搜索

[10799] 2016-12-06_企业安全团队强大与否，看这八个关键指标

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-12-06_企业安全团队强大与否，看这八个关键指标 企 业 安 全 团 队 强 大 与 否 ， 看 这 八 个 关 键 指 标 l a t i a o j u n   F r e e B u f   2 0 1 6 - 1 2 - 0 6 概 述 概 述 安 全 人 员 喜 欢 用 一 些 比 较 消 极 的 方 法 来 防 御 恶 意 攻 击 ， 比 如 安 全 人 员 喜 欢 用 一 些 比 较 消 极 的 方 法 来 防 御 恶 意 攻 击 ， 比 如 “ 没 有 消 息 就 是 最 好 的 消 息 没 有 消 息 就 是 最 好 的 消 息 ” （ 此 说 法 源 自 美 国 南 北 战 争 时 期 ， （ 此 说 法 源 自 美 国 南 北 战 争 时 期 ， 由 于 打 战 死 人 后 ， 家 人 都 要 收 到 阵 亡 通 知 书 ， 所 以 人 们 很 害 怕 得 到 噩 耗 ， 相 反 ， 如 果 没 有 什 么 消 息 则 证 明 还 活 着 ） ， 当 然 由 于 打 战 死 人 后 ， 家 人 都 要 收 到 阵 亡 通 知 书 ， 所 以 人 们 很 害 怕 得 到 噩 耗 ， 相 反 ， 如 果 没 有 什 么 消 息 则 证 明 还 活 着 ） ， 当 然 ， 专 家 并 不 赞 同 这 种 做 法 ， 认 为 这 种 方 法 并 不 切 合 实 际 。 ， 专 家 并 不 赞 同 这 种 做 法 ， 认 为 这 种 方 法 并 不 切 合 实 际 。 I D C （ 国 际 数 据 公 司 ） 安 全 研 究 副 总 裁 L i n d s t r o m 说 ： “ 作 为 安 全 部 门 ， 我 们 应 该 对 安 全 事 件 本 身 给 予 更 多 的 关 注 ， 而 不 只 是 关 注 我 们 所 写 的 程 序 的 “ 位 和 字 节 ” 。 在 安 全 公 司 中 ， 类 似 C I S O 、 I T 主 管 之 类 的 安 全 人 员 需 要 向 C I O 或 者 团 队 的 业 务 主 管 报 告 一 些 指 标 ， 以 展 示 他 们 在 整 个 团 队 中 的 绩 效 。 但 是 现 在 有 一 个 问 题 ， 就 是 大 多 数 安 全 团 队 在 进 行 绩 效 评 判 的 时 候 ， 都 缺 乏 明 确 的 指 导 方 针 。 A r m o u r 首 席 客 户 运 营 和 安 全 主 管 J e f f   S c h i l l i n g ： 在 对 安 全 指 标 进 行 评 判 时 ， 需 要 克 服 一 些 困 难 ， 因 为 在 企 业 中 ， 并 不 是 每 个 地 方 你 都 能 顾 及 到 ， 而 这 些 地 方 发 生 的 事 情 ， 你 不 一 定 会 知 道 。 因 此 就 可 能 导 致 团 队 在 进 行 评 判 时 ， 对 一 些 指 标 进 行 错 误 的 评 判 。 正 因 为 有 很 多 不 确 定 性 ， 在 进 行 绩 效 评 估 的 时 候 ， 很 难 去 进 行 准 确 的 判 断 。 “ 当 然 ， 现 代 企 业 安 全 管 理 人 员 也 正 在 积 极 研 究 一 些 指 标 来 评 估 职 员 的 绩 效 。 ” J o s e p h   C a r s o n （ C I S S P 信 息 系 统 安 全 认 证 专 家 ） 如 是 说 。 举 个 例 子 ， 一 些 企 业 通 过 他 们 处 理 的 安 全 事 件 数 量 来 评 估 绩 效 。 有 些 企 业 则 通 过 系 统 补 丁 数 量 ， 被 泄 漏 的 地 方 数 量 ， 以 及 已 识 别 的 企 图 破 坏 组 织 内 部 系 统 的 病 毒 数 量 来 对 他 们 的 系 统 漏 洞 进 行 评 估 （ 也 是 绩 效 的 一 种 ） 。 有 些 企 业 则 采 用 另 外 一 个 指 标 — — 已 执 行 的 方 案 数 量 。 还 有 一 个 难 题 摆 在 企 业 面 前 。 就 是 在 处 理 业 务 和 安 全 之 间 的 关 系 时 ， 企 业 做 的 并 不 好 。 作 为 安 全 专 家 ， 在 制 定 安 全 策 略 时 ， 应 该 重 点 关 注 信 息 的 可 靠 度 和 警 报 效 率 的 关 键 指 标 。 C a r s o n 进 一 步 解 释 说 :
