Ivanti 博客: 安全性

ITAM 与 CAASM 的交汇：为什么 IT 资产管理是 CAASM 战略的前提条件

Wed, 01 Jul 2026 14:59:44 Z

网络资产攻击面管理（CAASM）是网络安全战略中一项基础工作的全新方法：全面了解您的网络资产，从而识别恶意行为者可能利用的漏洞。

对于 IT 运营人员而言，CAASM 听起来很可能与 IT 资产管理（ITAM）非常相似。这是因为这两个领域关系密切，也清楚表明安全团队和 IT 运营团队可以并且应当利用共同的工具和流程。

ITAM 与 CAASM：有何区别？

ITAM 是一套用于在整个生命周期内管理所有 IT 资产（包括硬件和软件）的流程和工具。它通常涵盖广泛的工作流，包括资产发现、库存管理、服务映射、资产跟踪与监控以及资产生命周期管理。

CAASM 在 ITAM 的基础上进一步扩展，用于识别并缓解组织系统、网络和应用程序中的潜在漏洞与威胁。该流程通常包括识别 IT 环境中的所有资产、梳理这些资产之间的相互依赖关系，并评估安全事件可能带来的影响。

其目标是让您的组织清晰了解潜在攻击面，并根据最重大的风险确定修复工作的优先级。组织确实有这样的需求：44% 的网络安全团队认为资产信息对于识别和保护攻击面至关重要。

ITAM 的安全优势

ITAM 对安全的重要性对 IT 领导者而言并不陌生。EMA 对 IT 领导者开展的 2022 年调查发现，近半数受访者通过安全风险的降低程度来衡量其 ITAM 计划的成功。从安全视角审视 ITAM，可以看到许多与 CAASM 直接相关的优势：

资产识别

全面实施的 ITAM 解决方案可帮助您的组织识别并跟踪所有 IT 资产。了解环境中有哪些资产，是识别潜在漏洞和威胁的第一步。

漏洞管理

如果没有全面的 IT 资产清单，您的组织在尝试定期开展漏洞评估、识别潜在漏洞并主动加以解决时，就会遇到缺口。

确定安全措施的优先级

了解所有组成部分及其位置是良好的开端，但要有效分配资源来支持风险管理，还需要知道哪些资产最为关键。一套定义清晰的 ITAM 流程和功能完善的 ITAM 系统，可为您的组织提供确定安全措施优先级所需的信息。

通过按类型对资产进行分类，网络安全团队可以将更多精力放在云和 SaaS 等较高风险资产上，同时对边缘设备等相对较低风险资产保持适当控制。

此外，尽管以下方面与 CAASM 的直接关联较弱，ITAM 也在其他领域发挥着强化安全的作用：

合规性

众多法规（如 CCPA、GDPR、POPI、Castle 等）都要求企业维护准确的 IT 资产清单，并证明其符合各类安全标准。

成本节约

就 IT 资产而言，成本管理与使用情况管理密切相关。例如，近三分之一的受访 IT 领导者认为，他们正在将预算浪费在未使用或使用不足的云资源上。支出管理不善本身就是 IT 组织面临的一项风险，而且会限制可用于解决安全问题的资源，从而加剧网络安全风险。

构建确保资产安全的 CAASM 解决方案

CAASM 解决方案将 ITAM 与网络资产风险管理相结合，可以保护单个资产以及整个网络资产面免受各类威胁和漏洞的影响。下面让我们深入了解构成有效 CAASM 解决方案堆栈的各个组件：

资产发现与管理

我们已经看到，ITAM 是 CAASM 解决方案的关键组成部分。要成功实施 ITAM，需要借助发现工具扫描网络，以识别所有已连接设备，包括那些可能隐藏或未知的设备。

随后，ITAM 解决方案的资产数据库（通常与 CMDB 相关联，见下文）可以提供一个中央存储库，用于管理所有资产信息，包括资产属性、配置，以及关系和依赖项的映射。

漏洞管理

漏洞管理包括一系列工具和技术，可帮助您的组织识别 IT 资产中的漏洞并确定其优先级。漏洞扫描工具会定期扫描您的环境，以识别硬件、软件和配置中的潜在漏洞。随后，这些工具会根据严重程度对漏洞进行优先排序，并提供修复建议，以便主动加以解决。

威胁情报

威胁情报包括提供新兴威胁和趋势实时信息的工具和技术。这些工具会监控广泛的信息来源，包括公共和私有源、社交媒体以及暗网论坛，以识别潜在威胁和攻击向量。您可以利用这些信息确定安全措施的优先级，并主动应对潜在威胁。

配置管理数据库（CMDB）

CMDB 是 IT 资产环境中所有服务、资产和其他配置项的中央存储库。它既包含这些项目的清单，也包含它们之间的关系和依赖项。CMDB 使您的企业能够跟踪和管理所有资产变更，确保变更以受控且有文档记录的方式进行。

通过将 CMDB 与漏洞管理和威胁情报工具集成，企业可以根据资产及其关系的关键程度来确定安全措施的优先级。

CAASM 解决方案堆栈是一套全面的工具和技术，可帮助企业主动识别并缓解 IT 资产中的潜在漏洞。通过结合资产发现与库存管理、漏洞管理、威胁情报和 CMDB，您的企业能够抢先应对潜在网络威胁，确保关键 IT 资产安全。

智能体 AI 如何以机器速度实现自主威胁响应

Mon, 29 Jun 2026 14:00:02 Z

为什么如今安全团队收到的40% 的告警会完全无人调查？这并不是因为缺乏重视，而是攻击窗口不断缩短，再加上技术工具蔓延带来的压力所致。

如今的安全团队所处的威胁环境，正受到攻击升级、预算收紧和告警疲劳加剧的共同影响。组织平均每天处理960 条安全告警，大型企业则要在约 30 种工具中处理每天超过 3,000 条告警。累计下来，每月可能有 36,000 个潜在威胁从缝隙中溜走。这种不对称令人难以承受：攻击者只需一次成功入侵，而防御者必须每次都做对。

对组织而言，这一关键差距本质上是架构问题。威胁响应面临的最大挑战并不在于检测到了什么，而在于告警响起之后接下来会发生什么。

好消息是，智能体 AI正在改变这种架构。它不是取代现有工具，而是弥合检测与行动之间的运营差距。

安全速度问题

您部署的工具（SIEM、EDR、漏洞扫描器、SOAR 平台）都非常擅长检测。它们会发现威胁、归类风险并发送告警。但如果没有有效响应，检测就只是昂贵的记录工作。真正的瓶颈不只是知道哪里出了问题，而是能否足够快地修复问题，使其真正发挥作用。

了解更多：为什么传统漏洞管理在 AI 驱动的发现面前难以为继

传统安全运营遵循一个熟悉的流程：告警触发，分析师调查，作出决策，安排修复，变更获批……然后才采取行动。每一步单独来看都有道理，但放在一起，就会把团队限制在人类速度之内，而威胁却在自主推进。等调查完成时，对手已经完成横向移动。等补丁部署时，又有三个更严重的 CVE 被披露。

时间线上的差距十分明显。根据《2025 Verizon 数据泄露调查报告》，组织修复边缘设备漏洞的中位时间为 32 天，而威胁行为者会在公开披露时或披露之前就利用这些相同漏洞，实际上是按零日时间线运作。这一差距还在加速扩大：Mandiant《M-Trends 2026 报告》显示，从初始访问到移交给第二个威胁组织的时间，已从 2022 年的 8 小时以上缩短到 2025 年的仅 22 秒。

有效的安全模型需要由检测触发即时且智能的行动。现有能力，例如漏洞评估、终端管理、补丁部署和访问控制仍然保留，但运行速度更快、自主性更高。其结果是，安全运营能够以机器速度而非人类速度运转。

智能体安全的实际形态

在安全领域，智能体 AI 指的是执行端到端安全工作流的自主系统。它们从检测到决策再到行动，无需在每个步骤都等待人工批准。

智能体 AI 应在整个攻击面上运行，将检测、决策和响应作为一个统一系统进行协调。

自主漏洞修复

当关键 CVE 被披露时，智能体会立即评估整个环境中的暴露情况。它们根据可利用性和业务背景确定风险优先级，向受影响的终端部署补丁并验证修复结果。这一切都发生在分析师创建工单之前。人工监督仍然存在，但手动交接造成的延迟被消除了。

了解更多：基于风险的补丁优先级排序报告

智能威胁响应

当终端出现可疑行为时，智能体会关联 EDR、网络遥测和资产清单中的信号。受影响设备会被隔离；活动会话会被撤销；取证证据会被捕获，并向 SOC 发出包含完整上下文的告警。威胁在扩散前即被遏制，使分析师能够调查一个已被中和的事件，而不是正在发生的入侵。

持续合规态势

智能体会持续监控终端和服务器的配置漂移。当设备不再合规时，例如防火墙被禁用、加密被关闭或安装了未经授权的软件，修复会自动进行。配置会被纠正；事件会被记录，并验证合规性。合规不再是季度性工作，而成为一种持续状态。

访问风险缓解

智能体会检测异常访问模式，包括异常地理位置、权限提升尝试和异常数据访问。可疑会话会被终止；多重身份验证会被强制执行，访问权限会在验证完成前被降低。合法用户可以继续工作，同时横向移动会被实时阻断。

这些智能体可跨现有安全技术栈运行，包括 SIEM、EDR、漏洞管理、身份系统和补丁管理。作为协调系统的一部分，每种工具都会变得更快、更有效。其目标并不是取代安全运营，而是让安全运营能够以对手已经达到的速度运行。

了解更多：智能体 AI 如何改变基础设施与运营

从检测到行动：速度的架构

智能体 AI 带来的核心转变，是在检测点进行决策。安全工作流不再将感知与行动割裂开来，而是设计为在威胁出现时评估风险并立即响应。

当发现关键漏洞时，智能体不会只是生成一个工单供后续审核。它会评估安全架构师会考虑的相同因素：

该系统是否面向互联网？
它访问哪些数据？
是否已有已知漏洞利用在野外出现？
立即打补丁与延迟打补丁分别会带来怎样的业务影响？

这一决策会在毫秒内完成，而不是耗费数天。要实现这一结果，所需的不只是自动化脚本，而是能够理解上下文和后果的系统。

具备业务感知的风险评分

并非每个关键漏洞都具有相同的紧迫性。智能体会综合评估可利用性、暴露程度和业务影响。内部测试服务器上的漏洞，与面向客户的生产系统上的同一问题，其处理方式会有所不同。优先级会自动确定，理由清晰且经得起审查。

自适应响应阈值

智能体会随着时间从结果中学习。当某些行动持续产生误报时，阈值会调整。当新的攻击模式出现时，敏感度会提高。系统会在使用中不断改进，而不是随着条件变化变得更加脆弱。

保留上下文的升级处理

当智能体达到其自主边界时，升级处理包含推理过程，而不只是一个告警。检测到了什么、评估了哪些信号、为什么无法自主完成决策以及建议采取什么行动，都会传递给分析师。人工介入会聚焦于真正重要的决策，而不是分诊。

内置可审计性

每项行动都会连同完整上下文一起记录，包括触发因素、已评估数据、作出的决策和结果。合规性直接嵌入工作流，而不是事后再进行重建。

这对安全团队的影响是可衡量的。《2025 SANS 检测与响应调查》显示，73% 的组织将误报列为首要检测挑战，76% 的组织认为告警疲劳是 SOC 的主要担忧。这不仅仅是效率问题。当分析师把大部分时间花在从噪声中筛选信号时，安全计划从设计上就仍然是被动的。

其结果是一种不同的运营现实。检测会导向解决。告警会在出现时得到处理，而不是在队列中堆积。安全团队花更少时间响应昨天的事件，把更多时间用于防范下一个事件。

实践中会发生哪些变化

当智能体 AI 部署到生产安全环境中时，其影响更多体现为结构性变化，而不是孤立的成功案例。团队会在工作流结构、风险降低速度以及人工精力投入位置方面看到持续转变。

1. 行动时间大幅压缩

检测和响应合并为一个连续动作。过去需要等待数天进行分诊和排期的漏洞，在达到风险阈值时会被自动评估、确定优先级并修复。过去在调查期间会横向移动的威胁，会在检测点被遏制。可衡量的结果不仅是告警更快，而是驻留时间更短、风险降低更快。

2. 运营开销下降

过去会消耗分析师时间的常规安全工作，例如合规漂移修复、补丁协调和访问纠正，会转入持续的后台执行。报告不再是周期性突击任务，而成为正常运营的副产品。安全团队花更少时间管理流程，把更多时间用于作出判断。

3. 响应质量更加一致

当每次决策都使用相同的上下文输入时，响应行为会趋于稳定。类似风险会以类似方式处理，无论它们何时发生，也无论谁在值班。这种一致性可减少差异、降低人为错误，并使结果更容易向审计人员、高管和监管机构解释。

4. 人的注意力转向更高价值的工作

分析师不再被卷入每一个告警或轻微配置问题。只有在需要升级处理以及决策会实质性影响业务风险时，他们才会介入。其结果是告警疲劳减少、误报更少，并有更多时间用于威胁狩猎、事件分析和战略改进。

行业数据反映了这一转变的业务影响。根据 IBM 的《2025 数据泄露成本报告》，广泛使用 AI 和自动化的组织，每次数据泄露平均节省 190 万美元，并将数据泄露生命周期缩短 80 天。2025 年全球平均数据泄露生命周期为 241 天，达到九年来最低水平；即使速度只是渐进式提升，也能转化为显著的风险和成本降低。

这一模式是一致的。安全团队不再对积压事项作出被动反应，而是开始以威胁本身的节奏运行。

缓慢行动才是更大的风险

对安全领域中的 AI 保持谨慎是可以理解的。安全系统涉及关键基础设施。错误会高度可见，失败的后果也是真实存在的。等待更清晰的用例、更强的治理和经过验证的控制措施，可能看起来是负责任的选择。

挑战在于，底层风险环境已经发生变化。攻击者已经以机器速度运行，而大多数安全计划仍以人类速度响应。每推迟一周实施有意义的自主能力，这一差距就会扩大。暴露会悄然累积，并不是因为检测失败，而是因为行动跟不上节奏。

大多数组织已经具备必要的信号。SIEM、EDR、漏洞管理和补丁系统能够生成高质量的检测与上下文。制约因素在于执行。告警排队。工单等待。决策停滞。智能体 AI 通过缩短检测与响应之间的距离来解决这一制约。这个距离存在得越久，安全态势就越会偏离现代威胁的现实。

在实践中，对智能体安全的抵触往往更多是组织问题，而不是技术问题。AI 驱动结果的归属可能不明确。激励机制可能奖励流程遵循，而不是风险降低。团队可能把自动化视为对自身价值的威胁，而不是能力的延伸。

从运营角度看，情况通常恰恰相反。随着自主性增强，分析师的工作会变得更聚焦、更有价值。威胁狩猎、事件分析、对手研究和架构改进工作会扩展。手动分诊、补丁协调和重复性调查会减少。人的专业能力会被用于最需要判断的地方。

延迟采用智能体安全的组织并不是原地不动。它们是在选择一种无法匹配现代攻击节奏的响应模型。随着时间推移，这种不匹配会成为主要风险来源。

转变正在发生

安全运营正在摆脱被动模式，在这种模式下，检测会造成积压，告警会产生工作，响应时间线会延长到数天。领先的安全计划正在围绕主动执行进行重组，让系统持续感知条件、评估风险并采取行动。自主智能体吸收数量和变化带来的压力。人工团队则专注于战略、调查和改进。

这一转变反映出现代安全运营方式的变化。对手已经在自动化侦察、漏洞利用开发和横向移动。攻击推进不会等待工单分诊或审批排期。仍受限于人类速度工作流的安全计划，很难弥合这一差距。

更有效的组织之所以不同，在于它们已经准备好以不同方式运行。它们不仅为检测而设计，也为执行而设计。它们有意识地治理自主能力。它们衡量结果，而不是活动。随着系统学习、团队重新聚焦，这种运营模型会在长期持续累积优势。

安全领导者面临的问题不再是自主能力是否属于安全运营，而是他们的组织是否准备好以当前环境所要求的速度运行安全。

准备好弥合安全速度差距了吗？

了解Ivanti Neurons for ITSM如何实现自主安全工作流，以速度和控制力推动从检测到解决的流程。

我们正处于补丁末日。这意味着这三个 IT 借口将不再奏效。

Wed, 29 Apr 2026 14:00:07 Z

4 月 7 日，Anthropic 宣布，其 Claude Mythos Preview 模型已在各大主流操作系统和主流 Web 浏览器中自主识别出数千个高危和严重级别的零日漏洞。其中超过 99% 在披露当天尚未修补。

两周后的 4 月 21 日，Mozilla 表示已使用同一模型在最新版 Firefox 中发现并修补了 271 个漏洞。Mozilla 自己的评估是：“到目前为止，我们还没有发现任何一种人类能够发现、而该模型无法发现的漏洞类别或复杂程度。”

