主动式网络安全：保护组织的关键措施详解

关键要点

Ivanti的2025年网络安全状况报告发现了一个毫不令人惊讶的事实：组织在每个威胁向量和漏洞方面都报告了显著的准备差距（即感知威胁水平与其准备程度之间的差距）。

虽然安全团队理所当然地投入资源建立韧性以便快速响应和从攻击中恢复，但缩小这些准备差距需要主动式网络安全措施。

主动式网络安全指的是在网络攻击前为提高安全态势和减少攻击面而采取的措施；反应式网络安全则是在攻击已侵入系统后中断攻击、控制损害的措施。

这两者并非互斥。主动安全降低风险，但不能消除风险。“反应式"可能带有轻微的负面含义，但无论你缩小了多少风险暴露，能够响应攻击的能力都至关重要。

主动安全是一种理念，而非蓝图。它认为在风险显现之前采取措施最小化暴露面是安全时间和资源的最佳利用。

具体而言，你可以建立以下特定能力来践行这一理念，包括（但不限于）漏洞扫描、攻击面管理、漏洞管理、暴露验证、补丁管理、配置管理和用户培训。

攻击面管理旨在了解组织所有可能被黑客利用以访问其IT环境的入口点——数字的、物理的或人为的。

攻击面包括设备（已知和未知），但环境不仅限于设备。应用程序、软件、社交媒体账户以及与企业相关人员使用的其他数字空间或资产也包括在内。

漏洞扫描顾名思义：专用扫描器评估网络和IT资产中可被利用的漏洞，然后标记给安全团队处理。由于存在数千个已知漏洞（每天还在增加），漏洞扫描在自动化时最为有效。

外部漏洞扫描从外部审查网络，试图识别黑客进入网络的方式。内部扫描则从已侵入网络者的角度出发，识别他们可能从内部利用的漏洞。

漏洞扫描和攻击面管理为更长期、更全面的漏洞管理周期提供信息。这是一个持续的过程，在此过程中，漏洞被识别并按优先级分类，然后团队确定最佳解决方案。

漏洞管理的默认方法是按严重性确定优先级，但这种方法可能过度强调某些漏洞而忽略其他漏洞。叠加威胁背景（此漏洞是否被主动利用？）和风险背景（此漏洞被利用对我的组织会有多不利？）可以更清晰地了解真正的优先级。

暴露验证通过执行攻击场景来测试攻击的可行性和对策的强度。这种方法也被称为进攻性安全。两种最常见的方法是渗透测试和红队演练。

渗透测试是道德黑客试图入侵你的系统，然后提供关于哪些方面运作良好、哪些领域需要进一步改进的反馈。渗透测试也可以使用自动化工具进行。

红队演练类似于渗透测试，涉及让道德黑客进行计划的网络攻击，目标是发现可以改进防御的地方。红队演练是基于场景的模拟，而渗透测试涉及寻找尽可能多的不同漏洞。

对抗性暴露验证（AEV）也正在成为一种实践，使用软件持续自主地执行攻击模拟以证明暴露的存在。

一旦通过攻击面管理和漏洞扫描识别出漏洞，通过漏洞管理确定优先级，并通过暴露验证进行验证，问题就变成了：如何应对？补丁管理是响应和关闭漏洞的一种方式，特别是针对存在补丁的软件漏洞。

补丁管理是自动化的主要目标，特别是与基于风险的漏洞管理结合时。从检测到决策再到部署的自动工作流程缩短了平均修复时间并最小化人为错误。

补丁管理有一个重要的盲点：影子IT。如果没有准确了解员工使用的软件，就不可能强制执行补丁合规性。这就是攻击面管理的发现组件如此关键的原因。

配置管理像补丁管理一样，是响应已识别漏洞的一种方式——在这种情况下，适用于设备本身而非其上运行的软件的漏洞。配置是指在设备级别设置的主动式网络安全措施，例如强制执行多因素认证或加密。虽然最终用户可以单独应用这些措施，但使用端点管理软件强制执行最为有效。

同样，像补丁管理一样，影子IT使情况复杂化。未知、未管理的设备可能不符合组织的安全标准——无法知道。就像补丁管理一样，攻击面管理的发现组件至关重要。通过识别先前未知的设备并将其纳入管理，IT团队可以强制执行合规性。

你的攻击面不仅是数字的——还有人为组成部分。网络钓鱼和其他形式的社会工程利用人为漏洞，通常与数字暴露（软件漏洞、不当配置等）链接起来发起攻击。教育员工有助于最小化暴露，就像修复数字漏洞一样。

在某些方面，获得对主动式网络安全措施的支持比反应式措施更难。威胁尚未显现，因此非安全利益相关者更难理解必要的权衡，例如暂时的业务中断或其他至少在短期内阻碍生产力的事情。用户教育会占用繁忙日程的时间。补丁部署可能使应用程序离线或需要故障排除。

为了获得并保持对此类措施的支持，安全团队应注意最小化修复可能造成的中断（例如，使用环形部署，在扩展到完整用户群之前，将软件更新逐步推送到越来越大的"环”，在每个步骤识别问题和进行故障排除）。

风险评估练习也可能有益于使尚未显现的威胁对其他利益相关者变得真实。对你的暴露面和相关风险成本的客观衡量——特别是如果你能够以财务术语量化该暴露面——可能是勉强接受和真正支持主动安全之间的区别。

主动式网络安全策略与反应式安全并不冲突——健康的组织具有强大的能力在风险显现之前和之后应对风险。但预防性行动将改善你的风险态势，并使风险真正显现的情况更少、间隔更长。管理攻击面、打补丁、合理配置和用户意识等主动式网络安全措施是对组织长期安全的明确投资。

什么是影子IT？ 影子IT是员工使用未经授权或未管理的软件、应用程序和设备。这对安全团队来说是一个挑战，因为它会在组织的安全态势中产生盲点，使得难以确保所有漏洞都被识别和管理。