我 们 现 在 衡 量 指 标 有 很 多 都 不 能 转 化 为 业 务 。 我 们 很 难 想 象 ， 一 旦 发 生 事 故 ， 会 对 业 务 造 成 什 么 影 响 ？ 以 下 是 衡 量 一 个 企 业 网 络 安 全 是 否 强 大 的 八 个 关 键 指 标 ： 以 下 是 衡 量 一 个 企 业 网 络 安 全 是 否 强 大 的 八 个 关 键 指 标 ： 第 一 ： 特 权 账 户 持 有 人 第 一 ： 特 权 账 户 持 有 人 所 谓 特 权 账 户 ， 就 是 说 该 账 户 具 有 一 般 账 户 所 没 有 的 权 限 。 对 从 事 安 全 行 业 的 专 业 人 员 来 说 ， 数 据 跟 踪 、 尤 其 是 对 员 工 的 数 据 访 问 跟 踪 非 常 重 要 。 我 们 都 知 道 ， 通 过 访 问 和 权 限 控 制 这 两 个 功 能 ， 我 们 就 可 以 控 制 内 部 员 工 或 者 外 部 伙 伴 对 关 键 信 息 的 访 问 权 。 作 为 专 业 的 安 全 人 员 ， 我 们 应 该 经 常 问 自 己 这 类 问 题 ： 是 否 要 创 建 新 用 户 ？ 企 业 环 境 中 存 在 多 少 个 管 理 员 账 户 ？ 谁 可 以 访 问 这 些 账 户 ？ C a r s o n 指 出 ： 如 果 企 业 能 详 细 的 记 录 特 权 账 户 使 用 记 录 ， 就 表 明 该 企 业 的 安 全 状 况 良 好 。 如 管 理 员 知 道 高 风 险 帐 户 的 使 用 时 间 ， 那 他 们 对 信 息 的 暴 露 时 间 就 有 一 个 更 好 的 掌 握 。 C I S O 和 C I O 在 与 管 理 层 会 面 时 ， 需 要 站 在 业 务 的 角 度 ， 告 诉 领 导 跟 踪 数 据 会 对 员 工 的 数 据 访 问 有 很 大 的 帮 助 。 在 整 个 企 业 中 ， 拥 有 特 权 帐 户 的 人 是 企 业 风 险 的 中 心 。 通 过 这 些 数 据 ， 安 全 负 责 人 就 可 以 了 解 谁 应 该 接 受 网 络 安 全 培 训 。 第 二 ： 数 据 风 险 、 精 确 度 和 位 置 第 二 ： 数 据 风 险 、 精 确 度 和 位 置
确 保 数 据 准 确 性 对 企 业 高 管 来 说 是 至 关 重 要 的 ， 如 果 你 能 测 量 数 据 的 准 确 性 ， 那 你 也 有 能 力 对 与 业 务 相 关 的 可 量 化 数 据 进 行 测 量 。 但 这 也 是 一 个 最 难 去 衡 量 的 一 个 指 标 ， 因 为 数 据 总 是 在 变 ， 所 以 在 任 何 时 候 都 难 以 确 保 数 据 准 确 但 这 也 是 一 个 最 难 去 衡 量 的 一 个 指 标 ， 因 为 数 据 总 是 在 变 ， 所 以 在 任 何 时 候 都 难 以 确 保 数 据 准 确 。 C a r s o n 着 重 强 调 了 记 录 数 据 流 的 重 要 性 。 管 理 人 员 需 要 对 A P P 进 行 跟 踪 ， 以 便 了 解 哪 些 应 用 需 要 额 外 的 安 全 分 析 。 数 据 是 非 常 重 要 的 ， 通 过 挖 掘 数 据 ， 安 全 专 家 可 以 了 解 数 据 是 否 安 全 ， 有 多 少 数 据 被 加 密 了 ， 数 据 的 准 确 度 有 多 高 ， 多 少 信 息 已 经 改 变 以 及 数 据 如 何 流 动 。 例 如 ， 如 果 管 理 人 员 说 9 0 % 数 据 都 在 内 围 ， 1 0 % 的 数 据 流 到 了 外 部 特 定 的 位 置 ， 那 么 他 们 就 能 够 更 好 地 确 定 信 息 是 否 到 达 符 合 法 规 和 安 全 策 略 的 位 置 了 。 当 然 ， 数 据 的 位 置 很 难 测 量 。 而 且 随 着 越 来 越 多 的 员 工 使 用 基 于 云 服 务 的 a p p 和 移 动 设 备 ， 造 成 更 多 的 信 息 流 出 企 业 ， 信 息 变 得 不 容 易 被 跟 踪 ， 这 无 疑 增 加 了 出 现 风 险 的 概 率 。 第 三 ： 警 报 的 效 率 和 准 确 性 第 三 ： 警 报 的 效 率 和 准 确 性
