搜索

[15197] 2020-03-31_基于风险的应用程序安全方法可增强安全防御

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-03-31_基于风险的应用程序安全方法可增强安全防御 基 于 风 险 的 应 用 程 序 安 全 方 法 可 增 强 安 全 防 御 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 3 - 3 1 如 今 ， 不 可 否 认 的 是 网 络 犯 罪 已 逐 渐 进 入 人 们 的 生 活 ， 为 人 们 所 重 视 。 无 论 何 时 ， 随 意 浏 览 新 闻 都 能 看 到 新 漏 如 今 ， 不 可 否 认 的 是 网 络 犯 罪 已 逐 渐 进 入 人 们 的 生 活 ， 为 人 们 所 重 视 。 无 论 何 时 ， 随 意 浏 览 新 闻 都 能 看 到 新 漏 洞 的 发 现 ， 或 者 是 敏 感 信 息 的 泄 露 、 窃 取 等 。 因 此 ， 任 何 企 业 董 事 会 都 应 该 尽 早 加 强 网 络 安 全 防 御 。 洞 的 发 现 ， 或 者 是 敏 感 信 息 的 泄 露 、 窃 取 等 。 因 此 ， 任 何 企 业 董 事 会 都 应 该 尽 早 加 强 网 络 安 全 防 御 。 然 而 ， 即 使 现 在 网 络 威 胁 来 势 汹 涌 ， 但 是 网 络 安 全 防 御 仍 然 不 够 。 通 常 而 言 ， 当 最 佳 安 全 实 践 有 可 能 干 扰 业 务 效 率 或 整 体 生 产 力 时 ， 业 务 优 先 级 往 往 是 高 于 安 全 优 先 级 的 。 对 于 许 多 C S O 和 C I S O 来 说 ， 资 金 不 足 是 另 一 个 值 得 普 遍 关 注 的 问 题 ， 董 事 会 根 本 没 有 准 备 好 ， 没 有 为 他 们 提 供 真 正 需 要 的 预 算 和 资 源 ， 来 确 保 他 们 的 业 务 安 全 。 企 业 需 要 有 长 远 考 虑 企 业 需 要 有 长 远 考 虑 在 短 期 内 ， 减 少 安 全 资 金 以 促 进 业 务 的 其 他 领 域 发 展 似 乎 是 个 好 主 意 ， 但 这 是 一 个 很 大 的 风 险 ， 一 旦 高 管 人 员 也 受 到 攻 击 ， 后 果 更 加 不 堪 设 想 。 例 如 ， 尽 管 在 年 度 预 算 周 期 内 ， 额 外 拨 出 5 0 万 英 镑 作 为 新 的 安 全 资 源 投 入 似 乎 并 不 可 行 ， 但 与 数 据 泄 露 后 面 临 的 数 百 万 英 镑 的 罚 款 、 法 律 费 用 和 缓 解 费 用 相 比 ， 这 显 得 相 形 见 绌 。 英 国 航 空 公 司 （ B r i t i s h   A i r w a y s ） 在 其 网 站 上 称 遭 到 “ 复 杂 的 恶 意 犯 罪 袭 击 ” 之 后 ， 就 被 信 息 专 员 办 公 室 （ I C O ） 罚 款 1 . 8 3 亿 英 镑 ， 因 为 在 此 期 间 ， 约 有 5 0 万 名 客 户 的 详 细 信 息 泄 露 。 这 样 的 例 子 强 调 了 通 过 实 施 网 络 安 全 实 践 来 确 保 长 期 安 全 性 和 合 规 性 的 重 要 性 ， 这 些 实 践 首 先 能 做 的 就 是 防 止 此 类 数 据 泄 露 。 另 一 种 更 为 主 动 的 方 法 就 是 将 网 络 安 全 实 践 整 合 到 更 广 泛 的 业 务 策 略 中 去 ， 这 可 以 大 大 减 少 数 据 丢 失 ， 并 使 安 全 团 队 能 够 更 迅 速 、 更 准 确 地 应 对 任 何 真 实 存 在 的 威 胁 。 随 着 越 来 越 多 的 组 织 依 靠 软 件 应 用 程 序 来 发 展 业 务 ， 所 以 保 护 这 些 应 用 程 序 变 得 十 分 必 要 。 因 此 ， 采 用 一 种 系 统 的 、 基 于 风 险 的 方 法 在 软 件 开 发 生 命 周 期 （ S D L C ） 的 早 期 评 估 和 解 决 网 络 安 全 漏 洞 ， 而 不 是 出 现 漏 洞 后 才 这 样 做 。 业 务 和 安 全 目 标 必 须 保 持 一 致 业 务 和 安 全 目 标 必 须 保 持 一 致 安 全 方 法 与 整 个 组 织 的 方 法 结 合 才 是 最 有 效 的 。 但 是 很 多 时 候 ， 一 旦 将 安 全 性 纳 入 S D L C 会 对 开 发 时 间 或 者 发 布 窗 口
