14、企业网络安全实施与运营全解析

企业网络安全实施与运营全解析

1. 企业网络安全控制的选择

企业在选择最佳控制措施时，会考虑以下攻击序列：
1. 建立立足点
2. 命令与控制
3. 提升权限
4. 横向移动
5. 完成任务

安全控制可以用这样的语句来表达：“当攻击者……时，我们通过……来响应”。以下是一些安全控制语句的示例：
| 攻击场景 | 响应措施 |
| ---- | ---- |
| 攻击者向用户发送恶意电子邮件 | 拦截该邮件，防止其到达用户手中 |
| 攻击者试图窃取管理员凭证 | 通过要求双因素认证来阻止窃取行为 |
| 攻击者在服务器上安装恶意软件 | 使用白名单阻止未经授权的软件 |
| 攻击者试图控制受感染的内部资源 | 拦截并阻止恶意的命令与控制网络流量 |
| 攻击者遵循攻击序列 | 通过检测控制来检测攻击模式，并向我们发出警报，以便我们能够应对并击败他们 |

安全控制是按顺序设计的，以便攻击留下取证线索，能够被审计发现，触发可检测的警报，并在可能的情况下被阻止。控制保护的级别是通过业务分析来选择的，因为并非所有攻击活动都需要阻止。然而，尽可能多的控制措施应该生成取证日志，以便在调查期间进行审查。

企业的目标是给自己多个机会来捕获攻击者，并确保任何攻击都留下可靠的审计线索以供调查。最重要的是，即使企业通过预防性控制阻止了攻击，也希望首先检测到攻击。这种检测会提醒运营部门攻击正在进行，以便在攻击成功之前击退攻击者。

最后，企业需要明白安全是一场军备竞赛。每一种检测或阻止攻击的控制措施都可能以某种方式被规避或击败。总体目标是有多个机会