早年間，美國聯(lián)邦政府花費(fèi)了巨大精力，在各部門不同網(wǎng)絡(luò)安全專家間達(dá)成共識，以確定現(xiàn)代計算機(jī)和網(wǎng)絡(luò)環(huán)境中有效的網(wǎng)絡(luò)安全控制，形成了20項(xiàng)最重要的持續(xù)網(wǎng)絡(luò)安全執(zhí)法控制措施，即共同審計指南。與此同時，美國聯(lián)邦政府也鼓勵網(wǎng)絡(luò)安全專業(yè)人員對該指南進(jìn)行改編及思考。2009年，美國網(wǎng)絡(luò)安全公司MicroSolved發(fā)布了其80/20網(wǎng)絡(luò)安全法則，旨在為中小型組織提供最實(shí)惠的安全控制項(xiàng)目，只需花費(fèi)通常組織20%的開銷，就能獲得80%的安全效果。隨著網(wǎng)絡(luò)安全態(tài)勢的快速變化，原有13條安全法則難以適應(yīng)新的形勢發(fā)展。對此，MicroSolved更新了其80/20法則，該最新版本的法則包含：維護(hù)完整的當(dāng)前網(wǎng)絡(luò)資產(chǎn)清單、實(shí)施全面的配置控制程序、實(shí)施全面的安全維護(hù)計劃、實(shí)施全面的變更控制程序、實(shí)施基本的內(nèi)部威脅建模和風(fēng)險評估、持續(xù)安全評估、實(shí)施日志記錄和監(jiān)視、實(shí)施網(wǎng)絡(luò)分段、執(zhí)行和維護(hù)書面的網(wǎng)絡(luò)安全計劃、實(shí)施安全意識和培訓(xùn)計劃、招聘、培訓(xùn)和實(shí)施事件響應(yīng)團(tuán)隊(duì)、在網(wǎng)絡(luò)上盡可能使用MFA、部署合理的加密技術(shù)。

　　80/20法則又稱帕累托法則、二八定律，由意大利經(jīng)濟(jì)學(xué)家維爾弗雷多·帕累托在19世紀(jì)末20世紀(jì)初發(fā)現(xiàn)的。他認(rèn)為，在任何一組東西中，最重要的只占其中一小部分，約20%，其余80%盡管是多數(shù)，卻是次要的，因此又稱二八定律，被廣泛應(yīng)用于社會學(xué)及企業(yè)管理學(xué)等。該法則認(rèn)為，原因和結(jié)果、投入和產(chǎn)出、努力和報酬之間存在著無法解釋的不平衡，如80%的結(jié)論源自20%的起因、80%的產(chǎn)出源自20%的投入、80%的收獲源自20%的努力。該法則說明少量的原因、投入和努力會有大量的收獲、產(chǎn)出或回報，只有幾件事情是重要的，大部分都微不足道。該法則的主要用途是去發(fā)現(xiàn)該80/20關(guān)系的關(guān)鍵原因，如20%的投入就有80%的產(chǎn)出，并在取得最佳業(yè)績的同時減少資源損耗。當(dāng)將該法則應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域時，又會有什么結(jié)果呢？

　　2009年，由于人們認(rèn)為《聯(lián)邦網(wǎng)絡(luò)安全管理法》（FISMA）過于繁瑣，且無法有效保護(hù)私人信息的機(jī)密性、完整性和可用性，為此美國聯(lián)邦政府做出了巨大的努力，在來自各個部門的不同網(wǎng)絡(luò)安全專家組之間達(dá)成共識，以確定在現(xiàn)代計算和網(wǎng)絡(luò)環(huán)境中哪些網(wǎng)絡(luò)安全控制最有效。這項(xiàng)工作的成果是，發(fā)布了20個最重要的持續(xù)網(wǎng)絡(luò)安全執(zhí)法控制措施：共識審計指南（Consensus Audit Guidelines）。同時，還激發(fā)了組織和網(wǎng)絡(luò)安全專業(yè)人員對本指南的可能變化和改編的思考，其中之一，就是由美國網(wǎng)絡(luò)安全公司MicroSolved發(fā)布的80/20網(wǎng)絡(luò)安全法則（2009）。

　　雖然該法則與共識審計指南非常相似，但該80/20法則的重點(diǎn)是建立一組安全控制項(xiàng)目，為沒有聯(lián)邦政府或其他大型組織資源的中小型組織提供最“實(shí)惠”的安全控制項(xiàng)目。該法則的靈感來自于帕累托原理，當(dāng)應(yīng)用于網(wǎng)絡(luò)安全控制時，意味著一個組織可以僅花費(fèi)通常消耗的20%的資源，就可以實(shí)現(xiàn)80%的安全結(jié)果。

