企业需要关注安全和风险管理

 调研机构最近发布的一份2019年度网络安全违规调查报告表明，网络安全已日益成为企业的优先考虑事项。在2019年进行的调查中，78%的受访者(2018年为74%)表示将其列为高度优先事项。32%的受访者表示发现网络安全漏洞或遭遇攻击。这类统计数据令人关注，但这些企业还需要关注其他一些事项，因为这超出了其安全预算。随着漏洞的增加，企业在安全方面的投资不仅仅在于阻止这些网络攻击，安全防护也应该是关于如何更快速、更有效地查找和修复企业基础设施中的已知软件漏洞，这就是所谓的漏洞管理。

[[328551]]

调查发现，软件漏洞数量正在增加，仅在2020年，漏洞数据库(NVD)就发现了400多个新漏洞。对于大多数企业而言，快速修复这些漏洞的能力仍然是一个挑战。根据调研机构发布的《2019年DevOps状态报告》(SODOR)，只有32%的受访者表示，能够在一小时至不到一天的时间内修复严重的安全漏洞;只有7%的受访者表示，能够在不到一小时的时间内对其进行修复。这是一个大问题，因为长时间不修复关键漏洞将使黑客有时间获得更多具有价值的信息。

对于管理人员和工作人员来说，对已知漏洞的安全性和缓解风险的关注应该成为更大的优先事项。问题在于，漏洞管理工作流程(从安全团队运行的漏洞报告到IT运营商完成的漏洞修复)是分散且人工实施的，这使得漏洞修复速度很慢，并使IT基础设施暴露于外部攻击的时间过长。仍然有很多企业允许安全团队将敏感数据发送给IT团队，以修复他们在系统中发现的所有漏洞。根据调研机构波洛蒙公司的研究，IT运营部门平均每周花费320个小时来进行一次漏洞修复。

随着人们进入一个以软件为中心的世界，网络攻击数量将会继续增长，并且企业生产和使用的软件漏洞数量将会增加。如果没有针对企业如何主动、大规模地修复已知漏洞的计划，那么企业声誉和财务受损的机会就会增加。

那么，企业如何才能增强其安全性配置文件，使其免受漏洞攻击并应对日益增长的威胁?

运营环境的标准化和自动化

随着技术的发展，IT领域变得越来越复杂，导致ITOpps的工作量要比人工完成的还要多，尤其是在技术人才短缺的情况下。解决此问题的一种方法是采用DevOps实践，以尽可能少的技术实现标准化，这也对提高安全性有好处。使用更少的操作系统，企业再也不需要查看影响选择删除的操作系统的漏洞，而且可以处理的漏洞数量也更少。

使用标准化技术，使企业的环境自动化是管理其不断增长的资产的有效方法，并允许在发现漏洞时更快地进行补救。DevOps的另一项原则(在可能的情况下进行自动化)有利于提高安全性，因为自动化执行人工实施的安全性流程(例如补丁和更新)通常是重复和耗时的，并且可能会被遗忘，从而消除了人为错误的风险。一旦发现漏洞，解决问题的速度便是最重要的，而自动化则是快速和大规模反应的一种方法。在日常工作中，基本的网络安全检查非常适合于机器操作，使安全专家有时间寻找威胁和漏洞，而这正是人类擅长的事情，可以发现看起来很奇怪或不合适的事物并找出存在的漏洞。

遵循基于风险的方法来确定首先要修复的内容

信息安全和信息技术专业人员以严重程度为基础处理漏洞的日子已经一去不复返了。现代专业人士现在面临着一项艰巨的任务，即决定不进行补救的内容。实际上，只有那些可能对企业造成实质性损害的漏洞才能得到解决。因此，现代专业人员必须采用基于风险的优先权。

基于风险的方法考虑了漏洞的严重性以及服务器或计算机的场景和严重性。可能会问这个漏洞容易被利用吗?这个漏洞是否已广为人知?是否有广泛可用的漏洞攻击工具包?暗网上是否有关于该漏洞的讨论?该漏洞是否会影响业务基础设施的关键部分?如果对这些问题的答案是肯定的，那么企业现在就应该进行补救。

通过使用自动化和一致的信息作为安全性和IT之间的通用语言，企业可以更好地了解其系统中最容易受到攻击的部分，从而可以相应地确定优先级。遵循基于风险的方法，可以纠正可能对企业造成很大影响和伤害的漏洞，例如任何种类的财务软件、健康记录甚至客户数据库。

缩小差距

如今，软件为IT世界提供了强大的动力，这意味着许多使用软件的企业都面临潜在的安全漏洞。此外，通常存在的软件漏洞是由人为错误引起的，尽管它们可能不是恶意的，但如果被利用，则会严重损害企业的运营和发展。企业需要确保早日消除软件漏洞并尽快解决问题，这对其运营非常有利。当企业尽早减轻安全风险时，IT Ops可以大规模地减少漏洞数量。

但是，很多公司仍在尝试通过人工修复漏洞，鉴于可能存在一些隐秘的漏洞，这种做法几乎是不可能的，因此很容易受到网络攻击。一个良好的解决方案是自动化漏洞修复，从而消除漏洞管理工作流程中的重复性和容易出错的步骤，例如，消除在信息安全和IT Ops之间进行人工数据移交的潜在错误。

如果企业基础设施中重要的部分存在大量漏洞，那么需要采用更有效的网络安全防御措施。现在建立强大的漏洞管理实践，可以帮助企业避免可能导致惨重损失的错误。