有 不 利 影 响 时 ， 便 会 被 重 新 考 虑 。 当 补 救 漏 洞 所 需 的 时 间 威 胁 到 重 要 应 用 程 序 的 发 布 时 ， 安 全 团 队 就 会 承 受 压 力 。 如 果 不 能 通 过 令 人 信 服 的 业 务 案 例 来 推 迟 发 布 ， 并 解 决 安 全 问 题 ， 那 么 风 声 将 不 胫 而 走 。 风 险 在 有 效 安 全 决 策 中 的 作 用 风 险 在 有 效 安 全 决 策 中 的 作 用 在 上 述 情 况 下 ， 安 全 团 队 需 要 能 够 迅 速 让 高 层 决 策 者 认 识 到 所 涉 及 的 风 险 以 及 无 法 修 复 漏 洞 的 潜 在 后 果 。 这 既 需 要 对 应 用 程 序 的 预 期 业 务 目 标 有 扎 实 的 理 解 ， 又 需 要 有 以 决 策 者 能 够 理 解 的 方 式 来 构 成 论 点 的 能 力 ， 而 不 是 给 他 们 一 堆 的 安 全 术 语 。 最 好 的 方 法 之 一 是 基 于 风 险 的 方 法 ， 该 方 法 有 两 个 主 要 阶 段 。 第 一 阶 段 包 括 全 面 评 估 当 前 正 在 开 发 的 所 有 W e b 应 用 程 序 ， 并 建 立 严 格 的 监 视 流 程 以 快 速 识 别 漏 洞 。 在 此 阶 段 进 行 彻 底 检 查 至 关 重 要 ， 因 为 如 果 只 是 遗 漏 了 一 个 应 用 程 序 ， 或 者 一 个 系 统 没 有 安 全 保 护 ， 那 么 它 将 为 网 络 罪 犯 创 造 一 个 新 的 潜 在 风 险 。 完 成 第 一 阶 段 后 ， 便 可 以 开 始 第 二 阶 段 ， 将 业 务 影 响 纳 入 战 略 规 划 过 程 。 通 过 正 确 定 义 特 定 漏 洞 可 能 造 成 的 潜 在 损 失 ， 并 帮 助 高 级 管 理 人 员 以 通 俗 易 懂 的 方 式 理 解 这 些 损 失 。 不 仅 可 以 帮 助 满 足 对 有 效 安 全 性 的 需 求 ， 还 可 以 根 据 整 个 组 织 的 风 险 级 别 对 活 动 进 行 更 精 细 的 调 整 。 采 用 基 于 采 用 基 于 S a a S 的 方 法 进 行 应 用 程 序 扫 描 的 方 法 进 行 应 用 程 序 扫 描 在 整 个 S D L C 中 采 用 基 于 S a a S 的 方 法 进 行 应 用 程 序 扫 描 ， 安 全 团 队 可 以 持 续 评 估 生 产 过 程 中 的 风 险 ， 而 不 仅 仅 是 几 个 关 键 点 。 因 此 ， 当 与 业 务 活 动 优 先 级 合 理 结 合 时 ， 可 以 评 估 更 为 准 确 的 风 险 状 况 ， 公 司 各 层 级 也 可 以 接 受 。 关 于 有 效 的 安 全 性 ， 对 于 安 全 团 队 来 说 ， 让 整 个 组 织 企 业 理 解 是 很 重 要 的 。 采 用 基 于 风 险 的 方 法 可 以 做 到 这 一 点 ， 通 常 将 复 杂 的 漏 洞 和 分 析 转 换 成 对 所 有 人 ， 特 别 是 对 高 级 管 理 人 员 有 意 义 的 术 语 ， 有 助 于 他 们 理 解 。 然 后 进 行 适 当 的 讨 论 ， 采 取 合 理 的 、 正 确 的 决 策 ， 从 而 使 整 个 公 司 受 益 ， 并 使 公 司 免 受 众 多 网 络 威 胁 的 侵 害 。 * 参 考 来 源 ： 参 考 来 源 ： H e l p n e t s e c u r i t y ， ， S a n d r a 1 4 3 2 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理