沒有任何一個安全防御是完美的，那么如何對隱藏的數(shù)據(jù)資產(chǎn)進行保護呢?確保軟件安全可以說是從底層開始對網(wǎng)絡安全進行防御的有效手段。
早在90年代，我們都曾經(jīng)在系統(tǒng)周圍構建大型防火墻，并尋找要修補的漏洞。從理論上講，在所擁有的軟件系統(tǒng)周圍筑起一道堅不可摧的墻是個好主意，因為它甚至可以保護曾被忽略的問題。
然而，如果一堵墻是你唯一的防御手段，它就需要在所有的時間里做到100%完美?，F(xiàn)實是，即便是用來居住的房子墻壁也會隨著時間的推移而形成裂縫，更不用說如今的企業(yè)邊界還涉及云、移動和遠程資產(chǎn)，而且還可能存在自己都不清楚的隱藏資產(chǎn)。
完美絕不是良好網(wǎng)絡安全的先決條件。我們有各種各樣的防御措施，即使在存在未知或錯誤的情況下也能發(fā)揮作用。比如，提高網(wǎng)絡系統(tǒng)中最基礎部分的安全性——軟件安全，來從底部構建網(wǎng)絡安全體系。
映射您的內(nèi)部路徑
軟件系統(tǒng)非常復雜。因此，如果我像攻擊者一樣思考，那么不可能嘗試了解所有攻擊面。我不需要知道所有數(shù)據(jù)或有關的安全策略的所有信息。我們只需要考慮哪些途徑有利于快速入侵并成功，這可以作為破解攻擊面的切入點。
這就是應該考慮的保護系統(tǒng)的方式，找到軟件系統(tǒng)中的攻擊面和敏感資產(chǎn)之間存在的路徑，并將其扼殺，如果必須要用到這些路徑，并且十分關鍵，那么就設置故障保護和警報，這樣，當攻擊者利用這條路徑時，就可以在他們竊取數(shù)據(jù)之前就知道了。
或者可以理解為，企業(yè)可以提前發(fā)現(xiàn)軟件系統(tǒng)中的安全漏洞并進行修復，在黑客利用漏洞之前將網(wǎng)絡入侵“扼殺在搖籃”之中。
對網(wǎng)絡防御資產(chǎn)進行分類
一種方法是根據(jù)哪些資產(chǎn)需要與互聯(lián)網(wǎng)交流，哪些不需要，對資產(chǎn)進行分類。可能的情況是，絕大多數(shù)面向互聯(lián)網(wǎng)的資產(chǎn)是軟件即服務(SaaS)應用程序或設備的組件，這些應用程序或設備您不使用或不需要使用。如果您有一個提供文件傳輸和VPN的設備，并且您只使用VPN，那么請關閉文件傳輸特性。
下一個類別是：從外部可見的、對公司運營必不可少的東西，比如公司網(wǎng)站或遠程訪問協(xié)議。這些毫無疑問是攻擊面和敏感數(shù)據(jù)之間的一些突出的路徑。存儲這些數(shù)據(jù)軟件安全性至關重要，確保這些軟件安全對保護數(shù)據(jù)有很大意義。
增加外部防御更不能缺少內(nèi)部強化
有些企業(yè)應該已經(jīng)建立了完善的數(shù)據(jù)資產(chǎn)保護機制，并將需要訪問和密切監(jiān)控的資產(chǎn)放置其中。但更重要的是，安全問題不應該僅靠外部防御，從軟件開發(fā)初期利用靜態(tài)代碼檢測工具發(fā)現(xiàn)并修復安全漏洞，減少安全漏洞的產(chǎn)生，比后期的彌補更重要。
當開發(fā)人員在編寫代碼時，盡量“安全地編碼”可以有效建立軟件安全防御屏障，在完成軟件原型要求的同時，構建更加安全的應用軟件。
不要指望漏洞補丁解決問題
當企業(yè)通過Qualys掃描并發(fā)現(xiàn)有300萬個安全漏洞時，該如何通過發(fā)布300萬個補丁來修補?想必對任何人來說都是無能為力的。但是在構建軟件系統(tǒng)時，對其細分市場中所包含的軟件進行安全檢測，不但可以高效了解系統(tǒng)安全狀況，更有利于在出現(xiàn)問題之前解決。
底線：企業(yè)應該在設計安全防御系統(tǒng)時假設攻擊者可以破壞任何資產(chǎn)并擁有其控制權、特權和功能。您可以通過實施縱深防御來保護資產(chǎn)，即使并不知道這些資產(chǎn)是否重要，嚴謹?shù)陌踩烙匀皇潜夭豢缮俚摹?/p>
參讀鏈接：
threatpost.com/defending-u…