271 个漏洞只是第一波。Chrome、Edge、Windows、macOS、Linux、FreeBSD——Anthropic 红队披露的 FreeBSD 中存在了 17 年的远程代码执行漏洞（CVE-2026-4747），只是未来趋势的一个早期例子。Anthropic Project Glasswing 旗下的每一家供应商都有望以前所未有的节奏发布修复程序。所有这些修复都会成为带有可用补丁的公开 CVE，并最终指向同一个地方：您的环境。

围绕控制范围的说法也出现了裂痕。4 月 21 日，彭博社报道称，一个与 Discord 相关的组织通过第三方供应商环境未经授权访问了 Mythos。Anthropic 表示，该活动并未扩展到该供应商之外。无论类似能力是否已经落入攻击者手中，防御方的准备时间都比 4 月 7 日公告所暗示的更短。

Mythos 进入的是一个本已朝这个方向发展的世界。CrowdStrike《2026 年全球威胁报告》记录显示，2025 年 AI 赋能攻击同比增长 89%。这一趋势线早在 Mythos 出现之前就已经存在。

不妨称之为补丁末日。这是一种很现实的运营层面挑战：带有可用补丁的公开 CVE 数量和发布节奏，即将超出大多数 IT 和安全团队现有工作方式的承受范围。

NIST 已经感受到补丁末日的影响。4 月，该机构宣布对国家漏洞数据库（NVD）的运营进行重大调整，以应对提交量激增 263% 的情况。NIST 将不再为所有提交的漏洞提供详细增强信息，而只会为符合高风险标准的漏洞提供此类信息，例如 CISA 已知被利用漏洞目录中的漏洞，或影响关键政府软件的漏洞。NIST 将依赖 CVE 编号授权机构（CNA），例如 Ivanti，而不是自行开展独立评估。

自公告发布以来，我从客户和同行那里听到了同一种回应的三个版本。这三种说法本质上都是为一个节奏更慢的世界设计的方案。

“我们有漏洞扫描器”

Qualys、Rapid7 和 Tenable 在漏洞发现方面表现出色。扫描器可以发现、标记、评分并列出漏洞。但部署、验证、重启处理和回滚都不在其范围内。这些工作仍然必须在某个地方完成。在大多数项目中，它们会在另一个工具中、由另一个团队、按照另一个节奏来完成。

如今，漏洞利用窗口已缩短到以小时计算，而 Glasswing 队列又即将让积压量翻倍；如果扫描器生成 587 个严重漏洞并把清单交给人工团队处理，它就会成为一种负担。务实的做法是，将您已有的扫描器连接到可根据其发现结果自动采取行动的修复引擎。一个自主端点管理（AEM）平台，具备分环部署和回滚能力，并利用漏洞情报为高效修复决策提供基于风险的背景信息，从而在无需人工逐项决策的情况下缩短漏洞清单。

“我们通过工单系统推进审批”

说到必须由人来做决策……冗长的线性审批流程将显著拖慢修复进程。您上一次需要决定是否部署最新操作系统或浏览器更新是什么时候？

组织其实已经知道这些更新是要部署的。审批流程往往源于复杂的内部政治因素以及安全结果上的不一致。最终结果是什么？一个非常线性的流程：需要前面提到的漏洞扫描器，需要分析师批准一项您已经知道必须完成的工作，需要向业务负责人发送工单并在收件箱中等待批准，最终把宝贵时间浪费在一个本质上已经非常明确、并不真正需要再做的决策上。

市场正在转向暴露面管理，它以截然不同的方式处理这一流程，重点是定义组织的风险偏好并监测风险态势。下次 Windows 操作系统更新发布时，您已经知道会部署它、会按什么计划部署，以及会用哪些 SLA 和合规指标来衡量成功。您真正想知道的是：

1. 是否需要加快速度，因为该更新包含已知被利用的漏洞？

或者

2. 该更新是否正在影响运营，因此我们需要放慢速度（好在自主端点管理平台包含带回滚能力的分环部署）？

“我们有 Intune”

Microsoft Intune 在这里有两个重要的范围限制。

第一，它只管理已注册到 Intune 的设备。未注册和未受管的端点——服务器、承包商笔记本电脑、影子 IT、被忽视的边缘设备——完全不在其可见范围内。在漏洞数量上升期间，这些盲点的增长速度会超过团队手动处理的能力。

第二，虽然 Intune 简化了应用程序部署和更新，但其第三方应用程序覆盖范围和优先级排序深度比大多数管理员意识到的更窄。Intune 可以告诉您哪些内容已过期，但不能告诉您哪些因素真正增加了您的暴露风险——这迫使团队在时间紧迫时被动地修补一切，或者依靠猜测行事。

大多数企业环境并非只有 Windows，也并非所有设备都已完整注册，更不是只运行一个小而同质的应用程序栈。当漏洞披露激增时，按常规流程分派补丁会留下缺口，并演变成系统性风险。

保留 Intune。将它与一个发现和修复层配合使用，该层可以发现 Intune 看不到的资产，优先处理最关键的漏洞，并在 Intune 未覆盖的应用程序中可靠地应用补丁。

该如何应对

自动化就是运营模式。它必须内置到工作流中。

从业者早已理解这一原则。它体现在三个方面：

持续分诊。已知被利用的漏洞可以走零日响应通道，尤其是在组织中安全性较弱的部分，例如终端用户系统。在此之上，设定并明确浏览器和通信应用等特定应用程序，使其进入优先更新通道，并每周甚至每天检查。其他内容可以等待常规维护窗口到来。
带自动回滚的分环部署。测试环、早期采用者环、广泛生产环境、任务关键环境。这个顺序并不新鲜，但对大多数维护工作都有效。变化在于，某些更新需要压缩时间以适应漏洞利用窗口，而不能等到每月维护。测试环必须实现自动化并具备检测能力——人工检查清单跟不上这样的速度。
闭环验证。只有在确认补丁已安装到端点后，才算完成部署；只有在重新扫描确认后，CVE 才算关闭。大多数团队会跳过这一步，这也是为什么合规证据会在审计前一周变成一场救火。正因如此，我们本周在平台中推出了持续合规功能——在补丁部署过程中持续、自动生成合规证据，并由自动化处理大多数团队无暇完成的优先级决策。

Mozilla 的 271 个 Firefox 漏洞只是一个预告。Glasswing 旗下的每一家主要软件供应商都将开始以更快速度修复更多漏洞；而一旦攻击者获得类似模型的访问权限，具备同类能力的攻击者就会寻找这些确切的入口。由此产生的 AI 军备竞赛将直接影响组织需要修复的更新数量和频率，并且节奏会进一步加快。自动化才是支撑项目走下去的关键。仍然只按月打补丁的团队，将面临一段艰难时期。

如果您负责 IT 或安全项目，现在就值得进行一次自我评估。回顾上一次推出的关键补丁。更进一步，如果某个零日漏洞在周五披露，您能否在周一之前完成修复？从 CVE 发布到最后一个端点完成验证安装，计算这段时间。如果这个数字是以周为单位，补丁末日就会找上门来。

数字主权与主权云：保护欧盟云数据，提升运营韧性

Fri, 17 Apr 2026 12:30:01 Z

传统数据保护遵循一个简单明了的原则：存储在 A 国的数据受 A 国法律保护；存储在 B 国的数据受 B 国法律保护。但在当今全球经济环境中，数据的物理驻留位置已不再决定哪些政府可以要求访问这些数据。

云基础设施带来了新的司法管辖复杂性。数据中心的物理位置、云提供商总部所属国家/地区，以及控制运营的实体，都可能产生相互竞争的司法管辖主张，并可能导致多个政府要求访问同一批数据。

什么是数字主权？

这一挑战有一个名称：数字主权。数字主权是指组织在其本国/地区司法管辖的法律框架内，对自身数据保持完全控制的原则。随着企业在更加分裂、信任度更低的地缘政治环境中开展业务，这一理念已成为组织韧性的必要条件。私营和公共组织需要安全访问基于云的平台，这些平台既要符合当地监管要求，也要能够抵御所在地区面临的已知或未知地缘政治风险。

美国《云法案》如何影响欧盟数据驻留

2018 年美国《云法案》（CLOUD，即《澄清境外合法使用数据法案》）进一步加深了欧盟组织的这些担忧。该法律授权美国执法机构强制任何总部位于美国的云提供商交出存储在全球任何位置的数据，而不论数据的物理位置或客户国籍如何。

美国《云法案》和《外国情报监视法案》（FISA）都让欧盟企业有理由感到担忧。根据这两项政策，美国当局可以访问任何总部位于美国的组织在云平台中包含的数据，即使云数据中心设在其他国家/地区也是如此。

对于总部位于欧盟的公司而言，使用总部位于美国的工具会触发特定的GDPR 义务，因为个人数据会离开欧盟。此外，由于欧盟—美国隐私盾已被判定无效（即“Schrems II”案），欧盟公司需要采取其他保护措施。标准合同条款 (SCC) 仍然有效，但附带条件且较为复杂，因为它们需要逐案审查。

此后虽已推出新的数据隐私框架，但相关国家之间的基础信任仍然有限。这些动态变化进一步加大了确保数据保护的压力，因此需要主权云解决方案来保障运营韧性。

Ivanti Neurons for MDM – Sovereign Edition：专为欧盟云主权而构建

对于我们在欧盟的合作伙伴和客户，Ivanti Neurons for MDM Sovereign Edition 通过根本不同的架构和运营方式满足这些要求。该解决方案位于德国并独立运营，旨在与欧盟委员会的云主权框架保持一致，并已由备受信赖的cyberintelligence.institute进行评估，其专家评估指出：

“Ivanti Sovereign Cloud 在数据处理、安全以及合规治理领域展现了高水平的欧洲控制力。在当前配置下，Ivanti Sovereign Cloud 至少达到 SEAL 2 认证，这意味着其在所有领域都确保了数据主权。此外，Ivanti Sovereign Cloud 在许多相关领域满足 SEAL 3 认证要求，从而实现数字韧性。”

您可以阅读完整技术评估以了解更多信息。

充满信心地实现数据主权合规

Neurons for MDM – Sovereign Edition – EU 为欧洲企业提供由值得信赖的领导者打造的 IT 和安全平台战略基础，同时保留用于风险管理的当地司法管辖保护。这意味着公共和私营实体可以继续推进数字化转型，并确信其云数据将保持安全，运营也将获得更强韧性。

下一步？阅读我们的白皮书：主权云：欧洲组织的战略必需品，了解 Ivanti Neurons for MDM Sovereign Edition 如何达到并超越 SEAL 2 认证，并提供欧洲组织所需的主权云架构，帮助其在实现安全数字化转型的同时维护数据主权。

可信所有权：Ivanti Application Control 如何超越允许列表实现规模化应用

Wed, 25 Feb 2026 14:25:15 Z

应用程序控制是一个安全主题，许多人仍持有旧有认知。传统允许列表看似安全，但很快会成为维护负担。阻止列表则显得被动且不完整。尽管 Microsoft AppLocker 等工具让许多人认为严格的允许列表是黄金标准，但现代攻击已经证明并非如此。攻击者越来越多地依赖合法且经过签名的工具——在错误的上下文中使用——从而完全绕过基于列表的控制。

因此，当组织评估Ivanti Application Control或Ivanti Neurons for App Control并接触到可信所有权时，它最初可能会因为支持显式阻止而看起来像阻止列表。实际上，可信所有权是一种范围更广、运营负担更轻的来源驱动执行模型，它根据来源而不仅仅是身份来控制执行。

它不需要管理不断扩展的列表，而是基于是谁将软件放置到系统上来实施安全控制，并与现代软件分发实践和零信任原则高度契合。它最好不要被理解为另一种列表机制，而应被视为一种来源驱动的执行模型：根据来源而不仅仅是身份来控制执行。

这种思维转变引出了现代应用程序控制中更关键的问题：不仅要关注文件是什么，还要关注它是如何进入系统的。

超越列表：为什么来源控制如今至关重要

文件如何进入系统，是来源控制的核心问题。来源控制不会仅依据发布者、路径或哈希来信任文件，而是评估引入这些文件的来源和流程。是谁将文件写入磁盘？通过什么机制？安装是否遵循了受控的 IT 工作流？这种评估将应用程序控制从对象信任转向流程信任，从而建立更强的安全边界。

在 Ivanti Application Control 中，来源控制通过可信所有权来实现。由可信所有者放置的任何文件都会被允许；由用户引入的任何内容默认都会被拒绝。这一机制一致适用于可执行文件、DLL、安装程序和脚本。由于 SYSTEM、TrustedInstaller 和 Administrators 等身份默认受信任，通过 MS Intune、MECM、Ivanti Endpoint Manager (EPM) 或其他企业工具等标准部署渠道交付的软件可立即运行，无需维护规则或创建例外。

这与传统允许列表形成了根本区别。AppLocker 规则的成败取决于精确的发布者、路径或哈希定义。它不会评估安装来源，也不会自动信任您的部署机制。通过 Intune 交付的软件仍需要预先存在的允许规则，通常依赖宽泛的默认设置来允许 Program Files 或 Windows 目录。

这一区别非常重要，因为现代攻击越来越多地在不恰当的上下文中武器化合法工具。来源控制通过对软件如何进入系统，而不只是对它是什么建立信任，来消除其中大部分风险。它符合零信任原则，降低供应链暴露面，并默认大幅减少利用系统自带工具（Living off the Land，LotL）进行滥用的机会。

一旦理解了来源的重要性，下一个问题就是：如何大规模实施？

答案是：在软件执行和交付的所有方式中一致应用来源控制。

超越阻止列表：面向现代软件部署构建的广泛覆盖

来源控制将应用程序安全从管理无穷无尽的列表，转向验证软件进入系统的流程。一旦采用这一视角，就会很清楚：可信所有权并不是一种阻止列表方法。它是基于来源的信任边界，其运行方式与传统允许列表截然不同。

一个常见误解是，可信所有权类似于阻止列表，因为管理员有时会为知名 Windows 工具添加有针对性的拒绝规则。实际上，这些拒绝规则是用于防御利用系统自带工具技术的强化措施。任何严肃的应用程序控制方法都会使用此类定向限制。可信所有权的核心恰恰与阻止列表相反：通过受控且可信流程交付的软件默认允许，而用户引入的内容默认拒绝。

更重要的差异在于覆盖范围。许多依赖传统允许列表的组织最终几乎只关注可执行文件。他们往往避免将同样的执行控制应用于 DLL、脚本和 MSI 包，因为这些文件类型会使规则维护复杂得多。这就形成了现代攻击者经常利用的缺口。

可信所有权通过将同样的基于来源的执行控制应用于完整执行链来避免这些缺口。可执行文件、DLL、脚本、MSI 安装程序和相关组件都通过同一信任模型进行评估。由于信任取决于是谁引入了文件，您不需要为每种文件类型制定单独策略。位于 Downloads 文件夹中的脚本、在临时构建目录中创建的 DLL，或从用户配置文件执行的 EXE，只要其来源不属于受控安装流程，就都会受到相同的默认拒绝处理。

这一信任模型也与现代端点管理平台交付软件的方式自然契合。Intune、MECM、Ivanti Neurons for MDM、Ivanti Endpoint Manager等解决方案以及类似系统通常使用 SYSTEM 身份或其他可信服务帐户来安装应用程序。

由于这些身份已经是可信所有者，通过这些渠道部署的软件无需创建允许规则、维护文件路径或更新策略即可立即运行。只有在您有意使用替代安装帐户时，例如自定义 DevOps 代理或在用户上下文中执行的脚本安装，才需要将该身份标识为可信所有者。

最终形成的是一种能够广泛且一致覆盖所有相关文件类型的模型。它可与现代软件分发无缝配合，并避免了以可执行文件为主要关注点的传统允许列表所带来的运营开销。

可信所有权信任的不是单个对象，而是软件交付所经过的受控流程，从而打造出更具可扩展性且更安全的应用程序控制方法。

WDAC（App Control for Business）的定位

Microsoft 维护着两项应用程序控制技术：AppLocker 和 App Control for Business（原 WDAC）。尽管两者仍然存在，但 Microsoft 已明确其各自角色。AppLocker 可帮助阻止用户运行未经批准的应用程序，但它不符合现代安全功能的服务标准，因此被归类为一种纵深防御机制，而非战略性安全控制。

Microsoft 在应用程序控制方面的前进方向是 App Control for Business，并明确表示 AppLocker 已功能完备，除必要的安全更新外，不再处于积极开发状态。这意味着所有新功能只会交付到 WDAC，而不会交付到 AppLocker。

App Control for Business 引入了托管安装程序概念。这使 Windows 能够自动信任通过 Intune 或 MECM 等指定部署平台安装的应用程序。信任来源于分发渠道，而不是单个文件，从而显著减少规则维护工作。

这与 Ivanti Application Control 的可信所有权模型高度一致。两种方法都基于安装软件的受控流程来信任软件，而不是基于离散的文件属性。不过，可信所有权以更简单、更易于运营落地的方式应用这一概念。Ivanti 信任 SYSTEM 和指定服务帐户等身份，而不需要复杂的策略层、XML 定义或深入的 WDAC 专业知识。

