網絡安全人士必讀的九份白皮書

網絡安全可能是技術維度和應用場景最多、最復雜的科技行業，網絡安全專業人士一方面要應對快速發展的數字威脅，同時還要不斷學習，緊密關注威脅趨勢和技術熱點。

以下我們推薦9份不容錯過的免費網絡安全白皮書，主題涵蓋了近年來常見的熱點話題和網絡風險（勒索軟件、DDoS攻擊、社交網絡帳戶劫持等），包括來自生成人工智能（GenAI）和大型語言模型（LLM）等顛覆性技術的潛在風險。

一、DDoS攻擊防御指南

多狀態信息共享和分析中心（MS-ISAC）創建了一個指南，以闡明拒絕服務（DoS）和分布式拒絕服務（DDoS）攻擊。

此類攻擊會耗盡網絡、應用程序或系統資源，從而導致網絡速度變慢、應用程序崩潰和服務器故障等問題。MS-ISAC指南研究了網絡威脅參與者（CTA）為執行成功的DDoS攻擊而采用的各種技術。該指南還提供了防御這些類型攻擊的建議。

二、勒索軟件事件響應的常見錯誤

勒索軟件是企業最為頭疼的攻擊類型之一。為了能夠有效地應對這些攻擊，IT專業人員和托管服務提供商需要準備好快速、準確地做出響應。

做好準備的第一步在于全面了解可能導致嚴重結果的主要問題和可能的陷阱。

N-able的這份白皮書提供了有關最常見和災難性攻擊類型之一的見解，以及組織在試圖限制破壞性影響時經常犯的錯誤。

三、ICS網絡安全的五項關鍵控制措施

為工業控制系統（ICS）或操作技術（OT）制訂強大而成功的安全計劃，可以采用五種網絡安全控制的組合。

SANS發布的這份白皮書詳細描述了這些控制措施，使組織能夠根據其特定環境和風險因素對其進行定制和實施。

這些控制措施不是過于規范，而是優先考慮結果，確保靈活性和適應性。此外，他們還從對全球工業公司最近的違規和網絡攻擊的分析中獲得情報驅動的見解。

四、如何確定技術團隊所需的網絡安全技能

為了使組織免受信息安全威脅，了解IT和信息安全團隊中的網絡安全技能差距至關重要。為了加強對公司的保護，必須查明技能差距，并根據特定的工作角色確定所需技能。

這份來自《進攻性安全》的白皮書重點介紹了在技術團隊中培養內部網絡安全人才的最佳方法，例如IT、信息安全、DevOps或工程。

五、如何評估生成式AI和ChatGPT的企業風險

生成式AI和大語言模型在企業中的使用越來越多，雖然生成式AI在高效執行日常任務方面有著巨大的應用潛力，但也引入了獨特的安全風險。CISO迫切需要評估相關風險。

Team8的這份白皮書旨在提供有關這些風險的信息，并為安全團隊和CISO推薦最佳實踐，并鼓勵社區參與和提高對該主題的認識。

六、重新定義瀏覽器隔離安全性

面對不斷演變的應用程序、用戶和設備，傳統的數據安全和威脅防護方法已經不夠用，越來越多的應用程序、用戶和設備超出了公司邊界。

傳統的安全方法難以適應混合工作模式，從而導致可見性問題、配置沖突和風險增加。為了應對這些挑戰，企業需要更新其風險緩解策略。

遠程瀏覽器隔離（RBI）技術通過將互聯網瀏覽與本地瀏覽器和設備分開，提供了一種很有前途的解決方案。但是，傳統的RBI方法具有局限性，例如高成本、性能問題和部署差距引起的安全漏洞。

Cloudflare的白皮書研究了這些挑戰的原因和后果，并展示了如何采用瀏覽器隔離來解決這些常見問題。

七、探索社交網絡帳戶劫持的犯罪經濟學

社交網絡已成為我們生活中必不可少的一部分，但它們也常被犯罪分子利用。攻擊者一直在使用合法的社交媒體帳戶從事非法活動，例如敲詐勒索、操縱公眾輿論甚至影響選舉。

出于經濟動機的團體還采用了惡意廣告和垃圾郵件活動，通過運營自動內容共享平臺增加收入或將受感染的帳戶出售給其他不法分子。

Bitdefender的這份白皮書重點介紹了正在進行的惡意軟件分發活動——S1deload Stealer，該活動通過劫持用戶的Facebook和YouTube等社交帳戶來利用社交媒體。

八、如何為內部威脅計劃制定預算

內部威脅解決方案要想獲得高層管理人員的支持，其價值不僅需要與降低風險相關聯，還需要與提供額外的業務優勢相關聯。

業務案例應顯示內部威脅計劃如何立即節省成本，允許將來將安全資源分配給其他重要項目，并最終促進協作、生產力和創新。

Code42推出的這份白皮書為安全團隊提供了創建令人信服的預算制訂策略（該策略也適用于其他網絡安全用例和方案）。

九、用威脅情報提高APT防御能力

企業正面臨高級持續性威脅（APT）帶來的日益嚴峻的挑戰。負責管理業務風險的人員認識到，完全防止此類威脅是不可能的，重點是實施防御措施并利用威脅情報來提高檢測攻擊的機會并將風險降低到可接受的水平。

換而言之，APT防御策略的重點不是專注于被黑客入侵的必然性，而是將重點放在最大限度地減少攻擊的發生并有效地識別和響應它們，以減輕它們對業務的影響。

Cyberstash的白皮書探討了用威脅情報增強APT防御能力方面的有效性和成本。