在啟用縫隙治理法度后不久，企業(yè)常常會發(fā)現(xiàn)本身面對著海量的收集安然縫隙數(shù)據(jù)。掃描這些成果可能讓企業(yè)看到漫衍在各類不合的系統(tǒng)和利用中的數(shù)百乃至數(shù)千個縫隙。
安然專業(yè)人員應(yīng)當(dāng)若何解決這個風(fēng)險標(biāo)題問題？在本文中，我們將研究一種三角叉式優(yōu)先級方案，此中整合了外部關(guān)頭性評估、數(shù)據(jù)敏感度和現(xiàn)有節(jié)制環(huán)境來幫忙企業(yè)成功地對縫隙進(jìn)行評級，同時優(yōu)化整治工作。
這類三步調(diào)過程是假定你已獲得了關(guān)于環(huán)境中存在的收集安然縫隙的信息、由系統(tǒng)和利用措置的信息的敏感度和環(huán)境中現(xiàn)有安然節(jié)制的狀況。這些信息可能來自不合的縫隙治理法度，包含Web和收集縫隙掃描器、數(shù)據(jù)丟掉防護(hù)系統(tǒng)和建設(shè)治理軟件等。
步調(diào)1：肯定縫隙的嚴(yán)重程度
你起首需要的數(shù)據(jù)元素是評估你環(huán)境中存在的每個縫隙的嚴(yán)重程度。在良多環(huán)境下，你可以從縫隙治理東西供給商的數(shù)據(jù)feed來獲得這類嚴(yán)重程度的信息。
這類嚴(yán)重程度評估應(yīng)當(dāng)基于一個成功的縫隙操縱可能釀成的暗藏的侵害。例如，承諾報復(fù)打擊者獲得對系統(tǒng)的治理拜候權(quán)限的縫隙比導(dǎo)致拒盡辦事的縫隙要嚴(yán)重良多。嚴(yán)重程度信息也可能會考慮實(shí)際世界中存在的縫隙操縱;與沒有已知縫隙操縱的理論縫隙比擬，歹意軟件利用的縫隙更嚴(yán)重。
對我們模型的目標(biāo)，我們將假定你在利器具有5級縫隙評級系統(tǒng)的產(chǎn)品，此中，具有最高粉碎性的縫隙被評為5級。
步調(diào)2：肯定命據(jù)的敏感度
縫隙帶來的風(fēng)險會因?yàn)榘摽p隙的系統(tǒng)上的信息的敏感程度而加倍。例如，與僅包含公開信息的系統(tǒng)比擬，包含社會安然號碼或諾言卡數(shù)據(jù)的系統(tǒng)應(yīng)當(dāng)獲得更多的存眷和更多呵護(hù)。
但是，這其實(shí)不料味著，企業(yè)只需要治理好包含敏感信息的系統(tǒng)，因?yàn)榧俣嫦蚬业木W(wǎng)站遭到報復(fù)打擊，你的企業(yè)將會蒙受與敏感信息泄漏不異的名譽(yù)損掉。不外，敏感信息的存在確切放大年夜了報復(fù)打擊的影響力。
匯集有關(guān)數(shù)據(jù)敏感度的信息可能會很是毒手，這取決于你的信息分類機(jī)制的成熟度。假定你才方才起步，你最好利用相對簡單的模型，按照數(shù)據(jù)的敏感度將數(shù)據(jù)分類：
高敏感度信息即遭到嚴(yán)格監(jiān)管的信息，或假定泄漏將對企業(yè)帶來嚴(yán)重粉碎的數(shù)據(jù)。我們信息安然機(jī)制的“御寶”包含這些數(shù)據(jù)元素：諾言卡數(shù)據(jù)、受呵護(hù)的醫(yī)療信息和銀行賬戶具體信息。
內(nèi)部信息是指不合適“高度敏感”類別但也不該該被公開辟布的信息。此類別可能看起來過于寬泛，它也是最難定義的類別。假定你沒稀有據(jù)分類機(jī)制，將所有這些數(shù)據(jù)回為一類是最合適的開端編制。假定企業(yè)需要分類，可以考慮今后再細(xì)分類別。
