在安然標(biāo)題問題上，盡不存在任何完美的收集和利用。檢測收集防御中的首要縫隙未必是一個(gè)昂貴復(fù)雜的任務(wù)。假定企業(yè)愿意，當(dāng)然可以花大年夜把的錢往構(gòu)建一個(gè)健旺的、及時(shí)的收集縫隙治理機(jī)制，但這并不是上策。按照公司需要呵護(hù)的資產(chǎn)類型及資產(chǎn)的地點(diǎn)位置，甲公司的收集縫隙治理可能與乙公司的收集縫隙治理看似迥然不合。任甚么時(shí)辰候都不存在甚么模板或最好編制可以呵護(hù)公司免受每種縫隙的威脅。但只要企業(yè)當(dāng)真打算，就完全可以將縫隙治理改變成一個(gè)有益于確認(rèn)并解決暗藏安然縫隙的過程。本文將切磋若何構(gòu)建有效的收集縫隙評估和縫隙治理的東西和最好編制。
無疑，不管是利用軟件仍是把持系統(tǒng)都存在缺點(diǎn)，換言之，沒有哪個(gè)利用法度或把持系統(tǒng)不存在任何縫隙或不會(huì)蒙受報(bào)復(fù)打擊。只要有足夠的耐煩、手藝及專業(yè)手藝，每種軟件都可被操縱縫隙、被粉碎、被禁用或被用于歹意目標(biāo)。要閃開辟者猜想黑客報(bào)復(fù)打擊利用法度的每種編制是不成能的，所以收集團(tuán)隊(duì)需要對針對關(guān)頭利用的各類不成預(yù)感的報(bào)復(fù)打擊。
針對關(guān)頭利用或其地點(diǎn)辦事器的大年夜大都報(bào)復(fù)打擊，其渠道根基上都來自IP收集。所以，擺設(shè)一個(gè)健旺的縫隙評估和治理方案有助于削減利用法度中的縫隙。當(dāng)然，這并不是易事。良多企業(yè)的IT開辟者和安然專家常常沒有緊密密切協(xié)作，所以沒法解決利用法度和收集的縫隙標(biāo)題問題。在利用法度和安然團(tuán)隊(duì)之間成立緊密密切聯(lián)系相當(dāng)首要，這是因?yàn)閷梅ǘ鹊淖儎?dòng)可能會(huì)帶來安然專家該當(dāng)體味的新縫隙，而對收集的變動(dòng)也有可能招致針對利用法度的新報(bào)復(fù)打擊手段。總之，盡不該當(dāng)把收集縫隙治該當(dāng)作是一次性的或按期的體檢，而該當(dāng)把它作為一個(gè)延續(xù)的尺度IT過程。
削減關(guān)頭利用蒙受報(bào)復(fù)打擊的最好編制，或削減被報(bào)復(fù)打擊者用沒法猜想的編制操縱縫隙的最好編制是，常常查抄黑客用來報(bào)復(fù)打擊關(guān)頭系統(tǒng)的各類收集縫隙。
假定你正預(yù)備從頭開端構(gòu)建一種縫隙治理編制，最好的解纜點(diǎn)是履行發(fā)現(xiàn)和審計(jì)。假定你不體味企業(yè)在哪里會(huì)產(chǎn)生信息泄漏和產(chǎn)生信息泄漏的啟事，就沒法真正計(jì)齊截套延續(xù)的收集縫隙掃描的持久策略和過程?？p隙治理其實(shí)不但僅是擺設(shè)微軟肯定的嚴(yán)重等第的Windows補(bǔ)丁。收集縫隙治理的真正含義是，發(fā)現(xiàn)每臺(tái)主機(jī)有可能蒙受的報(bào)復(fù)打擊手段，并用一種使報(bào)復(fù)打擊者更堅(jiān)苦的編制來應(yīng)對報(bào)復(fù)打擊。
例如，假定企業(yè)的環(huán)境首要運(yùn)行Windows，無妨登錄到肆意一臺(tái)Web辦事器或利用辦事器，并在號令提示符下運(yùn)行“netstat -a”來查看辦事器正在監(jiān)聽的所有TCP/UDP端口。在收集環(huán)境中，在對一臺(tái)隨機(jī)選擇的辦事器的測試過程中，假定發(fā)實(shí)際驗(yàn)的成果中存在紅色標(biāo)識(shí)表記標(biāo)幟，則表白在將辦事器投進(jìn)到出產(chǎn)環(huán)境之前需要解決這些標(biāo)題問題。
