立即淘汰的7种过时安全实践

坏习惯很难改掉。然而，在安全方面，过时的做法不仅无用，而且可能很危险。

打破坏习惯并建立更好的习惯是一个需要耐心、自我意识和决心的旅程。无论这个习惯是个人习惯还是早已过时或不可靠的安全实践，都是如此。

您的企业是否依赖早已过期的安全方法或技术？以下是几种应被淘汰的过时安全实践。

1. 期望仅靠边界安全就足够

国际海路公司（International Seaways）的首席信息官兼首席信息安全官Amit Basu指出，当今大多数工作环境都是基于云的，通常是远程且高度分布式的。“保护固定边界的旧做法根本不适用。”

在云优先、混合工作环境中，用户和数据既存在于传统边界内部，也存在于外部，仅靠边界安全会使组织面临横向移动攻击、勒索软件和数据泄露的危险。Basu建议采用零信任、从不信任并始终验证的方法，无论位置如何。

2. 采取合规驱动的安全方法

数据安全服务公司Bedrock Security的首席安全官George Gerchow表示，太多团队让合规驱动其安全计划，更关注勾选复选框而不是解决实际的网络安全挑战。他指出，许多企业努力满足合规标准，但仍然遭受严重漏洞。原因？他们优先考虑监管要求而不是解决实际安全风险。“这种GRC驱动的心态已经过时且功能失调。”

Gerchow认为，合规驱动的安全会创造一种虚假的保护感，同时将资源从关注实际威胁中转移出去。

“我看到大型GRC团队花费时间回答客户问卷和进行审计，而不是保护数据、管理访问控制或监控新兴威胁，”他说。

根据Bedrock Security的2025年企业数据安全信心指数，82%的安全领导者报告存在重大可见性差距，65%的人表示需要数天甚至数周才能定位敏感数据。“合规并不能解决这个问题，”他说。“它通常只是记录问题。”

Gerchow表示，企业必须回归核心安全原则：深度数据防御、零信任和CARTA（持续自适应风险和信任评估）以进行持续监控。

3. 依赖传统VPN

传统VPN可能效率低下且笨重，难以管理且容易导致显著停机。“它们无法满足现代工作场所的需求，尤其是当领导者希望为团队提供更无缝和灵活的资源访问时，无论他们是在办公室还是远程工作，”IT服务公司CDW的全球安全策略负责人Buck Bell说。

依赖传统VPN技术会带来重大风险，因为它们并不总是定期更新和修补，可能使组织面临网络威胁。“传统系统也无法扩展，因为[VPN]难以满足不断增长的组织不断演变的安全需求，随着攻击面扩大而带来挑战，”Bell指出。

Bell表示，更好的方法是转向安全访问服务边缘（SASE）并采用零信任心态。“这些策略通过验证每个尝试访问网络资源的用户和设备来增强安全性，”他解释说。Bell补充说，这种方法减轻了许多VPN依赖的猜测和假设。“它为远程工作者提供更好和更安全的访问，提供一种保护组织数据的主动方法。”

4. 假设EDR提供足够保护

网络安全技术提供商NopalCyber的首席解决方案架构师Michel Sahyoun表示，虽然端点检测和响应（EDR）解决方案比传统防病毒保护有显著进步，但仅依赖这种方法在当今的威胁环境中是不够的。

EDR擅长监控和响应基于端点的活动，利用行为分析，并使用威胁狩猎来检测复杂攻击。然而，攻击者越来越多地完全绕过端点，针对云环境、网络设备和嵌入式系统。

Sahyoun说，过度依赖EDR可能产生关键漏洞。“虽然端点可能受到良好保护，但攻击者仍然可以在云环境、网络基础设施或嵌入式系统中未被发现地操作，访问敏感数据或横向移动而不触发EDR警报。”他补充说，过度依赖EDR可能导致长期漏洞、数据泄露或勒索软件攻击，而组织仍然 unaware of the intrusion.

Sahyoun指出，对手可以利用OAuth令牌未经授权访问云平台，如Microsoft 365、Google Workspace或AWS，而无需与EDR监控的端点交互。

“类似地，网络设备和IoT设备通常缺乏强大的监控或取证能力，成为盲点，”他说。同时，由于有限的日志记录、付费可见性功能以及缺乏全面的检测内容，云环境进一步使检测复杂化。“这种利用信任关系、身份和API的转变使EDR以端点为中心的方法本身不足。”

5. 使用SMS短信进行双因素认证

Microsoft Security的高级安全保证负责人Aparna Himmatramka表示，基于SMS的双因素认证曾被认为比仅基于密码的认证有显著安全改进，但现在被认为容易受到多种攻击向量的影响。

不幸的是，电信基础设施从未以安全为设计目标，她指出。“除此之外，即使今天，蜂窝网络仍使用可被利用的过时协议，并且电话号码在运营商之间转移的过程缺乏严格的身份验证。”

Himmatramka说，另一个与蜂窝相关的危险是SIM交换攻击，这是许多犯罪分子使用的一种策略，说服移动运营商将受害者的电话号码转移到他们控制的设备上，从而拦截认证码。

6. 依赖本地SIEM

本地安全信息和事件管理（SIEM）工具会导致警报疲劳，并且通常不支持云，Bedrock Security的Gerchow说，他也是安全咨询公司IANS Research的教员。这迫使组织要么以高成本移动和存储大量数据，要么 risk leaving out critical logs needed to secure cloud deployments.

“如果我为日志支付过高费用，我被迫挑选——拿我的安全态势赌博，”他指出。

许多组织出于将敏感数据放在云中的恐惧而坚持使用本地SIEM，Gerchow说。“但说实话，那艘船已经启航——是时候向前看了。”

7. 允许最终用户成为安全文化的被动参与者

安全、云和协作解决方案提供商XTIUM的首席技术顾问Kevin Sullivan表示，现实是，在任何安全系统中，人都是最薄弱的环节。“坏人只需要成功一次，他们就可以在一次攻击中瞄准数百万人、流程和系统，”他观察到。“另一方面，好人必须每次都正确，每一天都正确。”

Sullivan说，没有人认为自己可能是网络钓鱼攻击的受害者，但人们 constantly falling prey to them.“你只需要在错误的时间抓住用户，”他警告说。“利用通过LinkedIn、Facebook和各种其他来源 readily available的信息，利用高级社会工程策略，攻击的复杂性从未如此之高。”

Sullivan认为，主动安全是答案。拥有正确的安全工具和实践对任何企业都很重要，但建立安全意识培训，教育和授权用户成为保护数据、系统和业务运营的主动参与者至关重要。

“如果没有对持续教育、准备和参与的承诺，尽管在安全工具、解决方案和策略上进行了重大投资，公司仍会 set themselves up for failure，”他说。“一个受过良好教育、准备充分的用户群是第一道也是最强的防线。”