　　該2009版本的80/20法則包含以下13個安全項(xiàng)目：資產(chǎn)、數(shù)據(jù)流和信任關(guān)系映射；進(jìn)行基本的風(fēng)險評估和威脅建模；對所有網(wǎng)絡(luò)攻擊面的持續(xù)評估；最小化攻擊面；實(shí)施出口過濾；實(shí)施隔離計算；創(chuàng)建異常檢測功能；定義正式的策略和過程；進(jìn)行安全意識計劃；加強(qiáng)資產(chǎn)和新系統(tǒng)；招聘、培訓(xùn)和實(shí)施事件響應(yīng)團(tuán)隊(duì)；識別安全技能差距并培訓(xùn)員工；部署合理的密碼學(xué)。

　　然而自2009年以來，網(wǎng)絡(luò)安全形勢發(fā)生了變化，情況有所改變。因此，MicroSolved更新了其80/20法則，以更好地符合當(dāng)前環(huán)境，盡管新版本中許多安全項(xiàng)目仍保持相同。MicroSolved 80/20網(wǎng)絡(luò)安全法則（2019）的安全項(xiàng)目列表如下：

　　與以前的80/20法則版本中的第一個項(xiàng)目幾乎相同。研究人員認(rèn)為清單控制是20大建議中的第一控制措施。完整的清單不僅可以幫助避免遺留未維護(hù)的遺留系統(tǒng)的危險，更重要的是，它還可以實(shí)現(xiàn)其他重要的安全項(xiàng)目，例如安全維護(hù)、配置控制、訪問控制等。

　　為了適當(dāng)?shù)卦鰪?qiáng)網(wǎng)絡(luò)抵抗攻擊能力，必須安全地配置所有網(wǎng)絡(luò)資產(chǎn)（軟件/固件應(yīng)用程序、操作系統(tǒng)和設(shè)備）。這應(yīng)該根據(jù)通用的基線配置策略來完成。為了確保正確配置所有網(wǎng)絡(luò)資產(chǎn)，需要完整且最新的清單。

　　安全維護(hù)需要監(jiān)視安全和供應(yīng)商站點(diǎn)是否存在影響網(wǎng)絡(luò)資產(chǎn)的漏洞，然后確保必要時對其進(jìn)行修補(bǔ)、更新或替換。有必要將此過程與庫存控制聯(lián)系起來，以確保包括所有資產(chǎn)。

　　安全漏洞通常是由于對網(wǎng)絡(luò)安全設(shè)置未進(jìn)行維護(hù)或進(jìn)行考慮不周的更改而引起的。例如，將與內(nèi)部網(wǎng)絡(luò)的直接連接授予第三方，以允許進(jìn)行必要的工作，但是在完成工作后不會將其刪除。攻擊者經(jīng)常使用這種攻擊載體來獲得專用網(wǎng)絡(luò)的訪問權(quán)限。變更應(yīng)完全記錄在案，并應(yīng)計劃還原到以前的狀態(tài)，以防出現(xiàn)無法預(yù)料的問題。如前所述，變更控制過程應(yīng)與庫存控制、配置控制和安全維護(hù)聯(lián)系相聯(lián)系。人員和流程之間的這種通信對于防止可能導(dǎo)致安全錯誤的混亂是必要的。

　　基本的威脅建模和風(fēng)險評估不必是一個復(fù)雜或耗時的過程。在對網(wǎng)絡(luò)進(jìn)行重大更改或添加時，只需考慮攻擊者可能會對這些更改（可能的漏洞）進(jìn)行不利操作（威脅）的方式，以及這種操作可能對業(yè)務(wù)造成的影響（風(fēng)險）。在具有代表性的技術(shù)、安全、法律和管理人員中使用此簡單過程將提高風(fēng)險確定的準(zhǔn)確性。

　　外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的漏洞評估可以由內(nèi)部或第三方服務(wù)提供商執(zhí)行。建議使用這些評估，因?yàn)樗鼈兛赡軙�暴露由于錯誤或惡意意圖而潛入網(wǎng)絡(luò)的漏洞。自定義編碼的軟件應(yīng)用程序的安全性評估可能會使漏洞暴露于跨站點(diǎn)腳本之類的情況。其他可能使組織受益的安全評估包括滲透測試和網(wǎng)絡(luò)工程測試，例如網(wǎng)絡(luò)釣魚測試。

