建站
咨詢
售后
建站咨詢
新聞中心
在安全社區(qū)，或者廣義上講當代人類信息社會中，一直存在一個問題。問題就是：我們一直將安全看作是一種技術(shù)、策略、隱私，或者人力問題，而不是一個綜合集成的組合。無論如何，盡管我們制定了諸多的標準、法律，創(chuàng)造了最佳范例，嘗過了經(jīng)驗教訓(xùn)，也產(chǎn)生了新技術(shù)，我們卻一直在踐行深度防御上走在了錯誤的道路上。
創(chuàng)新互聯(lián)專業(yè)為企業(yè)提供青州網(wǎng)站建設(shè)、青州做網(wǎng)站、青州網(wǎng)站設(shè)計、青州網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計與制作、青州企業(yè)網(wǎng)站模板建站服務(wù)，十載青州做網(wǎng)站經(jīng)驗，不只是建網(wǎng)站，更提供有價值的思路和整體網(wǎng)絡(luò)服務(wù)。
我們?nèi)匀粚踩暈镮T問題，依然把風(fēng)險和合規(guī)當成日常文書工作。我們的整個組織中缺乏真正的安全氛圍。我們?nèi)耘f認為有入侵檢測系統(tǒng)(IDS)、安全信息和事件管理(SIEM)和反病毒軟件就夠了。我們還覺得審計、合規(guī)和運營中心分層的服務(wù)臺方法就是深度防御的全部，尤其這些工作都處于一種各自為政的企業(yè)文化下。
如果我們真心想改善今天的安全狀況，就要采取措施改變?nèi)藗兛创?、定義和處理這些安全問題的態(tài)度和方法。下面的十種方法，可以幫助改善我們的分層防御策略：
1. 設(shè)立首席安全風(fēng)險官(CSRO)職位
應(yīng)當設(shè)立CSRO職位，作為公司負責(zé)所有安全和風(fēng)險事務(wù)的獨立首腦，直接向CEO、董事會和政務(wù)官員等匯報。
涉及內(nèi)容可能包括突發(fā)事件、人身安全和物理安全問題、隱私問題，以及網(wǎng)絡(luò)安全問題。傳統(tǒng)的首席信息安全官(CISO)、首席安全官(CSO)、副首席信息官(deputy CIO)或安全總監(jiān)在當前態(tài)勢下已經(jīng)不能發(fā)揮效用。這一角色不應(yīng)歸為首席財務(wù)官(CFO)、首席運營官(COO)、首席信息官(CIO)和首席技術(shù)官(CTO)的下屬，但可以代替CISO、CSO和首席風(fēng)險官(CRO)之類的角色。
2. 組建CSRO團隊
我們應(yīng)當組建一支在首席安全風(fēng)險官(CSRO)及其副手領(lǐng)導(dǎo)下的權(quán)威的跨職能團隊，作為公司所有安全和風(fēng)險問題決策、響應(yīng)協(xié)調(diào)、問責(zé)、領(lǐng)導(dǎo)和策略實施的唯一權(quán)威機構(gòu)。
這一團隊至少每周要有一次例會，還得有細致恰當?shù)恼鲁檀_保每名團隊成員都對團隊有投票權(quán)，并且獲得組織內(nèi)部最高層的書面授權(quán)。團隊應(yīng)當也必須包含至少下列類型的主題專家(SME)成員：
高級IT安全SMEs
高級法律顧問代表
高級隱私官
高級人力資源代表。
高級審計和財務(wù)代表(來自組織內(nèi)部的CFO/COO部門)
高級物理安全和人身安全經(jīng)理/SME
高級項目經(jīng)理和運營管理代表
高級技術(shù)工程師
合適的業(yè)務(wù)領(lǐng)域/數(shù)據(jù)/信息/系統(tǒng)業(yè)主(根據(jù)需要)
關(guān)鍵外部合伙人、供應(yīng)商和客戶利益相關(guān)者(根據(jù)需要)
3. 采用積極防御戰(zhàn)略
總體戰(zhàn)略中必須包含以積極防御的形式呈現(xiàn)的攻擊性元素。這不是說需要直接攻擊那些假想敵。不過，確實需要蜜罐、無惡意的木馬和其他方法去研究攻擊者，獲取可信的特征，增加威懾力或使敵對方的努力化為泡影也是可行且應(yīng)該采用的方法。此外，直接攻擊應(yīng)該留給現(xiàn)實世界中有既有管轄權(quán)的家伙們干，比如軍隊、情報機構(gòu)和執(zhí)法部門。
4. 實施深度防御
開放系統(tǒng)互連(OSI)模型的全部層級，加上人員層，都必須納入組織的深度防御方法中來。
