主动式网络安全详解：保护组织的关键措施

关键要点

Ivanti《2025年网络安全状况报告》发现了一个毫不意外的结果：组织在每个威胁向量和漏洞方面都存在显著的准备差距（即感知威胁水平与准备程度之间的差距）。

虽然安全团队合理地将资源用于构建韧性以便快速响应和恢复攻击，但缩小这些准备差距需要主动式网络安全措施。

主动式网络安全指的是在网络攻击发生前改善安全状况和减少攻击面的措施；被动网络安全则是在攻击已突破系统后中断攻击、进行遏制并最小化损失。

这两者并不相互排斥。主动安全降低风险，但不能完全消除风险。“被动"可能带有轻微的负面含义，但无论你缩小了多少风险暴露，能够响应攻击的能力都至关重要。

主动安全是一种理念，而非具体蓝图。其核心思想是：在风险具体化之前就采取措施最小化暴露，这是安全时间和资源的最佳利用方式。

具体可构建的能力包括（但不限于）：漏洞扫描、攻击面管理、漏洞管理、暴露验证、补丁管理、配置管理和用户培训。

攻击面管理旨在了解组织所有可能被黑客利用的入口点——数字的、物理的或人为的——以访问其IT环境。

攻击面包括设备（已知和未知），但环境不仅限于设备。应用程序、软件、社交媒体账户以及与企业相关人员使用的其他数字空间或资产也包括在内。

漏洞扫描顾名思义：专用扫描器评估网络和IT资产中可被利用的漏洞，然后标记给安全团队处理。由于存在数千个已知漏洞（每天还在增加），漏洞扫描在自动化时最有效。

外部漏洞扫描从外部审查网络，尝试识别黑客进入网络的方式。内部扫描则从已突破网络内部的攻击者视角，识别他们可能利用的漏洞。

漏洞扫描和攻击面管理为更长期、更全面的漏洞管理周期提供信息。这是一个持续的过程，漏洞被识别并按优先级分类，然后团队确定最佳解决方式。

默认的漏洞管理方法是按严重性确定优先级，但这种方法可能过度强调某些漏洞而忽略其他漏洞。叠加威胁背景（此漏洞是否被主动利用？）和风险背景（此漏洞被利用对我的组织有多不利？）可以更清晰地了解真正的优先级。

暴露验证通过执行攻击场景来测试攻击的可行性和应对措施的有效性。这种方法也称为进攻性安全。两种最常见的方法是渗透测试和红队演练。

渗透测试是道德黑客尝试入侵你的系统，然后反馈哪些方面做得好，哪些领域需要改进。渗透测试也可以使用自动化工具进行。

红队演练类似于渗透测试，涉及道德黑客进行计划的网络攻击，目标是发现防御可以改进的地方。红队演练是基于场景的模拟，而渗透测试涉及寻找尽可能多的不同漏洞。

对抗性暴露验证（AEV）也正在成为一种实践，使用软件持续自主地执行攻击模拟以证明暴露的存在。

一旦通过攻击面管理和漏洞扫描识别出漏洞，通过漏洞管理确定优先级，并通过暴露验证进行验证，问题就变成了：如何应对？补丁管理是响应和修复漏洞的一种方式，特别是针对存在补丁的软件漏洞。

补丁管理是自动化的主要目标，特别是与基于风险的漏洞管理结合时。从检测到决策再到部署的自动工作流可以缩短平均修复时间并最小化人为错误。

补丁管理有一个重要的盲点：影子IT。如果没有准确了解员工使用的软件，就无法强制执行补丁合规性。这就是攻击面管理中发现组件如此关键的原因。

配置管理像补丁管理一样，是响应已识别漏洞的一种方式——在这种情况下，适用于设备本身而非其上运行软件的漏洞。配置指的是在设备级别设置的主动安全措施，如强制执行多因素认证或加密。虽然最终用户可以单独应用这些措施，但使用端点管理软件强制执行最有效。

同样，像补丁管理一样，影子IT使情况复杂化。未知、未管理的设备可能不符合组织的安全标准——无法知道。就像补丁管理一样，攻击面管理中的发现组件至关重要。通过识别以前未知的设备并将其纳入管理，IT团队可以强制执行合规性。

你的攻击面不仅是数字的——还有人为成分。网络钓鱼和其他形式的社会工程利用人为漏洞，通常与数字暴露（软件漏洞、不当配置等）串联发动攻击。教育员工有助于最小化暴露，就像修复数字漏洞一样。

在某些方面，获得对主动安全措施的支持比被动安全措施更难。威胁尚未具体化，因此非安全利益相关者更难理解必要的权衡，例如临时业务中断或其他至少在短期内阻碍生产力的事情。用户教育占用繁忙日程的时间。补丁部署可能使应用程序离线或需要故障排除。

为了获得并保持对此类措施的支持，安全团队应注意最小化修复可能造成的中断（例如，使用环部署，将软件更新逐步推送到越来越大的"环”，在每个步骤识别问题和故障排除，然后扩展到整个用户群）。

风险评估练习也有助于使尚未具体化的威胁对其他利益相关者变得真实。客观衡量你的暴露和相关风险成本——特别是如果你能够用财务术语量化这种暴露——可能是勉强接受与真正支持主动安全之间的区别。

主动式网络安全策略并不与被动安全对立——健康的组织具备强大的能力来应对风险具体化之前和之后的情况。但预防性行动将改善你的风险状况，并使风险具体化的情况更少发生。管理攻击面、打补丁、合理配置和用户意识等主动安全措施显然是对组织长期安全的投资。

什么是影子IT？ 影子IT是员工使用未经授权或未管理的软件、应用程序和设备。这对安全团队来说是一个挑战，因为它会在组织的安全状况中产生盲点，使得难以确保所有漏洞都被识别和管理。