改善网络安全可视性的技巧

获得正确级别的IT安全可视性，就像是打地鼠的游戏或试图堵住渗透的管道。

网络安全产品领域包含大量工具，通常网络和安全团队希望部署多种安全工具，并花时间建立安全仪表板–自动从这些工具收集数据，以提供整体可视性。

在本文中，我们将探讨可供网络和安全管理人员使用的改进网络安全可视性的技巧，包括如何识别潜在的威胁向量以及确保正确的安全工具集。

[[322687]]

工具可视性

在解决网络安全可见性时，网络和安全团队应该问的第一个问题是：我们是否拥有必要的工具?

为了回答这个问题，网络和安全团队可以使用网络防御矩阵(Cyber Defense Matrix)来识别功能区域中的漏洞和重复项。Sounil Yu的演讲“网络防御矩阵：网络安全的科学模型”很好地介绍了其用法。

该矩阵在其水平轴上映射了相关的安全功能，并在垂直轴上显示了相关的基础架构组件。可视性主要是关于识别和检测攻击，因此请关注“识别和检测”列中列出的工具。

威胁向量

网络攻击通常的形式是：漏洞利用，或通过使用社交工程在企业内部传播恶意软件(例如网络钓鱼攻击)。这导致两种可能的威胁向量：外部和内部。

外部可视性

网络和安全团队必须解决所有可以从外部利用的漏洞。各种供应商都提供安全可视性服务，可识别知名漏洞。这些服务提供对企业外部安全状况的连续可见性，而仅在某些时候使用渗透测试。

外部安全检查的产品示例之一是SecurityScorecard，它会生成多方面的报告，使你一目了然。 (免责声明：NetCraftsmen在我们的安全实践中使用SecurityScorecard。很多其他公司都提供类似的产品。)

内部可视性

在大型网络中，内部可视性可能是一个挑战。训练有素的团队需要将工具部署在网络中的正确位置，并进行正确配置和维护。正确的部署地点通常是网络聚合点，例如办公室(LAN)、远程设施(WAN)和数据中心(高速LAN)之间的互连。当发生渗透时，监视对等攻击将要求团队监视设施内子网之间甚至数据中心中VM之间的流量。

内部可视性包括识别以前未知的网络设备，这可能是由于所谓的影子IT所致。或者，它可以确定要监视的最佳位置，从而提高现有工具的效率。还必须提供对OS补丁程序级别的可见性，并使用这些数据来驱动自动补丁程序系统。如果无法修补系统，则应严格将其限制为仅与其他设备进行必需的通信。这将减少恶意软件的传播和IoT的危害，因为不良行为者过去一直使用网络摄像头和类似的IoT设备进行分布式拒绝服务攻击。

很多工具专用于内部IT安全可见性，并提供类似于外部安全工具的仪表板。例如，RedSeal可评估企业的网络并提供弹性评分。(免责声明：NetCraftsmen在我们的安全实践中使用RedSeal，但还有很多其他可用的工具。)

安全可视性的配套系统

由于IT安全行业很广泛，因此团队无疑需要多种工具来获得全面的网络安全可视性。

• 入侵检测系统(IDS)和入侵防御系统(IPS)。IDS / IPS设备在提供额外可视性方面起着关键作用。这些系统以及其他可见性工具的自动化，可以减少管理这些系统的工作量。
• 流数据。团队需要有关设备之间网络数据流的信息，以了解恶意软件的传播路径，并设计内部防火墙规则集，这些规则集不会阻碍必要的业务流量。

Arbor Insight、Kentik、Plixer和Tetration等产品可提供流数据分析(例如NetFlow、IPFIX(IP流信息输出)或sFlow(采样流))，以识别谁在使用网络以及正在使用哪种协议。这样可以轻松地识别必须相互通信的设备，以及攻击其他设备的受感染设备-即恶意软件传播。所需的流量可以通知构建白名单防火墙规则，并且，不必要的流量可以识别受感染的设备。

• 自动化。网络攻击和漏洞的规模实在太大，无法手动处理。为了提高效率，企业应该部署和使用自动化系统。自动化系统必须能够检测威胁并自动对威胁进行响应，同时向网络和安全管理人员警告威胁和行动。
• 高管支持。不要忽视企业高管支持。高管需要对安全感兴趣并监视其有效性。团队是否在利用数据信息?哪些安全事件被检测或避免?训练有素的团队是否部署了正确的工具，并有效地利用这些工具?

网络和安全团队需要与其他IT部门一起合作才能发挥最大作用。高管可能需要在整个IT领域建立团队合作文化，让更多的目光注视着所有IT系统，这会使企业的运作更加顺畅。