相信每家企業(yè)都有安全預(yù)算，但這些錢(qián)是不是花在點(diǎn)子上了？恐怕沒(méi)有一個(gè)精確的衡量指標(biāo)，要想花費(fèi)有的放矢就要知己知彼，否則就是花了冤枉錢(qián)。

數(shù)字化是比精算賬 企業(yè)安防別花冤枉錢(qián)

安全投入回報(bào)難覓

由微軟聯(lián)合調(diào)研機(jī)構(gòu)公布的一項(xiàng)數(shù)據(jù)顯示，2019年全球的網(wǎng)絡(luò)安全市場(chǎng)整體規(guī)模超過(guò)1240億美元，但另一項(xiàng)數(shù)據(jù)卻是全球企業(yè)用戶因網(wǎng)絡(luò)攻擊所損失的資金達(dá)到1萬(wàn)億美元。與此同時(shí)，這些企業(yè)對(duì)于安全投入的信心也在日益衰退，更多的企業(yè)宣傳并沒(méi)有在投入中看到應(yīng)有的效果。

企業(yè)預(yù)防要自知

對(duì)于企業(yè)CIO來(lái)說(shuō)，云安全依然是重大挑戰(zhàn)。賽門(mén)鐵克的調(diào)研數(shù)據(jù)顯示，企業(yè)CIO對(duì)企業(yè)所采用的云應(yīng)用數(shù)量并不了解。當(dāng)被問(wèn)及這一問(wèn)題時(shí)，大多數(shù)受訪者認(rèn)為自身企業(yè)所采用的云應(yīng)用數(shù)量最多為40個(gè)，但企業(yè)的實(shí)際應(yīng)用數(shù)量已接近1000個(gè)。

這種認(rèn)知上的差距，可能會(huì)令員工在未采取足夠政策和流程的情況下使用云端技術(shù)，增加使用云端應(yīng)用程序的風(fēng)險(xiǎn)。賽門(mén)鐵克預(yù)計(jì)，云中的安全風(fēng)險(xiǎn)正在逐漸加大，除非CIO能夠嚴(yán)格控制企業(yè)內(nèi)部所使用的云應(yīng)用，否則未來(lái)將面臨嚴(yán)重的安全威脅。

誰(shuí)也不敢保證完全安全

此外，安全人員也很難明確在安全投資上帶來(lái)的回報(bào)。相較被攻擊之后的疲于應(yīng)對(duì)，有完善的安全機(jī)制無(wú)疑要更好。有些人可能會(huì)選擇大規(guī)模部署網(wǎng)絡(luò)基礎(chǔ)設(shè)施，但這種辦法只能拖延黑客的攻擊進(jìn)度，并不能解決問(wèn)題。與之相比的話，還不如去“屏蔽”那些區(qū)域性或者說(shuō)臨時(shí)性的地址段，減少受攻擊的風(fēng)險(xiǎn)面。

從表面上看， 雖然通用型的勒索軟件攻擊有下降的趨勢(shì)，但這些威脅卻變得更有針對(duì)性。對(duì)于很多安全事件來(lái)說(shuō)，沒(méi)有及時(shí)安裝補(bǔ)丁和釣魚(yú)類的電子郵件仍是主要漏洞。近年來(lái)，電子郵件已經(jīng)成為網(wǎng)絡(luò)攻擊者實(shí)施感染的首選途徑，對(duì)用戶的安全構(gòu)成了嚴(yán)重威脅。

賽門(mén)鐵克曾指出，電子郵件中包含惡意鏈接或附件的比例為1:131——成為五年來(lái)最高比率。此外，商務(wù)電郵攻擊騙局通過(guò)向用戶發(fā)送精心編排的釣魚(yú)郵件進(jìn)行攻擊——攻擊者每天將超過(guò)400家企業(yè)作為攻擊目標(biāo)，并在過(guò)去三年內(nèi)從企業(yè)中詐騙超過(guò)30億美元。

威脅溯源一直是難題

而沒(méi)有安裝補(bǔ)丁的漏洞則在于，會(huì)為劫持軟件帶來(lái)可乘之機(jī)，黑客通過(guò)發(fā)送的電子郵件、惡意鏈接等附件讓系統(tǒng)感染病毒，也有通過(guò)網(wǎng)絡(luò)腳本運(yùn)行的惡意程序，對(duì)此不少瀏覽器都開(kāi)發(fā)了攔截功能。不過(guò)，黑客又找到了加密劫持的新方式，這種攻擊行為可以秘密運(yùn)行，入侵后會(huì)慢慢消耗系統(tǒng)資源，縮短其運(yùn)行壽命，對(duì)設(shè)備造成連鎖攻擊，而且就算被發(fā)現(xiàn)，在追溯攻擊源頭時(shí)也較為困難。

環(huán)境復(fù)雜性提供難防

隨著黑客攻擊的復(fù)雜性提高，站在安全產(chǎn)品供應(yīng)商的角度，很多銷售人員也難以去評(píng)估某款產(chǎn)品到底能否客戶帶來(lái)何種價(jià)值，專注于應(yīng)用程序的已知良好行為的概念也曾嘗試落地，但挑戰(zhàn)始終在于無(wú)法全面理解應(yīng)用程序。要知道，單一的設(shè)備已經(jīng)無(wú)法對(duì)抗黑客的高級(jí)攻擊，因此很多企業(yè)會(huì)找安全廠商來(lái)進(jìn)行網(wǎng)絡(luò)安全運(yùn)營(yíng)，包括監(jiān)控、分析、響應(yīng)，甚至高級(jí)情報(bào)。

例如在云環(huán)境中，IaaS在敏捷性、可擴(kuò)展性、創(chuàng)新性和安全性等為企業(yè)帶來(lái)優(yōu)勢(shì)，同時(shí)也帶來(lái)了風(fēng)險(xiǎn)，簡(jiǎn)單的錯(cuò)誤即可導(dǎo)致嚴(yán)重的數(shù)據(jù)泄露。傳統(tǒng)控制措施難以與IaaS層面以上的安全控制良好對(duì)接，造成混亂、錯(cuò)誤和設(shè)計(jì)問(wèn)題，用戶無(wú)法高效應(yīng)用控制措施，并忽略新的控制措施。

結(jié)束語(yǔ)

企業(yè)的安全策略要根據(jù)不同的應(yīng)用環(huán)境具有針對(duì)性，并且要明確內(nèi)部的需求到底是怎樣的，否則就難免花了冤枉錢(qián)。