任何有效的企業(yè)IT安全計劃都必須基于某些核心原則。這些安全原則已經(jīng)經(jīng)過數(shù)十年的嘗試和測試。它們包括深度防御，最低特權(quán)訪問，角色分離和安全故障。IT安全最重要的基本原則之一就是確保最薄弱的環(huán)節(jié)。

組織的IT安全基礎(chǔ)架構(gòu)不是一個整體。它由多個部分組成，這些部分必須協(xié)同工作，以最大程度地降低組織防御遭到破壞的可能性。這些不同的部分具有不同的復(fù)雜程度以及不同的漏洞級別。

最薄弱環(huán)節(jié)的吸引力

為了更好地理解最薄弱環(huán)節(jié)原理，讓我們來看一個假設(shè)的場景。想象一下，你的任務(wù)是將一件珍貴的藝術(shù)收藏品從一個破舊的偏遠倉庫轉(zhuǎn)移到城市中心一個高度安全的銀行保險庫。你簽了一個裝甲運輸服務(wù)來運輸物品。

現(xiàn)在，假設(shè)有一個罪犯剛剛抓住這一迫在眉睫的舉動，并打算竊取藝術(shù)品。他們戰(zhàn)略的核心將是確定最佳的攻擊地點和時間。在這種情況下，他們可能不愿冒險抵抗銀行保險庫或裝甲運輸服務(wù)。遠程倉庫可能是他們的最佳選擇。這是最薄弱的環(huán)節(jié)。

網(wǎng)絡(luò)犯罪分子的資源有限

黑客沒有無限的資源和時間可支配。他們希望將精力用在他們工作中最容易獲得最快收益的領(lǐng)域。攻擊者會直奔阻力最小的路徑。他們會攻擊看起來最弱的安全控制，而不是看起來最強的安全控制。

無論是一個躲在地下室的少年黑客，還是一個由國家支持的復(fù)雜黑客組織，其原理都是一樣的。他們將尋找最薄弱的環(huán)節(jié)，并試圖從這一點突破組織的防御。當有更容易進入的方法時，沒有人會故意花費時間和金錢試圖滲透IT基礎(chǔ)設(shè)施中戒備森嚴的部分。只有當他們無法突破最薄弱的環(huán)節(jié)時，他們才會去探索更具挑戰(zhàn)性的選擇。

最弱的環(huán)節(jié)不一定能獲取最大收益

即使這樣的鏈接比您組織的安全基礎(chǔ)結(jié)構(gòu)中的高度安全元素所獲得的回報更少，也會出現(xiàn)最弱鏈接的優(yōu)先級。想一想。銀行持有的現(xiàn)金比當?shù)氐谋憷甓嗟枚?。搶劫銀行肯定會在財務(wù)上更有利可圖。但是，與便利店的保護措施較弱相比，普通搶劫者很難滲透到銀行的先進安全技術(shù)上。便利店是更容易受到攻擊并成功逃脫的目標。

人并不總是最薄弱的環(huán)節(jié)

從安全角度來看，最終用戶，技術(shù)支持人員或基礎(chǔ)架構(gòu)管理員等通常被認為是最薄弱的環(huán)節(jié)，這個論點是有道理的。然而，人類由于決策的不可預(yù)測性和易受社會工程的影響而變得脆弱，最薄弱的環(huán)節(jié)也可能是安全功能或特征。

找出最薄弱的環(huán)節(jié)并降低風險

那么，如何識別IT安全設(shè)計中最薄弱的環(huán)節(jié)?您需要進行全面的風險分析。由此，您應(yīng)該看到哪些風險是最容易利用的。但是僅僅找出最薄弱的環(huán)節(jié)是不夠的。有了大量的風險數(shù)據(jù)，您可以按嚴重程度對風險進行排序，并首先專注于減輕最嚴重的風險，而不是那些最容易處理的風險。

安全資源應(yīng)該根據(jù)風險的嚴重程度來分配?？紤]到資源不是無限的，解決所有風險是不可能的。必須有一個終點，這是通過衡量可接受風險的參數(shù)來確定的。什么樣的風險是可接受的，因人而異。

解決最薄弱的環(huán)節(jié)是根本

如果您打算為您的IT基礎(chǔ)設(shè)施進行安全設(shè)計，那么識別和保護最薄弱的環(huán)節(jié)是至關(guān)重要的。解決最薄弱的環(huán)節(jié)意味著你可以避免一種類似于設(shè)置大門并期待攻擊者直接跑向它的策略，而大門周圍并沒有限制他們的訪問。

通過關(guān)注最薄弱的環(huán)節(jié)，您可以將時間和精力花費在最重要的風險上。只有在確定了自己的弱點之后，才能為您的系統(tǒng)提供一定的舒適度，使其免受攻擊。