相信每家企業(yè)都有安全預(yù)算，但這些錢是不是花在點(diǎn)子上了？恐怕沒有一個(gè)精確的衡量指標(biāo)，要想花費(fèi)有的放矢就要知己知彼，否則就是花了冤枉錢。

數(shù)字化是比精算賬 企業(yè)安防別花冤枉錢

安全投入回報(bào)難覓

由微軟聯(lián)合調(diào)研機(jī)構(gòu)公布的一項(xiàng)數(shù)據(jù)顯示，2019年全球的網(wǎng)絡(luò)安全市場(chǎng)整體規(guī)模超過1240億美元，但另一項(xiàng)數(shù)據(jù)卻是全球企業(yè)用戶因網(wǎng)絡(luò)攻擊所損失的資金達(dá)到1萬億美元。與此同時(shí)，這些企業(yè)對(duì)于安全投入的信心也在日益衰退，更多的企業(yè)宣傳并沒有在投入中看到應(yīng)有的效果。

企業(yè)預(yù)防要自知

對(duì)于企業(yè)CIO來說，云安全依然是重大挑戰(zhàn)。賽門鐵克的調(diào)研數(shù)據(jù)顯示，企業(yè)CIO對(duì)企業(yè)所采用的云應(yīng)用數(shù)量并不了解。當(dāng)被問及這一問題時(shí)，大多數(shù)受訪者認(rèn)為自身企業(yè)所采用的云應(yīng)用數(shù)量最多為40個(gè)，但企業(yè)的實(shí)際應(yīng)用數(shù)量已接近1000個(gè)。

這種認(rèn)知上的差距，可能會(huì)令員工在未采取足夠政策和流程的情況下使用云端技術(shù)，增加使用云端應(yīng)用程序的風(fēng)險(xiǎn)。賽門鐵克預(yù)計(jì)，云中的安全風(fēng)險(xiǎn)正在逐漸加大，除非CIO能夠嚴(yán)格控制企業(yè)內(nèi)部所使用的云應(yīng)用，否則未來將面臨嚴(yán)重的安全威脅。

誰也不敢保證完全安全

此外，安全人員也很難明確在安全投資上帶來的回報(bào)。相較被攻擊之后的疲于應(yīng)對(duì)，有完善的安全機(jī)制無疑要更好。有些人可能會(huì)選擇大規(guī)模部署網(wǎng)絡(luò)基礎(chǔ)設(shè)施，但這種辦法只能拖延黑客的攻擊進(jìn)度，并不能解決問題。與之相比的話，還不如去“屏蔽”那些區(qū)域性或者說臨時(shí)性的地址段，減少受攻擊的風(fēng)險(xiǎn)面。

從表面上看， 雖然通用型的勒索軟件攻擊有下降的趨勢(shì)，但這些威脅卻變得更有針對(duì)性。對(duì)于很多安全事件來說，沒有及時(shí)安裝補(bǔ)丁和釣魚類的電子郵件仍是主要漏洞。近年來，電子郵件已經(jīng)成為網(wǎng)絡(luò)攻擊者實(shí)施感染的首選途徑，對(duì)用戶的安全構(gòu)成了嚴(yán)重威脅。

賽門鐵克曾指出，電子郵件中包含惡意鏈接或附件的比例為1:131——成為五年來最高比率。此外，商務(wù)電郵攻擊騙局通過向用戶發(fā)送精心編排的釣魚郵件進(jìn)行攻擊——攻擊者每天將超過400家企業(yè)作為攻擊目標(biāo)，并在過去三年內(nèi)從企業(yè)中詐騙超過30億美元。

威脅溯源一直是難題

而沒有安裝補(bǔ)丁的漏洞則在于，會(huì)為劫持軟件帶來可乘之機(jī)，黑客通過發(fā)送的電子郵件、惡意鏈接等附件讓系統(tǒng)感染病毒，也有通過網(wǎng)絡(luò)腳本運(yùn)行的惡意程序，對(duì)此不少瀏覽器都開發(fā)了攔截功能。不過，黑客又找到了加密劫持的新方式，這種攻擊行為可以秘密運(yùn)行，入侵后會(huì)慢慢消耗系統(tǒng)資源，縮短其運(yùn)行壽命，對(duì)設(shè)備造成連鎖攻擊，而且就算被發(fā)現(xiàn)，在追溯攻擊源頭時(shí)也較為困難。

環(huán)境復(fù)雜性提供難防

隨著黑客攻擊的復(fù)雜性提高，站在安全產(chǎn)品供應(yīng)商的角度，很多銷售人員也難以去評(píng)估某款產(chǎn)品到底能否客戶帶來何種價(jià)值，專注于應(yīng)用程序的已知良好行為的概念也曾嘗試落地，但挑戰(zhàn)始終在于無法全面理解應(yīng)用程序。要知道，單一的設(shè)備已經(jīng)無法對(duì)抗黑客的高級(jí)攻擊，因此很多企業(yè)會(huì)找安全廠商來進(jìn)行網(wǎng)絡(luò)安全運(yùn)營，包括監(jiān)控、分析、響應(yīng)，甚至高級(jí)情報(bào)。

例如在云環(huán)境中，IaaS在敏捷性、可擴(kuò)展性、創(chuàng)新性和安全性等為企業(yè)帶來優(yōu)勢(shì)，同時(shí)也帶來了風(fēng)險(xiǎn)，簡(jiǎn)單的錯(cuò)誤即可導(dǎo)致嚴(yán)重的數(shù)據(jù)泄露。傳統(tǒng)控制措施難以與IaaS層面以上的安全控制良好對(duì)接，造成混亂、錯(cuò)誤和設(shè)計(jì)問題，用戶無法高效應(yīng)用控制措施，并忽略新的控制措施。

結(jié)束語

企業(yè)的安全策略要根據(jù)不同的應(yīng)用環(huán)境具有針對(duì)性，并且要明確內(nèi)部的需求到底是怎樣的，否則就難免花了冤枉錢。