信息來源：51CTO

越來越多的消費(fèi)者使用社交媒體和SaaS工具進(jìn)行互動。例如，人們使用移動應(yīng)用程序訂餐，政府部門使用SaaS Web應(yīng)用程序來管理許可證。這些工具應(yīng)該并且很可能會成為開展業(yè)務(wù)的規(guī)范。然而不利的一面是，隨著數(shù)字化轉(zhuǎn)型的加速，威脅行為者的攻擊面迅速擴(kuò)大，并從網(wǎng)絡(luò)攻擊和勒索活中獲利。

一些企業(yè)還添加了新的辦公工具，例如監(jiān)控軟件病毒的物聯(lián)網(wǎng)設(shè)備和跟蹤疫苗狀態(tài)的報(bào)告工具。使用傳統(tǒng)生產(chǎn)力應(yīng)用程序的企業(yè)已轉(zhuǎn)向基于云的工具。雖然業(yè)務(wù)工具也變得更加靈活，但企業(yè)的知識產(chǎn)權(quán)和客戶數(shù)據(jù)仍保留在云端。企業(yè)沒有將所有網(wǎng)絡(luò)安全風(fēng)險(xiǎn)轉(zhuǎn)移給SaaS供應(yīng)商;與其相反，這些供應(yīng)商卻為企業(yè)帶來了內(nèi)部威脅和漏洞。

隨著商務(wù)旅行的恢復(fù)，許多人正在重新學(xué)習(xí)在機(jī)場和咖啡館保護(hù)設(shè)備安全的技能，他們必須克服在家遠(yuǎn)程工作時不安全地使用個人和公司設(shè)備的習(xí)慣。

零信任

企業(yè)如何保留和增強(qiáng)客戶和員工體驗(yàn)，并管理新的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)?簡而言之，零信任、威脅情報(bào)和攻擊面管理是實(shí)現(xiàn)這些目標(biāo)的關(guān)鍵。

零信任不僅僅是一個流行術(shù)語，這也是美國聯(lián)邦政府的一項(xiàng)政策。當(dāng)供應(yīng)商開始談?wù)摿阈湃螘r，企業(yè)的安全和IT領(lǐng)導(dǎo)者能夠以相對較少的投資開始零信任之旅——但這只是一個開始，而不是最終狀態(tài)。

• 隔離特權(quán)帳戶。在之前的關(guān)鍵基礎(chǔ)設(shè)施工作中，企業(yè)擁有用于管理服務(wù)器的單獨(dú)憑據(jù)。如果不想為特權(quán)訪問管理工具支付費(fèi)用，需要使用商業(yè)密碼管理器。
• 以低成本使用現(xiàn)代密碼標(biāo)準(zhǔn)。用戶需要放棄采用所有字符類型的舊密碼標(biāo)準(zhǔn)，禁止字典中的任何單詞并強(qiáng)制定期更改。事實(shí)證明，很多人在密碼安全方面犯錯。美國國家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)更新了其數(shù)字身份指南，并承認(rèn)了這些事實(shí)。
• 終止VPN。與其要求員工設(shè)備通過企業(yè)VPN連接，不如要求對所有應(yīng)用程序進(jìn)行身份驗(yàn)證，最好通過SSO和多因素身份驗(yàn)證(MFA)。但要注意的是——威脅參與者經(jīng)常利用VPN網(wǎng)關(guān)中的漏洞，并使用在暗網(wǎng)中出售的受損憑據(jù)進(jìn)行遠(yuǎn)程登錄。
• 從服務(wù)器和網(wǎng)絡(luò)設(shè)備的“全部禁止”策略開始。在零信任的世界中，所有網(wǎng)絡(luò)都是不受信任的。僅允許與服務(wù)器或工具滿足其業(yè)務(wù)功能所需的基礎(chǔ)設(shè)施進(jìn)行通信。使用這種策略，企業(yè)可以避免成為供應(yīng)鏈妥協(xié)的受害者，因?yàn)榕c競爭對手基礎(chǔ)設(shè)施的連接不在允許列表中。

威脅情報(bào)

威脅情報(bào)是關(guān)于支持安全和風(fēng)險(xiǎn)領(lǐng)導(dǎo)者的戰(zhàn)術(shù)和運(yùn)營決策，以評估物理世界和網(wǎng)絡(luò)空間中威脅參與者的意圖。

• 虛心傾聽利益相關(guān)者的意見，以確定哪些業(yè)務(wù)流程和技術(shù)對企業(yè)更有價值。
• 支持漏洞管理團(tuán)隊(duì)。使用來自外部攻擊面管理的可見性來確定漏洞利用風(fēng)險(xiǎn)評估的優(yōu)先級。
• 支持品牌和高管保護(hù)。并非所有對企業(yè)的品牌和VIP的模仿或提及都很重要。使用威脅情報(bào)來評估威脅的嚴(yán)重性，并提供建議以降低影響品牌聲譽(yù)以及人員和財(cái)產(chǎn)安全的風(fēng)險(xiǎn)。

攻擊面管理是持續(xù)發(fā)現(xiàn)、識別、清點(diǎn)和評估實(shí)體IT資產(chǎn)暴露的過程。該攻擊面包括企業(yè)與客戶、合作伙伴和員工合作的所有媒介，例如社交媒體、職業(yè)網(wǎng)站和云計(jì)算提供商。

• 重新確定外部和內(nèi)部攻擊面。2020年1月的安全形勢與現(xiàn)在完全不同。外部攻擊面管理供應(yīng)商報(bào)告說，潛在客戶在云中擁有的資產(chǎn)比他們意識到的多30%。
• 持續(xù)監(jiān)控攻擊面。要像威脅者一樣思考并主動發(fā)現(xiàn)風(fēng)險(xiǎn)敞口。準(zhǔn)確的硬件和軟件庫存對于包括零信任在內(nèi)的每項(xiàng)策略的成功都至關(guān)重要。
• 使用外部攻擊面管理工具確定威脅情報(bào)收集和分析的優(yōu)先級。需要關(guān)注任何關(guān)于利用這些技術(shù)的信息。
• 在所有員工設(shè)備上安裝和調(diào)整安全控制。業(yè)務(wù)的流動性給IT團(tuán)隊(duì)帶來了額外的壓力，需要為遠(yuǎn)程員工提供工作設(shè)備和軟件。在用戶電腦上使用生物特征認(rèn)證，以減輕登錄負(fù)擔(dān)。

創(chuàng)新并非沒有網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

正在發(fā)生的所有創(chuàng)新和數(shù)字化轉(zhuǎn)型令人興奮，但采用這些新技術(shù)并非沒有網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。安全專家可以增強(qiáng)員工和客戶體驗(yàn)、維護(hù)信任和聲譽(yù)、減少違規(guī)行為，并保持對基于零信任、威脅情報(bào)和攻擊面管理的智能策略的合規(guī)性。