適用于任何公司的網(wǎng)絡(luò)安全架構(gòu)
1.第一等級:基礎(chǔ)級
圖片
優(yōu)勢
可防范基本有針對性的攻擊，使攻擊者難以在網(wǎng)絡(luò)上推進。將生產(chǎn)環(huán)境與企業(yè)環(huán)境進行基本隔離。
劣勢
默認(rèn)的企業(yè)網(wǎng)絡(luò)應(yīng)被視為潛在受損。普通員工的工作站以及管理員的工作站可能受到潛在威脅，因為它們在生產(chǎn)網(wǎng)絡(luò)中具有基本和管理員訪問權(quán)限。
在這方面，任何工作站的妥協(xié)理論上都可能導(dǎo)致以下攻擊向量的利用。攻擊者侵入企業(yè)網(wǎng)絡(luò)的工作站，然后攻擊者要么提升在企業(yè)網(wǎng)絡(luò)中的權(quán)限，要么立即利用之前獲得的權(quán)限攻擊生產(chǎn)網(wǎng)絡(luò)。
攻擊向量保護 安裝最大數(shù)量的信息保護工具，實時監(jiān)測可疑事件并立即響應(yīng)。
2.第二等級:初步安全實踐
圖片
優(yōu)勢
企業(yè)網(wǎng)絡(luò)中有更多的網(wǎng)絡(luò)段。 對生產(chǎn)網(wǎng)絡(luò)的主要支持基礎(chǔ)設(shè)施進行完全復(fù)制，如：
- 郵件中繼;
- 時間服務(wù)器;
- 其他服務(wù)(如果有)。
更安全的軟件開發(fā)。建議至少實施DSOMM1級的DevSecOps，這需要引入密碼、令牌、加密密鑰、登錄名等單獨的機密存儲，以及用于SAST、DAST、模糊測試、SCA和其他DevSecOps工具的附加服務(wù)器。在企業(yè)段的支持基礎(chǔ)設(shè)施出現(xiàn)問題時，這不會影響生產(chǎn)環(huán)境。對于攻擊者來說,破壞生產(chǎn)環(huán)境要更困難一些。
3.第三等級:高度采用安全實踐
該級別需要公司管理層(首席執(zhí)行官)了解網(wǎng)絡(luò)安全在公司生命中的作用。信息安全風(fēng)險成為公司運營風(fēng)險之一。根據(jù)公司規(guī)模,信息安全部門的最小規(guī)模為15-20名員工。
圖片
優(yōu)勢
實施安全服務(wù)，如：
- 安全運營中心（SIEM，IRP，SOAR，SGRC）
- 數(shù)據(jù)泄漏防護
- 釣魚保護
- 沙盒
- 入侵防護系統(tǒng)
- 漏洞掃描器
- 終端保護
- Web應(yīng)用防火墻
- 備份服務(wù)器
劣勢
信息安全工具和信息安全專業(yè)人員的高成本。
4.第四等級:大規(guī)模高級安全實踐部署
每個生產(chǎn)和企業(yè)服務(wù)都有自己的網(wǎng)絡(luò)：一級、二級、三級。
生產(chǎn)環(huán)境是從隔離的計算機訪問的, 每臺隔離計算機不具有:
- 除了通過VPN從遠程公司筆記本電腦以外的任務(wù)地方進入傳入訪問。
- 出站訪問公司網(wǎng)絡(luò): 無法訪問郵件服務(wù),不可能受到魚叉式網(wǎng)絡(luò)釣魚的威脅; 無法訪問內(nèi)部站點和服務(wù),不可能從受感染的公司網(wǎng)絡(luò)下載木馬。
破壞隔離計算機的唯一方法是破壞生產(chǎn)環(huán)境。因此，成功入侵計算機（即使是通過網(wǎng)絡(luò)釣魚）也將阻止黑客訪問生產(chǎn)環(huán)境。
實施其他可能的安全服務(wù)，例如：
- 特權(quán)訪問管理；
- 內(nèi)部網(wǎng)絡(luò)釣魚訓(xùn)練服務(wù)器；
- 合規(guī)服務(wù)器（配置評估）。
圖片
優(yōu)點
實施安全服務(wù)，例如：
- 特權(quán)訪問管理；
- 內(nèi)部網(wǎng)絡(luò)釣魚訓(xùn)練服務(wù)器；
- 合規(guī)服務(wù)器（配置評估）；
- 強有力地保護生產(chǎn)環(huán)境免受魚叉式網(wǎng)絡(luò)釣魚的侵害。
現(xiàn)在攻擊者將無法攻擊生產(chǎn)網(wǎng)絡(luò)，因為現(xiàn)在企業(yè)網(wǎng)絡(luò)中潛在受感染的工作站基本上沒有對生產(chǎn)的網(wǎng)絡(luò)訪問權(quán)限。相關(guān)問題：
- 用于訪問生產(chǎn)網(wǎng)絡(luò)的獨立工作站 - 是的，桌面上將有 2 臺計算機；
- 用于生產(chǎn)網(wǎng)絡(luò)的其他 LDAP 目錄或域控制器；
- 防火墻分析儀、網(wǎng)絡(luò)設(shè)備分析儀；
- 網(wǎng)絡(luò)流量分析器。
缺點
現(xiàn)在，如果需要訪問生產(chǎn)網(wǎng)絡(luò)，桌面上將有 2 臺計算機。
