利用COBIT和NIST網絡安全框架提高企業關鍵IT系統的網絡彈性

網絡彈性一詞被定義為“系統在不利條件或壓力下繼續運行的能力，即使處于降級或過載狀態，同時保持基本的操作能力，并在符合任務需求的時間框架內恢復到有效的操作狀態。”該術語也經常被用來指代整體的組織能力，“......保護電子數據和系統免受網絡攻擊，以及在攻擊成功的情況下迅速恢復業務運營。”了解美國國家標準與技術研究所（NIST）網絡安全框架（CSF）和COBIT?中概述的加強網絡彈性的最佳實踐，使組織能夠更好地保護關鍵企業應用程序，并幫助限制網絡入侵的潛在損害。

NIST CSF將網絡安全流程和活動分為5個高級類別（功能），可以幫助組織創建一個結構化的方法來保護IT系統的安全。NIST進一步定義了這些類別向下的8個網絡彈性目標。這些目標可以通過各種技術來實現，包括相關的COBIT管理實踐和活動。

圖片來源于公共圖片庫

01、了解背景、IT系統的關鍵性和風險因素（識別）

組織、架構、運營和威脅背景推動了網絡彈性要求，并有助于揭示潛在的攻擊向量和網絡安全風險暴露。COBIT治理實踐評估（Evaluate）-指導（Direct）-監督（Monitor）(EDM) EDM03.01評估風險管理建議組織確定其風險偏好（組織為實現其目標愿意承擔的風險水平）和風險容忍度（暫時可接受的對風險偏好的偏差）。有幾個因素會增加組織及其IT系統的風險水平，包括處理數據的敏感性和數量、所提供服務的關鍵性、用戶數量、與公共網絡的連接以及對第三方的依賴。總的來說，IT系統的關鍵性取決于其對所支持的業務流程或服務的連續性的重要性。系統越關鍵，為保護它而考慮的彈性措施就越多。系統的關鍵性可以通過預測因系統中斷而可能產生的財務損失來實際評估。在評估系統的關鍵性時，了解其故障對位于相應業務工作流程上游或下游的鄰近應用的影響也很重要。

02、防止實施網絡安全攻擊（保護）

COBIT定義了一系列側重于阻止和預防網絡攻擊的常規措施，例如，防止惡意軟件（Deliver, Service and Support [DSS] 05.01），管理網絡和連接安全（DSS05.02），管理終端安全（DSS05.03），管理用戶身份和邏輯訪問（DSS05.04），管理對IT資產的物理訪問（DSS05.05），管理敏感文檔和輸出設備（DSS05.06）以及管理安全相關事件的漏洞和監控基礎設施（DSS05.07）。然而，現代系統的復雜性增加了動機強烈的攻擊者發現和利用弱點的機會，如未修補的漏洞或錯誤配置。有了這個假設，彈性設計開始在限制攻擊的傳播和減少所造成的損失方面發揮重要作用。例如，對于物聯網（IoT）系統，網絡彈性的特征可能包括對被攻擊的終端設備進行自適應隔離，以便核心控制系統能夠繼續安全運行，而忽略在外圍下線的設備。

• 防止網絡攻擊傳播的有效網絡復原措施包括：
• 減少攻擊面，例如刪除或禁用不使用或對支持的業務活動不重要的系統功能（如：限制關鍵服務器上的默認系統服務數量）。
• 使用完整性檢查來防止執行被破壞的二進制文件。
• 分析和消除單點故障和脆弱性的來源。使用混沌工程工具，如Gremlin，可以幫助自動識別IT系統的薄弱點。

圖片來源于公共圖片庫

03、限制安全漏洞的影響（保護）

當攻擊者在被攻擊的計算機環境中獲得立足點后，他們會試圖獲得完全的管理權限，或至少控制其他易受攻擊的系統和服務器。IT系統的安全模塊化設計（微服務、容器和離散組件）和精心設計的企業子網絡隔離等彈性特征，包括使用網絡緩沖區，將攻擊者鎖定在孤立的網段中，在許多情況下，迫使他們從頭開始。其他重要的措施包括限制跨系統組件使用管理賬戶，例如將有限的權限分配給IT運營團隊，或者避免使用嵌入源代碼中的管理賬戶。此外，COBIT實踐DSS05.04管理用戶身份和邏輯訪問規定，所有用戶必須根據業務要求分配信息訪問權限。對靜態和動態的數據進行加密有助于保護機密性。