针 对 警 报 效 率 和 准 确 性 ， 行 为 攻 击 检 测 公 司 L i g h t C y b e r 副 总 裁 J a s o n   M a t l o f 有 话 说 ： 警 报 量 必 须 有 一 个 指 标 。 大 多 数 企 业 收 到 的 警 报 都 大 大 超 出 了 个 人 分 析 师 能 够 处 理 的 量 ， 每 个 企 业 的 警 报 效 率 必 须 要 有 一 个 规 范 ， 需 要 走 规 范 化 的 道 路 。 为 了 提 高 效 率 ， 企 业 需 要 考 虑 到 收 到 的 安 全 警 报 的 数 量 ， 并 按 每 1 0 0 0 台 主 机 进 行 划 分 ， 这 样 一 来 针 对 不 同 规 模 的 企 业 ， 就 能 做 到 警 报 量 的 规 模 化 了 。 效 率 非 常 关 键 ， 因 为 它 能 够 让 安 全 分 析 师 从 容 处 理 在 自 己 能 力 范 围 内 的 报 警 数 量 。 虽 然 警 报 效 率 是 一 个 需 要 记 录 的 重 要 指 标 ， 但 其 准 确 性 其 准 确 性 也 不 能 忽 视 ， 它 具 有 与 警 报 效 率 相 同 的 权 重 。 说 了 这 么 多 ， 有 一 个 不 争 的 事 实 我 们 不 得 不 承 认 ， 那 就 是 警 报 的 数 量 只 有 在 处 理 关 联 的 信 息 时 才 比 较 重 要 。 安 全 警 报 的 准 确 性 表 明 了 它 的 可 用 性 。 并 非 每 条 警 报 都 有 用 ， 很 多 警 报 并 没 有 什 么 价 值 ， 比 如 有 些 非 常 模 糊 ， 有 些 则 并 不 重 要 。 说 了 这 么 多 ， 到 底 警 报 有 效 性 有 没 有 一 种 特 殊 的 表 示 方 法 呢 ？ 答 案 是 肯 定 的 ， 安 全 团 队 可 以 用 有 用 警 报 占 警 报 总 数 的 百 分 比 来 表 有 用 警 报 占 警 报 总 数 的 百 分 比 来 表 示 示 。 第 四 ： 响 应 时 间 第 四 ： 响 应 时 间 这 里 的 响 应 时 间 指 的 是 安 全 专 家 在 事 件 响 应 模 式 下 花 费 的 时 间 量 ， 只 有 在 真 实 事 件 期 间 才 能 测 量 。 这 一 段 时 间 就 叫 做 — — “ 停 留 时 间 ” ， 什 么 意 思 ？ 说 白 了 就 是 攻 击 从 初 始 状 态 到 显 著 爆 发 的 这 段 时 间 （ 更 准 确 的 说 ， 是 介 于 两 个 时 间 点 之 间 的 时 间 ） 。 本 来 ， 大 多 数 企 业 在 响 应 时 间 上 应 该 做 得 更 好 ， 他 们 能 够 在 漏 洞 造 成 危 害 前 对 其 进 行 捕 获 ， 但 事 实 并 非 如 此 。 由 于 受 到 缺 乏 效 率 和 准 确 性 以 及 封 闭 率 较 差 等 原 因 影 响 ， 平 均 “ 停 留 时 间 ” 大 概 为 5 - 7 个 月 。 如 果 这 个 时 间 以 月 来 衡 量 的 话 ， 这 就 给 黑 客 留 下 了 足 够 的 时 间 取 得 成 功 。 响 应 时 间 不 需 要 根 据 业 务 规 模 来 做 区 分 ， 较 短 的 停 留 时 间 减 少 了 黑 客 对 企 业 造 成 损 害 的 可 能 性 。 响 应 时 间 越 小 ， 就 表 明 企 业 的 安 全 策 略 越 强 。 第 五 ： 关 闭 率 第 五 ： 关 闭 率
