在網(wǎng)絡(luò)安全世界里，攻擊者一直在尋找入侵系統(tǒng)并破壞數(shù)據(jù)的最優(yōu)路徑，而錯(cuò)誤的系統(tǒng)配置和不安全的默認(rèn)配置正是他們最喜歡的載體，因?yàn)檫@些錯(cuò)誤的配置信息使他們能夠非常輕松地訪問關(guān)鍵業(yè)務(wù)系統(tǒng)和數(shù)據(jù)。隨著云計(jì)算應(yīng)用的不斷發(fā)展和普及，大規(guī)模云環(huán)境的復(fù)雜性進(jìn)一步限制了安全團(tuán)隊(duì)為企業(yè)提供安全保護(hù)的能力，這導(dǎo)致了更多的配置錯(cuò)誤在被修復(fù)前就已經(jīng)被廣泛地惡意利用。
多項(xiàng)研究報(bào)告指出，配置錯(cuò)誤已經(jīng)成為導(dǎo)致企業(yè)敏感數(shù)據(jù)泄露的最主要原因，有超過90%的數(shù)據(jù)安全事件是由企業(yè)自己的原因直接/間接引發(fā)。在這種情況下，安全運(yùn)營人員如果能夠擁有一套完善的安全配置管理（SecCM）計(jì)劃，持續(xù)對(duì)企業(yè)整體環(huán)境中各種易受攻擊的錯(cuò)誤配置進(jìn)行全面管理就顯得格外重要。
什么是SecCM？
(相關(guān)資料圖)
美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）對(duì)SecCM進(jìn)行了以下定義：這是一種以實(shí)現(xiàn)安全和管理風(fēng)險(xiǎn)為目標(biāo)的信息系統(tǒng)配置管理和控制，通過為系統(tǒng)設(shè)置一套標(biāo)準(zhǔn)配置，并持續(xù)監(jiān)控各個(gè)指標(biāo)。使用SecCM執(zhí)行安全加強(qiáng)標(biāo)準(zhǔn)（比如CIS、NIST、ISO 27001）或合規(guī)標(biāo)準(zhǔn)（比如PCI、SOX、NERC、HIPAA），組織就可以迅速識(shí)別違規(guī)行為，并減少攻擊面。
安全研究人員認(rèn)為，SecCM應(yīng)該成為現(xiàn)代企業(yè)開展網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)性要求和重要工作。SANS 研究所和互聯(lián)網(wǎng)安全中心建議，當(dāng)企業(yè)全面梳理IT資產(chǎn)后，最重要的安全控制就是進(jìn)行可靠的安全配置。CIS關(guān)鍵安全控制第4項(xiàng)（Critical Security Control 4）也明確要求，“企業(yè)應(yīng)建立和維護(hù)硬件（包括便攜式和移動(dòng)設(shè)備的最終用戶設(shè)備、網(wǎng)絡(luò)設(shè)備、非計(jì)算/物聯(lián)網(wǎng)設(shè)備及服務(wù)器）和軟件（操作系統(tǒng)及應(yīng)用程序）的安全配置。”
在一個(gè)完善的SecCM方案中，會(huì)包含多個(gè)基于安全最佳實(shí)踐的基礎(chǔ)控制措施，例如：
使用漏洞評(píng)估策略緩解已知的安全缺陷評(píng)估已授權(quán)硬件和軟件系統(tǒng)的配置安全性；使用規(guī)范的安全流程和控制措施來自動(dòng)修復(fù)異常配置。SecCM應(yīng)用實(shí)踐
如果沒有一套完善的安全配置管理計(jì)劃，企業(yè)的安全人員即使只維護(hù)一臺(tái)服務(wù)器應(yīng)用的安全配置也并不容易，更不要說當(dāng)組織有成千上萬個(gè)端口、服務(wù)和配置需要跟蹤維護(hù)時(shí)。應(yīng)用實(shí)踐表明，一個(gè)成熟的SCM計(jì)劃通常需要包含有以下四個(gè)關(guān)鍵原則：
01全面發(fā)現(xiàn)設(shè)備資產(chǎn)
首先組織要找到需要管理的設(shè)備，組織可以利用整合資產(chǎn)發(fā)現(xiàn)與管理能力的SecCM平臺(tái)來完成這項(xiàng)工作。在充分發(fā)現(xiàn)資產(chǎn)的基礎(chǔ)上，組織還需要對(duì)所有資產(chǎn)進(jìn)行分類和標(biāo)記，以實(shí)現(xiàn)差異化管理，比如，技術(shù)部門的工作站需要與財(cái)務(wù)系統(tǒng)不一樣的配置，避免啟動(dòng)不必要的服務(wù)。
02建立配置標(biāo)準(zhǔn)
組織需要為各種受管理設(shè)備確定明確的、可接受的安全配置標(biāo)準(zhǔn)。在此過程中，企業(yè)可以將CIS或NIST等權(quán)威機(jī)構(gòu)給出的安全標(biāo)準(zhǔn)作為參考，以獲得配置設(shè)備的詳細(xì)安全性指導(dǎo)，并在此基礎(chǔ)上，結(jié)合企業(yè)的實(shí)際應(yīng)用需求，建立安全配置的管理標(biāo)準(zhǔn)。
03評(píng)估和報(bào)告變更
