真相大揭底:最新的13个安全行业神话

互联网 | 编辑: 周黎俊 2013-02-25 00:00:00转载

在IT安全领域,存在一些“安全神话”,它们经常被提到,普遍被接受,然而,其实都是不正确的观念,换句话说,它们只是神话。

安全神话又来了——在IT安全领域,存在一些“安全神话”,它们经常被提到,普遍被接受,然而,其实都是不正确的观念,换句话说,它们只是神话。同去年一样,我们再一次邀请安全专家、顾问、供应商和企业安全管理人员和我们分享他们最喜欢的“安全神话”,以下是我们从中选出的13个神话:

安全神话1:“反病毒软件有效地保护你免受恶意软件侵扰。”

趋势科技CTORaimund Genes认为企业需要使用反病毒软件,否则“审计师会杀了你”。但是反病毒软件不能可靠地抵抗有针对性的攻击,因为在它启动之前,攻击者能够觉察到并确保自己不被反病毒软件发现。

安全神话2:“政府制造最强大的网络攻击。”

SANS新兴安全趋势主任John Pescatore说,大多数的政府发起的攻击,只是重新使用了犯罪分子惯用的方法和资源。美国国防部喜欢炒作来自其他国家的威胁,以提高其预算。可悲的是,针对银行网站(如花旗银行)的拒绝服务攻击本来可以阻止,却没有足够努力去做。而且,几十年来政府间的间谍活动从来不是新闻,美中法俄及其他国家人人有份。

Pescatore还喜欢另外两个神话,关于云计算安全的,而且放一起自相矛盾:一是“云服务永远不会安全”因为他们分享的服务可以随便更改;另一个是“云计算更安全,因为服务商靠这个吃饭”。关于这两个矛盾的神话,Pescatore指出,“很多服务提供商,比如谷歌,亚马逊等,建立云服务不是为企业提供服务或保护他人的信息。事实上,Google通过其搜索服务建立了一个非常强大的云,并大张旗鼓地收集和公开人们的信息。”

Pescatore还拿谷歌和微软基于电子邮件的云服务来举例,迄今已表明,客户数据遭泄露明显是服务商的过错,却被最大程度归因于对客户的钓鱼攻击。而且在处理过程中,企业用户还得努力配合云计算服务商。

安全神话3:“所有帐户都在活动目录并受到限制。”

Tatu Ylonen——SSH发明人和SSH通信安全公司CEO,认为这种误解很普遍,但是大多数企业都创建了——却几乎被人遗忘——应用程序和自动流程使用的多功能帐户,经常通过加密密钥管理而且从不审核。“很多大型企业的情况是,他们有更多的密钥配置访问他们的生产服务器,比他们在活动目录中的用户帐户还要多,”Ylonen指出。“并且这些密钥从不更换,从不审核,也不加以限制。所有身份和访问管理域一般只管理交互式用户帐户,而忽略机器的自动访问。”这些用来自动访问的密钥如果不加以妥善管理,可能会被用于攻击和病毒传播。

安全神话4:“IT安全需要风险管理技术。”

IT-Harvest首席研究分析师Richard Stiennon说,尽管风险管理“已成为公认的管理技术”,事实上“它侧重于一个不可能完成的任务:确定IT资产和评定它们的价值。”不管如何,这只是个尝试,它“不会反映出攻击者目标所拥有的知识产权的价值。”Stiennon解释说,“唯有威胁管理能真正提高企业对抗针对性攻击的能力,而且需要深入理解对手以及他们的目标和方法。”

安全神话5:“应用安全总有‘最佳做法’。”

WhiteHat Security(白帽安全)公司CTO Jeremiah Grossman说,安全专家通常主张“最佳做法”,这被认为是“普遍有效”和值得投入,因为 “人人通用”。这些做法包括软件培训,安全测试,威胁建模,Web应用防火墙,甚至上百种做法。但是他认为这通常忽视了每个实际操作环境的独特性。

安全神话6:“零日漏洞是‘生命周期的一部分’,无法预测也无法有效应对。”