公開信息是指你的企業(yè)愿意流露給公家的信息，例如產(chǎn)品文獻(xiàn)、你的公共網(wǎng)站上的數(shù)據(jù)和發(fā)布的財務(wù)報表。
當(dāng)對系統(tǒng)進(jìn)行數(shù)據(jù)敏感度評級時，你的評估應(yīng)當(dāng)基于系統(tǒng)存儲或措置的信息的最高敏感度程度。措置高敏感度信息的系統(tǒng)被評為5級，而措置內(nèi)部信息的系統(tǒng)可能被評為2級、3級或3級，這取決于敏感度程度。所有其他系統(tǒng)都被評為1級。
步調(diào)3：評估現(xiàn)有節(jié)制
這個過程的最后一步是評估現(xiàn)有節(jié)制—這些節(jié)制呵護(hù)暗藏易受報復(fù)打擊的系統(tǒng)免受報復(fù)打擊。按照你企業(yè)需要的具體節(jié)制的不合，你用來進(jìn)行評級的編制也會有所不合。例如，假定你有一個高度安然的收集用于極端敏感的系統(tǒng)，對5級節(jié)制評級尺度，你可能會將這些系統(tǒng)評為5級。一樣地，假定利用公共IP地址的系統(tǒng)可以經(jīng)由過程互聯(lián)網(wǎng)從web利用拜候，而沒有遭到web利用防火墻呵護(hù)，這類系統(tǒng)可能被評為1級或2級。你應(yīng)當(dāng)選擇可以或許準(zhǔn)確反應(yīng)你的環(huán)境中預(yù)期節(jié)制的評級尺度，然后對具有強(qiáng)大年夜安然節(jié)制的系統(tǒng)評為較高等第。
整合這些數(shù)據(jù)
在匯集了所有這些信息后，你可以操縱它們來評估你的陳述中呈現(xiàn)的縫隙。并且，在你將所有這些數(shù)據(jù)匯集在一路后，你可以對系統(tǒng)中存在的每個縫隙履行下面這個簡單的計較：
風(fēng)險數(shù)=(縫隙嚴(yán)重程度*數(shù)據(jù)敏感度)/現(xiàn)有節(jié)制
假定每個選項(xiàng)都是5分制，這個縫隙評級范圍將是從最低0.2分(在僅包含公共信息的杰出節(jié)制的系統(tǒng)中存在的的嚴(yán)重性縫隙)到最高25分(包含高敏感度信息而貧乏安然節(jié)制的系統(tǒng)中存在高嚴(yán)重性縫隙)。
當(dāng)然這看起來需要匯集大年夜量數(shù)據(jù)和履行大年夜量計較，你可以找到編制來主動化這個過程并改進(jìn)你的縫隙優(yōu)先級工作。例如，你可以成立一個數(shù)據(jù)庫來存儲關(guān)于所有辦事器資產(chǎn)的數(shù)據(jù)敏感度和節(jié)制狀況信息。
一樣地，你可以操縱腳本來闡發(fā)供給商陳述，以主動化提取縫隙嚴(yán)重度信息，從數(shù)據(jù)庫中提取相干信息并計較風(fēng)險分?jǐn)?shù)。
我們有良多編制來為企業(yè)定制收集安然縫隙優(yōu)先級系統(tǒng)。不管你做出如何的調(diào)劑，對任何想要降落IT安然風(fēng)險的企業(yè)而言，基于風(fēng)險優(yōu)先級決定計劃的有效的縫隙治理法度都是一個必需身分。簡化用來履行縫隙風(fēng)險闡發(fā)的法度，讓企業(yè)更等閑開端和保護(hù)如許一個法度。