您企業當前的相關安全策略和程序是否真的有助于實現更好的安全，或者您企業的這些安全策略和程序只是關注于尋找已知的惡意軟件，卻忽略了某些人為因素呢?對于許多企業而言，這是一個相當棘手的問題。
最近幾個月在美國各大機構所發生的數據泄露事件無疑引發了人們對于當前安全工具的有效性以及應對和處理新興安全威脅的相關方法的關注和討論。
在過去的十年中，私營或公開上市企業已經在加強安全性方面花費了數百億美元，然而，惡意攻擊者們依然一直能夠通過各種方式成功地逃避企業所設置的重重安全防范措施。
這一趨勢已經使得許多企業紛紛接受并采用一種回歸到基本的方法：開始將重點放在工作人員、流程和技術上。而不是把安全功能方面的支出視為企業經營的一項麻煩的成本，越來越多的企業開始將其作為一項大力推動的新的戰略舉措。
“安全性和產品開發并不是相互排斥的。” 萬事達卡的首席信息安全官Ron Green表示說。“我們并不將安全性作為一項孤立的責任。”
相反，萬事達卡的安全專家們都在與其他專注于身份驗證創新業務的團隊合作，包括諸如萬事達實驗室、新興的支付和企業安全解決方案團隊，Green說。此舉的重點是產品的長期管理和使用安全，并利用安全提高持卡人的用戶體驗。
“我們的高管團隊期望我們能夠將安全性納入到我們每一項標準的實踐中。” Green說。雖然這種做法可能會增加項目進度的時間成本，但這些成本是值得的。 “安全性已然成為吸引客戶的一大籌碼，而每家企業都需要為其客戶提供足夠的安全性。”他說。
企業的IT領導們在戰略層面需要從如下五大關鍵措施入手，以加強安全性。而不同企業實施這些措施的方式可能會因企業具體的戰術和操作水平有所不同。但關鍵的是要把重點放在高層次的目標上。
1、加強網絡邊界的保護
周邊技術，如防病毒工具，防火墻和入侵檢測系統，長久以來一直是企業安全戰略的支柱。這些周邊技術通過尋找特定的標記，或簽名，已知病毒和其它類型的惡意軟件，然后阻止惡意程序。
較之其他更多安全產品類別的產品，多年來，公共和私營企業都傾向于在周邊安全工具方面花費更多的成本。但分析師們則警告說，對于保持系統的安全而言，僅僅靠外圍防護是遠遠不夠的。
但是，多家大型企業遭遇嚴重的數據泄露事故的殘酷現實已然表明，基于簽名的周邊安全工具對于應對現如今惡意黑客所采用的有高度針對性的攻擊行為是無效的。少數企業似乎準備完全放棄周邊安全技術，而仍有許多企業堅持認為這些工具對于防止惡意軟件發揮了重要作用。盡管如此，將周邊安全技術作為唯一的，甚至是主要的防線是不夠的，IBM安全研究員Marco Pistoia說。
“一系列的網絡安全攻擊已經表明，現在的黑客們能夠繞過幾乎任何類型的物理限制。”Pistoia說。“基于周邊的安全防御技術仍然是必需的，但這些手段并不足以保證一個計算系統的安全性。”
從戰略和戰術的角度來看，企業將以周邊安全技術作為安全鏈的必要環節之一是很重要的。
同樣重要的是模式識別和預測性分析工具，可以幫助企業建立正常的網絡活動的基準，然后找出行為偏差。正如在需要網絡防火墻以阻止已知的安全威脅一樣，企業也同樣需要Web應用程序防火墻來防御那些設法突破周邊安全工具的惡意軟件，位于加州的法律公司Fenwick &West的CIO Matt Kesner表示說。
“在技術方面，我們仍然在花費時間和金錢在周邊外圍方面。”Kesner說。但已然不再僅僅盯住更多在網絡邊緣基于簽名的攔截功能，Kesner已經在網絡的各個層面建立了冗余惡意軟件攔截系統和防火墻，包括在該公司Web應用程序服務器的前面。Fenwick &West公司使用日志事件協調系統，使IT能夠從網絡上的所有設備聚合、關聯和分析日志記錄和規則信息。
Kesner還部署了幾款來自利基供應商的產品，以實現諸如搜索可疑特權升級和尋找隱藏極深的網絡入侵者的證據等特殊功能。“我們花了大量的時間，以確保周邊安全技術能夠符合我們的預期。”Kesner說。“我們假設漏洞違規行為必然會發生，并希望能夠更好地對其進行防范。”
