搜索

[13899] 2019-03-22_企业数字风险管理优化四部曲

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-03-22_企业数字风险管理优化四部曲 企 业 数 字 风 险 管 理 优 化 四 部 曲 A n g e l a Y   F r e e B u f   2 0 1 9 - 0 3 - 2 2 近 年 来 ， 网 络 威 胁 情 报 兴 起 ， 企 业 组 织 可 以 接 触 到 大 量 网 络 威 胁 和 攻 击 相 关 的 信 息 ， 进 而 专 注 于 分 析 策 略 与 技 近 年 来 ， 网 络 威 胁 情 报 兴 起 ， 企 业 组 织 可 以 接 触 到 大 量 网 络 威 胁 和 攻 击 相 关 的 信 息 ， 进 而 专 注 于 分 析 策 略 与 技 术 ， 并 利 用 这 些 信 息 优 化 威 胁 防 御 、 降 低 风 险 。 不 过 ， 要 想 真 正 有 效 地 利 用 威 胁 情 报 来 缓 解 风 险 ， 管 理 者 必 须 术 ， 并 利 用 这 些 信 息 优 化 威 胁 防 御 、 降 低 风 险 。 不 过 ， 要 想 真 正 有 效 地 利 用 威 胁 情 报 来 缓 解 风 险 ， 管 理 者 必 须 能 合 理 地 评 估 并 管 理 企 业 组 织 中 的 风 险 、 梳 理 清 楚 需 要 保 护 的 资 产 、 了 解 联 网 系 统 的 弱 点 所 在 以 及 可 能 会 被 攻 能 合 理 地 评 估 并 管 理 企 业 组 织 中 的 风 险 、 梳 理 清 楚 需 要 保 护 的 资 产 、 了 解 联 网 系 统 的 弱 点 所 在 以 及 可 能 会 被 攻 击 者 入 侵 的 环 节 。 击 者 入 侵 的 环 节 。 以 下 为 优 化 企 业 风 险 管 理 的 四 大 基 础 步 骤 ： 1 .   确 认 需 要 被 保 护 的 资 产 确 认 需 要 被 保 护 的 资 产 首 先 ， 梳 理 企 业 需 要 保 护 的 数 字 资 产 ， 了 解 这 些 资 产 及 相 关 数 据 的 实 际 展 示 形 式 。 数 字 资 产 涵 盖 几 个 方 面 ， 包 括 人 要 （ 用 户 、 员 工 、 合 作 伙 伴 、 服 务 供 应 商 ） 、 组 织 （ 服 务 部 门 、 基 础 设 施 ） 以 及 支 持 组 织 运 作 的 系 统 与 重 要 应 用 （ 网 站 、 端 口 、 数 据 库 、 支 付 流 程 与 系 统 、 E P R 应 用 ） 。 管 理 者 需 要 梳 理 清 楚 这 些 资 产 与 企 业 内 部 能 够 产 生 利 润 、 具 备 竞 争 优 势 的 业 务 以 及 可 信 度 、 声 誉 和 愿 景 等 无 形 资 产 之 间 的 关 系 。 产 品 设 计 、 核 心 代 码 、 专 利 信 息 等 知 识 产 权 信 息 与 企 业 的 竞 争 能 力 息 息 相 关 ， 一 旦 泄 露 就 会 削 弱 企 业 竞 争 力 。 而 如 果 用 户 信 息 泄 露 ， 可 能 会 违 反 相 关 法 律 法 规 。 员 工 凭 证 、 私 钥 或 安 全 评 估 信 息 等 数 据 也 有 可 能 落 入 攻 击 者 之 手 ， 成 为 他 们 入 侵 的 渠 道 。 只 要 第 一 步 梳 理 清 楚 这 些 重 要 资 产 ， 企 业 就 能 初 步 判 断 攻 击 者 的 类 型 与 来 源 。 2 .   了 解 威 胁 了 解 威 胁 在 风 险 评 估 过 程 中 ， 了 解 威 胁 是 重 要 的 一 步 。 如 果 能 合 理 利 用 威 胁 情 报 ， 就 能 对 威 胁 有 直 观 的 了 解 甚 至 预 判 。 近 期 ， 安 全 从 业 者 开 始 着 眼 于 安 全 策 略 ， 分 析 攻 击 者 的 行 为 ， 作 为 应 对 威 胁 和 漏 洞 的 参 考 。 不 过 ， 攻 击 行 为 只 能 作 为 了 解 威 胁 的 一 部 分 。 