新型冠状病毒给网络安全专业人员带来了巨大工作压力。随着网络安全预算紧张、远程办公的常态化,越来越复杂的威胁形势已经给漏洞管理提出了更加严峻的挑战。
很多企业对漏洞管理的定义从一开始就过时了。漏洞管理,绝不仅是扫描企业网络是否存在威胁这么简单。漏洞管理的整体方法包括识别、报告、评估和确定暴露的优先级。至关重要的是,它还涉及风险管理背景。漏洞管理的综合方法不仅是扫描安全漏洞,还包括展示攻击者如何利用这些漏洞以及可能发生的后果。
准确地说,漏洞管理应当采用全局方法,要求各方面协调工作,以降低关键业务资产的风险,这也是安全运营团队应该为之奋斗的目标。研究发现,企业安全漏洞管理工作失败主要有三大原因:
一、管理无序,未进行威胁优先级排序
无法对威胁进行正确优先级排序是企业目前在漏洞管理环境中面临的最严重的问题之一。太多企业通过扫描识别安全漏洞,然后直接进入修复阶段。在某种程度上,这种紧迫性是可以理解的。但未能有效地确定优先级可能会导致时间和资源的浪费,因为团队竞相解决的可能是那些对业务关键资产没有真正风险的漏洞。
更糟糕的是,无序的漏洞管理反而会使企业变得更为脆弱。一个更好的方法是优先关注于已确定的、可以被利用的漏洞风险。如果操作正确,这种优先级排序可以消除对业务敏感的系统99%的风险。使用先进的攻击补丁管理解决方案、使用以攻击为中心的关键风险上下文关联方法对漏洞进行优先级排序,能够全面显示漏洞对企业的真实威胁:每个漏洞被利用的可能性以及每个漏洞对企业的关键资产构成的风险。
二、不能坚持,缺乏连续性管理计划
有效的漏洞管理计划应该是持续的,而不是偶发的。如果企业不采取持续的方法,他们将难以控制漏洞的流动并积累大量“漏洞债务”。跟踪新涌现的漏洞往往会让安全团队疲于奔命,而处理不断积压的安全问题可能会使安全运营不堪重负。因此,漏洞管理应当使用以连续和自动化漏洞识别为中心的持续方法,而不是不定期的扫描和修复。这是企业持续改进安全态势的关键措施之一。
三、沟通不畅,管理团队架构不清晰
当安全团队没有明确的沟通渠道和正确的组织结构时,一般都会出现问题。团队成员经常没有明确的角色,他们不了解自己在整体漏洞管理框架中的职责。当团队成员有明确的角色定义和明确的职责、目标时,他们才可以有效地工作和协作,了解如何将工作与他人的角色和责任相关联,而避免错过更大的安全图景。
这种沟通需求也延伸到了最高管理层。鉴于强大的网络安全能力已成为一项重要的企业战略目标,公司领导层应当充分了解安全计划的重要性。数据泄露数量逐年增加,一次数据泄露就可能导致严重的声誉和财务损失,甚至企业关门倒闭。漏洞管理已经不再只是IT支出的一个分支,它应该是一个关键的业务目标。
为了实现高效漏洞管理,企业必须意识到漏洞管理应该是一个持续的、多阶段的过程。当然,在IT部门内部,也应该刮骨疗毒,彻底解决困扰漏洞管理效率的三大顽疾。
全球著名减震器制造商——天纳克携手安企神共筑安全制造新防线
天纳克(北京)汽车减振器有限公司天纳克(北京)汽车减振器有限公司成立于1995年,是天纳克在中国最早投资的合资企业。公司集设计、开发、生产及销售汽车减振器于一身。作为天纳克全球网络的一部分,能充分享受天纳克全球的技术积累经验和国际领先的设计理念,加之先进的生产设备和工艺技术。天纳克(北京)汽车减振器有限公司完全能保证为...
筑牢安全防线:安企神企业助力特种设备机械企业数据防泄密解决方案
西安苛菲特机械设备有限公司 西安苛菲特机械设备有限公司致力于特种设备的发展,专业从事特种设备的研发、制造和销售。目前已成为有色冶金特种设备、大型船舶特种设备、煤化工特种设备的领军品牌,并在业内得到了“ 特种设备专家”的称号。公司以打造国内一流特种设备为使命,主要产品定型为高品质特种(高温、高压、高合金)流量控...
安企神软件:三峡大学数据安全的坚实后盾与合作伙伴
学校介绍三峡大学是经国家教育部批准,由原武汉水利电力大学(宜昌)和原湖北三峡学院于2000年5月25日合并组建。2018年,学校被省人民政府列为“国内一流大学建设高校”,水利工程、土木工程、电气工程等3个学科被列为“国内一流学科建设学科”;目前,三峡大学已发展成为水利电力特色与优势比较明显、综合办学实力较强、享有较高社...
零部件企业数据保卫战:安企神软件如何筑起防泄密铜墙铁壁
瑞安市特迩翡汽车配件有限公司企业背景瑞安市戴尔菲汽车零部件有限公司一直致力于高共轨电喷(EFI)发动机和SCR排气系统的研发。通过了16949质量管理体系和CE认证,公司具备自主开发汽车电子系统和核心软件的技术能力。公司力争成为以市场为导向、以技术为支撑、以质量为先、以人才为本的知名创新型企业。产品包括:氮氧化物传感器...
强强联合!安企神软件携手瀚颐共筑汽车行业终端安全防线
瀚颐上海汽车电子科技有限公司EAST瀚颐中国团队成立于2015年。是国际AUTOSAR软件联盟的研发伙伴单位。具备汽车电子硬件设计、软件开发、CAN网络集成、系统集成测试以及项目管理的全面研发能力。专注于汽车电子以及相关产业并拥有25年以上的专业经验,拥有来自于德国和中国业内专家和高管组成的顾问团队,并向全球汽车行业客...