12、网络安全中的基线、异常与持续监控

网络安全中的基线、异常与持续监控

在当今数字化的时代，网络安全问题日益严峻。从电子邮件诈骗到网络中的异常活动，每一个细节都可能对企业的安全构成威胁。本文将深入探讨网络安全中的几个关键概念，包括基线与异常的识别、持续监控的挑战以及如何通过能力成熟度模型来提升网络安全防护能力。

1. 电子邮件诈骗案例引发的思考

Sandeep收到一封来自“IT Helpdesk - ‘Antivirus Update’”的邮件，邮件称由于全球勒索软件增多，IT团队购买了“SeaQuenchAle”公司的额外防护应用，要求用户点击链接下载安装，否则将强制推送应用并重启系统，未保存的数据将丢失。然而，Sandeep发现邮件的发件域名异常，鼠标悬停在链接上显示的URL也不正常。他随即联系IT帮助台，帮助台建议他将邮件发送到事件响应邮箱进行分析，并会跟进处理。这个案例凸显了用户安全意识的重要性，通过培训，Sandeep能够识别邮件中的异常，避免了潜在的安全风险。

2. 网络中的基线与异常

就像我们用手抓物体，每个手指都有其特定的功能，要理解抓握的能力，我们首先要了解正常抓握的状态（基线）以及如何改进抓握（理解改进的异常）。在网络环境中，基线是指正常的状态，是进行比较的起点；而异常则是与基线趋势相反的情况，可能对基线产生积极或消极的影响。

例如，普通用户一周内尝试访问未被授权的目录超过五次，或者非工作时间网络使用量激增，这些都属于异常情况。建立基线并非易事，需要定义正常状态，并在特定时间段内对感兴趣的项目的常规活动进行监控。

3. 持续监控的挑战

在IT领域，持续监控面临诸多挑战。这就如同在战场上，士兵们需要合理布置战斗位