防范数据泄露的经验与办法

quyun

quyun

WhiteHat Security 的创始人Jeremiah Grossman谈及这六起数据泄露事件时称“目前我们还不知道所有的细节。但是我们知道这些数据泄露事件都是可以避免的。”公司不应当将这些数据泄露事件看作与己无关，而应当将这视为不法分子正变得越来越有经验的一个警报。

这些事件给我们带来的最宝贵经验是要认清风险分析的价值。为了构建起最佳防御体系，公司需要知道漏洞在哪里。如果安全管理人员只有法规遵从性和规定列表，而没有制定出一个策略，那么对工具和项目的投资都将无济于事。

Grossman 称：“人事局对受到攻击的系统毫不知情，甚至不知道这个系统的存在。风险管理通常只是发生在黑客攻击之后。我们首先应当知道自己在防范什么，威胁是什么，然后再关注相关的产品。”

安全研究公司Tripwire的总监Lamar Bailey称，清楚自己正在保护什么这一点对于公司构建更为出色的防御系统来说非常关键。“我们需要了解所保护网络的安全防护能力的下限。”Bailey称：“产品和解决方案固然很好，但是它们并不是对安全性的全部投资。首先，我们必须要知道如何将它们与安全项目整合为一体。”

这些数据泄露事件也暴露了不法分子的险恶用心。尽管星巴克和Sally Beauty Supply事件看起来是他们是不法分子攫取经济利益的受害者，但人事局、Anthem和宾夕法尼亚州立大学事件证明这些不法分子有着更为险恶的动机。

LogRhythm 的首席信息安全官James Carder 称：“人事局存储着大量的美国联邦政府雇员身份信息。如果攻击某个联邦机构(+本站微信networkworldweixin)，那么你只能获取那个的机构信息。但是如果将目标锁定为人事局，那么你将获取所有联邦机构的信息。”

Carder指出这些漏洞是深深地根植于信息技术当中。其中包括访问控制漏洞和身份管理漏洞。“通过严格授权和访问控制(身份管理)的应用与数据保护应当成为所有联邦机构的重点。身份管理非常重要，但是政府和大多数公司对此关注重并不高，然而它们却可以欺骗目前绝大多数的安全控制措施。”

与此同时，Carder认为从这些数据泄露事件中得到的最大教训是要消除人为的错误。“目前云环境非常受到欢迎。要将应用转移至安全的基础设施上，而不是试图保护所有的东西。要消除人的因素。” Carder认为谷歌的Beyond Care可以有效保护公司不受黑客的攻击。

网站可靠性工程经理Rory Ward和谷歌Google SRE虚拟化软件技术文档工程师Besty Beyer在他们的白皮书中称：“周界已经不再是企业的地理位置。在这个周界之内，也不再是托管个人计算设备和企业应用的安全之地了。”

理论上，通过彻底重新设计基础设施以消除人为错误是保护数据是最为理想的。但是实际上，只有当一个系统被建立起来后我们才能够检测它们的价值。

Grossman称，在持续寻找保护数据安全的办法时，公司还需要清楚他们可以通过制定一些如蜜罐等“绊发线策略”来抵御攻击，将损失降到最低。

Grossman认为蜜罐功能效果可与防范劫匪在极短时间内对银行进行抢劫的措施一样。“这样一来，我们不会损失所有的钱。”绊发线系统会警报网络管理员有可疑行为入侵，并尽早对其进行检测，以阻止不法分子访问所有的东西。

最后一个教训也非常重要。那就是不要对发生了数据泄露事件感到羞耻。因为毕竟世界上没有打不开的门。Bailey称：“如果你遇到了攻击，那么同样的攻击肯定还在多个地方继续发生着。在不将特殊信息泄露给竞争对手的情况下，我们应当彼此共享这些攻击信息。”

(from:51CTO)