构建全面IT安全规划

　　《构建全面IT安全规划》：　　这种方法可以类比成一个美国足球队。如果一个团队在运行之前就准确地宣布他们打算运行哪一场比赛，他们会有多成功呢？答案是没有团队能够成功地做到这一点，但这正是那些使用合规性要求来构成其信息安全计划基础的组织所发生的事情。　　一旦罪犯窃取了信息，他们会如何利用它呢？互联网还有很多不为人知的一面。一般称为暗网。你不能使用普通的浏览器，如Firefox、Internet Explorer、Safari或谷歌Chrome访问它，所以对大多数用户来说，它是看不见也想不起来的。事实上，由于这是一个充满犯罪分子的非常危险的地方，使得全球执法机构非常感兴趣，除非有正式理由，否则守法公民不宜进入。仅仅是访问这个网络就可能使用户暴露在执法部门日益严格的审查之下。那么这里发生了什么呢？总之，就是各种非法活动。暗网是世界上*大的黑市，在这里，用来买卖被窃取的身份和金融信息。　　对于未受过训练的用户来说，有一些用于宣传被盗信息的语言是无法识别的，但这些语言可以完整描述信息以及信息是否经过验证，甚至可以向买家保证，信息会像广告中说的那样有效。犯罪分子还在这个网络上购买和销售恶意软件和漏洞，以及其他非法虚拟内容，如儿童色情。暗网是黑暗的、肮脏的及非常令人不安的。我不建议访问暗网，但了解它的存在很重要，这使人们认识到任何东西都可以在互联网上买卖。如果商品和服务是合法的，它们通常在正常的互联网进行交易；如果它们是非法的，它们通常在暗网进行交易。　　通常情况下，当信息遭到泄露时，组织不会自己发现，而是由执法机构告知。许多人想知道美国联邦调查局（FBI）怎么会知道，而该组织却不知道。从本质上说，FBI是在监控暗网，当他们看到可以确认来自特定来源的信息时，他们会通知受害者。通过比较有组织犯罪与间谍活动之间的主要区别，会让我们对有组织犯罪有更多的了解，即有组织犯罪分子更多的是打算通过出售信息并从信息中获利，而间谍的工作是为了专用的目的而被委托的，并且被盗信息很少在公开市场上出现。　　我经常告诉我的客户，如果你没有测试你的网络漏洞，你是唯一一个不知道你漏洞的人。扫描漏洞是相对便宜和匿名的，这使组织很容易识别他们是否易受已知漏洞的攻击。类似地，攻击者也很容易通过搜索活动来做同样的事情。成熟的安全方案不仅包含安全评估程序，而且还应该具有当对漏洞进行未经授权的扫描时，能够识别的机制。遗憾的是，正如我们的案例研究中强调的那样，尽管已知漏洞的补丁可以免费获得，并且可以轻松实现，但许多组织没有采取必要和基本的措施来确保他们不易受到已知漏洞的攻击。与间谍和国家这类威胁源不同，一旦有组织犯罪分子窃取了他们需要的信息，他们不在乎他们的攻击是否被发现。事实上，他们很高兴有人关注他们的成功攻击，这样他们可以重新包装自己的漏洞，并将其出售给不太老练的攻击者使用。这通常被称为“商品化恶意软件”或“商品化漏洞”。　　有组织犯罪集团和间谍组织之间的攻击情况也有相似之处，特别是在处理更为复杂的有组织犯罪集团时。将资金充足和复杂的有组织犯罪组织与间谍和民族国家区分开来的关键在于他们所瞄准的信息类型、他们找到信息后打算如何处理这些信息，以及攻击对攻击者造成的总体成本。例如，高级集团通常利用搜索和社会工程方面的攻击，以增加被确定为可能是高价值目标的组织的成功机会，但不太可能像间谍和国家那样，投入必要的资源来发展或购买真正的零日攻击。　　当有组织犯罪活动从社会工程练习开始时，大多数攻击使用电子邮件，而且通常针对不太精明的用户，因为有组织犯罪的攻击通常不需要间谍和国家成功攻击所需要的访问级别。有时候，他们根本就不会针对他们预期的受害者的员工，而是将重点放在那些安全方案不太成熟的合作伙伴上，他们可能会访问属于其预期目标的网络和资源。间谍和国家针对具体的特定信息，他们会不计代价地不遗余力地试图破解这些信息，而有组织罪犯更有可能将一类可以获得利润的信息作为目标，通常会采取阻力*小、成本*低的途径来获取他们的目标信息。因此，对于那些将自己定位为有组织犯罪潜在目标的组织来说，拥有一个成熟的第三方管理和审计程序是非常重要的。诸如美国国家标准与技术研究院（NIST）和ISO 27001这样的许多标准，至少为第三方应如何管理确立了指导方针，并可作为组织构建其计划的起点。在讨论后续章节中的安全连续性时，我们将探讨一些组织如何建立第三方管理计划，以确保系统安全性，从而增强与他们交互的每个人的安全状态。　　一旦获取证书，攻击本身通常从单一的身份验证服务器启动，攻击者在整个环境中自由移动，发送恶意包或手动开始数据外泄。而实行多重认证则大大提高了有组织犯罪分子想成功入侵系统所需的犯罪成本，这样他们可能选择较易攻击的目标。如果给予无限的时间和资源，绝大多数的安全屏障都可能被攻破，但对于有组织犯罪而言，我们不需要比熊跑得快，只需超过我们同组人中*慢的就行了。在涉及动态战斗的军事反恐行动中，展现实力以降低攻击的可能性或增加攻击部队的风险因素是*佳做法。这并不意味着攻击不会成功，只是意味着恐怖组织可能会寻找一个较易攻击的目标，以增加成功的可能性，同时减少人员伤亡。在网络战中，当对付一个以营利为目的的犯罪企业时，展现实力也同样有效。　　……