Black Hat USA 2000 - Real-world Techniques in Network Security Management

網絡安全管理是企業防禦的基礎，其重要性甚至超過單一技術工具。一套完善的安全策略需要獲得組織各層級認可，尤其要有高層主管願意強制執行。許多組織犯的錯誤是制定過於嚴格的政策，結果普遍遭到員工繞過——人們會說「這套系統不便用」然後自行其是。反之，一個相對寬鬆但被真正執行的策略更能有效提升安全水平。策略制定時需理解權衡取捨，完美的安全根本不存在，企業應根據預算、人力和風險承受度決定適當的安全級別。

安全依賴關係是最容易被忽視卻最具危害性的領域。攻擊者的邏輯是逐步擴大控制範圍，而非直接攻擊高價值目標。他們會先入侵一台看似無害的測試主機，竊取該機器管理員的憑證，進而控制該管理員登入的其他伺服器，層層遞進直到掌控整個系統。這意味著在保護一台關鍵伺服器時，必須同時確保所有可能危及它的系統安全——這包括該伺服器管理員的工作站、執行該管理員憑證的服務、管理員訪問過的其他設備。控制這個問題的方法包括限制管理員帳戶數量、建立階層化的管理員群組、遵循最小權限原則、進行深度的攻擊路徑分析。

定期的安全審計至關重要。企業需要每週甚至多次掃描整個網絡，以盡快發現新問題。微軟對10萬台機器的做法是外部網絡每週審計3次，內部網絡每週審計1次。發現問題與修正之間的延遲越短，被攻擊的時間窗就越小。每個組織都需要有專人（最好不止一人）每天監控安全公告、漏洞追蹤系統、廠商安全網站。因為漏洞公開後數小時內就會遭到攻擊——也許是完整的漏洞程式碼被發佈到網上，然後成群的腳本攻擊者蜂擁而至。這不是紙上談兵，這是實實在在的威脅。

入侵偵測系統儘管存在明顯的缺陷——無法檢測加密流量、容易被分片封包繞過、對編碼難題無奈——仍然是現代網絡安全的重要工具。批評者會說有替代方案，但為什麼要在完全不知情與知道部分攻擊之間選擇前者呢？IDS最大的價值在於蒐集的數據。當管理層質疑投入成本時，一份顯示「每天5000次攻擊」的IDS報告遠比空口說白話更有說服力，足以爭取到額外的預算與人力。基於網絡的IDS相對容易部署，只需放在網絡瓶頸節點，但要注意頻寬限制（特別是在大型企業）和遺漏風險。

當入侵事件發生時，應對流程決定恢復的成敗。第一步是部署全新系統並將入侵系統完全離線——禁止進行邊修補邊運作的危險做法。曾有企業中招後嘗試邊修補邊運行，結果駭客修補一個漏洞後從另一個漏洞入侵，反覆交手數天後才宣告敗北。必須製作可靠備份用於事後法律訴訟與詳細分析。絕對禁止登入已入侵系統查看時間戳記或文件——任何登入操作都會篡改證據，而駭客可能已經設置好陷阱等著系統管理員入場。最安全的做法是直接拔掉電源與網線，將硬碟連接到另一個乾淨系統進行離線分析。入侵事件發生後必須立即變更所有密碼，特別是管理員密碼，但這要求事先已掌握所有服務帳戶的位置與依賴項，否則可能發現有十多台未知的機器也運行著該服務帳戶，造成恢復困難。