安全管理四项基本原则

网络安全没必要十分昂贵，也不需要太过复杂。是的，有很多极好的产品、服务和咨询顾问供你选择，备战黑客、内部威胁、数据泄露和恶意软件也不应该成为一家公司首要考虑的问题。如果没找准培育网络安全的土壤，新奇的技术并不能帮你什么。关于网络安全，我们来谈谈一些人们极少问到的问题吧。或许就是因为这些问题都太基本，因此才没被认真考虑吧。

我们都知道：如果某人彻夜开着车库门，那他装了再好的家庭安防系统都没用;车钥匙插着，车窗开着，那再贵的汽车报警器也帮不了你。下面我们列出能够反映安全管理基础的4个问题。你的答案将帮你设立坚实的安全态势基础。

1. 网络安全策略是最新的吗?

创建全面安全策略的过程有可能是一场噩梦。无穷无尽的相关利益方开会，想方设法协调IT和生产线管理，在核准过于宽泛的策略和指定海量细节以致策略最终难以实现之间来回打转。这还不算完，还得顶着要让员工和不耐烦的经理们尽量方便的巨大压力把策略制订得尽可能宽松。

就像追购时髦新款智能手机却在第二天发现比它酷一倍的更新换代产品，安全策略真正完工的时候基本也就离过时不远了。

应用已退出现役，应用访问端口却依然开放。IT部门尚未确认，新用例就已部署。新预置应用上线，部分生产部门却与云服务提供商签订影子合同。以上这些事例都包含在安全策略里了吗?尽管可能比较痛苦，安全策略依然必须保持最新状态，不仅要有常规审查制度，还要有在安全配置发生改变之前积极修正安全策略的机制。

2. 安全配置改变是由安全策略驱动的吗?

同样地，各种领域都有安全相关的配置改变被应用到全网的情况。像是思科或稳捷网络出品的防火墙和入侵检测/预防系统(IDPS)是一个领域;AlgoSec或Firemon出品的变更管理系统是另一个。

不过，网络安全所占的比重还是比单纯的防火墙要大一些。公司需要对像Oracle或微软Exchange这样的服务器进行策略配置;Firebase或Okta身份识别系统、网络路由器和Wifi接入点、虚拟专用网服务器(VPN)、云应用，当然，还有本地文件和应用程序服务器，都是需要进行策略配置的。

除了为适应新员工或项目所做的常规增删改动，安全设置的任何改变都应该是策略驱动的。但凡一个应用上线、下线，或进入网络中另一个安全区域，要做的第一步都应该是将之记录进安全策略中，并检查是否冲突或矛盾。然后，只有在对策略的改变被充分理解并通过的情况下，管理员才可以对防火墙、访问控制列表、虚拟局域网(VLAN)配置及其他配置做出调整。

3. 繁重的重复和敏感性任务是自动完成的吗?

好吧，假设针对新应用的网络访问安全策略已经被更新了，策略调整也已经被核准了。但是，哎呀妈呀，负责对23个防火墙进行策略调整的管理员在其中一个防火墙上犯傻了!也许是加了条错误的规则，可能是把对的规则改错了。无论哪种情况，都会造成不良后果。

后果之一：应用无法使用，或用户无法访问关键应用。找出问题根源也许需要花点时间，但最终总能把问题解决掉。更严重的后果是可能会引入新的安全漏洞，造成数据泄露或网络被渗透。你有可能根本找不到疏漏在哪儿。

解决方案：自动化。采用自动化工具在硬件、软件和基础设施上实现安全策略修改，你可以得到好太多的正确修改保证。管理员不仅可以复查日至确保每个修改都被正确实施，自动化包也可以在更新失败时弹出警告。很多情况下，自动化系统都能周期性地根据安全策略检查设备设置，记录下偏离安全策略的地方，然后修复这一情况。通过自动化，策略才能真正驱动安全部署。

4. 有人监管吗?

防火墙、路由器、应用服务器，这些设备上安全设置的意外误配置有可能会造成巨大的损失，尤其是误配置引入了非预期的安全漏洞的情况下。万一误配置并不是意外呢?我可不是有意中伤你的IT员工，有经验的管理员在网络上开个后门并不难。没人能承担这样的后果。

如上文提及的，最好的解决方案之一，就是自动化。如果不能手动修改安全参数，甚至不能直接触及安全设置，想要犯错或危及网络防御就相当难了。不过，提升了管理权限的恶意用户还是能够搞破坏的。

我们需要的是：对硬件、软件和安全配置的所有改变进行记录的日志，并且此日志不能被拥有修改网络权限的管理员访问，具有防篡改特性。总之，我们不能让人随便修改或删除日志。另一个有效方法是设置上层管理警报，只要安全权限发生非授权改变，上层管理人员就能及时做出响应。这种情况下，保证信息透明度是最好的策略。

那么，你的答案是?

想让网络更加安全的需求是永无止境的，它诱使人们持续寻找新的工具和技术。当然，我们需要先进的资源来阻止分布式拒绝服务(DDoS)攻击、顽强的黑客和内部数据盗窃。但那只是问题的一部分——剩余的部分是要确保我们的安全策略和IT团队在照管我们的安全基本面。在你向安全顾问发送下一份征求意见书之前，先确保你已经回答了以上4个问题吧。