草庐IT

如何采用基于风险的方法应对网络安全威胁

David Anteliz 2023-03-28 原文

网络安全管理及安全分析服务商Skybox Security公司的高级技术总监David Anteliz对企业必须从以严重性为中心转变为以风险为中心进行了分析和阐述。他指出，采用主动和全面的安全策略可以帮助安全团队应对网络安全威胁。

很多企业的网络安全战略已经落后，这并不是什么秘密。调研机构最近发布的一份报告发现，在迅速变化的威胁形势下，40%的首席安全官认为他们的企业并没有对网络安全做好充分的准备。这一统计数据表明，过去几年，数字化转型的步伐加快，网络攻击面扩大。

与此同时，网络犯罪的复杂性也在不断增加，新的漏洞数量也在不断增加。即使是更早的漏洞(例如Log4j)，在未来几年仍将对企业构成威胁。

Anteliz表示，全球在2021年公布了20174个新漏洞，高于2020年的18341个，这凸显出漏洞的数量快速增长。在过去的一年，美国网络安全和基础设施安全局(CISA)发布了30多个安全警告，警告企业防范一些能够被利用的漏洞，其中许多漏洞影响了各行业组织。影响许多设备和企业的警报的一个例子是Icefall漏洞，美国网络安全和基础设施安全局(CISA)为此在去年6月发布了警报提醒公众。这些警报解决了56个影响全球几个关键基础设施环境中操作技术(OT)设备的漏洞。受到影响的供应商包括霍尼韦尔、摩托罗拉、欧姆龙、西门子、艾默生、JTEKT、Bentley Nevad、 Phoenix Contract、ProConOS以及 Yokogawa等公司。

影响企业运营业务的漏洞并不复杂，导致企业无法最大限度地减少摩擦，也无法集中精力于健康安全和环境(HSE)影响。这使得网络威胁行为者能够更快地发现新的攻击并将其武器化，从而导致许多漏洞。

网络安全已经成为企业董事会担忧的一个主要问题。安全团队努力应对不断扩大的技能差距、日益分散的网络、可见性和补救以及扫描差距所导致工作负载不断增加等问题。安全团队的任务是克服日益严峻的挑战，发现和补救具有最高业务风险的漏洞。数据泄露对企业的业务影响可能是巨大的。随着威胁和压力的增加，那些继续依赖传统反应性网络安全方法的企业将会继续落后。

漏洞扫描并不足够安全

通常使用的“扫描和补丁”策略忽略了现代漏洞管理的关键组件，特别是在设置修复优先级时。仅靠扫描程序无法提供足够完整的网络拓扑信息，警报会使安全运营过载，因此无法正确识别企业面临的真实风险。

采用传统的方法可能会让资源有限的团队感到沮丧，例如依赖电子表格和人工评估来获取漏洞的洞察。这些方法未能包括所有影响漏洞风险的因素，导致安全团队无意中将资源浪费在网络犯罪分子可能永远不会发现或不知道如何利用的问题上。

如果没有及时、准确地检测高风险漏洞并确定其优先级，安全团队将无法成功降低企业面临风险，即使他们关闭了大量漏洞。现在是采取新方法的时候了，将网络安全从被动措施转变为主动识别和降低风险的有效流程。

最近美国国家安全局(NSA)和美国网络安全和基础设施安全局(CISA)发布的指南打开了一个新的窗口，强调了企业从传统方法转向漏洞管理的重要性，并指出保护OT/ICS的传统方法不能充分解决当前对这些系统的威胁。该指南建议创建一个完整的“连接清单”，作为缓解风险的关键步骤，还强调了在黑客攻击之前消除漏洞暴露风险的重要性。为了成功地遵循这些建议，企业必须采取积极主动的方法来进行漏洞管理，学习在威胁环境中识别和优先考虑暴露的漏洞。

采用基于风险的方法

安全团队应该寻求采用基于风险的方法来进行漏洞管理，通过使用更复杂的评估策略、优先级和补救功能来增加对消除网络犯罪分子可见的漏洞的关注。

基于风险的网络安全方法对于任何网络风险管理计划都是必不可少的。通过量化风险的概率和将产生的影响，企业可以就是否减轻、接受或转移风险做出明智的决定。这种方法可以帮助企业更有效地分配资源，这比以往任何时候都更重要，并更快速有效地响应网络威胁。基于风险的管理还使安全优先级与业务保持一致，并帮助安全领导者在他们的观点和结果上更具战略性。

基于风险的网络安全战略有多个方面，其中，企业应该关注成功实施的三个关键组成部分：

•漏洞分析：通过进行漏洞分析，企业可以识别可利用的漏洞，并在企业的网络配置和安全控制中关联数据，以确定网络攻击在哪里构成最高风险，该策略决定了可以用来访问易受网络攻击的攻击向量或网络路径。

