研究顯示，隨著(zhù)遠程辦公人員數量、云計算應用和SaaS化服務(wù)使用量的不斷增加，現代企業(yè)的數字攻擊面也在持續性擴大。盡管這并不奇怪，但值得警惕的是，很多企業(yè)的安全團隊難以跟上數字環(huán)境快速擴張和不斷變化的步伐，缺乏對其有效管理的工具和流程，結果導致了風(fēng)險暴露和安全控制能力之間存在巨大差異。

攻擊面擴大的風(fēng)險和漏洞

數字攻擊面包括了錯綜復雜的在線(xiàn)資產(chǎn)和龐大的數字供應鏈，是網(wǎng)絡(luò )犯罪分子重點(diǎn)關(guān)注的攻擊目標。研究發(fā)現，目前企業(yè)數字環(huán)境中最常見(jiàn)的攻擊面風(fēng)險和漏洞包括以下類(lèi)型：

1、配置錯誤

現代企業(yè)需要快速、輕松、廉價(jià)地擴展數字基礎設施，因此不斷采用新的技術(shù)和產(chǎn)品，并有意將計算和數據擴展到IT部門(mén)的管理范圍之外。這些舉措雖然增強了企業(yè)的業(yè)務(wù)運營(yíng)能力，但也帶來(lái)了新的漏洞。數據顯示，配置錯誤已經(jīng)成為企業(yè)數字化發(fā)展中最普遍的安全隱患和漏洞。連缺乏經(jīng)驗的黑客也可以輕松發(fā)現錯誤配置很容易鉆空子。

事實(shí)上，在許多企業(yè)的網(wǎng)絡(luò )中，還仍然存在大量長(cháng)期未使用的服務(wù)器、系統和應用程序等，這些資產(chǎn)使用過(guò)時(shí)的軟件，缺少甚至完全沒(méi)有日常安全維護，并長(cháng)期暴露在網(wǎng)絡(luò )攻擊者面前。

2、訪(fǎng)問(wèn)控制不足

雖然現代企業(yè)都在不斷完善網(wǎng)絡(luò )應用系統訪(fǎng)問(wèn)的安全性，但攻擊者仍有辦法找到并利用與訪(fǎng)問(wèn)控制授權相關(guān)的漏洞。此外，很多云服務(wù)商的安全措施常常不夠有效，脆弱的云授權方法也難以阻止攻擊者在進(jìn)入云后提升權限，擴大對敏感數據的訪(fǎng)問(wèn)權。由于如今的云服務(wù)具有易用性和簡(jiǎn)單性，這樣很多非專(zhuān)業(yè)技術(shù)人員也可以在云端配置IT應用服務(wù)，但這將不可避免地導致安全性疏忽和錯誤配置。

3、第三方Web應用和系統

Web應用程序中存儲和共享大量敏感數據，包括電子郵件地址、密碼和信用卡號等。這些Web應用程序會(huì )與多個(gè)第三方系統和服務(wù)交互或連接，這無(wú)疑會(huì )進(jìn)一步加大了訪(fǎng)問(wèn)該服務(wù)的攻擊面。攻擊者正在密切關(guān)注數字供應鏈中的攻擊途徑，包括通過(guò)SQL注入攻擊獲得的漏洞、權限配置錯誤以及身份驗證缺陷等，獲得數據訪(fǎng)問(wèn)權限。因此，現代企業(yè)不僅需要保護自己組織的應用程序，每個(gè)相關(guān)聯(lián)的Web應用程序和第三方系統也都需要受到保護。

4、DNS劫持

域名系統（DNS）是互聯(lián)網(wǎng)數據訪(fǎng)問(wèn)的基礎性部分，但由于其在設計時(shí)并未考慮可能的安全風(fēng)險，因此其天然就易受網(wǎng)絡(luò )攻擊。如今，幾乎每家企業(yè)都在其數字供應鏈中使用各種DNS服務(wù)器，因此攻擊者已將DNS服務(wù)器視為非常具有吸引力的攻擊目標，通過(guò)漏洞利用就可以劫持系統，這樣就可以獲得類(lèi)似“內部人員”等級的信任度，并以此輕松發(fā)動(dòng)網(wǎng)絡(luò )攻擊。