最近幾年已經發展出了一類專業化的新產品的特點就是所謂的“殺鏈”工具?？蓮闹T如Palo Alto Networks這樣的供應商處購買，這些系統不僅能夠幫助企業尋找惡意軟件;同時還能夠監視黑客如何利用惡意程序進入網絡，而這些信息最終幫助企業用戶消除安全威脅。
許多工具都是基于個別黑客和黑客團體通常使用相同的惡意軟件工具，并在攻擊目標時，會遵循一套模式的前提。因此，通過確定安全攻擊背后的個體或者黑客團隊，企業防御特定工具以及攻擊手段就會變得更容易。
2、建立檢測和響應能力
現如今絕大多數針對企業的攻擊都是由犯罪團伙或國家作為背后支持者針對性的策劃進行的。過去的那些隨機性的，漫無目標的攻擊活動都已經由經過精心設計，以獲取企業信息、知識產權、商業秘密和財務數據為目的的攻擊所取代了。相較于以往那種哪痛醫哪的思路，如今企業應當高度重視那些表現得非常低調，而且傾向于一點點慢慢獲取數據的攻擊行為。事實上這幫黑客變得極有耐心，他們可以拿出很長時間逐漸拼湊出自己想要的信息。
在這樣的環境中，任何安全策略都應該盡可能多地強調將檢測和響應納入到預防中。
“基于靜態規則和簽名的預防工具無法阻止確定的先進的攻擊。”EMC安全部門RSA技術解決方案主管Rob Sadowski說。因此，重要的是，優先考慮早期檢測和響應，以確保黑客入侵不會導致業務受損或商業損失，他說。
為了推動這種變化，IT領導者們需要使用能夠在可視性方面提供更多細粒度的工具，以便他們更多的了解基礎設施的情況，Sadowski說。
這是必要的，例如，增強現有的以日志為中心的網絡數據包捕獲和端點監測技術，使安全管理員能夠獲得對于攻擊者活動的更全面的了解。
在發現和限制由憑據和身份所造成損害的影響方面，利用身份管理，身份治理和行為分析工具，也同樣重要，Sadowski指出。
萬事達卡的Green說，企業需要采取一種多層的方法來確保安全。“如果你企業只是尋找一種方法，可能不能涵蓋所有需求。”他認為企業過于依賴于基于簽名的周邊安全技術。
這種多層方法應包括防范內部攻擊，而不僅僅是防御外部攻擊的手段。“企業內部的安全威脅往往更具挑戰性，” Green說。“所以，企業應該有套強大的和分層的安全計劃，能夠解決企業內部和外部的安全威脅，并允許您在問題出現的情況下，快速識別并解決。”
3、安全代碼開發
脆弱而易受攻擊的Web網絡應用程序經常會為黑客提供對于企業網絡和數據相對容易的訪問，所以確保這些網絡應用程序的安全是至關重要的，進而才能確保數據的完整性和保密性。
常見的、易于理解的不足之處，如SQL注入錯誤、跨站點腳本缺陷、失效的驗證和會話管理功能都難倒了許多企業。但最近一波主要針對大型企業的黑客入侵組織真正推動了對于安全代碼的需要。
“如果你企業正在開發一款應用程序，隨之需要考慮的便是安全方面的期望。” Green說。“當涉及到安全和隱私保護時，您肯定希望從供應商那里購買的技術都是他們最頂尖的巔峰技術。”這同樣也適用于供應鏈合作伙伴和產品服務的其他供應商，他補充道。
硬化的計算系統的軟件組件是特別棘手的，因為漏洞可以被嵌套在代碼深處， IBM的Pistoia說。為了防止應用程序被攻擊，從而維護數據的完整性，企業必須讓安全管理成為軟件生命周期的所有階段的一部分，而適當的代碼審查的做法也需要到位，他說。
對于許多大型企業而言，手工進行代碼審查的成本將是非常昂貴的。所以一個可行的選擇方案將是采用自動的方法，通過將靜態和動態程序分析相結合，并讓代碼分析處理成為應用程序開發的一個組成部分。
“高級應用程序開發系統現在可以在每次提交或基于一定的周期進行應用程序的代碼檢查。” Pistoia說。其向應用程序開發人員們顯示了需要進行簡潔修復和易于遵循的步驟，他補充道。
“應用層已經成為網絡安全最新的戰場，其不僅僅是安全團隊的焦點，同時也是企業系統開發生命周期團隊所關注的重點。”在線發票和支付平臺供應商Viewpost公司的總顧問和首席安全官Chris Pierson表示說。