當(dāng)然，在一個(gè)大年夜型的環(huán)境中，先登錄到每臺(tái)辦事器，然后再利用netstat號令決定特定主機(jī)的透露端口和辦事，這是不實(shí)際的。審計(jì)者及報(bào)復(fù)打擊者更愿意操縱縫隙掃描器或Nmap之類的東西來快速掃描全部子網(wǎng)的端口，查找透露了首要端口的主機(jī)。例如，在收集掃描中，RDP成為一種首要的紅色標(biāo)識(shí)表記標(biāo)幟，因?yàn)榧俣▓?bào)復(fù)打擊者發(fā)現(xiàn)了一套可用的登錄憑證，就很等閑打算出收集的殘剩部門，并留下后門，為今后的大年夜型報(bào)復(fù)打擊做好預(yù)備。
在作者的實(shí)驗(yàn)過程中，發(fā)現(xiàn)有幾臺(tái)新設(shè)備都啟用了默許的只讀字串。在查抄幾臺(tái)新路由器的SNMP時(shí)，可以等閑地發(fā)現(xiàn)正在運(yùn)行的路由器類型，和正在運(yùn)行的代碼版本。報(bào)復(fù)打擊者只要有了這些信息，花點(diǎn)時(shí)候就足以擬定出報(bào)復(fù)打擊進(jìn)進(jìn)路由器或互換根本架構(gòu)的策略。在掃描子網(wǎng)中的其它主機(jī)時(shí)，作者還發(fā)現(xiàn)一臺(tái)在80號端口監(jiān)聽的APC的UPS(不間斷電源)。經(jīng)由過程谷歌搜刮得知，這類UPS的默許用戶名和口令都是“APC”。因此，筆者就可以夠輕松地拜候UPS并且可以經(jīng)由過程收集封鎖它。有些治理員可能覺得以默許用戶名和口令運(yùn)行的UPS不是縫隙，其實(shí)不然。
不管企業(yè)范圍若何，加快縫隙發(fā)現(xiàn)過程的最好編制是禮聘外部的審計(jì)人員。在發(fā)現(xiàn)縫隙的過程中不該當(dāng)求全譴責(zé)誰，更不該該把此刻的治理團(tuán)隊(duì)說得一無可取。事實(shí)，每個(gè)治理員城市犯弊端，并且在某種程度上每個(gè)環(huán)境都有可能蒙受報(bào)復(fù)打擊。良多企業(yè)***倉猝地?cái)[設(shè)了某種辦事，成果使安然成了次要標(biāo)題問題。在企業(yè)迫于無奈而擺設(shè)辦事時(shí)，IT常常會(huì)為沒有益用最好編制而慚愧。可是，在轉(zhuǎn)向了下一個(gè)任務(wù)或項(xiàng)目后，你遺留的縫隙便有可能持久存在。為了削減縫隙，系統(tǒng)治理員該當(dāng)有條不紊地?cái)[設(shè)新辦事。
為了安然地?cái)[設(shè)辦事，安然團(tuán)隊(duì)在發(fā)現(xiàn)和審計(jì)過程(包含滲入測試在內(nèi))中有可能要求治理人員賜與更多資本。對系統(tǒng)治理員來講，這個(gè)過程可以作為教育IT人員封鎖各類報(bào)復(fù)打擊媒介和手段的編制，或是可以擺設(shè)新辦事以便于使安然縫隙起碼化的一種路子。
企業(yè)現(xiàn)有的發(fā)現(xiàn)縫隙的盡力必然會(huì)揭露一些縫隙，并可能發(fā)當(dāng)今朝的策略造成安然縫隙的路子和編制。這當(dāng)然是功德，因?yàn)槌闪⒁惶子崎L高效的縫隙治理過程的最好編制之一就是，評估現(xiàn)有的IT過程若何造成差能人意的縫隙治理狀況。
下面列示的是一些用于成立健旺的安然過程的最好編制。
1、對新辦事器和桌面的擺設(shè)，強(qiáng)化一個(gè)以安然為中間的過程
企業(yè)的主機(jī)在IP收集大將會(huì)蒙受報(bào)復(fù)打擊，所以該當(dāng)確保所有的辦事器(新的和已有的)都利用一套尺度安然模板(可以或許解除不需要的辦事和端口，不然這些端口和辦事有可能被用作報(bào)復(fù)打擊通道)。這該當(dāng)作為一個(gè)縫隙治理項(xiàng)目標(biāo)核心IT過程。