04、檢測異常行為和發現的損害（檢測）

有效的日志記錄和檢測措施為響應網絡安全團隊和管理層提供了態勢感知，從而促進了有效的響應策略。安全信息和事件管理（SIEM）系統、入侵檢測系統（IDS）和入侵防御系統（IPS）工具集中、保護和關聯安全事件，防止攻擊者隱藏他們的活動，同時為以后的事后調查和取證分析保留審計線索。COBIT管理實踐DSS05.07管理漏洞和監控安全相關事件的基礎設施中強調，安全工具、技術和檢測與一般事件監控和事件管理相結合是非常重要的。

05、遵循預定義的事件響應計劃（響應）

一旦發生事故，重要的是要有一個可行的應對計劃。該計劃應考慮可能發生的情況（例如，部分失去對IT基礎設施的控制）和可接受的響應策略（例如，斷開IT網段以防止攻擊的進一步蔓延）。主要利益相關者應驗證響應計劃、其啟動標準和通信協議，還應向響應團隊提供足夠的授權。與主要利益相關者進行桌面演練可以幫助識別響應策略中的潛在差距。DSS02.05解決和恢復事件的COBIT活動包括選擇和應用最合適的事件解決方案，記錄事件解決方案是否使用了可以變通的方法，執行恢復操作，記錄事件解決方案并評估該解決方案是否可作為未來的知識來源。

圖片來源于公共圖片庫

06、保證及時恢復基本組件和服務（恢復）

在發生安全事件時，確保完整恢復的主要措施是定期備份應用程序、數據庫和IT基礎設施的組件（包括目錄服務、虛擬基礎設施和網絡設備的配置），并定期進行測試演練，以重建關鍵的IT系統和數據。許多類型的勒索軟件都有內置功能，可以檢測到備份的位置，并將其加密。將關鍵的備份放在只讀存檔中可以防止這種情況的發生。另一個保持重要組織信息安全的措施是將副本存儲在一個隔離的非現場位置（數據存儲庫），同樣重要的是，不要忘記依賴于外部第三方的恢復方案。COBIT管理實踐 "調整、計劃和組織"（APO）10.04管理供應商風險建議識別和管理與供應商持續提供安全、高效和有效服務能力的相關風險。這也包括與直接供應商的服務交付有關的分包商或上游供應商。

07、調整系統架構以防止漏洞的再次發生（響應）

根據COBIT管理實踐APO12. 02分析風險，重要的是要評估與網絡入侵情景相關的重復發生的可能性和損失的規模，將相關的損失風險與風險偏好和容忍度進行比較，以確定不可接受的或升級的風險，為超過風險容忍度的情景提出對策。對風險緩解措施的適當關鍵控制措施規定高層次的要求和期望，確認分析與企業要求相一致，并驗證評估是否經過適當的校準和仔細檢查偏差，分析潛在風險應對方案的成本/效益，如避免、減少/緩解、轉移/分擔和接受。例如，在實踐中，事故后的分析可以推動系統架構的調整，如避免使用導致漏洞的技術。措施可能包括更換軟件組件（如脆弱的數據庫，中間件技術），增加額外的節點以提高性能或創建冗余，改變通信協議，或簡化總體設計（如使用集中的消息傳遞系統而不是系統間的網狀連接）。

08、調整操作流程，防止違規事件再次發生（響應）

在某些情況下，改變IT系統架構可能是不夠的，或者成本太高。相反，組織可能會選擇部分改變或暫停一個業務流程以避免相應的風險。例如，在過去，一些社交網絡決定限制其公共應用程序接口（API），因為它們經常被其合法的最終用戶濫用。其解決方案是在允許第三方訪問其API之前實施嚴格的審查程序。

結論

當IT系統的復雜性成倍增長時，網絡安全入侵的成功概率也在增長。在組織的IT基礎設施和業務運營完全或部分受損的情況下，恢復能力可以成為一些組織的整體生存能力的問題。構建系統時考慮到網絡彈性，有助于降低保護措施的成本，限制入侵發生時的影響，并能更快地重建IT系統和服務。使用NIST CSF可以實現一種結構化的方法，簡化對企業網絡彈性的評估。換句話說，相關的COBIT管理實踐和活動有助于確定最佳的應對措施，并能有效地用于加強一個組織的整體網絡彈性的態勢。