5、郵件系統

電子郵件是企業(yè)組織最常用的業(yè)務(wù)溝通方式之一。電子郵件易于訪(fǎng)問(wèn)和使用，這也讓它容易受到網(wǎng)絡(luò )攻擊。每家組織使用不同的內外電子郵件服務(wù)器進(jìn)行日常通信，這意味著(zhù)電子郵件安全保護方面的最佳實(shí)踐會(huì )因公司和服務(wù)商而不同。網(wǎng)絡(luò )攻擊者經(jīng)過(guò)訓練，可以識別易受攻擊的電子郵件服務(wù)器，并發(fā)起企圖接管的活動(dòng)。一旦他們進(jìn)入電子郵件服務(wù)器，就會(huì )向他們能夠接觸到的任何人實(shí)施基于電子郵件的釣魚(yú)攻擊。

6、影子IT

影子IT指組織的員工在未經(jīng)IT團隊批準的情況下使用的信息化技術(shù)，包括系統、軟件、應用程序和設備。近年來(lái)，隨著(zhù)員工在家中使用個(gè)人設備登錄辦公，影子IT大行其道。員工經(jīng)常通過(guò)云存儲來(lái)遷移工作負載和數據，卻不了解相關(guān)的安全標準和風(fēng)險，組織的安全團隊也沒(méi)有給予密切關(guān)注。與此同時(shí)，由于影子IT的性質(zhì)，IT和安全部門(mén)難以對這些設備漏洞進(jìn)行有效的監控和管理，因此往往不能及時(shí)了解安全事件的攻擊過(guò)程。

7、未管理的資產(chǎn)

全球連接互聯(lián)網(wǎng)的計算設備數量達到數十億，增長(cháng)速度驚人，這主要是因為現代企業(yè)數字化轉型發(fā)展的速度之快前所未有。顯然，管理這么多的網(wǎng)絡(luò )連接需要一個(gè)大型的、復雜的、分布式的、專(zhuān)門(mén)構建的基礎設施。而事實(shí)上，在許多企業(yè)的網(wǎng)絡(luò )中，仍然存在大量長(cháng)期未使用的服務(wù)器、系統和應用程序等，這些資產(chǎn)使用過(guò)時(shí)的軟件，缺少甚至完全沒(méi)有日常安全維護，并長(cháng)期暴露在網(wǎng)絡(luò )攻擊者面前。

縮小攻擊面的安全控制措施

安全控制是指企業(yè)為縮小攻擊面、減少網(wǎng)絡(luò )安全威脅、保護敏感數據而實(shí)施的系列技術(shù)措施。它們是為緩解數字化應用的風(fēng)險而設計的。根據近年來(lái)企業(yè)攻擊面管理的最佳實(shí)踐，安全研究人員總結了能夠有效縮小數字攻擊面的10種安全控制措施。

1、縱深防御

在網(wǎng)絡(luò )安全領(lǐng)域中，縱深防御代表著(zhù)一種更加系統、積極的防護戰略，它要求合理利用各種安全技術(shù)的能力和特點(diǎn)，構建形成多方式、多層次、功能互補的安全防護能力體系，以滿(mǎn)足企業(yè)安全工作中對縱深性、均衡性、抗易損性的多種要求。目前，縱深防御已經(jīng)成為現代企業(yè)網(wǎng)絡(luò )安全建設中的基本性原則之一。

2、最小特權原則

最小特權原則（POLP）旨在為每個(gè)用戶(hù)提供僅限于完成任務(wù)所需的系統和數據訪(fǎng)問(wèn)權限，是任何身份和訪(fǎng)問(wèn)管理（IAM）策略中的最佳實(shí)踐。執行POLP意味著(zhù)消除長(cháng)期性的特權使用，特權賬戶(hù)并不可以被無(wú)限制地賦予不需要的管理權限，從特權賬戶(hù)建立開(kāi)始，就需要對其進(jìn)行合理的權限使用限制。在權限提升時(shí)，應該有非常具體的理由才有望批準，還要有約束屬性，比如位置、設備和操作類(lèi)型。

3、最小功能原則

最小功能原則同樣屬于“最小必要”理念的范疇，主要與系統的配置和設計有關(guān)。它并不會(huì )限制用戶(hù)的訪(fǎng)問(wèn)行為，而是將系統的功能限制于進(jìn)行授權活動(dòng)所必需的范圍內，禁止或限制使用和訪(fǎng)問(wèn)任何非必要的服務(wù)和功能。例如，如果某計算設備只安裝必要的軟件應用程序、開(kāi)啟必要的服務(wù)、敞開(kāi)必要的端口，就能夠限制網(wǎng)絡(luò )犯罪分子的潛在攻擊手段，縮小了攻擊面。此外，當系統只有必要功能時(shí)，由于需要更新和修補的軟件更少，因而更容易維護。