零日漏洞攻击针对的是大部分人不知道的漏洞——Rapid7 CSO兼Metasploit 渗透测试工具作者H.D. Moore对此有不同看法:“安全专业人士其实可以做好预测避免问题。”如果企业依赖任何“不可能”有功能缺陷的软件,应该有预案应对未知的风险(一旦该软件出现安全漏洞)。选择性授权和限制软件的权限都是很好的策略。他提到广受欢迎的博客平台WordPress。表明上看,“WordPress多糟糕,看看到现在曝出多少漏洞。”但是他说,“软件缺陷的深厚历史可以看作是一个软件越来越受欢迎的自然结果。”Moore得出这样的结论,“与此相反,相比至今广为人知且一直被审计的应用程序,几十种尚未有公开漏洞的软件反而非常不安全。”总之,一个软件公布的安全漏洞数量,是衡量这个软件最新版有多安全的重要的度量标准。

安全神话7:“遵循北美电力可靠性协会的关键基础设施保护(CIP)的要求,美国电网受到很好的保护。”

Joe Weiss是Applied Control Solution(应用控制解决方案)的合伙人,他认为这是一个神话,因为CIP是基于行业本身而制定,仅适用于分散的电力配送,而不是整个配电系统,而且还需满足特定的发电规模。美国“80%”的发电量没有在CIP的监管之下。

安全神话8:“合规即安全。”

PCI安全标准委员会总经理Bob Russo说,企业普遍认为只要他们的支付卡符合安全规则,他们就是“一劳永逸”地安全了。但是检查盒子的合规性仅体现“一次的印象”,而安全是一个持续的过程,关系到人、技术和流程。

安全神话9:“安全是首席信息安全官的事。”

Phil Dunkelberger,初创企业Nok Nok Labs总裁兼CEO。他说CISO会因为数据泄露而遭到指责,大概因为他们的工作是制定相应的规则,和开展相关的技术课程。但是公司的其他人,特别是IT操作人员,也应该有“安全职责”意识,并且他们应当承担更多的责任。

安全神话10:“移动设备比PC安全。”

RSA大会程序委员会主席Hugh Thompson博士反驳说,这是“经常发生的想当然”看法。虽有一定的可取之处,但它低估了PC上传统安全防护措施的能力,比如隐蔽密码和URL预览,至今没有用在移动设备上。“因此,尽管移动设备仍比笔记本电脑或台式机提供了更多安全措施,但传统的安全措施被破坏的话,你将处于易受攻击的境地。”

安全神话11:“你可以100%安全,但你必须牺牲个人时间。”

初创公司Cylance总裁兼CEO Stuart McClure提醒大家,不需要花费自己的精力去打击网上的坏人,我们要“把事情推给政府。”了解那些坏家伙们就可以了,“预测他们的行动,他们的工具”,并“深入到他们的皮肤下”。

安全神话12:“时间点安全即可保证你阻止恶意软件的需要。”

Sourcefire创始人、Snort入侵检测系统发明人Martin Roesch提到,安全防御效果往往有限,对于某种类型的攻击,在所谓的时间点有可能捕捉不到,并且如果它被错过,防御系统几乎不再能够阻止攻击者展开后续行动。一个较新的模式是,安全防御系统不断地更新信息以了解攻击的范围并遏制它,即使错过最初的网络攻击行为。

安全神话13:“有了正确的保护措施,攻击者就可以被拒之门外。”

微软企业可信计算副总裁Scott Charney说,“我们通常会把安全和将人拒之门外外联系起来;锁好大门,给计算机装上防火墙。但现实情况是,尽管有复杂的安全策略和优秀的运营,但一个有决心坚持不懈的攻击者最终一定会找到突破口。承认现实,我们应该从不同的出发点考虑安全。”所谓整体安全形态,意味着现在和未来有一个“保护,遏制和恢复”的方针来打击威胁。

相关阅读

每日精选

点击查看更多

首页 手机 数码相机 笔记本 游戏 DIY硬件 硬件外设 办公中心 数字家电 平板电脑