走在安全曲线前面，始于思维方式的转变
大多数安全工作都始于一次“戳一下”。审计员发来一份请求清单，或者告警落进某人的收件箱，团队便放下一切去调查和响应。走在曲线前面需要不同的思维。先确定良好的态势是什么样子，以稳定的节奏对照检查，在有人需要戳你之前就修正偏差。这就是主动安全，而你永远不必调查那个被你预防掉的事件。
“戳一下、调查、响应”的循环
我接触的很多团队把安全当作一个有两个触发点的循环来运行。
第一个是审计。在审计员到来之前，没有人仔细查看态势。于是团队花上几周时间导出报告、重建时间线、追着要截图，以证明全年都符合标准。这或许能满足合规要求。但作为安全实践，它差强人意，因为证据只显示收集那一周的情况，对之前几个月几乎没有说明。
第二个是告警。更成熟的团队会挑选他们关心的场景，围绕它们建立告警，在告警触发时进行调查。这确实是一大进步。问题在于，很多告警描述的是一项已经被破坏的策略。当你得知有人被添加到Domain Admins，或者一个存放敏感文件的文件夹对Everyone开放时，你调查的是一个本希望能预防的违规。在这两种情况下，团队的日程都由审计员或事件决定。
框架已经要求持续改进
审计员早就超越了快照式检查。SOC 2 Type I报告检查控制措施在某一日期的设计是否正确。Type II报告则测试控制措施在一段时间（通常为3至12个月）内是否有效运行。ISO/IEC 27001:2022要求你监控并衡量安全控制措施（第9.1条），并持续改进安全管理体系（第10.1条）。NIST CSF 2.0将持续监控和改进都列为类别。每个框架都要求你证明自己长期在采取行动改善态势，而审计前的突击是最难证明这一点的方式。
主动安全在实践中是什么样子
主动安全主要是围绕策略建立的节奏，而且你可以从小处开始。
- 从基准制定你的第一批策略。你不必自己发明“好”的定义。从对你的业务重要的框架或基准开始，无论是CIS Benchmarks、NIST CSF，还是审计员测试的SOC 2标准。把其中的几项控制措施变成策略。良好的起点包括：最近没有登录的启用账户、不需要密码的账户、成员无人能解释的特权组，以及与Everyone或外部用户共享的敏感文件。
- 了解你的场景并获取数据。对每项策略，确定你需要看到什么才能知道它是否得到满足。然后部署一个持续监控这些信息的工具，这样你就不必每季度手工重建它。
- 让发现清晰且可执行。只有当团队能一眼看懂基线并知道先修复什么时，它才有用。如果需要专家来解读结果，它们就不会被采取行动。
- 每周审查主动风险。预留 30 分钟，梳理那些尚未变成告警或事件的最重要风险。对每一项，判断它是否合理。如果不合理，就修复它。如果你一直接受同一个发现，你的策略可能需要调整，以适应业务的实际运作方式。
- 关注趋势。单个分数显示你今天所处的位置。它随时间的变化向领导层和审计员表明这项实践是否有效。小而稳定的改进让审计更轻松，并不断降低风险，让你更远离潜在的数据泄露。
举一个常见的例子。一名承包商完成了项目，他的账户却仍然启用。在告警驱动的模式下，你要等到该账户从意想不到的地方登录时才会发现。在主动的节奏中，它会在你的每周评审中以“最近没有活动的启用账户”的形式出现，而你在别人使用它之前就把它禁用。
态势工作不会阻止每一次攻击，你仍然需要针对可疑行为的告警。它缩小了攻击者依赖的配置错误，因此你收到的告警更有可能指向新的情况。
为什么大多数团队仍然被动
团队规模的重要性不如实践的成熟度。一个三人团队可以运行成熟的项目，而大公司仍可能在一次次审计之间疲于奔命。最吃力的是那些想要改进的团队，或者被新的合规要求、客户安全审查或网络保险问卷推着走的团队。
阻碍他们的是摩擦。他们没有现成的“好”的定义。他们分不清成百上千项设置中哪些最重要，也没有人有时间从零搭建框架。较大的组织往往雇用顾问来交付一个。那很昂贵，而且通常只会产生又一份冻结在某一日期的评估。大多数中小企业甚至无法为此编列预算。
我认为，消除这种摩擦是产品的工作。一款好的态势工具应该给你内置的基线、用通俗语言展示驱动你风险的因素，以及清楚的修复优先级。如果它期望团队自带框架，大多数团队永远走不过第一步。
从节奏开始
你不需要成熟的项目才能开始。从基准中选几项策略，建立基线，并每周保留 30 分钟。几个月后，“戳一下”不再决定你的日程，下一次审计也只是一份你一个下午就能拉出的报告。
这正是我们构建Netwrix 1Secure所要支持的实践，它内置风险评估，为团队的态势提供起点。
看看你的态势今天处于什么水平。申请Netwrix 1Secure免费试用。
分享到
了解更多
关于作者
