企業(yè)收集在急速成長(zhǎng)!此中一些組強(qiáng)開(kāi)端清理手機(jī)和平板電腦，拒盡來(lái)自咖啡店和火車(chē)站的互聯(lián)網(wǎng)連接(作為WAN鏈路)。
擴(kuò)大型企業(yè)的概念給IT安然組合帶來(lái)愈來(lái)愈嚴(yán)重的標(biāo)題問(wèn)題，因?yàn)樗鼈兊拿舾袛?shù)據(jù)和有價(jià)值的數(shù)據(jù)常常會(huì)流出傳統(tǒng)收集鴻溝。為了呵護(hù)企業(yè)不受多元化和低端低速可適應(yīng)性的持久威脅，IT企業(yè)正在擺設(shè)各類各樣的新型收集安然設(shè)備：下一代防火墻、IDS與IPS設(shè)備、安然信息事務(wù)治理(SIEM)系統(tǒng)和高級(jí)威脅檢測(cè)系統(tǒng)。抱負(fù)環(huán)境下，這些系統(tǒng)將集中治理，遵守一個(gè)集中安然策略，附屬于一個(gè)遍及呵護(hù)計(jì)謀。
但是，在擺設(shè)這些設(shè)備時(shí)，一些企業(yè)的常見(jiàn)弊端會(huì)嚴(yán)重影響他們實(shí)現(xiàn)遍及呵護(hù)的能力。本文將介紹在打算與擺設(shè)新型收集安然設(shè)備時(shí)需要寄望的標(biāo)題問(wèn)題，和若何避免可能導(dǎo)致深度防御掉敗的相干標(biāo)題問(wèn)題。
不要迷信安然設(shè)備
一個(gè)最大年夜的弊端是假定安然設(shè)備本身是安然的。概況上這仿佛很等閑理解，可是必然要對(duì)峙這個(gè)安身點(diǎn)。所謂的“加強(qiáng)”把持系統(tǒng)到底有多安然?它的最新?tīng)顩r是如何的?它運(yùn)行的“超不變”Web辦事器又有多安然?
在開(kāi)端任何工作之前，必然要成立一個(gè)測(cè)試打算，驗(yàn)證所有收集安然設(shè)備都是真正安然的。起首是從一些根本測(cè)試開(kāi)端：您是不是有在各個(gè)設(shè)備及其撐持的收集、辦事器和存儲(chǔ)根本架構(gòu)上按時(shí)進(jìn)級(jí)、安裝補(bǔ)丁和修復(fù)Bug?在按照一些記實(shí)當(dāng)前已知縫隙信息的資料互換中間(如全國(guó)縫隙數(shù)據(jù)庫(kù))的數(shù)據(jù)進(jìn)行查抄，必然要按期進(jìn)級(jí)和安裝設(shè)備補(bǔ)丁。
然后，再轉(zhuǎn)到一些更難措置的方面：按期評(píng)估多個(gè)設(shè)備建設(shè)的暗藏弱點(diǎn)。加密系統(tǒng)和利用交付優(yōu)化(ADO)設(shè)備的擺設(shè)挨次不當(dāng)也會(huì)造成數(shù)據(jù)泄漏，即便各個(gè)設(shè)備本身可以或許正常工作。這個(gè)過(guò)程可以與按期履行的滲入測(cè)試一路進(jìn)行。
評(píng)估收集安然設(shè)備的利用編制
對(duì)肆意安然設(shè)備而言，治理/節(jié)制通道最等閑呈現(xiàn)縫隙。所以，必然要寄望您將要若何建設(shè)和點(diǎn)竄安然設(shè)備——和承諾誰(shuí)履行這些建設(shè)。假定您預(yù)備經(jīng)由過(guò)程Web瀏覽器拜候一個(gè)安然系統(tǒng)，那么安然設(shè)備將運(yùn)行一個(gè)Web辦事器，并且承諾Web流量進(jìn)出。這些流量是不是有加密?它是不是利用一個(gè)尺度端口?所有設(shè)備是不是都利用統(tǒng)一個(gè)端口(是以進(jìn)侵者可以輕松猜想到)?它是經(jīng)由過(guò)程一個(gè)通俗收集連接(編內(nèi))仍是自力治理收集連接(編外)進(jìn)行拜候?假定屬于編內(nèi)連接，那么任何經(jīng)由過(guò)程這個(gè)接口發(fā)送流量的主機(jī)都可能報(bào)復(fù)打擊這個(gè)設(shè)備。假定它在一個(gè)治理收集上，那么起碼您只需要擔(dān)憂收集上的其他設(shè)備。(假定它建設(shè)為利用串口連接和KVM，則加倍好。)
