摆脱黑暗

Amit Yoran的5点思路

** **

第一，不信

不要全然相信那些高级的安全防护措施，它们一定会失效。这个会议(RSA2015)期间你会得到无数对安全的许诺——大数据方案，物联网方案，一劳永逸的自动寻踪分析等各种热词儿。但是，我们眼见那些对抗分析的恶意代码，它们能够逃避沙盒或其它高级系统的检测。无论墙多高聪明，专注的敌人总能发现一条跨过、钻过、绕过、穿过墙的方法。

第二，可见

**必须使企业的计算环境真正可****见。**从终端到网络到云。Stuxnet，Equation Group和Carbanak这些高超的入侵方式在最初的时候完全不可检测，他们能够隐秘的穿越传统的防范措施。

如果不能做到网络流量数据和终端入侵行为的可见，安全几乎是无法保证的。必须掌握企业计算环境中哪个系统与哪个系统在通信，通信的原因，关联的数据，通信时长、频率、数据量，以及通讯内容，才能清楚发生了什么。如果这些都做不到可见，你就不能假装自己在做安全。

在分析清楚整个事件之前，决不能简单清除、重装被入侵的系统，这等于是在告诉入侵者你能监测到哪种入侵，好让入侵者避开。这是非常严重的错误。全部可见——现在做不到，也要向这个方向努力。

第三，身份

身份认证在任何情况下都很重要，难以部署边界或者其它安全措施时尤其如此。Web应用攻击中，95%是身份凭证别窃取。“如果能得到用户名密码，谁还用0Day?”，获取身份是Kill Chain上较早的环节，如能发现身份窃取问题，就能较早地发现并制止攻击。大多数情况下，身份管理的混乱程度，入侵者根本不用上什么高级手段对抗已部署的安全措施。

第四，情报

外部威胁情报。这也是一个核心要求——从一些公司和组织，比如CrowdStrike，iSIGHT，ThreatGRID，ISACs等，能够获取极好的威胁情报。威胁情报能快速提高安全防范措施的速度和影响力。

第五，重点

保护关键资产和业务。安全资源有限，需要集中于重要账号、角色、数据、系统、应用、设备等，保护这些最重要的东西。