擺設(shè)一臺(tái)新辦事器或桌面PC或許很簡單，但保障新桌面和辦事器的安然確保縫隙數(shù)量最小化就不那么簡單了。采取一種面向過程的編制來擺設(shè)新系統(tǒng)相當(dāng)首要，因?yàn)樽罱K你的主機(jī)將成為蒙受報(bào)復(fù)打擊的靶子，而這類報(bào)復(fù)打擊是經(jīng)由過程收集產(chǎn)生的。
以安然為中間的過程要求企業(yè)花時(shí)候確認(rèn)用來強(qiáng)化把持系統(tǒng)(Web、利用法度、數(shù)據(jù)庫等的運(yùn)行與其緊密密切相干)的編制。這包含斷根所有供給商所供給的軟件后門、不首要的和不需要的辦事，并封鎖任何可乃至使辦事器打開一個(gè)UDP/TCP端口的不需要的利用，還要求你擺設(shè)恰當(dāng)?shù)亩它c(diǎn)呵護(hù)，用來跟蹤建設(shè)上產(chǎn)生的改變，并禁止繞過外圍防御的報(bào)復(fù)打擊。
假定你已從安然的角度確認(rèn)了尺度桌面和辦事器該當(dāng)具有的特點(diǎn)，下一個(gè)首要標(biāo)題問題是驗(yàn)證參數(shù)，并在一個(gè)模板中捕獲這些參數(shù)以有益于將來的擺設(shè)。企業(yè)還要有一個(gè)過程，確保在將一臺(tái)辦事器投進(jìn)到出產(chǎn)環(huán)境之前，就利用尺度的安然模板。作為一個(gè)尺度的軟件開產(chǎn)生命周期的一部門，新代碼要顛末一個(gè)質(zhì)量包管過程。一樣，所有新擺設(shè)的辦事器都該當(dāng)在投進(jìn)到出產(chǎn)環(huán)境之前，由其它的監(jiān)督機(jī)制來包管其質(zhì)量。經(jīng)由過程強(qiáng)化關(guān)頭利用軟件賴以運(yùn)行的桌面和辦事器，安然團(tuán)隊(duì)不需編寫一行代碼便可以改良利用法度的安然性。
2、每天監(jiān)督與日記和事務(wù)相干的數(shù)據(jù)
大年夜型企業(yè)花良多錢用于日記治理、安然信息和事務(wù)的治理，但常常貧乏一個(gè)強(qiáng)有力的過程，沒法將這些信息用作縫隙治理項(xiàng)目標(biāo)一部門。在報(bào)復(fù)打擊者開端操縱一個(gè)已知或未知的縫隙時(shí)，總會(huì)留下線索，但假定你不查找就永久看不到這些線索，并且也沒法依托主動(dòng)化和警告法則往通知需要響應(yīng)的每個(gè)安然事務(wù)。
企業(yè)該當(dāng)集中治理安然日記，并且該當(dāng)有人(抱負(fù)環(huán)境下應(yīng)超越一人)往查抄這些日記，以此作為平常過程的一部門。
一個(gè)健旺的日記治理或SIEM系統(tǒng)將成為縫隙治理項(xiàng)目標(biāo)一個(gè)關(guān)頭要素?？p隙掃描器可以幫忙你揭露已知的威脅和暗藏的報(bào)復(fù)打擊手段，可是日記可幫忙你發(fā)現(xiàn)黑客是不是拜候過一個(gè)互換機(jī)或路由器。你還該當(dāng)利用可以幫忙你查找關(guān)頭系統(tǒng)上產(chǎn)生改變的建設(shè)治理東西，要知道這類改變可能帶來新縫隙，或表白某種報(bào)復(fù)打擊正在產(chǎn)生。
對預(yù)算嚴(yán)重的中小型企業(yè)來講，開源或輕量級的系統(tǒng)日記辦事器起碼可幫忙企業(yè)構(gòu)建一個(gè)安然和事務(wù)相干數(shù)據(jù)的集中化揭示。中小型企業(yè)還可以經(jīng)由過程利用Windows中的相干安然和策略功能來解決建設(shè)治理標(biāo)題問題。你或許達(dá)不到專有產(chǎn)品的節(jié)制和陳述程度，但起碼不破鈔甚么代價(jià)便可以避免打開新縫隙和安裝歹意軟件。
3、讓每天搜刮新縫隙成為一個(gè)相當(dāng)首要的IT過程