將重點聚焦在靜態和動態代碼審查已經成為更多的產品開發管道，他補充說，IT專業人員更注重的開放Web應用安全項目的前10大安全隱患。
重要的是，越來越多地采用DevOps方法給一些機構帶來了在軟件開發生命周期的早期階段集成安全性的契機。“安全性是推動DevOps采用的一個很大的因素。” 信息安全專家兼DevOps.com網站主編Alan Shimel說。
開發和運營團隊必須認識到，安全必須是他們共同的責任，并需要在產品生命周期的早期，進行整合控制。它需要更經常比現在發生了什么事情發生，他說。 “我們仍然處在需要說服大多數企業的安全團隊DevOps可以有助于提升安全性的階段。”Shimel說。
4、關注人為因素
近年來，許多最大的攻擊在其最初都是相當無害的，隨著 攻擊者逐步進入網絡，使用合法用戶，如員工，商業伙伴或供應商的登錄憑據進入網絡。黑客利用社會工程技術和釣魚電子郵件盜取屬于別人的用戶名和密碼，進而訪問企業網絡，然后借助該最初的立足點查找和訪問關鍵的企業系統和數據存儲。
這一戰術曾被入侵者用來攻擊過的目標包括：Target、Home Depot、美國人事管理辦公室及其他網站。這些機構現在已經把注意力集中在了對員工和其他授權用戶需要更多地了解安全風險和培訓方面，以確保用戶能夠識別和抵抗潛在威脅。
“企業員工真的需要明白自己在保護公司資產中所發揮的作用”萬事達卡的Green說。
在許多情況下，對企業數據有訪問權限的員工用戶并不覺得個人有義務保護對數據的訪問。為了鼓勵這樣的用戶接受一些維護企業系統的責任，Green說萬事達卡公司采用的政策是“構建學習文化，以便我們可以定期教育員工，讓他們了解如何保護我們的資產更安全，特別是當新的威脅出現時。”
作為這方面努力的一部分，萬事達卡結合了傳統的訓練方法和Green所謂的“寓教于樂的方法”來傳遞重要的信息。“因為犯罪分子總是越來越聰明，我們必須在加強保護的意識方面必須領先他們一步。”他說。這個想法是為了給員工留下深刻印象：他們是安全團隊的一部分，即使他們可能不會向安全團隊報告工作。
“正因為如此，現在已出現了創造性的方式來加強我們的安全。”Green說，并介紹了一項安全倡議呼吁保護持卡人數據，成為安全網，該安全倡議是由萬事達卡于去年十月發起的。
5、保護您的業務流程
一家擁有最好的安全技術的企業，仍然可能會被壞的實踐操作方法和流程所絆倒。這就是為什么Fenwick &West的IT部門會實施Kesner所說的針對企業涉及敏感數據處理的政策和過程需要進行相關大大小小的改變的原因了。
例如，在過去，這家法律公司的政策是盡可能采取加密傳入和傳出的客戶端數據的方法。而現在，這已經是一項絕對的要求。Kesner的團隊還實施了新政策，以確保對公司存儲區域網絡的數據是加密的，而且在傳輸過程中也是加密的。所有公司的筆記本電腦和臺式機的敏感數據均是加密的，IT每六個月運行審計和測試，以驗證這些加密。
該法律公司有第三方和安全公司定期來做滲透測試和模擬攻擊，而且沒有什么禁區限制。“有了適當的保密協議，我們可以讓安全工程師針對每件事情執行滲透測試。”Kesner說。之后，IT團隊要求安全服務公司給出一份名單，詳細列出他們需要在實際的安全政策方面需要改革的五項變化。
Fenwick &West公司現在要求所有的合作伙伴，以書面披露他們的安全實踐的完整細節，并承認他們了解法律公司的安全政策和流程。合作伙伴必須實施雙因素身份驗證，不再允許使用用戶名和密碼到Fenwick網絡進行驗證。
各種各樣的企業都在采取類似的方法。網絡安全是一項首要任務，而企業領導團隊和董事會也承認這一事實。“企業董事會希望和要求了解公司的網絡安全的立場是從控制、治理和運營的角度來看的。”Viewpost的Pierson說。
“如果你想吸引并留住客戶的信任，安全和隱私必須成為你企業的文化和價值主張。”
京公網安備 11010502049343號