检测和应对网络威胁的正确姿势

随着数字化转型的深入推进，以及人工智能等新一代信息技术的广泛应用，数字资产的开放性、重要性和复杂性与日俱增，企业在网络安全、数据安全等方面面临着前所未有的挑战。

安全左移

2023年，在全球范围内，网络安全事件层出不穷：美国某医疗设备厂商遭遇网络攻击，超过100万人的敏感信息被泄露；爱尔兰一家知名的水果和蔬菜生产商由于遭受勒索软件，生产工厂暂时关闭，导致了数千万美元的经济损失……诸如此类的安全事件不胜枚举。究其原因，有的企业由于安全体系不健全，面对隐蔽性极强的攻击“后者后觉”，最终导致了无法挽回的经济损失；有的企业虽然在其内部网络中检测到了异常活动，但由于应对不利，也给业务的正常运行造成了负面影响

无论是因为“看不清”，对漏洞、弱密码“视而不见”，或者由于安全设备多、告警复杂，只能是“雾里看花”，还是虽然“看得清”，但面对攻击手法快速迭代的黑客攻击、零日漏洞、病毒的新型变种等，由于能力不足或防护难度大而“防不住”，企业的安全底线正受到越来越严峻的挑战。在这种情况下，企业必须积极行动起来，全面增强安全防护意识，将“安全左移”，采用更加行之有效的手段和工具，提前预测、发现、揭示安全漏洞，从而更好地保护数字资产的安全。

“看见”威胁

受利益的驱使，再加上技术上的演进，现在的攻击者有更充足的时间和资源设计并随时随地发动新的攻击。而且攻击越来越具有隐蔽性和针对性，破坏性也更强，很多时候能够轻易绕过防御或逃避检测，这无疑增加了企业实施安全防护的难度。正因为如此，主动式安全防御的思路就显得更加重要且必要。面对不断变化的新型网络攻击，企业用户应站在攻击者的角度去思考和研究，攻击者可能采用的攻击战术和手段、攻击的来源和路径等，从而提升对攻击的可见性，做到知己知彼，才能实时地发现安全威胁，修复和缓解由此可能产生的危害。

为实现上述目标，检测和应对网络威胁不可或缺。所谓检测和应对网络威胁，是指积极识别和处理计算机网络、系统或组织内潜在的安全事件和恶意活动。它包括监视和分析网络流量、系统日志和其他安全数据，以识别未经授权的访问、入侵、恶意软件感染、数据泄露或其他网络威胁的迹象。近年来，包括大数据、人工智能、深度学习等技术的引入，进一步提升了人们“看见”威胁的能力。这为企业打赢安全防御之仗奠定了坚实基础。

一步也不能省

戴尔科技依据自身多年的安全防御实践，归纳和总结出了一套检测和应对网络威胁的流程和方法论，从监视、威胁检测、警报和通知、事件响应、取证分析、修正和恢复等层面帮助企业用户构建一张主动式安全网络，从而进一步增强企业自身的“免疫力”。

监视：依靠入侵检测系统 (IDS)、入侵防御系统 (IPS)、日志分析和威胁情报反馈等安全工具和技术，持续监视网络和系统活动。越来越多的企业开始引入智慧监测新模式，致力于构建全方位、立体化、分层次的资产监管体系。

威胁检测：分析所收集的数据，以识别可能表明潜在网络威胁的模式、异常情况和失陷指标 (IoC)，主要包括识别已知的攻击特征，以及识别异常行为或偏离正常情况的行为。建立威胁情报体系对于主动防御大有裨益。通过构建威胁情报生态，建立威胁情报大数据共享开放平台，能够达到更好的纵深防御效果。

警报和通知：当检测到潜在威胁或事件时，要自动向安全人员或安全运营中心 (SOC) 发出警报和通知。警报起到预警的作用，便于及时开展调查和采取应对措施。

事件响应：启动响应计划，调查和缓解已确认的安全事件，主要包括遏制影响，确定根本原因，以及采取必要行动恢复系统并防止进一步的损失。《网络安全法》第二十五条明确规定:网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

取证分析：对事件进行详细分析，以了解攻击方法，确定数据泄露范围，识别受影响的系统或数据，并为可能的法律诉讼或处罚收集证据。在实践中，企业应采用风险识别与事件监测相结合的综合研判技术，探测发现威胁企业的数据安全事件，并提供完整追溯取证证据链。

修正和恢复：采取措施修正漏洞、修补系统、删除恶意软件并实施增强的安全措施，将受影响的系统和数据还原到正常状态，同时汲取经验与教训，以防止今后类似事件的发生。

打赢安全持久战

网络安全的本质就是对抗，而且是一场长久的博弈。为了应对越来越复杂的网络威胁，新的安全理念、技术也在不断涌现，并在应用实践中快速发展、不断完善。在这场攻防大战中，检测和应对网络威胁的目的是尽可能降低安全事件造成的影响和潜在损害。如果企业能够及时识别和应对威胁，就能有效降低风险，保护敏感数据，保持业务连续性、维护声誉。

检测和应对网络威胁是一个持续且迭代的过程，需要将技术、熟练的人员、明确定义的流程以及组织内的各个团队协同起来，采取积极有效的措施，持续提高环境的可见性、控制力和响应能力，从而保证企业和组织正常的运行时间目标和业务发展。