Ivanti 从许多组织了解到，他们在 WDAC 的运营落地方面面临挑战。WDAC 策略需要谨慎设计、在审核模式下进行长时间测试、管理驱动程序和内核例外，并持续维护多个策略集。这常常导致组织将 WDAC 与 AppLocker 结合使用，以同时覆盖低级别执行控制和日常用户空间控制，最终带来管理开销。

Ivanti Application Control 提供了一种统一的替代方案。通过可信所有权、可信供应商和数字签名验证，它交付了一种基于来源的默认拒绝模型，并在可执行文件、DLL、脚本和 MSI 包之间提供一致覆盖。

组织无需维护两个范围不同的 Microsoft 控制平面，而是管理一项精简的单一策略，根据软件进入系统的方式来实施信任。这能够实现客户尝试通过 WDAC 与 AppLocker 组合部署所达成的许多实际目标，同时降低运营复杂性，并提供一个统一的信任模型。

LOLBins 与参数级控制

在建立广泛覆盖之后，接下来的问题就是如何处理每台计算机上已存在、且攻击者喜欢滥用的合法工具。

现代攻击者通常会避免使用传统恶意软件，而是依赖每台 Windows 设备上已经存在的工具。这些利用系统自带工具（LOLBins）是合法的，也是正常运行所必需的，因此很难在不影响生产力的情况下阻止它们。传统允许列表在这里面临困境：宽泛阻止会破坏工作流，而宽泛允许又会留下危险缺口。

像可信所有权这样的基于来源的模型改变了这一局面。即使攻击者试图使用内置工具，他们尝试运行的内容通常也并非来自可信安装流程。由于 Ivanti 会评估该内容的来源，大多数滥用尝试会自动失败。工具本身可能是合法的，但它被要求运行的内容并不可信，可信所有权会在其执行前将其阻止。

同样重要的是，不仅要了解哪些工具在运行，还要了解它们被要求执行什么操作。许多解释器和运行时，例如 PowerShell、Python 或 Java，在一种上下文中可能完全安全，在另一种上下文中则可能存在风险。业务应用程序可能依赖 Java 启动特定且已获批准的流程，而用户下载的 JAR 文件则是完全不同的场景。

Ivanti 通过分层方法处理这一问题。首先使用可信所有权评估 JAR 文件；如果它是由用户引入，而不是通过受控部署流程引入的，就会立即被阻止。在此基础上，管理员可以创建简单的允许规则，精确指定哪些 Java 命令可以运行，确保只有合法的基于 Java 的应用程序能够运行，同时悄然拒绝启动未经批准的 JAR 文件的尝试。

同样的原则也适用于其他工具。策略可以批准组织所需的精确行为，同时阻止超出这些边界的活动。这避免了宽泛而脆弱的规则，并确保日常工作顺畅运行。

其结果是一种平衡且现代的方法。可信所有权默认阻止不可信内容。有针对性的强化措施符合政府和社区关于减少利用系统自带工具滥用的最佳实践，而具备意图感知能力的控制可确保合法流程持续运行，同时不会为攻击者打开通道。

这种方法与当前社区和政府关于缓解利用系统自带工具技术的指南高度一致。CISA、NSA、FBI 以及澳大利亚网络安全中心等机构强调，应通过控制内置工具的使用方式，并限制其处理的不可信内容，来减少攻击者利用这些工具的机会。其联合指南指出，LOTL 攻击依赖于滥用原生工具，并强调需要通过控制措施限制这种滥用，同时不阻止合法的系统进程。

Ivanti 的模型体现了这一指南。可信所有权会自动阻止攻击者所依赖的不可信内容，同时通过少量有针对性的限制来处理少数需要额外关注的工具。

可信所有权实践：真实场景

以下是几个运营示例，展示 Ivanti Application Control 和可信所有权在实践中的工作方式。

便携式应用程序被复制到用户配置文件中。Ivanti 会阻止它，因为它归用户所有。AppLocker 只有在存在匹配规则时才会阻止。如果没有正确的路径或发布者规则，行为可能会有所不同。
电子邮件附件从 Downloads 文件夹启动 PowerShell 脚本。Ivanti 会因用户所有权而拒绝该操作。AppLocker 依赖脚本规则，并且在发生阻止事件时会强制 PowerShell 进入受限语言模式，但该脚本仍会运行。
滥用 rundll32 或 mshta 等操作系统工具。两种模型都需要有针对性的拒绝强化。Ivanti 将其与来源控制相结合，通常可以减少所需例外的数量。AppLocker 依赖精选的拒绝集，并需要定期调优。
供应商更新交付新的已签名文件。当更新通过可信部署渠道到达时，Ivanti 会因可信所有权而允许该更新。AppLocker 可以通过发布者规则适配这一情况，但签名在多个产品之间复用或安装路径异常，往往会导致额外维护，并带来超出预期的更宽泛信任。
用户下载 JAR 并尝试使用 Java 运行。Ivanti 会阻止该尝试，因为该 JAR 是由用户引入的，未通过可信所有权验证。如有需要，管理员可以通过匹配完整命令行，仅允许精确的已批准调用。AppLocker 无法匹配参数，只能依赖发布者、路径或哈希规则。

结论

来源控制将应用程序控制从管理问题转变为信任模型。它信任的不是单个文件，而是软件进入系统所经过的流程，从而让安全既可扩展又可运营。

可信所有权正是这一方法的体现。它既不是阻止列表，也不是传统允许列表，而是一种模型：通过受控 IT 流程进入的软件默认允许，而该流程之外的一切内容默认拒绝。通过基于来源和所有权而非临时文件实施控制，Ivanti Application Control和Ivanti Neurons for App Control能够更好地应对现代攻击技术，并契合当今的软件分发方式。

如果您继续将应用程序控制视为列表管理工作，就会感受到管理负担。如果将其视为信任边界，就能获得可扩展性、安全性和运营可行性。

CEO 希望 CISO 如何沟通网络安全风险管理策略

Tue, 17 Feb 2026 13:00:01 Z

大多数 CEO 都能准确说出季度基准和收入数据，甚至精确到小数点后几位；但如果问到其组织的网络风险暴露情况，答案往往就会变得含糊。这并不是说如今的 CEO 不重视安全——网络安全已成为董事会和高管团队最关注的问题之一。问题更深层：在向业务领导者解释安全风险的方式上存在根本性脱节，忽视了这些风险对业务成果的影响。

CISO 与 CEO 之间的大多数沟通问题并非源于能力不足，而是源于一个常见问题：知识的诅咒。知识的诅咒是一种常见挑战，专家（在这里指安全领导者）可能会假定会议室里的每个人都对技术信息和术语具备基本理解，因此未能用通俗语言拆解复杂风险，也未能充分说明现实业务背景。

Ivanti 的《2026 年网络安全状况报告》凸显了这种脱节。近六成安全专业人士表示，其团队在向高管层沟通风险暴露方面只能算中等有效。

当 CEO 和 CISO 不能使用同一种语言沟通时，关键业务漏洞可能会被技术术语所掩盖。一旦沟通失效，组织就会把时间和资金浪费在方向错误的投资上，而防护缺口则可能一直未被发现，直到数据泄露事件迫使各方开始对话。

随着威胁水平不断上升，AI 驱动的攻击日益复杂，数据泄露事件几乎每周都会成为新闻头条。CISO 与高管层之间实现清晰沟通的重要性从未如此之高。

要理解这一沟通鸿沟为何持续存在，我们需要同时审视根本性挑战，以及用于衡量成功的指标。

网络风险沟通为何失效：知识的诅咒

CEO 与 CISO 之间的这种脱节并不是因为缺少数据。事实上，情况恰恰相反。从 CEO 的角度看，挑战不在于关注度或意愿，而在于他们看到的是仪表板、指标、缩略语和严重性评分，却不了解这些结果对整个业务的影响。

安全领导者需要假设，会议室中的许多人并不了解 CVSS 评分、攻击面和零日漏洞等术语的含义。CEO 需要的不只是充斥着指标、缩略语和严重性评分的仪表板。

网络安全简报需要更进一步，说明这些结果对企业在财务、法律和声誉方面的影响。CISO 可能会报告“本月检测到 587 个严重漏洞”，但 CEO 实际需要知道的是：“其中哪些会威胁到我们服务客户的能力？我们计划如何应对？”

CEO 真正关注的网络安全 KPI

有用的 KPI 能够清晰地将漏洞管理工作与业务风险联系起来。然而，我们的网络安全研究发现，安全团队最常使用的 KPI 无法反映风险背景。

目前，只有一半的公司（51%）跟踪网络安全暴露评分或其他基于风险的指数。许多安全团队仍然依赖流程指标，例如平均修复时间（47%）或已修复暴露项百分比（41%）。

平均修复时间（MTTR）、补丁部署速度和已修复百分比等指标对安全团队很重要，但它们衡量的是运营效率，而不是业务暴露或潜在财务影响。孤立来看，这些指标可能让人安心，却掩盖了真正的问题：我们是否正在有效管理风险？

这些关注速度和覆盖面的指标，单独看可能表现不错，但并不能充分说明当前的修复工作是否真正改善了风险态势。漏洞修复得有多快、处理了多少，并不是最关键的。更重要的是，是否正在处理正确的问题。

安全团队与董事会和 C 级高管之间要形成共同理解，需要将难以解读的指标置于现实业务影响之中。对 CEO 而言，这意味着要与 CISO 就所在组织最重要的风险达成一致——您是否是一家金融机构，经常面临复杂欺诈手段、PCI-DSS 和 SOX 等严格合规要求，以及针对客户财务数据的勒索软件持续威胁？您是否是一家医疗保健组织，一方面需要保护不断扩展的联网医疗设备网络，另一方面还要维持严格的合规标准以保护敏感患者数据？

下面我们通过示例说明，仅依赖技术指标的高管安全简报，与加入背景和业务影响的简报之间有何差异。

CISO 会这样说：

“我们发现了 11,000 个漏洞。”
“MTTR 已从 25 天降至 15 天。”
“我们对关键 CVE 的修复率达到了 88%。”

CEO 实际需要知道的是：

“我们已识别出 10 个可能影响创收系统的严重漏洞。”
“如果今天遭受攻击，我们可以在 6 小时内恢复关键运营，而去年需要 48 小时。”
“这项防护使我们能够推进欧盟市场扩张，而不会增加额外的合规风险。”

构建高管层级的风险偏好框架

高管沟通依赖于共享框架，以及对风险如何定义、衡量和讨论的共同参照。为消除不一致和混淆，所有利益相关者都应参与创建并执行风险偏好框架。

这些对话的一个主要目标，是帮助业务领导者理解：网络安全计划的目标并不是实现完全“零风险”——任何现代组织都不可能完全没有风险。换句话说，CEO 必须能够区分其风险偏好与风险态势。

1. 风险偏好：企业为追求总体目标而当前愿意承受的风险程度。

2. 风险态势：组织当前风险暴露的实际状况。

如今，大多数组织已经认识到，有必要将其愿意接受的网络风险程度正式化。Ivanti 的研究显示，超过 80% 的组织拥有成文的风险偏好框架。

然而，不到一半的组织表示这些框架在日常运营中得到了严格遵循。当框架只停留在纸面上，而不能指导实际决策时，您的组织很可能存在风险偏好与风险态势不一致的问题。

暴露面管理如何弥合沟通鸿沟

暴露面管理是一种基于风险的方法，可在整个攻击面范围内持续识别、确定优先级并验证潜在威胁的范围。开展暴露面管理有助于将安全领导者和高管领导者统一到一个全面的策略之下，使网络安全重新围绕业务关键风险展开。

暴露面管理并不将所有漏洞一视同仁，而是通过提出以下问题，聚焦于识别并确定组织最高风险的优先级：

当前哪些暴露项正被威胁行为者在实际环境中利用？
根据当前业务运营，哪些资产需要优先处理？
哪些资产一旦受损，会在声誉、客户或法律损害方面造成最大影响？

Ivanti 的研究报告显示，近三分之二的组织如今投资于暴露面管理，领导层对此的理解也逐年提升。但执行仍然滞后：只有约四分之一的组织认为其评估风险暴露的能力达到优秀水平。

为了缩小这一差距并有效推动暴露面管理落地，CISO 应围绕三项原则开展高管沟通

1. 将技术信号转化为业务背景。不要只报告漏洞数量，而要说明哪些暴露项会影响创收系统、客户数据或受监管环境。

2. 按影响而非数量确定新兴威胁的优先级。高管不需要跟踪每一种新的攻击技术。他们需要了解哪些情况可能对业务造成实质性中断，以及组织是否做好了响应准备。

3. 使用情景，而不是电子表格。以数据为支撑，将原因、影响和结果串联起来的叙事，有助于领导者内化风险并更快做出决策。

这种方法会将您的风险缓解策略从被动防御转向主动决策。

前进之路

当高管和安全领导者使用同一种语言沟通时，知识的诅咒就可以被打破，网络安全也会成为保护业务价值、推动增长并将安全实力转化为竞争优势的战略赋能因素。

知识的诅咒可以被打破——从一个经过转化的指标、一次聚焦业务的对话、一个清晰的决策开始。

暴露管理与漏洞管理：哪一种能真正降低风险？

Thu, 29 Jan 2026 13:00:01 Z

多年来，漏洞管理一直服务于各类组织和网络安全行业。作为一项有效实践，它帮助企业防御攻击面，并防止威胁行为者利用漏洞。

但技术和 IT 基础设施已经发生演进。漏洞管理已无法应对这种演进带来的挑战。如今，暴露管理正在提供一种更全面的端点安全方法，覆盖漏洞管理力有未逮的领域。

下面我们深入了解二者之间的区别，帮助您决定如何保护组织。

什么是漏洞管理？

漏洞管理是一项网络安全实践，包括持续、主动地识别、评估、确定优先级并修复黑客可用来入侵您组织的漏洞。

不过，需要注意的是，漏洞管理有两种不同类型：

传统漏洞管理	基于风险的漏洞管理
旨在尽可能多地修复漏洞。这通常会带来大量工作量和不切实际的成功预期，同时造成一种虚假的安全感。	这是一种演进后的漏洞管理实践，会在漏洞优先级排序中纳入风险因素。这使组织能够修补构成现实威胁的关键漏洞，既保护组织免受威胁行为者侵害，又确保稳健的安全态势并有效管理资源。

基于风险的漏洞管理方法超越了传统漏洞管理，可为您的组织带来以下优势：

持续监控漏洞，实现主动安全防护。
识别正被主动利用的暴露。
支持高效的修复工作。
降低风险。
帮助组织实现合规。

虽然基于风险的漏洞管理覆盖了许多方面，但它仍无法提供组织保持安全所需的整体网络安全方法。这正是暴露管理发挥作用的地方。

什么是暴露管理？

暴露管理是一项不断发展的网络安全实践，可在整个攻击面范围内提供全面可视性。它让 IT 和安全团队能够准确识别组织可能暴露于风险的位置，同时纳入基于风险的优先级排序、修复等能力。暴露管理侧重于维持组织自行确定的风险偏好。因此，它包含四个阶段：

与基于风险的漏洞管理一样，暴露管理有助于根据现实风险确定应优先处理哪些漏洞和暴露，但它更进一步，会纳入与您具体业务最相关的因素。这种网络安全方法可确保最高风险的暴露在被攻击者利用之前得到主动修复。

暴露管理与漏洞管理：有何区别？

暴露管理代表了传统漏洞管理之后的下一阶段演进。漏洞管理主要侧重于识别和解决服务器及端点中的弱点，而暴露管理则通过提供整个攻击面的完整可视性来扩展这一范围。

主要区别包括：

暴露管理面向新型资产而设计：现代 IT 环境日益复杂，如今涵盖软件即服务 (SaaS) 应用、物联网设备、云基础设施等资产。暴露管理旨在覆盖这些新型资产，确保 IT 和安全团队能够识别组织中任何位置存在的风险。通过这种方式，暴露管理可让组织全面了解所有潜在入口点，从而以前所未有的效率管理和降低风险。
暴露管理正视现实，并倡导风险偏好方法：再次强调，漏洞管理以修补漏洞为中心。虽然基于风险的漏洞管理提供风险优先级排序和修复编排，但这种实践并未承认一个事实：对于组织而言，修补每一个漏洞并不现实。风险偏好是组织自行确定的衡量标准，用于定义其愿意接受多少风险。这是一种明显更现实的方法，可凝聚整个组织围绕共同 KPI 协作，并在各团队之间一致衡量成功。
暴露管理超越 CVE 和 CVSS：漏洞管理主要聚焦于通用漏洞与暴露 (CVE)。虽然 CVE 对大多数组织来说是重要目标，但它们并不是威胁行为者可用来对组织造成损害的唯一诱因。黑客仍可利用以下漏洞管理未涵盖的暴露来入侵您的组织：
配置错误。
应用程序安全问题。
IT 系统策略。
特权访问控制。

回到整体方法的视角，暴露管理覆盖所有这些现代资产。此外，漏洞管理在修复优先级排序方面高度依赖通用漏洞评分系统 (CVSS)。虽然 CVSS 是衡量严重性的可靠指标，但它能够提供有效的风险调整视角。