•风险评分：网络风险评分为企业评估安全态势提供了一个客观的衡量标准，该标准考虑了一系列风险因素，包括关键资产脱机的财务影响、威胁情报的可利用性、曝光率和资产重要性。风险评分能够使企业在对手破坏系统时量化每天的业务成本。

•漏洞评估和优先级：该策略允许具有复杂环境和有限资源的企业在最重要的地方通过优先考虑构成最大风险的漏洞来实现这一点。为了确定严重程度，漏洞评估和优先级可以自动考虑威胁情报、资产场景和攻击路径分析。

基于风险的网络安全管理方法具有变革性，使企业能够专注于其最重要的资产，并主动预防威胁。自动化解决方案使快速有效地实现基于风险的方法成为可能，并为安全团队节省宝贵的时间，还提供了持续监控风险和实时自动响应变化的能力。最近的一项行业基准研究发现，在2021年没有出现数据泄露的企业中，48%是基于风险的网络安全领域的领导者。

如何基于的安全局安全$网络安全首席安全官

有关如何采用基于风险的方法应对网络安全威胁的更多相关文章

  1. ruby - 如何使用 Nokogiri 的 xpath 和 at_xpath 方法 - 2

    我正在学习如何使用Nokogiri，根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div

  2. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  3. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  4. ruby - Facter::Util::Uptime:Module 的未定义方法 get_uptime (NoMethodError) - 2

    我正在尝试设置一个puppet节点，但ruby​​gems似乎不正常。如果我通过它自己的二进制文件(/usr/lib/ruby/gems/1.8/gems/facter-1.5.8/bin/facter)在cli上运行facter，它工作正常，但如果我通过由ruby​​gems(/usr/bin/facter)安装的二进制文件，它抛出:/usr/lib/ruby/1.8/facter/uptime.rb:11:undefinedmethod`get_uptime'forFacter::Util::Uptime:Module(NoMethodError)from/usr/lib/ruby

  5. python - 如何使用 Ruby 或 Python 创建一系列高音调和低音调的蜂鸣声？ - 2

    关闭。这个问题是opinion-based.它目前不接受答案。想要改进这个问题？更新问题，以便editingthispost可以用事实和引用来回答它.关闭4年前。Improvethisquestion我想在固定时间创建一系列低音和高音调的哔哔声。例如:在150毫秒时发出高音调的蜂鸣声在151毫秒时发出低音调的蜂鸣声200毫秒时发出低音调的蜂鸣声250毫秒的高音调蜂鸣声有没有办法在Ruby或Python中做到这一点？我真的不在乎输出编码是什么(.wav、.mp3、.ogg等等)，但我确实想创建一个输出文件。

  6. ruby-on-rails - 如何验证 update_all 是否实际在 Rails 中更新 - 2

    给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru

  7. ruby-on-rails - 'compass watch' 是如何工作的/它是如何与 rails 一起使用的 - 2

    我在我的项目目录中完成了compasscreate.和compassinitrails。几个问题:我已将我的.sass文件放在public/stylesheets中。这是放置它们的正确位置吗？当我运行compasswatch时，它不会自动编译这些.sass文件。我必须手动指定文件:compasswatchpublic/stylesheets/myfile.sass等。如何让它自动运行？文件ie.css、print.css和screen.css已放在stylesheets/compiled。如何在编译后不让它们重新出现的情况下删除它们？我自己编译的.sass文件编译成compiled/t

  8. ruby - 如何将脚本文件的末尾读取为数据文件(Perl 或任何其他语言) - 2

    我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚

  9. Ruby 方法() 方法 - 2

    我想了解Ruby方法methods()是如何工作的。我尝试使用“ruby方法”在Google上搜索，但这不是我需要的。我也看过ruby​​-doc.org，但我没有找到这种方法。你能详细解释一下它是如何工作的或者给我一个链接吗？更新我用methods()方法做了实验，得到了这样的结果:'labrat'代码classFirstdeffirst_instance_mymethodenddefself.first_class_mymethodendendclassSecond使用类#returnsavailablemethodslistforclassandancestorsputsSeco

  10. ruby - 如何指定 Rack 处理程序 - 2

    Rackup通过Rack的默认处理程序成功运行任何Rack应用程序。例如:classRackAppdefcall(environment)['200',{'Content-Type'=>'text/html'},["Helloworld"]]endendrunRackApp.new但是当最后一行更改为使用Rack的内置CGI处理程序时，rackup给出“NoMethodErrorat/undefinedmethod`call'fornil:NilClass”:Rack::Handler::CGI.runRackApp.newRack的其他内置处理程序也提出了同样的反对意见。例如Rack

随机推荐