建站
咨詢
售后
建站咨詢
新聞中心
如果沒如果沒有強(qiáng)大的網(wǎng)絡(luò)安全策略，企業(yè)將無法實(shí)現(xiàn)IT安全。
創(chuàng)新互聯(lián)服務(wù)項(xiàng)目包括龍港網(wǎng)站建設(shè)、龍港網(wǎng)站制作、龍港網(wǎng)頁制作以及龍港網(wǎng)絡(luò)營銷策劃等。多年來，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢、行業(yè)經(jīng)驗(yàn)、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機(jī)構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，龍港網(wǎng)站推廣取得了明顯的社會(huì)效益與經(jīng)濟(jì)效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到龍港省份的部分城市，未來相信會(huì)繼續(xù)擴(kuò)大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！
美國國家安全局(NSA)已確定構(gòu)成良好IT安全系統(tǒng)的三個(gè)基本功能。根據(jù)NSA的介紹，這些功能至關(guān)重要，可防止93%的網(wǎng)絡(luò)事件。而NetCraftsmen確定了另外四個(gè)步驟，這些步驟與NSA的三個(gè)步驟相結(jié)合，可為構(gòu)建全面的安全系統(tǒng)奠定堅(jiān)實(shí)的基礎(chǔ)。
一、NSA的安全步驟
步驟1.多因素身份驗(yàn)證
企業(yè)應(yīng)該部署多因素身份驗(yàn)證，例如雙因素身份驗(yàn)證(2FA)，而不只是使用密碼。2FA依靠用戶知道的東西(密碼)和他們擁有的東西(物理設(shè)備，例如安全令牌生成器或電話)。其他機(jī)制還依靠生物識(shí)別等因素。
短信驗(yàn)證已成為2FA的流行機(jī)制。在登錄期間，通過短信或電話將安全代碼發(fā)送到手機(jī)。用戶輸入安全代碼以完成登錄驗(yàn)證。如果攻擊者接管手機(jī)賬戶或號碼，這種類型的驗(yàn)證可能受到攻擊，因此不適合高度安全的帳戶。
步驟2.基于角色的訪問控制
部署基于角色的訪問控制，僅當(dāng)某個(gè)人的職能或角色必須訪問資源時(shí)，才提供訪問權(quán)限。例如，人力資源員工將不需要訪問會(huì)計(jì)功能。通過限制訪問權(quán)限，受攻擊的員工帳戶將無法訪問該角色所需范圍之外的功能和數(shù)據(jù)。
隨著IT安全變得越來越重要，幾乎所有產(chǎn)品都具有基于角色的訪問安全控制。這應(yīng)該是產(chǎn)品選擇的關(guān)鍵標(biāo)準(zhǔn)。美國國家標(biāo)準(zhǔn)協(xié)會(huì)還有這方面的標(biāo)準(zhǔn)，在《ANSI InterNational Committee for Information Technology Standards 359-2004》和《INCITS 359-2012》中有詳細(xì)說明。
步驟3. 允許列表應(yīng)用
網(wǎng)絡(luò)曾經(jīng)是開放的，唯一執(zhí)行的過濾是拒絕某些連接。而允許列表顛覆了這種模式。僅允許應(yīng)用程序功能所需的那些連接和數(shù)據(jù)流;而阻止所有其他連接。這里的目的是減少安全泄漏事故在整個(gè)企業(yè)中橫向傳播的機(jī)會(huì)。