风险是需要牢记的重要因素，因为它涵盖漏洞是否已被利用、是否与勒索软件/恶意软件相关，或当前是否处于高关注状态。不纳入风险因素会使 CVSS 造成虚假的紧迫感，导致 IT 和安全团队把时间和资源浪费在并非真正紧急的漏洞上。

如何保护您的组织

既然我们已经介绍了暴露管理与漏洞管理之间的区别，现在是时候利用暴露管理带来的优势了。了解 Ivanti 的暴露管理产品组合如何提升您的 IT 和安全团队能力。

迁移到云端，摆脱基础设施负担并降低维护成本

Mon, 04 Nov 2024 15:50:11 Z

如今，企业一直在寻找精简运营并获得优势的方法。然而，许多企业仍受到本地部署 IT 基础设施的负担和成本所制约。这正是一些企业开始考虑云迁移优势的原因。

在本文中，我们将探讨云迁移的优势，以及它如何帮助企业节省成本、扩展业务并改善运营。我们将介绍摆脱本地基础设施、降低维护成本以及采用最新安全技术如何助力各种规模的企业。

降低成本并提升可扩展性

通过迁移到云端并利用其按使用量付费模式，企业可以避免对服务器、软件和数据中心等本地基础设施进行大量投资。这消除了购买和维护硬件及软件相关的资本支出，释放出宝贵的财务资源，使其能够重新分配到业务的其他领域。

可扩展性是迁移到云端的另一项重要优势。企业可以根据需求轻松扩展或缩减 IT 资源，确保只为实际使用的资源付费。这对于工作负载波动或存在季节性需求的企业尤其有帮助。通过避免基础设施过度配置，企业可以优化 IT 支出并避免不必要的成本。

此外，云端也为使用最新硬件和软件打开了大门，帮助企业提升性能和敏捷性。由云提供商负责基础设施更新和维护后，企业便可专注于核心业务，摆脱系统管理和更新的负担。这使企业能够保持竞争力和响应能力，推动创新与增长。

通过消除本地基础设施来降低成本

迁移到云端并不只是意味着无需购买和维护硬件，还意味着可显著降低本地基础设施的持续运营成本。通过云迁移，企业可以避免维护物理服务器、存储系统和网络设备的成本。这意味着不再需要硬件资本支出，不再承担电力和冷却成本，也不再需要维护合同。相反，企业可以将这些资金投入到推动增长和创新、促进业务发展的计划中。

此外，通过减少对本地基础设施的需求，也能减少聘请 IT 人员进行维护和故障排除的需要。这意味着现有 IT 团队可以减少花在日常维护上的时间，将更多精力投入到其他能够创造业务价值的项目上。当企业与云提供商合作时，对方会提供专家团队，持续监控和优化其云基础设施，确保其高度可靠并保持最佳性能。

同时，由于云提供商受益于规模经济，因此能够以低于本地部署解决方案的成本提供基础设施服务。他们通过大量投资最先进的数据中心、采用节能技术并优化资源利用率来实现这一点。因此，企业可以在不牺牲质量或性能的情况下节省成本，这在当今竞争激烈的环境中尤为重要。

无需担心应用升级和补丁

云计算的一大优势在于无需再进行本地部署的升级和补丁应用。这一转变降低了人为错误和升级延迟的风险，同时释放 IT 资源，使其能够专注于战略性业务计划。通过消除管理系统更新和补丁相关供应商关系的复杂性，组织可以显著简化 IT 运营。

此外，云计算提供商还提供可靠且安全的数据备份和灾难恢复解决方案。这意味着在发生自然灾害或系统故障时，企业可以快速、轻松地恢复数据并继续运营，而不会遭遇重大中断。采用本地部署系统通常很难且成本高昂才能实现这种级别的数据保护和韧性。借助云计算，企业可以放心地知道其宝贵数据始终得到备份，并可随时访问。

消除本地部署升级造成的停机时间

迁移到云端最具吸引力的优势之一，是可以消除本地部署基础设施升级造成的停机时间。这些升级可能需要定期进行，通常会带来较长时间的停机，并中断业务运营。这可能导致生产力和收入损失，以及客户满意度下降。

相比之下，云计算提供无缝且持续的升级流程。云提供商负责所有基础设施维护和升级，确保企业只有极少停机时间，甚至完全不停机。这使组织能够专注于自身核心能力，而不必担心 IT 管理的复杂性。通过消除停机时间，企业可以保持运营不中断，提升客户满意度并获得竞争优势。

此外，云计算还可帮助企业采用前沿安全措施并获得合规认证。云提供商会大力投资于稳健的安全基础设施，并配备专门的安全团队来保护数据和系统。因此，企业无需对自有安全基础设施进行大量投资，也能享受更高水平的安全性。这不仅降低了成本，还可确保遵循行业法规和标准。

展现绿色承诺

除了安全性之外，云计算也在环境可持续发展方面发挥作用。迁移到云端意味着企业可以通过降低能源消耗和减少硬件废弃物来降低碳足迹。随着可持续发展和负责任的资源管理日益重要，这一点尤为相关。采用云计算不仅是一项明智的业务决策，也是企业展示其致力于绿色未来承诺的一种方式。

总之，云迁移可以消除停机时间，免除本地部署基础设施成本，并增强安全性。迁移到云端能够为追求效率、可扩展性和竞争优势的企业带来战略优势。

云迁移：通过补丁管理优化业务成效

Thu, 24 Oct 2024 10:00:00 Z

IT 格局不断演变，漏洞数量也在持续增加，因此维护系统的安全性和稳定性比以往任何时候都更加关键。因为漏洞一旦增加，风险也会随之上升。

根据 Verizon 的数据，漏洞利用同比增长 180%。Google 的研究也显示，零日漏洞利用同比增长 50%。

随着企业持续推进云迁移，漏洞和安全风险的上升进一步凸显了有效补丁管理的关键重要性。因此，在比较本地部署与基于云的补丁管理方法时，务必要考虑补丁管理的复杂性。

下面我们将分别探讨这两种方法，并了解基于云的补丁管理如何通过集中管理、更高可见性和更强安全性，助力转变 IT 运营。

本地部署与云端补丁管理对比

如上所述，在补丁管理方面，组织主要有两种选择：本地部署或基于云。如今，许多企业都面临一个决策：是继续使用本地部署补丁管理，还是迁移到云端。每种方法都有各自的优势和不足，因此了解二者之间的差异至关重要。

本地部署补丁管理

本地部署补丁管理是指在组织的物理场所内处理补丁流程，所有 IT 基础设施（如服务器和软件）均在本地管理。这种方法使组织能够完全掌控补丁的应用时间和方式，这对于满足特定行业合规法规至关重要。

它还支持执行根据组织需求量身定制的严格安全协议。由于需要专用资源，本地部署补丁管理的初始成本可能较高。但随着时间推移，这些支出可以根据组织的具体要求进行优化。

基于云的补丁管理

基于云的补丁管理利用云端服务，补丁管理软件和基础设施托管在服务提供商的服务器上，并通过互联网访问。这种方法具有易用的界面和自动化流程，可简化跨不同系统和软件的补丁管理。

借助云端补丁管理，提供商负责管理底层基础设施和平台，例如服务器、网络、操作系统和中间件。这意味着您需要处理的事项更少，可以专注于为应用程序和数据打补丁。

此外，云具备高度可扩展性，使企业能够根据需要调整使用量，而无需担心物理服务器容量。在成本方面，云端补丁管理通常采用订阅费用模式，因此更具经济性，同时也减少了对大量内部 IT 基础设施和人员的需求。

尽管基于云的补丁管理具有诸多优势，但也必须认识到潜在不足，例如安全顾虑、停机时间、数据隐私问题和合规挑战。将敏感数据存储在云端可能引发对数据泄露和未经授权访问的担忧，而云提供商的计划内维护或意外停机也可能中断补丁部署。此外，管理数据隐私并确保符合相关法规可能十分复杂，尤其是在某些数据必须存储在本地的情况下。

不过，通过选择信誉良好且可靠的云端补丁管理合作伙伴，其中许多不足都可以得到有效缓解。优秀的供应商会优先采用强大的安全措施，尽可能减少停机时间，提供清晰的合规解决方案，并在数据处理实践方面保持透明。这使基于云的补丁管理成为一个极具吸引力的选择，其优势往往超过本地部署解决方案所面临的挑战。

最适合贵组织的补丁管理方法取决于具体需求、预算和 IT 能力。综合考虑这些因素后，组织便能选择最适合支持其长期目标和宗旨的解决方案类型。

本地部署补丁管理的不足

从本地部署补丁管理迁移到基于云的解决方案，可以为更高效、更稳健的补丁管理铺平道路，使其具备可扩展性、成本效益并促进跨团队协作。虽然本地部署补丁管理一直是传统选择，但它存在诸多挑战，可能拖慢运营速度，使企业难以跟上业务发展的节奏。

维护本地部署补丁管理基础设施所带来的财务和运营障碍可能令人望而却步。对专用服务器、软件许可证和专业人员的投入并不低。随着组织发展及其 IT 环境日益复杂，对可扩展性的需求成为重大关切，也会增加遗漏补丁和出现安全漏洞的风险。

兼容性问题进一步增加了本地管理补丁的难度。应用补丁可能会与现有软件或硬件发生冲突，进而导致系统不稳定或停机。解决这些问题可能复杂且耗时，通常需要大量测试和故障排除。

云端补丁管理的强大能力正是应对这些障碍的答案。它通过提供集中管理、提升可见性、增强安全性并简化扩展，帮助组织优化云迁移策略。这一转型可提升运营效率、强化安全性并实现顺畅合规，使组织能够在不断变化的数字环境中持续发展。

云端补丁管理的优势

云端补丁管理可简化运营并提升安全性。集中化管理和控制使 IT 团队能够在多个云环境中高效部署和监控补丁，确保一致的保护和合规性。

提高对云工作负载补丁状态的可见性，可支持及时更新和漏洞缓解，从而进一步增强安全性。自动化补丁流程减少了人工干预需求，有助于最大限度降低人为错误风险并提升效率。

迁移到云端后，SouthStar Bank显著节省了时间并增强了安全性。借助 Ivanti Neurons for Patch Management，他们获得了宝贵的洞察和自动化能力，将每月用于漏洞研究和解决的时间减少了数天。Neurons 能够提供准确数据，使他们能够快速定位并处理与补丁、零日威胁和带外更新相关的设备问题。

通过及时处理漏洞，云端补丁管理可以帮助改善组织的安全态势，并降低数据泄露和系统故障的风险。这种主动方法有助于保护敏感数据、维护系统完整性，并确保关键服务持续可用。

此外，云端补丁管理可以减少对大量 IT 资源的需求，并简化本地部署补丁管理可能伴随的复杂性，从而带来显著成本节约。精简的运营流程和减少的人工工作量有助于提升成本效率和资源分配效果。

云端补丁管理为维护云中 IT 系统的安全性和稳定性提供了全面解决方案。凭借强大的安全措施以及随时随地的无缝访问，基于云的补丁管理可促进团队协作、跨职能协作和数据完整性。

集中管理、更高可见性、自动化流程、增强安全性和成本节约，只是组织应采用云端补丁管理的部分原因。

轻松迁移

选择合适的云提供商，对于成功且安全的云迁移之旅至关重要。应寻找在云迁移方面拥有良好记录，并提供全面服务组合以支持您完成转型的提供商。

在为补丁管理选择提供商时，务必要确保其满足您的需求和要求，尤其是在评估和缓解风险方面。应提出以下问题：漏洞是如何识别的？是否基于暴露程度和可利用性？合规性如何计算，具备哪些报告功能？补丁如何确定优先级？是否提供用于审计追踪和修复问责的日志事件？

选择合适的 SaaS 提供商，需要评估其补丁管理政策、流程和 SLA，并验证传输中和静态数据的加密情况。此外，还应考虑补丁历史记录和频率、服务质量和可用性、补丁管理解决方案的可预测性以及底层安全架构。通过这样做，您可以确保解决方案从设计之初即具备安全性。

借助 Ivanti Neurons for Patch Management，您可以体验超越本地部署能力的云解决方案。您可以按照自己的节奏迁移到云端，而无需采用会造成中断的整体替换策略。通过同时获得对云端管理设备和本地管理设备的可见性，您将拥有顺畅且可控的迁移流程。您可以逐步迁移工作负载和应用程序，减少对 IT 运营的影响，并最大限度提高正常运行时间。

Ivanti 在云迁移方面拥有丰富经验，可提供您所需的精细控制和灵活性，帮助您根据具体业务需求定制迁移。无论您是迁移整个工作负载还是特定应用程序，我们的解决方案都可根据您独特的 IT 环境进行定制。值得信赖的合作伙伴与您并肩同行，助您充满信心地完成迁移。

EASM 如何发现您的攻击面漏洞

Fri, 11 Oct 2024 13:26:38 Z

几乎所有规模的企业都依赖互联网。因此，管理并保护其面向外界的外部攻击面至关重要。

组织的外部攻击面由未经授权的用户可用于访问 IT 环境的所有潜在入口点构成。这包括网站、Web 应用程序和 API，以及远程访问点和云服务等各类资产。

攻击面的规模取决于各个组织的业务性质及其数字足迹的范围。随着企业迁移到云端以及新的数字接触点大量涌现，大多数公司的外部攻击面都在扩大。

外部攻击面管理 (EASM)对于增强组织安全性和降低风险至关重要。可见性是防护的基础，EASM 工具通过识别、分类和监控所有面向互联网的资产，帮助组织了解其外部攻击面。

借助这些能力，它们为网络安全团队提供所需情报，帮助团队弥合安全缺口，并在潜在威胁发生前主动防护。

了解更多：什么是攻击面？

推动 EASM 采用的原因

越来越多的公司转向 EASM 解决方案，原因有很多，其中包括以往失败案例所带来的鲜明警示。

例如，2017 年的 WannaCry 攻击利用了 Microsoft Windows 中的 EternalBlue 漏洞，加密了全球约 230,000 台计算机上的文件，黑客要求包括 Telefónica 在内的主要受害者以比特币支付赎金。适当的外部攻击面管理本可识别并修复该漏洞，从而防止攻击得逞。

以下简要列出 EASM 采用率增长的原因：

网络安全威胁不断上升：自 WannaCry 以来，威胁已发生很大变化，它们变得更加复杂且更为普遍，网络犯罪分子也在不断演进，利用访问控制中的漏洞。EASM 解决方案通过持续监控，帮助组织主动响应任何可疑活动，从而降低此类风险。
IT 环境日益复杂：这些环境包括本地系统、云服务、移动设备，甚至包括疫情后更加普遍的 BYOD 使用场景。如果没有 EASM 解决方案来实现快速、可靠的发现，要在如此多样化的环境中确保资产安全并保持合规将非常具有挑战性。
法规合规要求：这些要求主要关注数据隐私和安全，并且正变得更加严格。GDPR、HIPAA、PCI DSS 以及其他强制要求严格访问控制、发现和资产清单的规则，使合规变得并不容易。EASM 解决方案提供相应工具，帮助组织更从容地应对审计。
第三方风险不断增加：许多组织依赖第三方供应商和服务商，但这也带来了额外的安全风险。EASM 解决方案可帮助评估和管理第三方供应商的安全态势，监控其外部攻击面，并确保其符合安全标准和法规要求。
网络钓鱼和社会工程攻击：威胁行为者经常利用这些技术来利用外部漏洞。EASM 解决方案可帮助组织监控网络钓鱼域名、识别仿冒网站，并检测针对员工和客户的潜在攻击。

了解更多：减少组织攻击面的 8 项最佳实践

EASM 的核心要义

外部攻击面管理依赖主动方法，而传统安全措施是在威胁突破系统后才做出响应。EASM 旨在利用先进工具持续分析外部攻击面中的漏洞，从而提前阻止未经授权的访问。

采用 EASM 不同于部署网络安全产品或基于客户端的安全产品，因为在后两种情况下，大部分环境通常已知。外部攻击面管理恰恰相反：它的主要用例是发现并进一步了解未知内容。

此外，EASM 是一个持续过程。随着新服务的增加、旧服务的弃用，以及面向互联网的资产所具有的动态特性，组织的数字足迹始终在演变。外部攻击面也在不断变化，因此需要持续管理和安全更新。

EASM 如何缩小您的攻击面

第一步是识别面向外部的资产。例如，用户只需输入一个种子域名，强大的 EASM 解决方案就会爬取互联网来查找这些资产。

请注意，准确的术语是“爬取”而不是“扫描”，因为扫描通常意味着需要连接和身份验证才能发现资产。而在 EASM 场景中，重点在于所有公开可用的数据和资产。

当使用该种子域作为输入时，EASM 工具会利用 DNS、WHOIS、证书透明度日志、新闻稿、社交媒体帖子、新闻文章、博客文章和 IP ASN 等公开可用来源，进行横向发现和子域发现。无论网络、云提供商或托管账户为何，这都能提供所有暴露在公共互联网中的资产的全面清单。