最好場(chǎng)景是如許：假定不克不及直接拜候設(shè)備，則包管所有建設(shè)改變都必需利用加密和多因子身份驗(yàn)證。并且，要慎密跟蹤和節(jié)制設(shè)備治理的身份信息，包管只有授權(quán)用戶才能獲得治理權(quán)限。
利用尺度滲入測(cè)試東西
假定您采取了前兩個(gè)步調(diào)，那么此刻就有了很好的開(kāi)端——可是工作還沒(méi)做完。黑客、報(bào)復(fù)打擊和威脅載體仍然在不竭地增加和成長(zhǎng)，并且您必需按期測(cè)試系統(tǒng)，除修復(fù)縫隙，還要包管它們可以或許抵當(dāng)已發(fā)現(xiàn)的報(bào)復(fù)打擊。
那么，報(bào)復(fù)打擊與縫隙有甚么不合呢?報(bào)復(fù)打擊是一種專門(mén)攻破縫隙的成心行動(dòng)。系統(tǒng)縫隙造成了報(bào)復(fù)打擊可能性，可是報(bào)復(fù)打擊的存在則增加了它的風(fēng)險(xiǎn)性——縫隙透露從理論變成實(shí)際。
滲入測(cè)試東西和辦事可以查抄出收集安然設(shè)備是不是等閑遭到報(bào)復(fù)打擊的粉碎。一些開(kāi)源東西和框架已呈現(xiàn)了很長(zhǎng)時(shí)候，此中包含Network Mapper(Nmap)、Nikto、開(kāi)放縫隙評(píng)估系統(tǒng)(Open Vulnerability Assessment System, OpenVAS)和Metasploit。當(dāng)然 ，也有良多的商業(yè)東西，如McAfee(可以掃描軟件組件)和Qualys的產(chǎn)品。
這些東西遍及用于標(biāo)識(shí)收集設(shè)備措置收集流量的端口;記實(shí)它對(duì)尺度測(cè)試數(shù)據(jù)包的響應(yīng);和經(jīng)由過(guò)程利用OpenVAS和Metasploit測(cè)試它面對(duì)一些常見(jiàn)報(bào)復(fù)打擊的縫隙環(huán)境(更多呈此刻商業(yè)版本上)。
其他滲入測(cè)試東西則首要存眷于Web辦事器和利用，如OWASP Zed Attack Proxy(ZAP)和Arachni。經(jīng)由過(guò)程利用尺度東西和手藝，肯定安然設(shè)備的縫隙——例如，經(jīng)由過(guò)程一個(gè)Web治理接口倡議SQL注進(jìn)報(bào)復(fù)打擊，您便可以更清晰地體味若何呵護(hù)收集安然設(shè)備本身。
在擺設(shè)收集安然設(shè)備時(shí)降落風(fēng)險(xiǎn)
沒(méi)有任何東西是完美的，是以沒(méi)有任何一個(gè)系統(tǒng)是毫無(wú)縫隙的。在擺設(shè)和建設(shè)新收集安然設(shè)備時(shí)，假定沒(méi)有益用得當(dāng)?shù)念A(yù)防辦法，便可能給環(huán)境帶來(lái)風(fēng)險(xiǎn)。采納準(zhǔn)確的辦法呵護(hù)設(shè)備，將呵護(hù)根本架構(gòu)的其他部門(mén)，此中包含下面這些常常被忽視的常見(jiàn)防備辦法：
點(diǎn)竄默許暗碼和帳號(hào)名。
禁用不需要的辦事和帳號(hào)。
包管遵循制造商的要求更新底層把持系統(tǒng)和系統(tǒng)軟件。
限制治理收集的治理接口拜候;假定沒(méi)法做到這一點(diǎn)，則要在上游設(shè)備(互換機(jī)和路由器)利用ACL，限制倡議治理睬話的來(lái)歷。
因?yàn)閳?bào)復(fù)打擊也在進(jìn)化，所以要按期查抄滲入測(cè)試。要保持OpenVAS和Metasploit等東西的更新，并且它們可利用的報(bào)復(fù)打擊庫(kù)也在穩(wěn)步增加。
基線是甚么呢?擬定一個(gè)遍及呵護(hù)策略只是開(kāi)端。要呵護(hù)此刻漫無(wú)邊際增加的設(shè)備和數(shù)據(jù)，您需要三樣?xùn)|西：一個(gè)普適呵護(hù)策略、實(shí)現(xiàn)策略的東西與手藝及包管這些東西與手藝可以或許實(shí)現(xiàn)最大年夜呵護(hù)結(jié)果的政策與流程。所有政策與流程既要考慮收集安然設(shè)備本身(個(gè)別與整體)的縫隙，也要考慮專門(mén)針對(duì)這些縫隙且不竭成長(zhǎng)改變的報(bào)復(fù)打擊與威脅載體。