主动安全策略的 3 个组成部分

您的组织可能已部署了多种网络安全防御措施，但仅靠防御措施不足以保护您免受当今多方面的网络攻击。主动添加一层攻击性安全评估和测试有助于您在系统漏洞被利用之前找出漏洞。主动安全措施可帮助您通过以下方式领先于攻击者：

• 识别环境中的漏洞和潜在攻击路径
• 量化它们对重要资产造成的风险
• 测试您的检测和响应效果
• 为企业提供确定优先次序和分配资源所需的透明度

主动安全措施还有助于满足监管要求，从而使组织实现合规性并确保敏感系统和数据得到妥善保护。以下是任何主动安全策略的三个关键组成部分。

1）漏洞管理（VM）

漏洞管理解决方案可识别、评估、确定优先级、跟踪和报告可能危害您组织的漏洞。漏洞扫描完成后，团队不仅会知道需要警惕哪些 CVSS 评分，还会知道哪些评分会带来最直接的风险，哪些评分可以等待。  

必须尽早并经常进行此操作。扫描漏洞不是一项静态任务，因为每个新服务、设备、应用程序和 API 都会带来新的麻烦机会。漏洞管理是一个持续的过程，也是进一步采取攻击性安全技术的重要水平。  

应用程序安全：VM 的重要组成部分

应用程序安全是 VM 不可或缺的一部分，因为它以软件开发生命周期为目标，并依赖于主动左移原则。它有两个主要组成部分： 

• 静态应用程序安全测试 (SAST)： SAST 在软件开发过程的早期寻找弱点，在产品构建、打包、部署之前识别并消除这些弱点，以免危及软件供应链中的其他参与者。
• 动态应用程序安全测试 (DAST)：应用程序运行时， DAST涵盖应用程序安全测试的前端。测试人员无法预知应用程序的内部设计、编程或系统，必须像攻击者（或渗透测试人员）一样对其进行盲目探测和攻击。DAST 的目的是在现实世界中测试应用程序，并查看它如何响应这种“黑盒”测试。它在压力下的行为将表明它是否可能存在需要进一步检查的未解决的漏洞。  

VM 解决方案中需要注意什么

在为您的组织寻找合适的 VM 解决方案时，请务必记住企业级漏洞管理可以： 

• 扫描本地系统和整个网络。
• 关联来自动态资产的数据。  
• 易于部署、学习和维护，从而节省时间。 
• 按地点、团队、部门等细分报告。 
• 与您的堆栈中的其他工具无缝集成。

2）渗透测试

根据我们的2024 年渗透测试报告，72% 的受访者表示，渗透测试阻止了其组织中的漏洞。这并不奇怪；渗透测试可让您在威胁行为者之前利用潜在漏洞，让您模拟自己网络的漏洞，而不是让黑帽为您完成。  

渗透测试使用在 VM 阶段发现的漏洞作为起点，以查看它们是否可以被利用以及利用程度。根据我们的2023 年渗透测试报告，69% 的人执行渗透测试来评估风险并确定补救措施的优先级，许多人将其用作防范勒索软件 (72%)、网络钓鱼 (70%) 和错误配置 (58%) 的预防措施。它也可以在补救完成后用来衡量修复的有效性。 

在哪里可以找到笔测试资源

渗透测试人员对组织来说非常重要，但在大多数公司都在努力填补网络人才缺口的时候，他们可能不是每个组织内部团队的一部分。没关系。渗透测试，作为一种服务或技术，可以外包。  

成功进行渗透测试的关键要素

在一次成功的渗透测试中，将会出现以下元素： 

• 网络安全测试| 发现网络漏洞以及路由器、交换机和网络主机的弱点。
• Web 应用程序测试| 测试 Web 应用程序是否存在编码错误、身份验证失败和注入漏洞。
• 社会工程测试|通过启动网络钓鱼模拟并审查检测工具的有效性，对您的员工和防御能力进行测试。
• 自动化|自动化渗透测试工具会系统地破坏潜在的暴露场所。

3）红队

红队行动比渗透测试更进一步，将整个网络防御策略置于对手级别的审查之下。红队行动可以包括从网络钓鱼到社会工程高管的一切，以及利用当今威胁行为者使用的最先进技术。这项测试不仅针对安全防御，也针对安全团队；在危机中，你在压力下所能做的事情比你在理论上所知道的东西更有价值十倍。  

Fortra 提供先进的工具，使红队能够执行高级任务。 

• Cobalt Strike 使团队能够模拟长期潜伏在网络中的隐秘高级对手，并支持使用可能遇到的不同恶意软件和社会工程策略。其灵活的命令和控制 (C2) 框架使内部员工能够修改、解决或使用内置行为。在此处查看 Cobalt Strike 演示。 
• Outflank 安全工具 (OST)。通过规避攻击模拟进行更深入的探索。这是一套广泛的工具，旨在帮助红队成员创建攻击者场景，以测试防御措施、检测工具和响应技能。这些攻击性安全工具还简化了红队的参与，使用户能够轻松安全地执行复杂任务。 

多层级安全措施可以帮助防止敏感数据泄露，即使您的网络环境不断扩大。这种方法让安全专业人员高枕无忧，因为他们知道他们已经发现并解决了可能使他们的组织成为有吸引力的攻击目标的高风险漏洞和其他弱点。

原文始发于微信公众号（三沐数安）：主动安全策略的 3 个组成部分