此图按可见性和暴露程度展示了三大类资产。

左下方的安全区域表示组织知道某项资产存在，即使可能不确定它是否已暴露。这包括官方域名、子域名、有效证书等。
下一个区域的风险更不明朗：组织可能知道某项资产存在，但并不知道它是否已暴露，例如被列入阻止列表的 IP 或暴露的 SSH 实例。
危险区域则是组织完全不了解某项资产，因此也无从知晓其暴露情况。这包括暴露的开发环境和影子 IT 资产。

优秀的 EASM 解决方案可以快速、完整地提供这些资产的可见性，并洞察其潜在漏洞。它可以识别 NVD 上发布的已知漏洞 (CVE)，以及开放端口、众多软件版本、常见配置错误、默认凭据检查、密钥、ASN、编程框架等。

如果外部攻击面管理解决方案提供商运营威胁情报数据库，该数据库将有助于确定哪些暴露项属于关键风险并对组织构成最大威胁，然后将这些信息报告给用户。

了解更多：如何识别组织的攻击面

EASM 的优势

实施有效的 EASM 策略和解决方案可带来诸多优势：

增强网络安全

外部攻击面管理可显著降低数据泄露风险，从而保护敏感信息并维护客户信任，同时帮助组织避免与此类泄露相关的成本和声誉损害。

改善合规性

随着 PCI、HIPAA 和 GDPR 等更多法规与行业合规标准的实施，EASM 提供的安全洞察可以发现任何不合规情况。例如，了解资产的地理位置意味着公司可以确保符合该地区的法规要求。

简化安全运营

EASM 通过提供组织外部漏洞的清晰简明概览，帮助简化并优化安全运营，使安全工作更具针对性、更高效。

第三方风险管理

组织通常会与众多第三方合作，包括供应商、合作伙伴、承包商和顾问。EASM 解决方案可以提供供应链风险洞察，帮助了解对企业自身安全构成威胁的因素。

更好地评估供应商

在引入供应商之前，EASM 解决方案可以谨慎地报告该供应商已暴露的网络安全风险。这一用例还可以扩展到并购尽职调查。

查看实际效果：Ivanti Neurons for EASM

默认安全：安全设计的重要补充

Fri, 13 Sep 2024 12:00:00 Z

传统网络安全系统（其中许多是在十多年前设计的）未能充分考虑新一代攻击者的能力和漏洞利用方式，也未能考虑到许多软件对人工配置的依赖，而这正是其“阿喀琉斯之踵”。

为了应对这一新现实，软件开发领域提出了“默认安全”这一概念；它是美国网络安全和基础设施安全局（CISA）提出的“安全设计”原则的必要补充。

安全设计原则强调将安全嵌入软件设计和开发的全过程。默认安全则确保产品从启用伊始便具备内在安全性，开箱即安全。无需复杂设置，因为安全日志记录和授权等核心安全功能已预先配置。

威胁正在演变，并且不断加速

直到不久前，大多数系统的“爆炸半径”仍然有限。它们受到防火墙保护并被限制在一定范围内，因此访问权限仅限于组织内少数特定人员。攻击者没有开放的空间可供爬取并寻找弱点，也无法将攻击自动化。整个攻击过程——发现漏洞、通过编写漏洞利用代码将其武器化，再部署武器化攻击——至少需要数周，往往需要数月。

这不仅限制了攻击速度，也限制了攻击规模。攻击者必须逐一锁定组织，设法绕过特定控制措施。总体攻击频率较低，即使发生攻击，由于攻击者必须投入大量时间和精力，其影响也相对可控。

相关内容：面向组织的 8 项攻击面缩减最佳实践

当我们谈论“不断演变的网络威胁态势”时，这几乎算是一种轻描淡写，因为无论是自然演化还是技术演进，都从未如此迅速。短短几年间，它已演变为一个数字化的“雷霆竞技场”，让防护薄弱的目标面临前所未有的风险。

这是因为攻击者已经能够利用三项关键发展：

如今的攻击者可以迅速将漏洞武器化，而人工智能工具正在让这一过程变得更加容易。漫长披露窗口的时代已经过去。暗网上唾手可得的自动化扫描工具和漏洞利用工具包，让技术能力较弱的攻击者也能参与恶意软件活动。随着攻击者在补丁发布前利用漏洞的能力变得更加敏捷，零日攻击正成为日益严峻的担忧。
云采用扩大了攻击面，因为分布式云基础设施使数据保护和监控变得更加困难。云提供商与用户之间的安全责任共担模型，如果配置不当或理解不充分，可能会导致漏洞。此外，云应用通常依赖 API 进行通信；如果未得到妥善保护，也可能引入漏洞。
防火墙和杀毒软件等传统安全措施已难以跟上形势。防火墙可能通过社会工程学被绕过，而杀毒软件也难以检测全新的零日威胁。在云时代，基于边界的安全方法已经过时，安全设计原则需要贯穿整个 IT 基础设施。

攻击者会在产品激活的那一刻就准备好探测弱点或发起攻击。因此，产品一经开启并连接到组织网络，就必须立即具备强大的零日防御能力。

相关内容：安全设计原则比以往任何时候都更加重要

默认安全的三大支柱

要妥善落实默认安全，需要依托三大基本支柱。

安全左移

安全左移侧重于在开发流程的早期发现漏洞。开发人员需要编写安全代码，避免 OWASP Top 10（Web 应用安全漏洞）和 CWE Top 25（常见软件弱点）等资源中列出的常见问题。

这类似于预防医学：健康实践和疫苗接种可以帮助人们远离疾病。通过从一开始就专注于安全编码实践，开发人员实际上是在将免疫力和韧性直接构建到软件之中。

强制执行安全配置

当用户自行配置新软件时，黑客往往会有机可乘。为消除错误配置，软件提供商必须默认强制执行安全配置。这包括多因素身份验证（MFA）或单点登录（SSO），并避免使用硬编码凭据（密码或令牌），以及避免采用攻击者已知存在漏洞的默认配置。

强制执行安全配置可确保所有部署都具备一致的安全性，不受用户经验或技术专长差异的影响。它还可以简化用户体验，因为用户无需自行做出配置决策。

保护软件供应链

与汽车和航空航天制造业类似，现代软件开发已经成为一条装配线，并且高度依赖第三方库和开源代码。在默认安全模式下，开发人员需要严格关注这些组件的安全性，避免它们引入漏洞。

相关内容：安全设计承诺：致力于创造更安全的数字未来

衡量默认安全

如今，提供商可以利用检测工具和遥测来监控默认安全功能的表现。如果产品部署在本地，启用遥测将涉及在防火墙上开放通道，以便数据离开用户网络。如果产品在云端，则更容易允许遥测数据回传给提供商。

无论哪种情况，关键都在于双方同意：软件用户必须启用默认遥测，以便提供商查看软件行为，并确认其内置安全控制是否正在实施。幸运的是，这也意味着用户无需亲自介入来启用安全功能。只要获得客户同意，提供商即可远程完成。

领先应对不断演变的威胁

即使是最尽责、最努力的网络安全专业人员，也仍然受限于手头掌握的数据和洞察。例如，传统漏洞清单，如 OWASP Top 10 和 CWE Top 25，是提升安全意识的关键，但也存在局限：

清单更新仍会在漏洞发现与缓解之间留下一个脆弱窗口。攻击者会利用这一空隙，瞄准尚未列入清单的“离群”漏洞。
传统清单关注的是已知漏洞，这会使组织暴露于“已知的未知”之下，即具有潜在可利用性但尚未被识别的弱点。

话虽如此，AI 和机器学习有望通过弥合这些差距来变革默认安全：

机器学习算法可以分析海量安全数据，识别模式并预测潜在漏洞，包括尚未出现在传统清单上的漏洞。
通过分析漏洞利用趋势和软件行为，机器学习可以识别更有可能被利用的“已知的未知”弱点，即使它们尚未被记录在案。

将 AI 引入 SDLC

AI 和机器学习还可以改变默认安全原则融入软件开发周期的方式：

自动化漏洞检测：AI 工具可以持续扫描代码中的已知和未知漏洞，从而在 SDLC 的早期加以处理。
主动安全建模：通过分析攻击模式，AI 可以预测威胁；这使主动安全建模成为可能，从而构建内置防御能力的软件来抵御这些威胁。
智能开发人员辅助：AI 可以分析代码，并就安全编码实践向开发团队提供实时建议。

通过自愈软件实现默认安全

关注默认安全的开发人员有一个目标：创建具备内在能力的软件，能够主动自行识别漏洞并加以修复。这一概念的灵感来自制造业中使用的遗传算法，此类算法可让系统随时间推移自我优化和改进。

这将把“默认安全”从静态概念转变为一种内置于企业软件中的动态、自我监控、自我修复能力。它将使软件能够修复自身漏洞、阻止威胁，甚至向开发人员报告新的攻击。

相关内容：实践演示：通过安全的 UEM 应对措施保护所有端点

朝着正确方向迈进

不久前，我曾撰文指出，需要建立“行业与政府携手解决数字安全问题的公私合作伙伴关系”。安全设计原则的创建，以及 CISA 和行业领导者推动这些原则的努力，是向前迈出的重要一步，有助于构建这种迫切需要的协同防御，共同应对网络威胁。

不过，最终仍要由各个软件提供商和开发人员将这些措施付诸实践。遵循默认安全实践，在开发和交付更安全的软件，以及在网络安全战役中占据优势方面，都发挥着至关重要的作用。

结合 MDM 与 MTD，构建战略性安全防护

Thu, 25 Jul 2024 07:00:00 Z

移动威胁态势不断演变，CryptoChameleon 等高级威胁层出不穷。为有效应对这些挑战，组织需要全面的解决方案——这正是结合移动威胁防御 (MTD) 与移动设备管理 (MDM) 的价值所在。

虽然 MTD 可以识别移动设备上的潜在威胁，但在识别威胁后，往往缺乏主动采取措施加以处置的能力。组织仍然需要一种方法，在设备从初始注册到退役的整个生命周期内对其进行管理和保护。

将 MDM 与 MTD 集成，是实现战略性网络安全收益的关键。这种方法不只是提升移动安全性；它更代表着有计划地打造一个不仅更安全，而且更高效、更合规的移动生态系统。

通过结合 MTD 和 MDM，您可以在整个移动设备群中统一查看安全威胁和设备管理状态。此集成可最大限度提升工作效率，并增强整体可见性和控制力。

试想，通过一个统一仪表板，无需在独立的 MTD 和 MDM 控制台之间来回切换。这种整合式管理可减轻管理多个产品和控制台的负担，从而简化 IT 运维。本质上，您可以通过单一视图同时管理移动安全和设备管理。

这可确保您的组织在应对当今移动威胁态势挑战的同时，持续关注用户体验和运营效率。

移动化程度越高，风险越大

在当今的 Everywhere Workplace 中，移动设备是必不可少的业务工具。预计到 2025 年，全球将有超过 180 亿台移动设备。

CryptoChameleon 因其入侵用户的创新方式而引发全球关注。这个“网络钓鱼工具包”可让攻击者构建 SSO 页面副本，诱导用户提供用户名、密码等信息。

每个组织都必须认识到，保护其端点和数据免受针对移动设备的威胁影响至关重要。根据 Ivanti 的 2024 年网络安全现状报告：

81% 的办公室员工承认，他们正在使用某种个人设备开展工作；其中一半人会通过个人设备登录网络和办公软件。
40% 的人表示，其雇主并不了解他们的这些活动。
23% 的 IT 和安全专业人员表示，员工在工作时使用个人设备属于高风险行为。
63% 的人表示，其 IT 资产管理解决方案会跟踪自带设备办公的做法。

协同更强：MTD 与 MDM 结合的优势

在这种形势下，传统安全方法已难以应对动态变化的新型威胁。组织需要的是更集成、更全面的防御策略。

这正是 MDM 安全与 MTD 安全协同作用至关重要的原因。通过集成 MDM 和 MTD，组织可以建立具有韧性且主动的安全态势，不仅能够管理和保护移动设备，还能实时检测并响应新兴威胁。

增强可见性和控制力

通过统一 MTD 和 MDM，安全团队可以获得用于管理整个移动设备群的单一视图。他们可以在同一个仪表板中查看设备安全威胁和管理状态。

试想，您可以实时访问潜在恶意软件感染信息，同时查看设备是否符合安全协议等详细信息。这种全面视图有助于更快速、更明智地响应风险。

此外，此集成还能简化 IT 运维。安全团队不再需要在用于监控设备和管理威胁的不同平台之间切换。这使他们能够快速分析所见信息并采取行动。他们可以更高效地识别和解决安全问题、执行策略并管理设备，同时也能将更多时间投入到战略性安全计划中。

主动威胁检测与响应

集成 MDM 和 MTD 的价值不仅在于提供移动环境的统一视图。它们还能将您的移动安全态势从被动防御提升为主动威胁搜寻。

MTD 如同拥有全方位视野的哨兵，持续扫描您的移动设备群，不放过任何细微的异常迹象。它可以实时检测可疑应用行为、网络异常和潜在恶意软件感染。一旦发现潜在威胁，就会立即向系统发出警报。

此时，MDM 便作为快速而果断的响应力量发挥作用。MDM 的自动化响应能力可以预先配置，根据 MTD 识别出的威胁立即采取行动。例如，MDM 可以自动隔离受感染设备、阻止恶意网站或远程擦除已遭入侵的数据，在威胁造成损害之前有效将其化解。这既无需人工干预，也缩短了网络犯罪分子可利用的机会窗口。

全面的安全策略

在移动设备群中执行全面的企业安全策略可能是一项复杂挑战。将 MDM 强大的策略执行工具与 MTD 的威胁检测相结合，可以让这一过程变得轻松许多。

这包括基于设备合规性确保条件访问，确保只有完全安全且遵守策略的设备才能访问企业资源，从而增强整体安全态势。

它们还可以自动执行的其他策略包括：要求使用强密码；设备加密；限制来自未知来源的未经授权应用；允许经批准的应用用于工作目的；以及对丢失或遭入侵设备进行远程应用和数据擦除。

简化合规与报告

网络威胁已经足够复杂，但组织还必须应对错综复杂的法规要求。MDM 和 MTD 可以携手简化合规，因为其强大的报告功能能够针对设备管理和安全性生成详细洞察。

这些报告可以详细说明设备配置、访问控制和安全威胁，帮助组织轻松证明其符合行业法规和数据隐私法律要求。在审计和合规检查期间，这些报告尤为关键。

除此之外，来自 MTD 的洞察可以揭示移动设备上的风险行为模式，为数据驱动型安全决策提供依据。了解薄弱环节所在后，您可以优先分配资源，并实施有针对性的安全措施，在缺口演变为合规问题之前将其弥合。

以用户为中心的安全

在强有力的保护与顺畅的用户体验之间找到适当平衡至关重要。过于严格的安全措施可能让用户感到不便并影响工作效率，而控制过于宽松则会使设备面临风险。

MDM 与 MTD 集成让组织能够在不削弱保护的前提下优先考虑用户体验。MDM 支持创建透明且干扰更少的安全策略，而 MTD 专注于实时威胁检测，可支持有针对性的干预，最大限度减少干扰。

这不仅限于缓解风险，还能赋能用户教育。MDM 可配置为向用户发送提醒，提示与特定应用或网站相关的潜在安全风险；MTD 则可以触发通知，说明设备上检测到的任何可疑活动所带来的危险。这些指导性提示有助于在用户中培养安全意识文化——既能增强安全态势，又能提升用户满意度，实现双赢。

其他优势

稳固部署： 一流的 MDM 会自动将 MTD 应用推送到每台设备，并在后台无缝运行，无需用户参与。
数据丢失防护： 即使设备遭到入侵，敏感数据也能防止丢失或未经授权访问。
可扩展性： 移动安全能够适应业务增长或不断变化的威胁态势。
成本效益： 通过提升运营效率、减少独立工具数量以及预防事件发生，可显著节省成本。

集成注意事项

CISO 和其他安全专业人员希望确保其网络上的 100% 移动设备都得到管理，并受到 100% 保护。集成 MDM 和 MTD 是实现这一目标的重要一步。

此集成可为网络安全团队提供集中式指挥中心，使他们能够在一处管理设备、执行安全策略并识别威胁。

为确保此集成取得成功，请在推进过程中考虑以下基本事项：

无缝集成： 在集成 MDM 和 MTD 时，请确保解决方案之间能够无缝通信，在无需人工干预的情况下共享数据和触发器，从而实现实时威胁响应和策略执行。
供应商协作： 选择提供原生集成功能或已知能够良好协同的 MDM 和 MTD 解决方案。您也可以选择同时提供 MDM 和 MTD 的供应商所推出的解决方案，以确保兼容性。

安全设计原则比以往任何时候都更重要

Thu, 18 Jul 2024 07:36:39 Z

安全设计（Secure by Design）理念，是指在软件离开规划阶段之前就将安全性内置其中，正在从根本上改变软件开发方式。

过去，软件通常采用所谓“后加式安全”的方式设计，即在产品开发完成后再添加安全措施。但这意味着安全性并非解决方案的内在组成部分。核心产品与后加组件的结合处，往往就是攻击的切入点。