知 道 常 见 的 攻 击 面 以 及 攻 击 场 景 更 有 助 于 预 防 和 防 护 。 通 过 一 些 模 拟 工 具 或 框 架 ， 可 以 测 试 网 络 的 恢 复 能 力 以 及 理 解 已 知 攻 击 行 为 的 安 全 风 险 。 M I T R E 所 开 发 的 A T T & C K 框 架 （ h t t p s : / / a t t a c k . m i t r e . o r g / ） 就 是 一 个 有 效 的 工 具 。 作 为 一 种 网 络 攻 击 行 为 分 析 模 型 ， A T T & C K 可 以 反 映 攻 击 者 生 命 周 期 的 各 个 阶 段 变 化 ， 分 析 其 策 略 、 技 术 和 过 程 。 管
理 者 可 以 利 用 这 种 模 型 ， 综 合 行 为 分 析 结 果 和 威 胁 模 型 ， 了 解 为 什 么 企 业 会 遭 遇 某 种 特 定 攻 击 ， 并 有 针 对 性 地 进 行 防 御 ， 降 低 风 险 。 3 .   监 测 企 业 的 泄 露 信 息 监 测 企 业 的 泄 露 信 息 在 表 网 、 深 网 或 暗 网 中 检 测 企 业 已 经 泄 露 的 资 产 信 息 并 不 容 易 。 暗 网 信 息 搜 索 公 司 D i g i t a l   S h a d o w 给 出 的 中 型 企 业 信 息 泄 露 典 型 案 例 显 示 ， 一 般 会 出 现 2 9 0 个 虚 假 的 域 名 或 社 交 媒 体 账 号 、 1 8 0 个 证 书 问 题 、 8 4 个 可 利 用 的 漏 洞 、 3 6 0 个 开 放 端 口 以 及 1 0 0 份 企 业 文 档 。 其 实 ， 企 业 可 以 利 用 大 量 工 具 来 协 助 检 测 自 身 的 信 息 泄 露 情 况 。 例 如 ， D N S   T w i s t 可 以 通 过 可 视 化 的 方 式 展 现 一 系 列 模 仿 公 司 域 名 的 钓 鱼 网 站 ； H a v e   I   B e e n   P w n d 网 站 则 可 以 查 询 密 码 或 凭 证 是 否 泄 露 ； G o o g l e h a c k i n g   d a t a b a s e 则 提 供 了 检 测 敏 感 文 档 是 否 泄 露 的 方 法 。 此 外 ， 企 业 还 能 使 用 营 销 和 品 牌 管 理 团 队 经 常 使 用 的 方 法 来 监 控 社 交 媒 体 ， 了 解 关 于 企 业 的 舆 论 信 息 。 4 .   制 定 应 对 和 缓 解 策 略 制 定 应 对 和 缓 解 策 略 有 了 前 面 散 步 的 铺 垫 ， 最 后 一 步 就 是 应 对 并 缓 解 风 险 。 一 般 来 说 ， 缓 解 措 施 包 括 及 时 、 策 略 性 的 响 应 ； 运 营 层 面 持 续 性 的 响 应 以 及 可 能 影 响 到 投 资 或 战 略 方 向 的 战 略 层 面 的 调 整 。 例 如 ， 一 家 企 业 可 能 发 现 自 家 有 大 量 凭 证 暴 露 在 网 上 ， 那 么 他 们 就 会 实 施 多 因 素 认 证 来 保 护 数 据 安 全 ； 如 果 企 业 员 工 常 常 将 工 作 备 份 到 个 人 电 脑 中 并 办 公 ， 那 么 企 业 就 需 要 提 供 更 多 有 效 的 存 储 方 式 。 出 现 风 险 之 后 ， 应 急 响 应 至 关 重 要 ， 而 事 后 的 复 盘 与 持 续 改 进 ， 也 必 不 可 少 。 参 考 这 几 步 ， 风 险 管 理 者 可 以 搭 建 一 个 初 步 的 风 险 管 理 框 架 ， 明 确 大 方 向 ， 并 在 实 践 中 逐 步 细 化 符 合 自 己 公 司 实 际 情 况 的 管 理 方 案 ， 以 便 更 好 地 抵 御 威 胁 、 降 低 安 全 风 险 。 * 参 考 来 源 ： 参 考 来 源 ： S e c u r i t y w e e k ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理