关 闭 率 显 示 的 是 已 经 完 全 解 决 的 安 全 警 报 和 事 件 的 数 量 。 这 个 指 标 与 警 报 准 确 性 密 切 相 关 ， 它 会 对 如 何 处 理 事 情 产 生 深 远 的 影 响 。 在 企 业 的 系 统 或 者 分 析 不 够 准 确 ， 并 且 警 报 不 能 正 确 关 闭 的 情 况 下 ， 这 些 警 报 可 能 继 续 对 网 络 构 成 威 胁 。 如 果 企 业 有 关 闭 率 个 指 标 ， 就 应 该 努 力 将 这 个 指 标 提 升 至 1 0 0 % 。 第 六 ： 安 全 价 值 比 第 六 ： 安 全 价 值 比 根 据 L i n d s t r o m 的 观 点 ， 安 全 价 值 比 等 于 安 全 成 本 总 价 值 （ 以 美 元 计 ） 除 以 I T 和 信 息 资 产 的 总 价 值 （ 以 美 元 计 ） 。 对 企 业 来 说 ， 这 是 一 个 非 常 重 要 的 衡 量 指 标 。 因 为 企 业 在 开 展 业 务 时 ， 总 是 期 望 以 最 小 的 成 本 获 得 最 大 的 价 值 。 安 全 管 理 人 员 也 希 望 通 过 使 用 更 少 的 人 或 钱 和 时 间 去 做 更 多 的 事 情 ， 因 为 他 们 也 希 望 以 最 低 的 成 本 ， 创 建 最 高 水 平 的 风 险 管 理 。
L i n d s t r o m 说 ： 在 面 对 效 率 和 成 本 之 间 的 冲 突 时 ， 企 业 可 能 需 要 进 行 权 衡 ， 才 能 做 出 更 有 利 于 企 业 的 决 策 。 比 如 说 ， 就 算 用 户 没 有 进 行 任 何 验 证 ， 安 全 部 门 也 可 以 让 用 户 创 建 属 于 他 们 自 己 的 账 户 （ 成 本 降 下 来 了 ） ； 但 是 ， 问 题 也 随 之 而 来 ， 由 于 创 建 、 修 改 以 及 删 除 账 户 的 速 率 加 快 ， 身 份 管 理 就 弱 化 了 （ 效 率 降 低 ） ， 企 业 在 这 种 情 况 下 就 不 得 不 进 行 权 衡 。 第 七 ： 成 本 和 损 失 第 七 ： 成 本 和 损 失 L i n d s t r o m 说 ， 遭 遇 入 侵 后 的 损 失 需 要 用 成 本 和 损 失 来 计 量 。 这 里 的 损 失 包 括 事 件 响 应 和 恢 复 的 时 间 成 本 ， 或 者 像 监 管 成 本 、 法 律 费 用 之 类 的 货 币 成 本 。 “ 我 们 都 不 喜 欢 自 己 寻 找 方 法 来 量 化 风 险 ” ， 但 对 C I O 来 说 ， 就 不 一 样 了 ， 在 他 们 看 来 ， 衡 量 I T 操 作 环 境 的 价 值 是 非 常 重 要 的 ， 他 们 可 以 通 过 各 种 记 录 来 对 网 络 活 动 进 行 分 级 。 他 们 还 可 以 按 照 地 理 位 置 、 技 术 平 台 、 业 务 单 元 或 其 他 方 法 对 这 类 信 息 做 进 一 步 的 细 分 。 随 着 时 间 的 推 移 ， 安 全 人 员 通 过 将 数 据 池 里 面 的 数 据 进 行 比 较 ， 就 可 以 做 一 个 较 为 明 确 的 安 全 预 算 。 第 八 ： 遭 遇 成 功 入 侵 的 量 第 八 ： 遭 遇 成 功 入 侵 的 量  
虽 说 对 每 个 安 全 部 门 处 理 的 警 报 数 量 进 行 记 录 非 常 重 要 ， 但 对 黑 客 成 功 攻 击 的 数 量 进 行 跟 踪 也 是 同 等 重 要 。 在 涉 及 到 安 全 漏 洞 时 ， 不 同 规 模 和 类 型 的 业 务 都 有 不 同 的 暴 露 因 子 。 相 对 来 说 ， 较 大 的 企 业 ， 如 金 融 和 医 疗 行 业 的 企 业 ， 由 于 更 多 的 数 据 需 要 处 理 ， 因 此 更 容 易 受 到 攻 击 。 安 全 管 理 人 员 应 该 对 遭 遇 成 功 入 侵 的 数 量 进 行 跟 踪 ， 这 样 就 会 对 安 全 有 效 性 与 时 间 之 间 的 关 系 有 一 个 把 握 。 在 理 想 情 况 下 ， 这 项 指 标 应 随 着 策 略 的 改 进 而 降 低 。 * 参 考 来 源 ： d a r k r e a d i n g ， F B 小 编 l a t i a o j u n 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理