因此，软件提供商对安全设计原则的承诺已变得如此重要；这也是 Ivanti 成为美国网络安全和基础设施安全局 (CISA) 安全设计承诺首个签署方的原因。

签署该承诺的提供商承诺遵循 CISA 制定的原则。这些原则强调从最初构想到最终部署，将安全措施融入解决方案的核心。这样，解决方案开箱即可具备对攻击的内在抵御能力，而不是等到客户采用后再修补漏洞——届时往往已难以及时阻止损害扩大。

相关阅读：安全设计承诺：共创更安全数字未来的承诺

一项基本的安全设计原则

数字技术每前进一步，网络攻击就不断演进并以新颖方式加以利用，这一直如影随形。如今，它们可能在混合网络中蔓延，对企业进行勒索或造成业务中断，削弱客户信心，并对企业盈利造成沉重打击。但在 CISA 看来，它们也是非常现实的国家安全威胁。

通过强调一项新的基本安全设计原则——安全应从最早的规划阶段就被设计到软件之中——安全设计将转化为更强大的防御能力，以应对受利润、政治或二者共同驱动的现代攻击者。

作为承诺签署方，Ivanti 认为，采取一切必要措施以符合安全设计原则至关重要。提供商必须问自己这样的问题：我们使用的编程语言，是否从安全软件开发框架 (SSDF) 的角度来看具备内存安全性？我们是否定期进行威胁建模以识别可能的漏洞？我们是否使用第三方库或组件？它们的安全态势如何？

回答这些问题，需要在整个软件开发生命周期 (SDLC) 中持续关注安全，其中包括：

将安全设计原则贯穿整个流程，而不是等到代码编写完成后才考虑，使安全在规划和设计阶段始终成为重点。这意味着思考潜在威胁，并将防御措施设计到软件之中。
通过在整个开发过程中纳入全面的安全测试，及早发现漏洞。这可避免在 SDLC 后期或发布后再进行相关工作所带来的成本和复杂性。

这意味着超越“左移”方法。在应用安全设计原则时，开发人员现在会在代码库内执行静态应用程序安全测试和动态应用程序安全测试，并在整个 SDLC 流程中进行单元测试和集成测试，而不是将测试或威胁建模推迟到最后。作为其中的一部分，他们逐渐习惯于几乎每天使用测试工具。

相关阅读：与美国网络安全领导者开展商业圆桌讨论的 3 点收获

超越安全软件

将安全设计原则付诸实践，不仅仅是编写和测试安全代码。它需要采用整体性的网络安全方法，以安全的组织为基础构筑稳固防线。这包括以下措施：

识别薄弱环节：关键在于了解组织内部的漏洞所在，而不仅仅是软件代码中的漏洞。这意味着要分析并优化网络安全的多个方面，从员工培训计划到安全软件修补，再到公司的整体安全态势。
保护和监控：组织需要部署可靠的网络安全工具，以主动甚至前瞻性地管理风险。这些工具包括用于检测可疑活动的监控系统，以及防火墙等可在一开始就拦截网络攻击的防护措施。
事件响应：制定清晰明确的网络攻击响应计划必不可少。该计划应说明如何检测攻击、评估其影响，并采取措施进行恢复和改进安全措施。

实施基于安全设计原则的安全软件系统，还有另一个方面：当人们谈论安全设计时，实际上通常指的是“默认安全”方法。这两个概念相辅相成。安全设计意味着在产品的整个开发生命周期中嵌入安全考量；而默认安全则意味着最终产品开箱即安全，用户无需进行大量配置。产品已预先设置好，可提供安全日志记录或软件授权配置文件等措施，并且优先考虑面向未来的安全性，而非向后兼容性。

相关阅读：实践演示：通过安全的 UEM 对策保护所有端点

客户如何受益于安全设计

当软件提供商交付遵循安全设计原则的解决方案和平台时，最重要的收益体现在客户体验中：

提升保护：当安全功能从一开始就内置于软件中，软件会更强健、更不易受到攻击，其运行所在的网络也同样如此。
提升 DEX：在开发过程中更加关注安全和测试，可以打造更优化、更稳定且更能抵御中断的产品，从而改善员工体验。
提高 ROI：更安全的产品可以最大限度减少停机和修补工作，让用户保持高效。
简化合规：借助安全设计软件，遵循严格的数据隐私和安全要求会更加轻松，可减少通过合规检查所需的时间和资源，并避免处罚。
提升声誉：将安全置于首要考量的公司会被视为更值得信赖，这有助于增强客户信心和忠诚度。

安全设计承诺：致力于打造更安全的数字未来

Wed, 08 May 2024 22:06:03 Z

数字化转型和自动化带来的诸多显著优势——全球互联互通、高效运营、更出色的业务成果——也伴随着同等程度的数字安全担忧。如今，我们已经清楚地认识到，要安全地实现数字化加速带来的优势，整个行业都必须大胆采取行动，保护数字环境并缓解网络安全威胁。

在 Ivanti，这一演进已经展开——而我们致力于走在这场变革的最前沿。作为一家公司，我们始终认为，客户的利益（包括安全）应成为软件开发的基石。随着威胁形势迅速演变，攻击手法日益激进且复杂，将安全置于首位的重要性前所未有。

正因如此，上个月我概述了一项大胆计划，帮助 Ivanti 应对我们共同面对的新现实。我们的工作以安全设计原则为根基，将安全融入软件开发生命周期的每一个阶段。基于这一承诺，我们成为首批签署网络安全和基础设施安全局（CISA）“安全设计承诺”的企业之一，是顺理成章之举；该承诺于 2024 年 5 月 7 日在旧金山 RSA 大会上发布。

安全设计这一理念并不新鲜，但其重要性从未像今天这样突出。它确保产品从构建之初就嵌入安全能力，降低漏洞风险，并让恶意行为者更难加以利用。正因如此，这项承诺在当下意义重大，也正因如此，像 Ivanti 这样的企业正在积极响应号召。我们认为，这是行业围绕安全做出承诺并开展协作的重要一步，也期待为更广泛的生态系统树立新的标准。

大胆提升安全新高度

通过签署安全设计承诺，我们承诺践行一系列原则、标准和行动，以帮助我们进一步提升产品安全性，并更好地保护客户。这包括实施多因素身份验证、减少默认密码的使用、缓解整类漏洞风险、提高安全补丁采用率、建立漏洞披露政策，以及提升客户收集网络安全入侵证据的能力。我很高兴看到，我们的产品和组织已经符合许多安全设计原则；同时，我们也在整个组织和产品开发生命周期中认真寻找各种机会，以强化并加速推进我们的工作和实践。

对 Ivanti 而言，这些承诺绝不只是纸面文字或空洞承诺。通过签署这项承诺，我们公开承诺提高标准，并对兑现承诺负责。未来一年，我们将勤勉推进，在每一项目标上取得可衡量的进展，并向客户和更广泛的安全社区通报我们的进展。我们相信，透明度对于建立信任并培育更广泛的安全文化至关重要。

携手同行，更加强大

作为这项承诺的首批签署方之一，我们已经迈出了重要一步。但我们也认识到，仅凭我们一己之力，无法实现更安全的数字未来。行业中的其他供应商同样需要拥抱安全设计原则，并采取类似行动，将安全作为产品中的优先事项，这一点至关重要。我们诚挚鼓励同行加入我们，签署 CISA 安全设计承诺，并携手朝着保护客户和更广泛数字生态系统的共同目标努力。

这既符合良好的商业实践，也是我们对员工、合作伙伴、客户以及所服务社区应尽的责任。

近期在 RSA 的经历进一步坚定了我们的信念：安全社区必须携手合作，共同应对我们面临的挑战。我们与客户和合作伙伴的交流极具价值，也凸显出围绕软件安全开展集体行动的必要性。通过分享知识和最佳实践，并彼此督促履责，我们能够朝着更强大、更安全的未来迈出坚实步伐。

Ivanti 致力于成为这项工作的领导者，并期待与客户和更广泛的社区互动协作，让安全设计成为新的现实。

如何简化 IT 风险管理流程

Mon, 08 Apr 2024 17:30:01 Z

这就像一张来自旧时代、已经褪色的宝丽来照片：那时，一台运行集中式软件的计算机可以被安全地锁在办公室里。对于大多数组织而言，那个时代确实已经过去——或许令人怀念，却早已与当下现实脱节。

想一想，如今有多少设备、资产和人员会与企业的 IT 基础设施发生交互：

设备（台式机、笔记本电脑、移动设备和 IoT 设备——包括企业自有设备和个人设备）。
软件和应用程序（越来越多基于云，并且很大程度上不在组织的控制范围内）。
数字资产和文档。
API 和集成。
内部人员、远程/混合办公员工、自由职业者、承包商和供应商。

此外，其中许多设备、应用程序和资产可能属于庞大的影子 IT 资产范围，而 IT 和网络安全团队可能对此并不可见。

这个不断扩展的生态系统催生了同样复杂的 IT 风险格局。未得到缓解的 IT 风险可能对企业财务、业务功能、员工士气和声誉产生重大影响。组织面临的网络安全威胁源源不断，再加上这些威胁可能造成的切实影响，使建立稳健 IT 风险管理流程的必要性变得十分明确。

在这份简明的 IT 风险管理指南中，我们将介绍：

什么是 IT 风险管理？
IT 风险管理的五个步骤。
您应遵循的 IT 风险管理流程和策略。
IT 风险管理的最佳实践。

什么是 IT 风险管理？

企业在组织和运营的几乎每个方面都会面对各种形式的“风险”。但当我们谈到 IT 风险管理时，指的是网络安全风险。

如前所述，随着复杂的 IT 流程和工具日益融入组织的日常运营，相关风险也在上升。IT 风险管理应运而生——这是一种将风险管理原则应用于 IT 组织的实践。

IT 风险管理包括识别、评估并优先处理可能影响组织资本和收益的风险。它还涉及采取措施，尽可能降低、监控和控制这些风险的影响。

简单来说，它的目标是保护宝贵的业务资产，确保遵守规则和标准，维护良好形象，做出充分知情的决策，并确保运营顺畅且具备韧性——即使在充满挑战的情况下也是如此。

风险管理对组织而言并不新鲜；这里的关键在于将成熟的流程和程序应用到日益扩展的 IT 参与网络中。在组织制定 IT 风险管理计划时，通常会涉及一些常见角色，例如风险经理和风险修复分析师——这些角色不仅需要深入了解通用风险管理实践，还应具备 IT 背景，以确保风险得到正确评估和修复。

新的网络风险格局

不过，一项重大挑战在于，IT 和网络安全团队必须应对的风险并非一成不变。事实上，它们持续变化的特性或许正是其显著特点，也是最大的风险来源。

过去五年，IT 风险管理的性质发生了显著演变，其范围和含义不断拓展，以应对持续变化的网络风险格局带来的挑战。

对 IT 风险管理进行简化这项工作正变得越来越复杂，因为它所面对的威胁在许多方面并不符合传统意义上对“风险”的定义。

定义 IT 风险及其影响的相关学科

让我们先回答一个基本问题：我们真正面对的是什么风险？因为这些风险已经不同于不久前的情况。

从根本上看，IT 风险可能表现为数据中心遭到入侵、个人计算机存在漏洞，或恶意病毒造成危害。但如今的威胁更加多样且更具流动性，这要求我们考虑基于风险的漏洞管理 (RBVM)，并探索实现该流程自动化的方法。此外，我们还必须通过采用 DevSecOps 实践来主动预防风险。

为了奠定基础，我们先区分 IT 风险和安全风险：

IT 风险是指涉及 IT 失效或误用的潜在负面结果。
安全风险是指可能对安全构成潜在威胁，或可能对组织造成损害的人或事物。

随着网络安全格局的变化，我们对威胁和漏洞的理解也被重塑：组织会面临威胁，而暴露于这些威胁的薄弱点就是漏洞。当这些漏洞被利用时，就会转化为风险。因此，IT 风险管理的关键在于管理 IT 漏洞。我们或许永远无法彻底消除威胁，但可以通过保持警惕的漏洞管理来调节和控制威胁。

IT 漏洞管理的两个核心学科是 IT 资产管理 (ITAM) 和 IT 服务管理 (ITSM)，以及它们所部署的技术：

ITAM 涉及在组织资产（包括物理资产和数字资产）的整个生命周期内对其进行跟踪和优化，以确保宝贵资源得到高效利用和妥善处理。
ITAM 工具可管理硬件和软件资产等配置项 (CI)，使 IT 能够在 CI 的整个生命周期内对其进行配置、优化和跟踪。
ITSM 是指设计、交付、管理和改进 IT 服务的实践，旨在高效且有效地满足组织需求。其工具和最佳实践可提升 IT 跟踪、响应并服务最终用户及其他内部客户技术请求的能力。
ITSM 工具还可以让用户通过解决简单且常见的技术问题实现“自助服务”，这是实现零级服务台支持的一部分。
还有一个有助于控制 IT 风险的学科是什么？暴露管理，这是一个新兴领域，旨在在潜在漏洞和安全风险被利用之前主动识别并加以缓解。

既然我们已经说明 IT 网络和网络威胁变得多么复杂，这些工具又如何帮助简化 IT 风险管理？

具备适当功能的 ITAM 和 ITSM 技术平台，可以帮助组织在闭环安全流程中统一 IT 运营，实现对漏洞的自动化、持续性和主动性检测、评估与修复。

当然，关键词是“自动化”。如果能够在漏洞影响用户之前完成补丁修复或问题修复，就无需人工干预，从而避免安全影响，甚至无需联系服务台。

将 IT 安全工作负载左移

因此，IT 正在使用的工具，尤其是 ITAM 和 ITSM，可以通过利用 ITAM 和 ITSM 自动化来帮助安全团队实现“左移”。它们能够以更少的人力和成本执行更多安全操作，并演进为主动风险修复。

ITAM 和 ITSM 自动化可以通过哪些方式帮助安全团队减轻工作负担？

改进最终用户的自助服务选项

对安全请求和问题的分流进行自动化，使较低级别的请求被路由至较低层级人员处理，从而让高级分析师从钓鱼邮件识别或类似任务中解放出来。在安全 Wiki 中为文件访问或策略豁免实施请求表单，从而支持零级自助式用户服务。

统一安全事件解决流程

将 IT 工单软件和优先级队列（由请求表单输入）重新用于安全场景，以更好地确定优先级、进行跟踪并补充上下文。

将后台 IT 自动化重新用于安全用例

ITAM 和 ITSM 中基于特定设置触发的主动 IT 自动化流程，可以被复制并调整，用于满足各种安全目的，例如保护端点环境和感知恶意活动。

设置自动化触发器

安全团队可以利用现有 CI，并在 ITAM 的配置管理数据库 (CMDB) 中创建自定义的安全专用变量，将其作为自动化公式的触发条件和组成部分进行跟踪。

自动执行安全策略

用于对用户执行通用计算机策略的相同 IT 功能，也可以报告并执行安全协议。例如，在检测到可能的策略违规或内部威胁时，它们可以发送警报。

简化 IT 风险管理的 5 个关键要点

简化和优化 IT 风险管理并不只是 IT 的责任。贵组织的网络安全团队显然也会高度关注任何能够提升现有流程和工具效率与成效的措施。因此，改进 IT 风险管理的许多关键步骤，都围绕 IT、安全团队以及其他利益相关者之间的沟通与协作展开。

如需更深入了解以下要点，请参阅我们的电子书《从对手到盟友》。

1. 安全团队应说明其计划和请求

避免直接下达命令，而应向组织利益相关者说明安全计划、变更和请求背后的策略与收益。在启动任何安全计划之前，CISO 应分享安全策略及其实施计划，因为缺乏说明的安全请求很容易让 IT 部门感到挫败。

由于时间和资源带宽有限，安全请求可能在没有说明为何需要变更的情况下就被发出。这会使 IT 难以落实这些请求。安全团队必须考虑其请求如何由 IT 部门实施。

2. 关注 IT 团队的负担

安全团队在提出请求前，应始终注意 IT 团队的工作负载；IT 团队可能正在处理更大型的项目，或人员不足以完成该任务。务必要寻找能够让 IT 团队更轻松地实施安全策略、请求和补丁的工具与系统。

将基于风险的漏洞管理 (RBVM) 与 ITSM 相结合，有助于通过自动优先处理重要任务并忽略优先级错误的任务，减轻 IT 的负担。

请思考这一点：在任意时刻，通用漏洞评分系统都会识别出约 25 万个漏洞，并将其归类为高、中或低风险。其中约 38,000 个已被武器化，约 11,000 个（即 4%）被视为危险漏洞。通过 RBVM 的视角，我们会发现，CVSS 标记的大多数“关键”风险其实并不真正关键——因为我们可以进一步锁定高中危漏洞中最危险的 4%。这种基于 CVSS 标准所识别漏洞的重新分类，会显著将注意力转向 IT 团队必须重点关注的真正关键漏洞。

