好的管理。
Jim Rohn曾經(jīng)說過：“成功是容易的，但疏忽同樣容易”。防火墻維護和管理上的問題不是突然一下子就出現(xiàn)的，是在長時間內(nèi)做了一系列糟糕的決定，或者不做任何決定而產(chǎn)生的，例如管理者拒絕投資必要的工具和培訓，或IT專業(yè)人士不做出任何努力和管理者進行更好的溝通。當關(guān)鍵系統(tǒng)，如防火墻和他們?nèi)找鎻碗s的規(guī)則庫被忽視，那就是不好的事情發(fā)生的時候，組織對于安全的真實態(tài)度也會自然而然地曝光。
當前標題：防火墻維護以及安全測試秘籍
標題網(wǎng)址：http://www.5511xx.com/article/cdcjjde.html