組織在找到需要管理的設(shè)備并進(jìn)行分類后，下一步就是定義評(píng)估設(shè)備的監(jiān)控頻次，也就是組織應(yīng)該多久審查一次安全策略。在條件具備的情況下，部分企業(yè)可以使用實(shí)時(shí)評(píng)估，但并非所有場(chǎng)景都需要實(shí)時(shí)評(píng)估，應(yīng)根據(jù)企業(yè)的具體情況進(jìn)行設(shè)置。
04及時(shí)補(bǔ)救
一旦發(fā)現(xiàn)了問題，就需要修復(fù)問題，否則攻擊者就會(huì)趁虛而入。組織需要確定待處理事項(xiàng)的優(yōu)先級(jí)，根據(jù)輕重緩急處理不同問題，同時(shí)，還需要驗(yàn)證系統(tǒng)或配置確實(shí)發(fā)生了變更。
除了要遵循以上關(guān)鍵原則，企業(yè)在制定安全配置管理計(jì)劃時(shí)，還應(yīng)該重點(diǎn)關(guān)注以下事項(xiàng)：
要避免在IT系統(tǒng)環(huán)境中出現(xiàn)資產(chǎn)盲點(diǎn)，通常需要結(jié)合基于代理的掃描和無代理掃描，以確保始終正確配置了整個(gè)環(huán)境；組織需要為各類型用戶提供可選擇的設(shè)置模式，并且需要能夠?qū)崿F(xiàn)僅向授權(quán)用戶或用戶組顯示某些要素、策略及/或警報(bào)，這些權(quán)限通常存儲(chǔ)在企業(yè)目錄中；安全警報(bào)通常由系統(tǒng)中配置的策略驅(qū)動(dòng)，因此，為確保SecCM方案滿足企業(yè)的運(yùn)營需求，靈活的創(chuàng)建和管理策略至關(guān)重要；安全配置管理的效率也非常重要，管理人員要能夠迅速識(shí)別違反管理策略的人員和行為，并能夠通過深入分析，快速為安全事件響應(yīng)流程提供有價(jià)值的信息。SecCM工具選型
安全配置管理過程很復(fù)雜，因此組織需要使用合適的SecCM工具，以自動(dòng)化的方式來完成大部分管理工作。數(shù)據(jù)顯示，SecCM市場(chǎng)應(yīng)用正在快速增長，預(yù)計(jì)到2028年將達(dá)到58.1億美元，復(fù)合年增長率為16.26%。目前，市場(chǎng)上已經(jīng)有非常多的SecCM解決方案，企業(yè)要根據(jù)自己的信息化特點(diǎn)和應(yīng)用需求，選擇真正適合的SecCM解決方案。
01系統(tǒng)環(huán)境支持與兼容
企業(yè)需要確保所選擇的SecCM解決方案能夠有效支持他們正在使用的各種操作系統(tǒng)和應(yīng)用程序，這樣才能最大限度地發(fā)揮SecCM工具的價(jià)值。如果SecCM工具與企業(yè)現(xiàn)有的應(yīng)用系統(tǒng)不能兼容，將會(huì)造成損害網(wǎng)絡(luò)可見性的管理盲點(diǎn)，影響企業(yè)阻止攻擊者利用錯(cuò)誤配置效果。
02策略靈活性
優(yōu)秀的SecCM工具應(yīng)該能夠提供多樣化的應(yīng)用策略和配置選項(xiàng)。這些選項(xiàng)將幫助組織在開展數(shù)字化轉(zhuǎn)型時(shí)便捷地調(diào)整工具，以適應(yīng)其不斷變化的合規(guī)需求和應(yīng)用需求。SecCM工具還應(yīng)該為企業(yè)提供自定義預(yù)設(shè)策略、定義新策略以及按需求靈活添加新的基線配置的選項(xiàng)。
03可擴(kuò)展性
組織應(yīng)該確保他們能夠隨時(shí)調(diào)整SecCM掃描協(xié)議的頻率、影響和范圍。這種擴(kuò)展性應(yīng)該包括在網(wǎng)絡(luò)中廣泛分布的各種掃描設(shè)備上，而不會(huì)增加端點(diǎn)設(shè)備的負(fù)擔(dān)。它還應(yīng)該具有管理遠(yuǎn)程設(shè)備的能力，并在發(fā)現(xiàn)剛剛聯(lián)網(wǎng)的產(chǎn)品時(shí)重點(diǎn)進(jìn)行安全性評(píng)估并向管理人員發(fā)出提醒。
04提升自動(dòng)化程度
盡管企業(yè)可以選擇通過向幫助臺(tái)報(bào)告配置問題來手動(dòng)操作SecCM解決方案，但是自動(dòng)化報(bào)告這些問題并與業(yè)務(wù)工作流無縫集成，將給企業(yè)帶來更多的便利和價(jià)值。否則，組織可能會(huì)由于安全人員的告警疲勞而忽略一些嚴(yán)重的配置錯(cuò)誤問題，甚至可能將這些問題暴露給攻擊者。通過自動(dòng)化手段，企業(yè)還可以找到減少誤報(bào)的方法，避免浪費(fèi)時(shí)間去調(diào)查一個(gè)不構(gòu)成實(shí)際威脅的警報(bào)，而忽視真正嚴(yán)重的安全問題。
參考鏈接：
https://www.tripwire.com/state-of-security/security-configuration-management
https://cybersecurityforme.com/security-configuration-management/?expand_article=1
標(biāo)簽：