4、零信任策略

零信任技術(shù)自從誕生之日起就備受關(guān)注，被認為是網(wǎng)絡(luò )安全技術(shù)發(fā)展的顛覆性創(chuàng )新理念。目前，零信任策略已經(jīng)成為企業(yè)確保網(wǎng)絡(luò )安全有效性、減小攻擊面的最佳實(shí)踐之一。不過(guò)，構建零信任安全并不容易，對于許多企業(yè)來(lái)說(shuō)，零信任的建設需要全面改變架構、流程和安全意識，這不是一蹴而就的改變，而是一個(gè)循序漸進(jìn)的過(guò)程。

5、網(wǎng)絡(luò )分段

網(wǎng)絡(luò )分段與零信任策略密切相關(guān)，企業(yè)應該根據信任級別和數據敏感度將網(wǎng)絡(luò )劃分為更小的隔離區域，并部署嚴格的網(wǎng)絡(luò )訪(fǎng)問(wèn)控制和防火墻以限制網(wǎng)段間通信。它還需要使用VPN等安全連接，以遠程訪(fǎng)問(wèn)敏感數據或系統。通過(guò)將網(wǎng)絡(luò )或基礎設施的不同區域隔離開(kāi)來(lái)，企業(yè)可以為潛在的網(wǎng)絡(luò )攻擊活動(dòng)設置更多障礙。

6、DevSecOps

軟件應用程序應該盡量減少不安全或暴露的代碼，這樣可以減少安全漏洞并降低攻擊者利用漏洞的可能性。在軟件供應鏈安全建設實(shí)踐中，DevSecOps平衡了代碼開(kāi)發(fā)過(guò)程中敏捷和安全的需求，逐漸被行業(yè)接受和認可，加速DevSecOps的落地實(shí)踐，可以成為幫助企業(yè)縮小數字攻擊面的重要抓手。

7、數字資產(chǎn)管理

對于網(wǎng)絡(luò )攻擊者來(lái)說(shuō)，未使用和廢棄的數字化資產(chǎn)都是可供利用的攻擊面，包括計算設備、應用程序和數據存儲庫等。如果這些資產(chǎn)仍然連接了敏感系統和數據時(shí)，情況將更加嚴重。企業(yè)需要有效管理各類(lèi)數字資產(chǎn)，移除不再使用或沒(méi)有必要的資產(chǎn)。此外，系統和應用程序中的冗余功能也會(huì )為攻擊者提供了更多的潛在入口點(diǎn)。消除冗余功能不僅可以減小攻擊面，還可以為用戶(hù)簡(jiǎn)化流程。

8、API安全

在數字化時(shí)代，幾乎所有的企業(yè)都需要依賴(lài)大量API進(jìn)行服務(wù)連接、數據傳輸和系統控制，在此背景下，確保各類(lèi)API的安全應用也變得越來(lái)越重要。然而，有很多企業(yè)還沒(méi)有對API應用存在的安全威脅給予足夠重視，這也導致了攻擊面不斷擴大。企業(yè)應該盡量減少第三方API服務(wù)的使用數量，并確保所有API得到充分保護，這有助于縮小數字攻擊面。

9、補丁管理

未打補丁的軟件系統是攻擊者最常利用的攻擊面漏洞之一，也是最容易應對的漏洞之一。因此，企業(yè)應該采取合適的策略和機制，解決這些缺陷可能造成的安全問(wèn)題。通過(guò)采取正確有效的補丁管理策略，企業(yè)不僅可確保業(yè)務(wù)軟件和底層基礎架構沒(méi)有錯誤和漏洞，還可以循序漸進(jìn)地降低嚴重網(wǎng)絡(luò )安全事件發(fā)生的概率，同時(shí)也有助于企業(yè)進(jìn)行后續的回顧管理和安全審核。

10、網(wǎng)絡(luò )安全意識培養

盡管存在種種技術(shù)漏洞，但人依然是網(wǎng)絡(luò )安全中最薄弱的環(huán)節。企業(yè)可以限制用戶(hù)對某些系統和數據的訪(fǎng)問(wèn)，卻難以阻止員工可能會(huì )犯的每個(gè)人為性錯誤。因此，持續的員工網(wǎng)絡(luò )安全意識培訓是減小數字攻擊面最重要的安全控制之一?，F代企業(yè)中的每一位員工都應該定期接受網(wǎng)絡(luò )安全意識培訓，以識別網(wǎng)絡(luò )釣魚(yú)等攻擊企圖，了解哪些數據很敏感，了解潛在的風(fēng)險和漏洞，并了解如何遵循確保敏感數據安全的最佳實(shí)踐。盡管人為性錯誤難以避免，但能通過(guò)適當的教育和培訓，可以大大降低導致數據泄露危害發(fā)生的可能性。