3. 积极开展协作

共同努力简化 IT 风险管理的各部门必须开展协作，以实现互利共赢的结果。毕竟，各方都有自己的优先事项：IT 希望运营顺畅，而安全团队希望尽可能及时地管理问题。

通过合作并在构建 IT 风险管理协议和流程时保持灵活，双方都能取得成效。建立双方共同认可的服务级别协议 (SLA)，就是实现这种灵活性的一种方式。

4. 建立共同目标

安全团队和 IT 团队拥有共同基础：双方都希望组织、用户和流程保持平稳运行。因此，IT 和安全领导层就目标达成一致，并设置关键绩效指标 (KPI)、仪表板和其他指标来跟踪并强化这些目标至关重要。

同样重要的是，组织需要了解制定战略目标所带来的影响，以便在这些目标确定之前，就明确其对产品、流程和人员可能造成的任何影响。

5. 主动提供支持

在安全团队和 IT 团队之间共享管理资源、技术专业知识和工具，可以降低成本并促进协作。例如，如果安全团队借用 IT 工具、策略和流程来满足自身用例，也应提供相应回报。

共享工具、仪表板和报告可以为双方理解彼此的工作领域创造背景，从而建立同理心和信任。

鉴于企业数字网络当前面临的广泛威胁，这种协作至关重要。

我们的安全承诺：Ivanti 首席执行官 Jeff Abbott 的公开信

Wed, 03 Apr 2024 15:01:32 Z

致 Ivanti 尊敬的客户与合作伙伴：

我们始终致力于为随处办公打造最安全的解决方案。近几个月发生的事件让我们深受触动，我希望您能直接听到我说明我们正在采取的行动，以确保我们变得更加强大，并让客户获得更高的安全保障。

我们以及业内许多其他企业都亲眼见证了威胁形势日益复杂，以及威胁行为者策略的具体演变。这些活动使我们的一款产品成为近期所报告安全事件相关讨论的焦点。对此，我们一直积极采取行动，努力保护并支持客户，同时也在深入审视自身的安全态势和流程，确保我们已充分准备好应对当前形势。

我们将借此机会开启 Ivanti 的新时代。我们要求自己以审慎的眼光审视每个流程阶段和每一款产品，确保为客户提供最高水平的保护。我们已经开始将近期事件中获得的经验应用于自身工程和安全实践，进行立即改进。未来还将有更多举措。

我们目前正在执行一项计划，以加速推进已在进行中的安全举措，并实施改进实践，预测、防范并抵御未来威胁。我们已邀请业内最受认可的安全和产品开发专家支持 Ivanti 团队的评估，并提供一流的执行指导，确保我们兑现对您的承诺，让您的组织能够轻松、安全且充满信心地开展工作。该计划得到了重大投资的支持，并获得了董事会和 Ivanti 全体员工的全力支持。

我们的前进方向

我们致力于推进一项广泛变革，从根本上转变 Ivanti 的安全运营模式。这包括：

全面升级核心工程、安全和漏洞管理实践，确保我们当前的产品安全可靠，并确保客户拥有为其组织安全部署这些产品所需的资源。
确保我们创建的所有产品都采用安全设计方法，将安全作为软件开发生命周期中每一个阶段的关键因素。
与关键网络防御机构建立正式合作伙伴关系，确保 Ivanti 产品以及我们在打造这些产品过程中积累的经验能够提升整个安全生态系统。
与客户分享信息和经验，并积极征求反馈，确保我们持续满足他们的需求。

以下是我概述的初步重点领域；随着我们朝着目标不断取得进展，这些领域也将持续演进。

我们面临的挑战在软件行业并非个例，我们致力于采取必要措施，为行业树立引领方向。威胁行为者在不断演变——请相信，我们也会不断进化。

在这一旅程中，我们始终将客户置于中心位置。无论现在还是未来，您的利益与合作伙伴关系都将始终是我们的优先事项。

此致

Jeff Abbott

Ivanti 未来发展计划

1. 加强产品安全并采用安全设计原则。

坚持安全设计：我们的重点是在软件开发生命周期的每个阶段嵌入安全能力，通过稳健流程，从产品构想到部署及后续阶段，预测并预先处理潜在漏洞。我们的方法将包括严格的威胁建模演练，确保安全作为产品的基础要素深度融入其中。这一主动姿态将成为我们承诺的基石，使我们能够加强对客户的保护，并始终领先于新兴威胁。
优化产品以提升安全性和客户信任：我们已经在强化产品组合的整体安全态势。其中包括加速网络安全产品（Ivanti Connect Secure、Policy Secure 和 ZTA）的技术栈现代化，引入多种隔离和反利用技术，以降低未来软件缺陷可能造成的影响。我们致力于在网络安全产品上保持最新的底层操作系统，并进一步集成基于硬件的防护以及远程监控和支持选项，以提升对客户的保护。
减轻客户的安全负担：我们将增强自身能力，提供开箱即安全（Secure by Default）的解决方案，并构建可由 Ivanti 选择性管理、监控和保护的产品。我们将与客户合作，根据其产品线和行业细分领域，确定适当的监控与管理责任级别。
优先关注以客户为中心的安全：我们正在重新分配资源，并在整个组织范围内围绕产品安全进行新的投资。这包括扩大产品安全团队，创建专门的工程与安全协作小组，并在产品组合中推动主动的威胁建模、安全审查以及更全面的渗透测试方法。

2. 提升我们的漏洞管理计划。

通过内部和外部研究识别漏洞：我们致力于改进围绕漏洞发现的流程与协作，从而更好地帮助我们快速识别、修复并报告 Ivanti 产品组合中的安全问题。为此，我们正在强化内部扫描、手动漏洞利用测试能力，邀请可信第三方增强我们的内部研究，并通过改进后的漏洞赏金计划提高激励，促进负责任漏洞披露。
基于风险的补丁管理与漏洞修复：这项强化漏洞管理计划的目标，是及时发现并处理任何潜在问题。虽然这可能自然导致初期发现和披露数量上升，但我们正在工程资源、技术和工作流程方面进行额外投资，以支持基于风险的方法，缩短对客户系统风险最高的产品漏洞的平均补丁修复时间。

3. 为现场安全产品部署提供更强支持。

提升社区门户中安全资源和文档的可访问性：客户将在未来几个月看到社区门户的增强功能，包括由 AI 提供支持的改进搜索功能，可根据客户使用的具体产品提供更有针对性的结果。这将包括补丁信息和文档。我们还将通过实施以客户为中心的反馈生命周期，以及聚焦于在客户环境中应用安全最佳实践的其他用户体验升级，改善客户安全互动。
部署改进且更智能的交互式语音应答（IVR）系统：我们致力于快速有效地为客户提供所需支持。未来几个月，我们将部署由 AI 驱动的交互式语音应答（IVR）系统，以改善客户在呼叫路由方面的体验，向客户提示其产品相关的安全信息，并根据请求自动创建支持案例。
与客户合作升级至最新平台：在我们努力提升最新版本安全性的同时，客户也需要能够在我们最可支持且最安全的平台上运行，从而受益于这些改进。我们正在与客户合作，减少合同、技术或财务方面的阻碍，促进采用最新且最安全的解决方案和安全增强功能，以应对当前威胁形势。
克服本地部署设备安全维护中的实际障碍：我们理解，企业网络的现实管理需要在实际情况与限制之间取得平衡。当客户需要完全本地部署的解决方案时，我们致力于帮助他们在这些限制内运行，同时不损害系统安全。未来几周，我们将与本地部署客户合作，沟通在当前环境中运行其解决方案的经验教训和最佳实践。

4. 与客户和社区共享信息。

信息共享与透明度：健康的客户关系是我们公司成功的核心，在此次事件期间，我们与客户的充分互动以及来自客户的反馈带来了巨大的互惠价值。我们希望确保这种互动持续下去。客户和合作伙伴可以期待 Ivanti 分享经验教训；我们还计划继续邀请外部专家参与客户简报，推出与当前威胁形势相关的专题博客系列，并举办网络研讨会和圆桌会议，与我们的社区共同探讨隐私和安全主题。
成立客户顾问委员会：上述每项举措都需要由客户意见提供指导，并根据客户反馈进行调整。我们将把这一流程制度化，并将在未来几周公布相关计划，收集客户意见，以支持产品开发、功能优先级排序、安全关切以及有关产品路线图的战略决策。

MDM 对比 MDM：移动设备管理与现代设备管理有何区别？

Mon, 06 Nov 2023 19:40:47 Z

谈到移动设备管理与现代设备管理，两者听起来可能相似，但实际上存在显著差异。企业中这些设备的爆炸式增长使组织必须选择合适的平台来进行监管。

在这篇博客文章中，我们将探讨：

“移动设备管理”和“现代设备管理”各自的含义。
这两类平台之间的差异与相似之处。
为什么这么多人会混淆二者——原因不只是它们共享“MDM”这一缩写！

什么是移动设备管理？

移动设备管理——在本文中我们称之为“移动 MDM”——可以这样定义：

移动设备管理是一种技术，可帮助组织的 IT 和安全团队跨不同地点、形态和操作系统 (OS) 管理并保护企业的移动设备，例如智能手机、笔记本电脑和平板电脑。

移动 MDM 解决方案可帮助系统管理员通过一个仪表板，高效配置、监控和更新多台移动设备上的硬件与软件设置。

通过这种方式，移动 MDM 可确保最终用户的设备使用——无论是直接托管，还是通过自带设备 (BYOD) 策略获准访问组织应用——符合公司政策，并保护通过终端存储或访问的任何机密数据。

移动 MDM 解决方案通常包括以下功能：

策略执行。
软件安装/更新管理。
远程擦除功能。
设备跟踪/监控。
用户身份验证/授权控制。
资产库存管理。

通过允许管理员从单一控制台或仪表板远程管理组织所有移动设备上的这些设置——无论设备类型或操作系统如何——移动 MDM 解决方案使组织能够更轻松地在所有联网资产中保持一致的安全策略。

此外，大多数移动 MDM 解决方案都为企业移动管理 (EMM) 提供强大支持。EMM 允许管理员对特定最终用户可安装或访问哪些应用实施精细化访问控制，从而为移动终端提供额外的安全层。

这种精细化控制可确保特定员工用户资料只能通过组织批准的应用商店访问已获批准的应用，同时还可深入了解每位用户的应用使用情况和数据共享活动。

除这些安全功能外，许多移动设备管理解决方案还提供高级分析功能，使组织能够深入洞察其联网设备群中终端设备和数据使用趋势。

这些终端分析可帮助组织：

识别潜在问题区域，以便在问题演变为严重威胁之前主动解决。
优化 IT 和技术资源，同时提升用户体验。

总体而言，对于希望简化多台移动设备管理流程，同时为机密数据资产保持高水平安全性的组织而言，移动 MDM 解决方案是一项强大的工具。

什么是现代设备管理？

现代设备管理——在本文中我们称之为“现代 MDM”——解决方案代表了组织设备管理的创新演进，可以这样定义：

现代设备管理是一种终端管理技术，重点在于对组织网络环境中员工使用的所有设备进行标准化、跟踪和控制。

更具体地说，现代 MDM 解决方案可帮助组织保护其数据、应用和网络免受恶意攻击和未经授权的访问。它还使组织能够在一个统一系统中集中管理所有设备。

现代 MDM 解决方案旨在帮助企业管控其业务中使用的各类设备——从智能手机和平板电脑，到笔记本电脑、台式电脑和服务器。

现代 MDM 解决方案可帮助系统管理员：

远程配置每台设备上的设置。
监控使用活动。
对某些功能或应用施加限制。
执行安全策略。
部署应用更新和补丁。
保护存储在员工手机及其他设备上或通过这些设备访问的组织数据。

现代 MDM 还提供高级功能，例如：

在设备丢失或被盗时远程擦除敏感数据。
用于定位遗失硬件的地理围栏功能。
用于改进资产管理的位置跟踪。
通过软件分发，在多个终端上快速、轻松地安装新应用。

（当然，所有这些功能都必须负责任地使用，以便在法律层面支持每位员工的隐私权。）

MDM 对比 MDM：移动设备管理与现代设备管理有何区别？

现代设备管理与移动设备管理之间有两个主要差异领域：

每种 MDM 覆盖的设备类型。
每种 MDM 的主要重点。

MDM 差异 #1：现代设备管理解决方案比移动设备管理覆盖更多类型的终端

在比较移动设备管理与现代设备管理 (MDM) 时，两者之间第一个也是最明显的差异在于覆盖范围。

移动设备管理涵盖传统移动设备，例如智能手机、平板电脑和笔记本电脑。
现代设备管理覆盖更广泛的联网网络设备，包括但不限于：
- IoT 传感器。
- 可穿戴设备（例如智能手表）。
- 医疗设备。
- 工业机械。
- 台式机。

MDM 差异 #2：移动设备管理侧重于控制配置；现代设备管理主要收集和汇总使用数据

此外，尽管移动设备管理和现代设备管理平台都旨在管理组织环境中的企业自有移动设备或联网设备，但每种管理方式所提供的控制范围差异很大。

移动设备管理使 IT 管理员能够全面控制其管理的每台移动设备的配置设置，包括对应用或某些功能的访问限制。
相比之下，现代设备管理侧重于监控用户活动，并提供对所有受管设备使用趋势的洞察。如有需要，它还允许远程擦除设备上存储的任何敏感数据。

比较两种 MDM：移动设备管理和现代设备管理有哪些共同点？

尽管这两类设备管理解决方案在范围和重点方面存在根本差异，但它们也有一些共同点。二者都能：

通过加密和身份验证技术提供企业级安全能力。
支持快速应用补丁。
提供设备位置跟踪。
支持地理围栏功能。
实现软件分发。
具备库存管理能力。
提供关于每台受管设备的详细报告洞察。
支持自动备份。
确保符合行业隐私标准，例如 HIPAA 或 GDPR 法规。
通过自动化手动任务，降低管理大规模设备群的相关成本。
通过简化与设备管理运营相关的流程来提高生产力，并提供其他功能。

厘清移动设备管理与现代设备管理之间的混淆

这两种 MDM 平台之间的相似之处确实容易造成混淆——即使现代设备管理解决方案显然覆盖了更广泛的潜在终端设备。

例如，这两种系统都提供用于数据安全的加密技术。不过：

移动 MDM 更侧重于身份验证技术。
现代 MDM 则提供更详细的用户活动监控。

同样，这两种系统都提供位置跟踪功能，但：

移动 MDM 更适合管理远程位置的设备群或资产。
现代 MDM 更适合跟踪单个用户的设备行为。

另一个容易产生混淆的领域是软件分发。这两种系统都可以远程向设备部署应用更新和补丁。不过：

移动 MDM 仅侧重于无线部署。
现代 MDM 可对配置设置进行更全面的控制。

加密和安全

位置跟踪

软件分发

移动设备管理

更侧重于身份验证技术。

更适合管理远程位置的设备群或资产。

仅侧重于无线部署。

现代设备管理

提供更详细的用户活动监控。

更适合跟踪单个用户的设备行为。

对配置设置提供更全面的控制。

最后，在报告洞察和自动备份方面也存在差异。虽然这两种系统都会根据设备类型和使用要求，在不同程度上提供这些功能，但客户在做出任何决策之前，务必要了解哪种系统最符合自身需求。

	移动设备管理	现代设备管理
主要设备重点	手机、平板电脑、PDA、COSU 等。	与移动设备相同，但还包括服务器、台式机、笔记本电脑、IoT 等其他设备类型。
管理范围	以移动设备为重点	以用户为重点
应用部署	是 – 通过 MAM	是 – 通过内部应用商店
终端配置和策略	仅限移动设备	是
设备跟踪	仅限移动设备	是
报告和趋势	有限	是
操作系统和应用更新	无线更新	全面的补丁与管理

哪种 MDM 适合您？

对比移动设备管理与现代设备管理时，两者之间的差异十分明确。同时，二者都能为希望优化 IT 基础设施并确保资产始终安全的组织带来广泛价值。

在二者之间进行选择的最佳实践是什么？组织应根据自身的具体需求选择 MDM 系统。例如，尽管移动设备管理和现代设备管理系统都提供加密技术或身份验证技术等类似功能，但它们在范围和重点方面存在显著差异。

请务必选择最符合当前安全协议和所需功能集的解决方案——因为虽然它们共享同一个缩写，但其差异可能会对您的企业产生关键影响。

NIS2 指令准备为何应立即启动的 5 个理由，第二部分：实施需要时间

Mon, 28 Aug 2023 17:43:02 Z

在上一篇博客文章中，我讨论了在欧盟更新后的《网络与信息安全指令》(NIS2) 于 2024 年 10 月正式成为已批准法律之前，需要审计的两个主要领域。具体而言，这些审计将帮助您：