用戶和系統(tǒng)治理員遲早會(huì)對桌面和辦事器做出變動(dòng)，這會(huì)帶來新縫隙。大都系統(tǒng)變動(dòng)是善意的，但常常會(huì)產(chǎn)生負(fù)面的安然影響。例如，治理員啟用一臺(tái)關(guān)頭辦事器的長途桌面，就會(huì)背反安然策略;用戶為完成某些工作，在家里安裝了長途拜候客戶端軟件來拜候公司的利用;用戶或利用法度有時(shí)會(huì)禁用Windows的更新辦事或反病毒掃描器在主機(jī)上運(yùn)行;治理員無意地?cái)[設(shè)了一臺(tái)路由器，卻沒有更改默許的用戶名和口令，等等。
在系統(tǒng)變動(dòng)或新的擺設(shè)帶來新縫隙時(shí)，企業(yè)需要檢測這個(gè)縫隙，并快速地用一種面向過程的編制來解決縫隙。
當(dāng)令地搜刮和禁止收集縫隙要求企業(yè)有完美的東西。最初的投資該當(dāng)是一個(gè)縫隙掃描器。而云供給商也能夠掃描企業(yè)的IP地址塊，這對中小型企業(yè)發(fā)現(xiàn)防御縫隙是一種好編制。別的，Nmap也可用于發(fā)現(xiàn)多臺(tái)主機(jī)的開放端口。
你還需要利用智能的網(wǎng)關(guān)防御，用來限制可能帶來安然標(biāo)題問題標(biāo)各類利用法度。用戶安裝的把系統(tǒng)透露在互聯(lián)網(wǎng)上的不法軟件，本身就是一個(gè)需要解決的縫隙。假定企業(yè)的端點(diǎn)防御或安然策略沒有禁止用戶安裝未經(jīng)許可的軟件，安然團(tuán)隊(duì)就該當(dāng)確保防火墻可以或許在外圍過濾利用法度。企業(yè)需要向外圍增加一些呵護(hù)和檢測功能，該當(dāng)在外圍過濾已知的歹意軟件和縫隙。?？匆劳卸它c(diǎn)防御來避免縫隙是不成靠的，因?yàn)槎它c(diǎn)的呵護(hù)常常其實(shí)不完全。
4、交換和通知新發(fā)現(xiàn)的縫隙
幾近任何企業(yè)的縫隙掃描器都能檢測和確認(rèn)嚴(yán)重的新縫隙，標(biāo)題問題在于：你若何對待這些信息。安然團(tuán)隊(duì)該當(dāng)將新發(fā)現(xiàn)的縫隙傳達(dá)給利用法度的開辟團(tuán)隊(duì)，并附上具體的解救打算，這該當(dāng)作為甲等大年夜事。企業(yè)還要以一種面向過程的編制來監(jiān)督縫隙信息的傳達(dá)和交換，將其作為企業(yè)收集縫隙治理項(xiàng)目標(biāo)一部門。企業(yè)該當(dāng)為把新風(fēng)險(xiǎn)傳達(dá)給公司利用開辟團(tuán)隊(duì)而構(gòu)建一個(gè)調(diào)和杰出的過程,這該當(dāng)作為利用團(tuán)隊(duì)和收集團(tuán)隊(duì)常常交換的首要內(nèi)容。
5、嚴(yán)格限制對關(guān)頭系統(tǒng)的拜候
無疑，可以長途拜候的任何辦事器都易蒙受報(bào)復(fù)打擊，但在今天，關(guān)于辦事器治理的事實(shí)是，IT不克不及簡單地禁用長途拜候。IT仍可利用戶更安然地連接到辦事器，并且可使黑客在利用這類報(bào)復(fù)打擊手段時(shí)更堅(jiān)苦。
解決此標(biāo)題問題標(biāo)一種編制是，禁用長途桌面并依托IP KVM和帶外治理。安然人員還可以僅承諾從可托的安然VLAN長途拜候辦事器。對安然VLAN的長途拜候該當(dāng)要求雙身分呵護(hù)，并且不該當(dāng)承諾利用一般賬戶(包含“administrator”賬戶)的身份驗(yàn)證。別的，還該當(dāng)記實(shí)所有的長途連接。
此刻，良多與安然相干的最好實(shí)踐可呵護(hù)企業(yè)免受縫隙的威脅。但對企業(yè)來講，更大年夜的堅(jiān)苦在于將這些最好實(shí)踐和東西改變成一套可行法則。在擺設(shè)新系統(tǒng)或利用時(shí)，企業(yè)必需視縫隙標(biāo)題問題。企業(yè)需要當(dāng)真對待若何環(huán)繞最好實(shí)踐慢慢地構(gòu)建一個(gè)可實(shí)施的IT過程，不然必將遭受慘敗。