比如，網(wǎng)絡(luò)級入侵檢測系統(tǒng)(IDS)和入侵防御系統(tǒng)(IPS)、網(wǎng)頁內(nèi)容過濾、網(wǎng)站應(yīng)用防火墻、惡意軟件分析工具、漏洞分析工具、帶數(shù)據(jù)泄露防護(DLP)的主機級IPS、電子取證工具、閑時加解密，以及傳輸工具、巡回工具、SIEM和機器數(shù)據(jù)挖掘工具等，從應(yīng)用層防護直到物理層防護都應(yīng)該裝上。手機應(yīng)用和數(shù)據(jù)安全，帶服務(wù)等級協(xié)議(SLA)的云安全和無線保護也應(yīng)該包括進來。
5. 及時調(diào)整
通過每日、每周、每月的調(diào)整提升安全基準是必要的。在經(jīng)常使用的基礎(chǔ)上學(xué)習(xí)輕量級目錄訪問協(xié)議(LDAP)、簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)、域名服務(wù)系統(tǒng)(DNS)、超文本傳輸協(xié)議(HTTP)和其他你網(wǎng)絡(luò)中出現(xiàn)的流量。觀察管理員帳戶行為，知曉你的訪問控制實踐，而不僅僅是寫在紙上的章程。另外，為需要或要求各種不同類型軟件的業(yè)務(wù)單位建立起一套請求流程和變動控制程序。
保證安全測試、評估和分析，檢測與鎖定部署在組織內(nèi)部資產(chǎn)上的主機鏡像以預(yù)防用戶安裝未經(jīng)授權(quán)的軟件。鎖定特定組織里非正常行為遠比對著長長的信息技術(shù)基礎(chǔ)設(shè)施庫(ITIL)故障清單去處理儀表板上彈出的一個個IDS/IPS和SIEM警告要簡單得多。
事實上，全部資源投入到研究組織內(nèi)部的動態(tài)行為上遠比浪費在追逐警告和產(chǎn)生故障清單數(shù)據(jù)要好得多。
6. 用好白名單和黑名單
這需要定好基準底線，但同樣需要主動的全球惡意軟件分析。應(yīng)該從其他很多組織的事后報告中研究攻擊指示器、威脅情報和事件，而不僅僅局限于你所在的組織。然后，將研究成果應(yīng)用于組織中不斷發(fā)展的安全基準中。
7. 建立漏洞管理和補丁管理程序
將網(wǎng)絡(luò)的所有部分——所有硬件、軟件和用戶組，打散嵌入到每日、每周、每兩周或每月一次的任務(wù)計劃表中。這樣一來，所有部分至少每90天就能被掃描一遍，給最新的漏洞打上補丁。
為每個部分建立一張聯(lián)系人列表，負責(zé)解決已發(fā)現(xiàn)的漏洞和失效的補丁。這樣至少可以創(chuàng)建一個將測試和彌補漏洞當成常態(tài)的合作氛圍，而不僅僅是合規(guī)操作或?qū)徲嫷鹊取?/p>
8. 建立協(xié)同工作環(huán)境
將在辦公室里充分利用在線和虛擬滲透測試、惡意軟件分析和取證工具、網(wǎng)站、實驗室等當成常態(tài)，而不是例外情況。為你的團隊建立一套每周在不同領(lǐng)域交叉培訓(xùn)的機制。
打造一支組織團隊參與全球性的攻防競賽和組織內(nèi)部的類似競賽。建立內(nèi)部百科和培訓(xùn)課程，讓弟兄們可以每周或者每月互相學(xué)習(xí)。
這樣就能在預(yù)算不足以支持飛去參加各大會議和常規(guī)培訓(xùn)的時候也能讓你的現(xiàn)有員工繼續(xù)成長了。最好的團隊是成員間相互合作且能交叉培訓(xùn)共同成長的團隊。這對團隊散布各地且各部門間職能分散的大型組織而言尤其重要。讓協(xié)同合作的文化成為常態(tài)，而不僅僅是一個小插曲。
9. 留出成長和成功的機會
領(lǐng)導(dǎo)經(jīng)驗、培訓(xùn)和首要與次要職責(zé)之間的位置轉(zhuǎn)換對個人而言通常很重要，而且長期來看公司也是穩(wěn)賺不賠的。這一條實施起來與上面第8條類似，不過這一次，交叉訓(xùn)練要在非技術(shù)人員間展開。這將進一步使你的技術(shù)人員和非技術(shù)人員在其他首要與次要職責(zé)領(lǐng)域進行交叉培訓(xùn)以獲取新的技能，進一步建立一種相互尊重、交叉提高和經(jīng)常性交流的協(xié)同合作氛圍。
10. 保持警醒
最后，即使你覺得萬事ok，至少應(yīng)該每年兩次雇外人實際地或者通過網(wǎng)絡(luò)對你的組織進行評估、滲透和審計。這樣你的組織才會從門衛(wèi)到高層都保持警醒。
原文地址：http://www.aqniu.com/neo-points/7336.html
網(wǎng)頁題目：10步改善企業(yè)的分層防御策略
轉(zhuǎn)載來于：http://www.5511xx.com/article/coicpjc.html