　　實(shí)施此項(xiàng)目需要打開網(wǎng)絡(luò)上所有支持該功能的系統(tǒng)的日志記錄。建議使用工具匯總?cè)罩竞瓦M(jìn)行基本日志分析。記錄和監(jiān)視應(yīng)連續(xù)進(jìn)行。應(yīng)指派有能力的員工來監(jiān)視、調(diào)查和增強(qiáng)自動化和第三方安全監(jiān)視結(jié)果。

　　實(shí)施此項(xiàng)目需要在邏輯上或物理上對網(wǎng)絡(luò)進(jìn)行分段。正確的網(wǎng)絡(luò)分段可以幫助阻止獲得非法內(nèi)部訪問權(quán)限的攻擊者在網(wǎng)絡(luò)上橫向移動，并將其特權(quán)提升到域管理員級別。至少應(yīng)將“用戶空間”與“服務(wù)器空間”分開。

　　書面的網(wǎng)絡(luò)安全策略和程序?qū)τ谌魏斡行У木W(wǎng)絡(luò)安全計劃都是必需的。沒有他們，組織人員將永遠(yuǎn)無法確保他們正確地協(xié)調(diào)自己的工作，而且只有在將它們無縫集成在一起的情況下，網(wǎng)絡(luò)安全計劃才真正有效。此外，書面安全和操作程序?qū)τ跇I(yè)務(wù)連續(xù)性/災(zāi)難恢復(fù)至關(guān)重要。

　　僅擁有良好的書面政策和程序文件還不夠。組織人員還必須了解這些政策及其執(zhí)行這些政策的責(zé)任。此外，組織人員可以是安全資產(chǎn)也可以是安全缺陷。培訓(xùn)和意識是確保它們成為安全資產(chǎn)的關(guān)鍵。除安全培訓(xùn)外，還應(yīng)向人員提供安全提醒和更新。另外，應(yīng)該為從事高風(fēng)險工作的人員（例如網(wǎng)絡(luò)管理，服務(wù)臺等）提供安全技能差距培訓(xùn)。

　　實(shí)施此控制措施需要制定事件響應(yīng)策略和方法，招募事件響應(yīng)團(tuán)隊(duì)，并練習(xí)執(zhí)行任務(wù)所需的技能。沒有完美的安全。任何組織都可能遭受安全事件。事件響應(yīng)程序可以極大地減少安全事件的負(fù)面影響，例如數(shù)據(jù)泄露對組織及其客戶的影響。

　　使用有效的多因素身份驗(yàn)證（MFA）來訪問網(wǎng)絡(luò)資產(chǎn)可以解決許多安全隱患。實(shí)施該項(xiàng)目確實(shí)需要花費(fèi)大量的時間，因?yàn)橛脩艉涂蛻艨偸菚�認(rèn)為獲得訪問權(quán)會帶來額外麻煩。至少，應(yīng)該對系統(tǒng)進(jìn)行高風(fēng)險訪問使用MFA，例如管理、遠(yuǎn)程或無線訪問。

　　加密數(shù)據(jù)以進(jìn)行傳輸和存儲可最大程度地減少使用敏感或私有信息所固有的風(fēng)險。這個項(xiàng)目并不容易全面實(shí)施，但是如果正確完成，可以幫助挫敗那些成功訪問私有系統(tǒng)的攻擊者。密碼學(xué)的警告是，隨著項(xiàng)目的成熟，還必須實(shí)施安全密鑰管理。如果沒有正確的制作、注銷和保護(hù)這些密鑰，則加密實(shí)際上可能成為一種負(fù)擔(dān)而不是資產(chǎn)。

　　MicroSolved是一家專注于提供最有效、合理和全面的網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)的小型公司。該公司總部位于美國，成立超過25年來，幫助客戶保護(hù)自己的數(shù)字資產(chǎn)并安全地開展業(yè)務(wù)。該公司在保護(hù)知識產(chǎn)權(quán)、金融系統(tǒng)、零售環(huán)境和大小企業(yè)方面具有世界一流的經(jīng)驗(yàn)。MicroSolved的企業(yè)經(jīng)驗(yàn)從小型關(guān)鍵基礎(chǔ)設(shè)施組織到財富500強(qiáng)企業(yè)，其重點(diǎn)是制造業(yè)、工業(yè)控制、高科技、快餐銷售以及負(fù)責(zé)保護(hù)一些最重要研究的科學(xué)/智庫團(tuán)隊(duì)。

　　消息來源：北京天地和興科技有限公司