美國(guó)防部總監(jiān)察長(zhǎng)辦公室(OIG)今年初發(fā)布的一份報(bào)告顯示，美聯(lián)邦機(jī)構(gòu)遏制網(wǎng)絡(luò)安全威脅的工作仍然困難重重。雖然國(guó)防部在加強(qiáng)網(wǎng)絡(luò)安全態(tài)勢(shì)方面已取得重大進(jìn)展，但仍發(fā)現(xiàn)多達(dá)266個(gè)網(wǎng)絡(luò)安全漏洞，其中一些已經(jīng)存在數(shù)十年，說(shuō)明美國(guó)防部面臨的網(wǎng)絡(luò)風(fēng)險(xiǎn)正持續(xù)升級(jí)。
報(bào)告指出若干亟需改進(jìn)的工作領(lǐng)域，包括持續(xù)監(jiān)控和檢測(cè)流程、安全培訓(xùn)等，并強(qiáng)調(diào)如果五角大樓希望成功修復(fù)自身網(wǎng)絡(luò)缺陷，先發(fā)制人遏制威脅，就必須在上述各領(lǐng)域采取行動(dòng)。報(bào)告提出的三種可用于封堵國(guó)防部網(wǎng)絡(luò)安全漏洞的策略如下：
識(shí)別威脅和漏洞
報(bào)告稱，國(guó)防部之前有能力識(shí)別并解決存在的網(wǎng)絡(luò)安全漏洞。然而隨著國(guó)防部網(wǎng)絡(luò)上設(shè)備以及基于云的應(yīng)用程序的持續(xù)激增，現(xiàn)在有效地做到這一點(diǎn)已變得尤為困難。盡管政府IT管理人員已經(jīng)處理了“自帶設(shè)備”的問(wèn)題，大量未被發(fā)現(xiàn)的設(shè)備仍然在國(guó)防部的網(wǎng)絡(luò)上繼續(xù)使用。例如，報(bào)告提到部分軍事部門無(wú)法完全解釋其網(wǎng)絡(luò)上的所有數(shù)字設(shè)備。
掃描不受IT控制的應(yīng)用程序和設(shè)備是封堵潛在安全漏洞的第一步。谷歌Drive等商業(yè)應(yīng)用程序可能有助于提高工作效率，但如果其沒(méi)有加強(qiáng)安全措施，也會(huì)讓機(jī)構(gòu)面臨風(fēng)險(xiǎn)。IT團(tuán)隊(duì)必須意識(shí)到其在網(wǎng)絡(luò)上的存在，并對(duì)其進(jìn)行掃描和監(jiān)視。下一步是掃描難以發(fā)現(xiàn)的漏洞。報(bào)告指出，美國(guó)防部有必要改進(jìn)信息保護(hù)流程和程序，包括跟蹤對(duì)系統(tǒng)所做的更改，并確保這些更改能夠正確實(shí)施。大多數(shù)漏洞都發(fā)生在配置更改未得到正確管理的情況下。自動(dòng)掃描配置更改以及定期測(cè)試漏洞可以幫助確保人員遵循正確的網(wǎng)絡(luò)協(xié)議并增強(qiáng)國(guó)防部的安全態(tài)勢(shì)。
持續(xù)進(jìn)行內(nèi)部和云端監(jiān)控
國(guó)防部建立這些基礎(chǔ)流程后，應(yīng)持續(xù)監(jiān)控其IT系統(tǒng)。盡管OIG報(bào)告明確指出國(guó)防部必須繼續(xù)監(jiān)控其網(wǎng)絡(luò)，但這些網(wǎng)絡(luò)正變得越來(lái)越分散。國(guó)防部不應(yīng)僅關(guān)注內(nèi)部的應(yīng)用程序，能夠發(fā)現(xiàn)云中的潛在漏洞也同樣重要。國(guó)防部的IT管理人員不僅應(yīng)實(shí)行傳統(tǒng)的網(wǎng)絡(luò)監(jiān)控措施，檢查內(nèi)部網(wǎng)絡(luò)的異常和潛在的危險(xiǎn)信號(hào)，還應(yīng)更深入地研究其使用的云服務(wù)。在國(guó)防部越來(lái)越依賴托管服務(wù)供應(yīng)商的情況下，查看整個(gè)網(wǎng)絡(luò)(包括云服務(wù))的能力至關(guān)重要，這種監(jiān)測(cè)將有助于確保數(shù)據(jù)時(shí)刻保持安全。
設(shè)立長(zhǎng)期的用戶培訓(xùn)和教育計(jì)劃
用戶的培訓(xùn)經(jīng)驗(yàn)?zāi)軌驇椭浞雷o(hù)網(wǎng)絡(luò)漏洞，因此國(guó)防部對(duì)其人員進(jìn)行的定期培訓(xùn)是非常重要的。在安全前線工作的IT專業(yè)人員每周進(jìn)行敏捷開(kāi)發(fā)，討論最新發(fā)現(xiàn)的安全威脅、網(wǎng)絡(luò)活動(dòng)或變化，并且按季度告知團(tuán)隊(duì)新的安全協(xié)議和流程。
但培訓(xùn)不應(yīng)僅局限于IT團(tuán)隊(duì)。最新研究表明，內(nèi)部威脅是政府網(wǎng)絡(luò)面臨的最大風(fēng)險(xiǎn)之一。因此，所有雇員都應(yīng)接受有關(guān)機(jī)構(gòu)政策和程序的培訓(xùn)，并應(yīng)遵循最佳實(shí)踐，以減少潛在威脅。美國(guó)家標(biāo)準(zhǔn)技術(shù)局為如何實(shí)施有效的安全培訓(xùn)計(jì)劃提供了指導(dǎo)。
來(lái)源 ：美國(guó)陸軍網(wǎng)站等/圖片來(lái)自互聯(lián)網(wǎng)
軍事科學(xué)院軍事科學(xué)信息研究中心 陳培 張岸佳
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。