自我意识很重要时自动安全控制评估

自动化安全控制评估通过验证安全控制的正确、一致配置来增强安全态势，而不仅仅是确认其存在。

网络对手利用软件漏洞占据了过去几个月的头条新闻（例如，Ivanti EPMM 缺陷、Points.com、BeyondTrust、PaperCut NG/MF、Microsoft Power Platform），让人认为这些是许多问题的主要原因。今天的数据泄露事件。然而，根据2023 年 Verizon 数据泄露调查报告，利用漏洞作为威胁行动“在事件中保持稳定，但实际上在违规行为中并不那么突出，从 7% 下降到 5%。” 尽管如此，利用软件漏洞仍然是攻击者未经授权访问组织的三种主要方法之一，其中盗取凭据和网络钓鱼是最主要的方法。这就提出了一个问题：组织应该采取什么措施来最大程度地减少风险。

大多数安全从业者都意识到，有效的漏洞管理计划是任何组织网络安全计划的基石，因为他们知道，如果软件漏洞未被识别和解决，可能会导致他们的业务瘫痪。然而，整个组织的技术进步（例如数字化、云采用）、不断增长的员工数量及其相关工作地点以及 IT 环境的整体复杂性，通常会阻碍软件漏洞的及时检测和修复。

例如，根据 2023 年弹性指数 ( PDF )，超过 80% 的设备使用 Microsoft® Windows® 操作系统，其中绝大多数使用 Windows 10。这可能看起来同质且易于管理；然而，现实情况是，IT 从业人员正在努力使员工的端点保持最新状态，有 14 个不同的版本以及 800 多个版本和补丁。IT 和安全团队必须处理的复杂性是设备上安装的应用程序的数量。根据同一份报告，平均企业设备上安装了 67 个应用程序，其中 10% 的设备安装了 100 多个应用程序。

企业设备上安装的应用程序数量庞大，而且操作系统版本和版本也多种多样，因此 IT 和安全团队很难维护这些应用程序或对其进行修补。这种情况会对他们最大限度地减少已知漏洞暴露的能力产生负面影响。反过来，小型企业平均需要 149 天、中型和大型企业平均需要 151 天、超大型组织平均需要 158 天来修补端点操作系统也就不足为奇了。

因此，根据澳大利亚、新西兰、英国、加拿大和美国政府机构（所谓的五眼机构）的说法，威胁行为者在 2022 年主要针对面向互联网的系统，这并不奇怪。未针对旧的已知漏洞进行修补，包括已公开存在的漏洞利用工具包的缺陷。

成功漏洞管理的障碍

当谈到传统漏洞风险管理计划的有效性时，挑战往往源于以下几个方面：

缺乏可见性：无法修复你看不到的东西。IT 和安全从业人员正在处理所有计算环境中的大量资产（例如端点、服务器、物联网设备），并且每种资产都可能以多种方式遭到破坏。问题是大多数漏洞扫描器不能连续工作。如果您没有持续、实时地监控和分析您的攻击面，您就会陷入盲点并延迟反应时间。
缺乏自动化：有许多手动步骤——从漏洞扫描和检测到验证、影响分析和修复——所有这些都可能消耗 IT 团队高达 40% 的资源。反过来，漏洞管理工具通常被用作记录行业标准和政府法规合规性的手段。

缺乏背景：太多的公司仍然依赖漏洞评分，但这些评分与已经存在的威胁无关，或者完全反映了现有的所有漏洞。糟糕的密码卫生——使用弱密码或默认密码、重复使用密码以及不正确存储密码——也是一个漏洞。错误配置、加密问题和员工的危险在线行为也是如此。

缺乏对有效性的洞察：不幸的是，许多安全解决方案（包括漏洞管理工具）缺乏监控自身完整性或健康状况的能力，常常将组织的投资变成货架软件。虽然安全应用程序的健康状况可能确实会受到错误实现、集成不良和维护乏善可陈的影响，但更常见的是常见的衰退、软件冲突、无意删除或恶意操作会影响安全应用程序的完整性和有效性。

为了真正改进安全流程，需要持续收集和分析相关数据以评估控制的有效性。如上所述，在不知道安全应用程序的健康是否受到危害的情况下，组织不可能有能力对恶意行为、冲突、漏洞或软件损坏做出反应。反过来，我们看到了强化法规（例如 PCI DSS、NIST SP 800-137）的引入，这些法规规定了安全控制的持续诊断，并且领先的分析公司 Gartner 承认自动安全控制评估 (ASCA) 作为新兴类别的重要性其 2023 年端点安全技术成熟度曲线。

Gartner 表示，“ASCA 流程和技术专注于分析和修复安全控制中的错误配置。” 这些新工具有助于“减少组织因安全配置偏差、默认设置不佳、为降低误报率而进行的过度调整以及管理人员高流动率而导致的攻击面。”

组织需要从单纯检测转变为在 IT 安全漏洞被利用之前更快地进行修复。为了实现这一目标，IT 从业人员必须建立一个持续的流程来解决安全漏洞。成功的漏洞管理计划以及任何其他已部署的安全应用程序的有效性的一个关键要素是自动安全控制评估的概念。它通过验证安全控制的正确、一致的配置来帮助增强安全态势，而不仅仅是确认它们的存在。这种方法将提高员工效率并增强面对组织复杂性时的网络弹性。