安全團(tuán)隊(duì)?wèi)?yīng)配置過濾系統(tǒng)，以記錄或日志記錄建立連接的失敗嘗試。應(yīng)將這些警報(bào)視為陷阱絆線，可能將團(tuán)隊(duì)引誘到受感染的帳戶或系統(tǒng)。安全信息和事件管理可以幫助管理來自過濾系統(tǒng)的大量事件。
二、NetCraftsmen的安全步驟
步驟4.修復(fù)漏洞和解決辦法
安全團(tuán)隊(duì)必須努力修復(fù)已知漏洞，并部署解決辦法。正如NSA所提到的，零日攻擊很少發(fā)生，大多數(shù)網(wǎng)絡(luò)安全漏洞是由于未打補(bǔ)丁的系統(tǒng)而引起。企業(yè)必須對應(yīng)用程序、服務(wù)器操作系統(tǒng)和網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)進(jìn)行定期更新。安全團(tuán)隊(duì)將需要流程和人員來跟蹤更新，并需要配置管理系統(tǒng)來推動(dòng)更新。
步驟5.網(wǎng)絡(luò)分段
網(wǎng)絡(luò)分段的目的是防止自動(dòng)化惡意軟件在業(yè)務(wù)功能之間橫向擴(kuò)散。企業(yè)可將網(wǎng)絡(luò)根據(jù)功能進(jìn)行分段，各段之間的訪問受限。例如，設(shè)施基礎(chǔ)設(shè)施網(wǎng)絡(luò)沒有理由訪問HR或會(huì)計(jì)等業(yè)務(wù)功能。對于業(yè)務(wù)分段之間的任何訪問，安全團(tuán)隊(duì)?wèi)?yīng)使用應(yīng)用程序允許列表(請參見上面的第3步)。
步驟6.系統(tǒng)備份
最常見的入侵是勒索軟件，而成功的廣泛攻擊可能會(huì)嚴(yán)重打擊企業(yè)。系統(tǒng)備份可以降低這種攻擊的大部分風(fēng)險(xiǎn)，但前提是確保備份本身不會(huì)受到攻擊。安全團(tuán)隊(duì)必須精心設(shè)計(jì)其備份系統(tǒng)以確保安全，因?yàn)楣粽咴谟|發(fā)企業(yè)數(shù)據(jù)加密前，會(huì)監(jiān)視IT系統(tǒng)長達(dá)數(shù)周。
與勒索軟件攻擊一樣，自然災(zāi)難同樣具有破壞性，并且備份應(yīng)存儲(chǔ)在不同位置，而不會(huì)遭受同一自然災(zāi)害影響。企業(yè)可以研究其他企業(yè)如何處理自然災(zāi)害以及如何從自然災(zāi)害中恢復(fù)過來，以了解有效的方法和無效的方法。
步驟7.員工安全教育
最后的安全步驟是教育員工。使用反網(wǎng)絡(luò)釣魚活動(dòng)對員工進(jìn)行培訓(xùn)，讓員工了解有關(guān)入侵和欺詐的電子郵件。一種常見的攻擊方法是誘使員工點(diǎn)擊電子郵件中已感染惡意軟件的笑話、圖片或視頻。欺詐性電子郵件會(huì)誘騙員工(通常是財(cái)務(wù)職位)進(jìn)行欺詐性的轉(zhuǎn)賬。某些員工角色可能需要其他針對特定工作的培訓(xùn)。
培訓(xùn)已被證明是可行的。這種培訓(xùn)應(yīng)該強(qiáng)調(diào)過去的經(jīng)驗(yàn)教訓(xùn)，并包括新的攻擊機(jī)制。培訓(xùn)的另一個(gè)好處是，員工在其個(gè)人生活中可更好地做好準(zhǔn)備避免遭受此類攻擊。
三、確保一切正常運(yùn)行
好的IT系統(tǒng)依賴于人員、流程以及技術(shù)和工具的適當(dāng)平衡。以上七個(gè)步驟主要關(guān)注人員和流程。為了獲得平衡的安全基礎(chǔ)，企業(yè)可以使用“網(wǎng)絡(luò)防御矩陣”來評估安全工具。
當(dāng)前題目：構(gòu)建網(wǎng)絡(luò)和IT安全基礎(chǔ)的7個(gè)步驟
文章分享：http://m.fisionsoft.com.cn/article/ccocdgg.html
