遵循一些攻击面管理最佳实践可以最大程度地减少漏洞并减少威胁参与者破坏企业网络和设备的机会。更多的云计算解决方案、远程工作系统和联网设备增加了网络攻击面扩大的风险。减少漏洞数量的最佳方法是建立适当的企业攻击面管理程序。正确的网络攻击面管理需要分析操作来发现潜在的漏洞并获得可见性。此信息应有助于规划，但成功取决于跨企业网络、系统、渠道和接触点执行该计划。以下是构建企业攻击面管理程序时需要考虑的一些良好做法：1.绘制攻击面图为了进行适当的防御，组织必须了解哪些数字资产暴露在外、网络攻击者最有可能将网络作为目标以及哪些保护措施需要采取措施。因此，提高网络攻击面的可见性并采取强有力的措施应对攻击漏洞至关重要。要寻找的漏洞类型包括较旧和安全性较低的计算机或服务器、未打补丁的系统、过时的应用程序和暴露的物联网设备。预测建模有助于创建可能发生的事件及其风险的真实情况，进一步加强防御和主动措施。一旦了解了风险，就可以对攻击事件或数据泄露之前、期间和之后发生的情况进行建模。预计会造成什么样的经济损失？对企业声誉有何损害？企业会失去商业情报、商业秘密或更多数据吗？SANS新兴安全趋势总监JohnPescatore表示，“成功的攻击面映射策略非常简单：了解需要保护的内容（准确的资产清单）；监控这些资产中的漏洞；并使用威胁情报来了解攻击者如何利用这些漏洞来攻击这些资产……这三个阶段中的每一个阶段都需要拥有熟练的安全技术人员，以跟上所有三个领域的变化速度。”2.最大限度地减少漏洞一次组织已经绘制了他们的攻击面，他们可以采取行动来减轻最重要的漏洞和潜在的攻击媒介带来的风险，然后再继续执行较低优先级的任务。尽可能让资产离线并加强内部和外部网络是两个关键大多数网络平台供应商现在都提供工具来帮助最小化他们的攻击面。例如，Microsoft的攻击面减少(ASR)规则允许用户阻止攻击者常用的进程和可执行文件。大多数漏洞都是由人为错误引起的。因此，创建安全意识和培训员工是减少漏洞的另一个重要方面。企业正在采取哪些政策来帮助他们掌握个人和工作安全？他们知道需要什么吗？他们应该使用什么安全措施？失败将如何影响他们和整个企业？并非所有漏洞都需要解决，有些漏洞无论如何都会存在。可靠的网络安全策略包括识别相关来源和识别更有可能被利用的来源的方法。这些是应该解决和监控的漏洞。大多数企业允许比员工和承包商需要更多的访问权限。范围适当的权限可以确保即使帐户遭到破坏，也不会造成中断或重大损害。开始分析对关键系统的访问，然后限制每个人和设备访问他们需要保护的资产。3.建立强大的安全实践和策略遵循久经考验的安全最佳实践将显着减少组织的攻击面。这包括实施入侵检测解决方案、进行定期风险评估以及制定清晰有效的政策。以下是一些需要考虑的做法：使用强大的身份验证协议和访问控制来实现健康的帐户管理。建立一致的修补和更新策略。维护和测试关键数据的备份。对网络进行分段，以在发生违规时将损失降至最低。监控和淘汰遗留设备、设备和服务。在可行的情况下使用加密。创建或限制BYOD策略和程序。4.建立安全监控和测试协议。随着IT基础设施的变化和威胁行为者的发展，强大的网络安全计划需要不断调整。这需要持续监控和定期测试，后者通常通过第三方渗透测试服务。监控通常通过自动化系统完成，例如安全信息和事件管理软件(SIEM)。它将主机系统和应用程序生成的日志数据收集到网络和安全设备，例如防火墙和防病毒过滤器。安全信息和事件管理软件(SIEM)然后识别、分类和分析事件，并对它们进行分析。渗透测试提供公正的第三方反馈，以帮助组织更好地了解漏洞。渗透测试人员进行旨在揭示关键漏洞的模拟攻击。测试应解决企业网络和BYOD的核心要素以及供应商使用的第三方设备。移动设备约占企业数据交互的60%。5.强化电子邮件系统网络钓鱼是网络攻击者获取公司网络访问权限的常见方式。然而，一些企业尚未完全部署旨在限制员工收到的恶意电子邮件数量的电子邮件协议。这些协议是：发件人策略框架(SPF)可防止欺骗合法的电子邮件返回地址。域密钥识别邮件(DKIM)可防止“显示自”电子邮件地址欺骗，这是收件人在预览或打开邮件时看到的内容。基于域的邮件身份验证、报告和一致性(DMARC)允许设置有关如何处理由SPF或DKIM识别的失败或欺骗电子邮件的规则。Aetna前首席信息安全官Pescatore表示，“如果企业管理支持所需的更改，它可以确保业务收益超过安全成本，从而使企业可以转向安全软件开发并实施强大的电子邮件身份验证。”并非所有建议都可以实施，但他做到了，并采取措施减少软件错误并缩短公司的上市时间。迁移到DMARC和强大的电子邮件身份验证可提高电子邮件营销活动的点击率。6.理解合规性所有企业都应该制定政策和程序来研究、识别和理解内部和政府标准。目标是确保所有安全策略都符合规定，并且针对各种攻击和违规类型制定了响应计划。企业还需要建立一个工作组和战略，以便在新政策和法规生效时对其进行审查。正如合规性对现代网络安全战略一样重要，但这并不一定意味着它应该是优先事项。“合规往往是第一位的，但几乎100%的信用卡违规公司都符合PCI标准。它们并不安全，”Pescatore说。7.聘请审计员即使是最好的安全团队有时也需要外部帮助。聘请安全审计员和分析师可以帮助组织发现可能被忽视的攻击媒介和漏洞。他们还可以协助制定针对潜在漏洞和攻击的事件管理计划。许多企业没有为网络安全攻击做好准备，因为他们没有检查、平衡和衡量网络攻击的政策。SmartBillions的首席技术官JasonMitchell说：“在尝试客观地识别安全风险时，对安全风险有一个客观、公正的看法可能非常有益。”“使用独立的监控流程来帮助识别风险行为和威胁，以免它们成为端点上的威胁。”问题，尤其是新的数字资产、入职供应商和远程工作的员工。”
