安全性安全预算的正确(和错误)的花费方式

Executive Summary

随着企业风险的变化,应用安全的重要性已迅速超越网络安全。传统方式的效率越来越低。了解如何应对这种情况以及可以采取哪些措施。

Executive Summary

随着企业风险的变化,应用安全的重要性已迅速超越网络安全。传统方式的效率越来越低。了解如何应对这种情况以及可以采取哪些措施。

Related

为何您的安全预算或许会浪费在错误的威胁上

您还记得租赁 VHS 录像带、穿着马丁靴、听着广播里的摇滚乐的时光吗?上世纪九十年代的时光在我们大多数人的回忆里正在逐渐远去,但许多大型企业的数据中心却似乎仍然停留在过去。许多 IT 部门仍然让人难以置信地在采用 1999 年的方式记录和分析访问日志。

彼时,一切信息都存储在数据中心内防火墙后端的服务器上。软件都装在盒子里,您需要将其安装到一排排的设备上。您对于网络上的所有客户端如数家珍,能够严格控制对于应用和数据的访问。您最大的担忧是内部威胁、意外数据泄露和偶尔出现的恶意软件事故,如梅利莎病毒

现状:您的业务部门软件安装于某人在云中的服务器上。您的员工,也可能是您的一些客户,正在通过 Web 浏览器或智能手机应用访问此软件,终端无处不在,您的担忧从企业网络转移到 32 亿互联网用户中的有着恶意企图的不法分子上。

好消息是尽管威胁的数量和规模都在不断增长,与此同时安全预算也在持续增加。公司在安全领域的投入可谓前所未有。坏消息是如果您的投资没有找准方向,您的威胁面将会继续增长。在您规划安全投资时,请考虑以下四个重要事实。

您的担忧从企业网络转移到 32 亿互联网用户中的有着恶意企图的不法分子上。

1. 应用数据泄露数量正在不断增长

当前,有大量的数据泄露通过应用发生,与此同时公司却仍将大部分 IT 预算用于保障网络安全上。攻击的目标现在开始瞄准应用,它们正成为通往数据的门户。虽然这并不意味着您应该取消网络安全开支,但您将需要制定预算优先级,确保将预算用在影响最大的环节。

2. 身份和访问权限控制至关重要

在数字化转型时代,在任意位置验证任意用户的身份,以及可靠保护位于任何位置的应用可谓是两项最重要的安全功能。换言之,您需要保证对于应用的访问的安全,以及应用自身的安全。网络仅仅是这一工作的一部分,而非重点。

3. 您无法保护自己不了解的事情

可见性和背景信息至关重要。您需要知道您的应用正在做什么,它们是否在按您设想的方式运行,这是因为攻击的第一个迹象就是应用出现异常行为。这意味着您需要解密所有流量,控制每种协议(HTTP、SSL 和 DNS)的功能和子功能。如果无法洞悉流程和全面了解应用的运行方式,您将只能是盲目出击。

4. 人才需求供不应求

企业对于更出色、功能更强大应用的需求几乎永无止境,但经验丰富的应用开发人员却非如此。新手开发人员面对以更快速度开发出更多应用的压力,很容易在应用中留下漏洞。与此同时,能够发现漏洞并消除损失的安全专业人员同样严重短缺;最新的预测为整个市场存在着超过 200,000 个安全岗位的空缺。经验不足的开发人员和经验丰富的安全专业人员的匮乏将会导致发生灾难性后果。当遇到人员招聘难题时,公司可以考虑与提供有动态应用安全测试 (DAST) 等工具的服务提供商合作,此类工作能够自动执行测试工作,帮助避免现有或新的漏洞发生。

摘要:

如果您与当前的大多数公司并无两样,那么您很可能将大部分安全预算用在了网络上,这可能使您极易遭到攻击,但您并非只能束手就擒。首先,您可以确保将重点放在应用安全上,保护用户身份和应用访问应成为您的主要优先事项。其次,您需要有能力洞悉包括加密数据在内的一切流量,并建立基准,以便您能够发现异常行为。最后,如果您在内部没有应用安全专业知识,您可以选择求助合作伙伴,让他们介入您的工作,帮助保护您的企业。

您可能还会喜欢