立即识别您与 NIS2 指令要求之间的差距。

审查您当前供应链安全中的缺陷。

既然我们已经发现了这些安全缺陷，就必须在 2024 年 10 月时间耗尽之前加以修复。

因此，在本文中，我将介绍如何通过解决以下三个关键领域，在 NIS2 指令截止日期到来之前修复最薄弱的安全问题：

向管理层说明您的网络安全差距
正确实施新的组织与技术安全措施
安排时间培训所有员工

1. 向管理层说明您的差距，并获得修复预算

NIS2 指令对其适用范围内的组织施加了重大义务，这可能需要大量成本和资源。该指令还对不合规行为引入了高额罚款和制裁，最高可达 1000 万欧元或组织全球年收入的 2%（第 34 条）。

除此之外，在某些情况下，新指令还可将责任从实体延伸至其个人代表。此外，在满足特定条件时，担任管理职务的人员可能会被临时停职（第 32-5b 条）。

因此，遵循 NIS2 指令既是法律必要性，也是战略优先事项。

为实现合规，您必须：

向管理层说明该指令的影响和益处，并说服他们分配足够的预算和资源来实施合规。
提出清晰的商业论证，概述不合规的风险、合规带来的机遇以及投资回报。
展示合规如何提升组织的声誉、可信度、竞争力和韧性。

向管理层说明情况并获得预算是一项具有挑战性的任务，需要以有说服力且基于证据的论证，展示网络安全对组织的价值。

越早开始这一流程，就越有时间获得管理层的认同和支持。

NIS2 合规商业论证可能带来的益处

您可以在商业论证中重点说明的一些潜在益处包括：

降低运营成本，通过预防或最大限度减少网络攻击造成的损失，例如停机、数据泄露、赎金支付、诉讼等。
增加收入，通过吸引或留住重视安全、隐私、质量等因素的客户。
提升效率，通过简化流程、增强性能、减少错误等方式实现。
推动创新，通过采用新技术、开发新产品或服务、开拓新市场等方式实现。
遵循 NIS2 以外的其他网络安全法规或标准，例如GDPR、ISO 27001、PCI DSS等，因为全球性框架通常与 NIS2 的合规要求高度重合。

用于支持 NIS2 合规商业论证的潜在信息来源

可用于支持商业论证的一些信息来源包括：

统计数据或事实，展示您所在行业或地区网络攻击的普遍程度、影响或成本。
案例研究或示例，说明其他组织如何从遵守 NIS2 指令或类似法规中受益。例如，ENISA《NIS Investments 2022》报告显示，在实施旧版 NIS 指令的组织中，62% 表示相关实施帮助其检测安全事件；21% 表示相关实施在安全事件恢复过程中提供了帮助。
证言或反馈，来自认可或建议遵守 NIS2 指令或类似法规的客户、合作伙伴、监管机构或专家。
基准或指标，展示您当前或预期的网络安全绩效，或相对于 NIS2 指令及竞争对手的进展情况。
Ivanti 2023 年《用于获得内部认同的网络战略工具包》也是一项实用资源，介绍了实现功能所需时间和成本、解决方案如何帮助防御特定类型的网络攻击，以及如何回应并化解常见异议。

NIS2 指令合规的一般商业益处

遵守 NIS2 指令的一些益处包括：

降低运营成本，通过预防或最大限度减少网络攻击造成的损失，例如停机、数据泄露、赎金支付、诉讼等。根据 IBM 的一份报告，2022 年关键基础设施组织发生数据泄露的平均成本为 482 万美元，识别并遏制一次泄露的平均时间为 277 天。如果您采取措施遵守 NIS2 指令，识别和遏制泄露所需的平均时间将大幅缩短，攻击成本也会降低。
增加收入，通过吸引或留住重视安全、隐私、质量及类似因素的客户。根据普华永道的一项调查，87% 的消费者表示，如果不信任某家公司的数据处理做法，他们会转向其他公司；71% 的消费者表示，如果发现某家公司未经许可共享其数据，他们会停止使用该公司的产品或服务，而数据泄露就可能导致这种情况。
提升效率，通过简化流程、增强性能、减少错误等方式实现。埃森哲发现，采用先进安全技术的公司可将网络犯罪成本最高降低 48%。
遵守其他法规或标准，这些法规或标准要求具备网络安全能力，例如 GDPR、ISO 27001、PCI DSS 等。Cisco指出，97% 遵循 GDPR 的组织都获得了收益，例如获得竞争优势、提高运营效率以及减少销售延误。遵循 NIS2 也可能取得类似结果。

在预算方面，欧盟委员会的指令提案（附件 7 - 1.4.3）提到，对于属于 NIS2 框架适用范围的公司，预计在 NIS2 框架引入后的最初几年，其当前 ICT 安全支出最多需要增加 22%。

不过，该提案还提到，ICT 安全支出的这一平均增长将从相关投资中带来相称的收益，尤其是因为网络安全事件成本将显著降低。

2. 正确实施新的组织与技术安全措施

在研究差距并获得预算后，就该着手弥合这些差距了。NIS2 指令要求公司实施适当的组织与技术措施，以管理网络安全风险，并确保其网络和信息系统具备高水平安全性。

这些措施包括：

采用政策和流程，用于风险管理、事件响应、业务连续性、数据保护等。
确立角色与职责，覆盖网络安全治理、监督、协调及其他领域。
提供培训和意识提升计划，面向员工、管理层、客户等对象。
实施基本网络卫生，例如加密、身份验证 (MFA)、防火墙、防病毒软件、补丁修补、零信任访问等。
开展定期测试、监控、审计及其他措施。

实施这些组织与技术措施并非一次性或静态任务，而是需要建立一个持续且动态的流程，以适应不断变化的威胁、技术、法规和业务需求。

因此，这一流程同样适用我们此前讨论过的建议：越早开始，就越有时间实施必要措施，并确保其有效性和效率。

我建议最迟从 2024 年 1 月开始实施，这样您就能在暑期假期前做好准备。

NIS2 指令实施的后续步骤

为实施组织与技术措施，您可以采取的一些步骤包括：

制定并实施基于风险的管理流程，定义网络安全风险管理的目标、范围、角色、职责、资源、时间表和指标。
实施安全政策，确立用于保障网络和信息系统安全的原则、指南、标准和流程。
开展风险评估，识别您的资产、威胁、漏洞、影响以及网络攻击发生的可能性；并根据您的风险偏好和容忍度确定行动优先级。
实施安全控制，保护您的网络和信息系统免受未经授权的访问、使用、披露、修改或破坏。这些控制可分为三类：预防性控制（例如加密）、检测性控制（例如监控）和纠正性控制（例如备份）。
实施事件响应计划，定义用于高效有效响应网络事件的流程、角色、职责、资源、工具和沟通渠道。
实施业务连续性计划，定义在网络相关中断或灾难期间维持或恢复关键业务流程所需的流程、角色、职责、资源、工具和沟通渠道。
实施审查与改进计划，定义用于定期评估、报告和强化网络安全措施的流程、角色、职责、资源、工具和沟通渠道。
实施技术控制，用于资产管理和基本网络卫生。

该指令在第 21 条中对“基本网络卫生”的表述有些笼统，因此我们将在另一篇博客文章中深入探讨。现在，您可以先考虑以下基本安全措施：

MFA。
尽快为操作系统和应用程序打补丁。
保护公共网络上的网络连接。
加密所有驱动器（尤其是可移动驱动器）。
对所有员工实施权限管理和教育。
订阅可提供最新补丁和优先级信息的渠道，例如 Ivanti 的“补丁星期二”网络研讨会。

3. 修复最薄弱环节：安排时间培训每一位员工

NIS2 指令认识到，人为因素对网络安全至关重要，员工往往既是预防或检测网络攻击中的最薄弱环节，也是第一道防线。

该指令要求组织就网络安全问题，为其员工、数字服务用户及其他利益相关方提供充分的培训和意识提升计划。

培训所有员工并非偶发或可选任务，而是需要一个定期、全面的计划，涵盖以下主题：

基本网络安全概念和术语。
常见网络威胁和攻击向量。
网络卫生最佳实践和提示。
面向最终用户进行关联化和简化的网络安全政策与流程。
每位用户在组织网络安全中的角色和职责。
如何报告和响应事件。

需要注意的是，公司内部每个人都应接受此类培训，而不仅仅是 IT 员工。即便是管理层也应接受这项培训。

一项为 Ivanti 开展的调查显示，许多员工甚至并不知道有强制性的网络安全培训。只有 27% 的员工认为自己“非常有准备”在工作中识别并报告恶意软件和网络钓鱼等威胁。6% 的员工认为自己“非常有准备”在工作中识别并报告恶意软件和网络钓鱼等威胁。

在ENISA《NIS Investments 2022》报告中，ENISA 提到，在受访的 OES（基本服务运营商）中，40% 没有面向非 IT 员工的安全意识提升计划。

务必监测哪些人员尚未接受培训，并采取相应行动。培训所有员工不仅有助于合规，也有助于提升生产力、质量、创新能力和客户满意度。

我们能给出的最佳 NIS2 建议

NIS2 指令是一项具有里程碑意义的立法，旨在提升欧盟关键行业的网络安全水平。它对适用范围内的组织施加了重大义务，并对不合规行为设置了高额罚款和制裁。

遵循 NIS2 指令是一项复杂任务，需要主动且全面的方法，涉及多个步骤、利益相关方和资源。

越早开始准备，您在其于 2024 年 10 月生效时就会准备得越充分。

我们能提供的最佳建议是什么？不要等到那时：现在就开始为 NIS2 指令做准备！

NIS2 指令准备工作应立即启动的 5 个原因，第一部分：审计需要时间

Mon, 28 Aug 2023 17:14:55 Z

您可能已经听说过欧盟更新后的《网络与信息安全指令》(NIS2)。该指令将于 2024 年 10 月转化为正式生效的法律。您应提前做好准备，因为不合规将面临高额罚款和制裁。

但您也许会认为 2024 年 10 月还很遥远，对吗？请再慎重考虑。

毕竟，如果您尚不清楚当前对预计法规的符合程度，又如何判断是否有充足的准备时间？

因此，从现在到 2024 年 10 月，您必须审计当前的网络安全状况。具体而言：

从现在开始识别满足 NIS2 指令要求方面的差距
审查您当前的供应链安全缺陷

在本系列的第二部分中，我将介绍以下为修复审计发现的差距而需要着手处理的三个方面——包括如何：

向管理层说明您的网络安全差距。
正确实施新的组织和技术安全措施。
安排时间培训所有员工。

1. 从现在开始识别满足 NIS2 指令要求方面的差距

《NIS2 指令》是欧盟范围内的网络安全立法，通过法律措施提升欧盟整体网络安全水平。它对现有法律框架进行了现代化更新，以适应日益提升的数字化程度和不断演变的网络安全威胁格局。

该指令将网络安全规则的适用范围扩展至新的行业和实体，从而提升公共和私营实体、主管机构以及整个欧盟的韧性和事件响应能力。

NIS2 指令提出了更严格的网络攻击韧性措施，旨在最大限度减少漏洞并提升网络防御能力。

要遵守 NIS2 指令，您必须：

评估您的网络安全态势，并识别可能使您暴露于网络风险的任何差距或薄弱环节。
对照映射您的现有政策、流程和控制措施与该指令要求，确定需要改进或更新的方面。
评估您的事件响应能力和报告机制，并确保其符合该指令的标准。

NIS2 的一个主要问题在于，它告诉您应该做什么，但没有说明应该如何去做。幸运的是，多个框架可以帮助您解决“如何做”的问题，包括：

在比利时，CCB 创建了 Cyberfundamentals Framework，该框架基于多个框架，并引用说明了这些框架的不同部分与 GDPR 和 NIS2 之间的关系。

选择框架后，您必须识别差距，并将其与所选框架和该指令的要求进行对照。识别差距并不是一项简单或快速的任务；它需要对组织的网络安全成熟度和准备情况进行全面且系统的分析。

您不仅需要检查网络安全战略和政策，还需要开展风险分析，找出最关键的资产及其带来的网络安全风险，然后考虑采取安全控制措施，降低这些关键资产的风险评分。

越早启动这一流程，您就有越多时间获得解决任何问题和实施必要变更所需的预算。

NIS2 环境中可能存在的差距

您的环境中可能会遇到的一些差距包括：

缺乏全面的网络安全战略或政策，无法覆盖风险管理、事件响应、业务连续性、数据保护等所有方面。
缺乏专门的网络安全团队或职能，无法监督、协调和监控整个组织内的所有网络安全活动和举措。
缺乏充分的安全控制措施，无法保护您的网络和信息系统免遭未经授权的访问、使用、披露、修改或破坏。
缺乏定期测试或审计，无法确保您的安全控制措施有效并符合该指令的要求。
缺乏适当的培训或意识提升计划，无法让员工、管理层、其他雇员或其他利益相关者了解网络安全问题和最佳实践。
缺乏清晰的沟通或报告渠道，无法就影响您服务的任何事件或泄露情况通知相关主管机构或相关方。

帮助您的环境符合 NIS2 的潜在安全解决方案

要识别并修复这些安全差距，您可以：

运行差距分析框架或模型，帮助您比较当前状态与目标状态，并识别需要改进的领域。
实施网络安全成熟度模型或标准，帮助您衡量网络安全绩效和进展水平。
开展风险评估，以识别您的资产、威胁、漏洞、影响以及发生网络攻击的可能性。
请求外部审计或评估，帮助您验证合规状态并识别任何薄弱环节或缺陷。

2. 审查当前供应链安全缺陷，并留出足够时间与供应商协同行动

NIS2 指令还引入了关于供应链安全的新规定（第 0 章第 54、56 点），承认网络威胁可能源自第三方提供商或分包商。

该指令要求组织确保其供应商遵循适当的安全标准和实践（第 21-2d 条），并定期监控其绩效和合规情况（第 21-3 条）。

这并非没有原因。供应链攻击正在增加：

在BlackBerry 研究中，2022 年对 1,500 多名 IT 决策者的调查显示，五分之四的受访者表示，他们在一年内曾收到供应链中存在攻击或漏洞的通知。77% 的受访者表示，他们发现了此前并不知晓的软件供应链中的隐藏参与者。

Accenture 研究还显示，40% 的安全漏洞是间接发生的，即通过供应链发生。

因此，保护供应链安全至关重要，有助于确保业务连续性、韧性、声誉和信任。

但在 Ivanti 的Press Reset：2023 年网络安全状态报告中，我们发现，在接受调查的 1,300 多名高管领导者和安全专业人士中，只有 42% 表示他们已做好防范供应链威胁的准备，尽管有 46% 的人认为这是高级别威胁。

供应链威胁不仅来自针对解决方案提供商的攻击，例如Okta、Kaseya或SolarWinds，也可能来自直接连接到您的 IT 基础设施或能够登录其中的合作伙伴。

此外，也不要忽视针对资源供应商的攻击：这些攻击可能使供应商瘫痪，无法交付您自身运营所需的某些资源。您必须做好准备，并拥有可用的备用供应商，以便在主要供应商因网络攻击或其他原因无法运作时，由备用供应商提供这些资源。

供应链安全是一个复杂且具有挑战性的问题，涉及多个参与方、依赖关系和相互连接，无法一蹴而就。

您需要：

建立清晰透明的沟通渠道，与供应商沟通，并明确您在网络安全方面的期望和义务。
开展定期审计和评估，审查供应商的安全实践，并验证其是否符合该指令的要求。
建立应急计划和备用解决方案，以应对供应链中断或受损的情况。

此外，您必须尽快开始与供应商接洽，并与其协作，确保供应链安全且具有韧性。

NIS2 下的供应链安全挑战

在保护供应链安全方面，您可能面临的一些挑战包括：

缺乏可见性或透明度，无法了解供应商的安全实践、政策或事件。
缺乏信任或合作，无论是在供应商之间，还是在您与供应商之间。
缺乏一致性或协调一致，体现在整个供应链的安全标准、要求或期望方面。
缺乏资源或能力，无法监控、审计或验证供应商的安全绩效或合规情况。
缺乏应急计划或备用解决方案，无法缓解供应链中断或受损造成的影响，或从中恢复。
缺乏信息，无法明确您对供应商安全实践的期望。

NIS2 的供应链安全解决方案

要克服这些供应链安全挑战，您可以：

与供应商建立明确的合同或协议，其中规定其安全义务、责任和法律责任。
制定通用的安全标准、指南或框架，适用于供应链中的所有供应商，并与该指令的要求保持一致。
实施安全控制措施、措施或工具，使您能够跟踪、监控或验证供应商的安全活动、事件或合规状态。
创建联合安全团队、委员会或论坛，促进供应商之间或您与供应商之间的信息共享、协作和协调。
建立信任和相互理解，通过定期沟通、反馈和认可来实现。

NIS2 指令审计完成后，下一步是什么？

既然您已经确定了当前相对于 NIS2 指令的状态，现在就应实施关键变更，以确保在 2024 年 10 月前实现合规。我确信，要解决审计发现的差距，您需要充分利用现有的全部时间，甚至可能还不够，才能赶在法规在贵国正式实施之前完成。

但您如何才能及时、系统地解决这些差距？我们将在下一篇博客文章中讨论为 NIS2 所需的三个安全变更领域，并探讨如何：

向管理层说明您的网络安全差距。
正确实施新的组织和技术安全措施。
安排时间培训所有员工。