社区编辑申请
注册/登录
如何从网络安全事件中恢复:企业必须吸取的教训
安全 应用安全
人们之前也遭遇过供应链攻击,2021年是供应链攻击快速增长的一年。与Spring4Shell和Log4j攻击一样,使用开源解决方案增加了风险。它们几乎存在于所有的软件开发中,并且经常快速开发,从而在安全性方面留下空白。这意味着,如果开源组件中存在任何漏洞,其影响将是巨大的。

在Log4Shell和Spring4Shell网络攻击事件之后,企业必须吸取三个关键教训,以便在使用开源软件时保持安全:

1.发现风险

为了安全地开发、管理和维护软件供应链,企业必须了解所有环节。

为了确保安全,企业需要一个清晰的清单并真正了解所有正在使用的开源组件。不能盲目相信开源软件组件的出处和安全性。如果像Log4Shell、Spring4Shell和SolarWinds这样的事件教会了人们什么的话,那就是需要更多地了解企业内使用的所有不同软件。

这包括它们的开发方式和位置,以及它们在企业中的使用位置,以便在发现漏洞时可以迅速解决问题以限制损害。

2.不要过于复杂

第二个问题是需要企业自己防护。在开发框架或库时,做好这一点很重要。采取更简单的方法也很重要,这样就不会在不知不觉中引入漏洞。

专注于做好几件事比糟糕地引入很多特性要好。功能越多,出现严重漏洞的可能性就越大。因此,在查看想为产品和服务添加哪些新功能时,仔细考虑是否需要它们,并且只使用一些必不可少的功能。

尽管需要快速发展,但企业需要确保他们花费时间真正考虑他们需要哪些功能以及为什么需要,因为任何超出要求的功能都可能为漏洞敞开大门。

3.外部化处理

第三,企业在设计和开发不同的应用程序时需要意识到横切关注点。无论是用于日志记录、指标、加密通信还是缓存,重要的是要考虑这些持续存在的问题是否需要在应用程序中处理,或者是否可以将它们在应用程序之外处理。

例如使用日志记录,许多框架可以将日志发送到各种位置,包括称为标准输出的输出文件和由企业的应用程序负责的警报服务。可以采取更好、更安全的方法。与其相反,需要考虑让其应用程序将日志发送到标准输出,然后利用日志收集器服务将日志发送到所有需要的终端位置。通过将这些问题进行外部化处理,开发人员需要担心的代码和配置就更少了,因此可以减少可能出现的漏洞。

采取积极措施

Log4Shell和Spring4Shell漏洞只是强调了企业需要采取积极措施来保护他们的环境。然而,随着创新的加速,这只会变得更加困难,为企业创造越来越多的机器身份以供关注。

试图监控和管理所有这些机器身份,同时保留所有软件组件的库存并确保开发保持简单并非易事。现在的企业可能缺乏技能和资源。他们应该利用自动化和安全工具来确保减少漏洞数量,这样就不会像遭遇Log4j网络攻击那样受到广泛的影响。

责任编辑:华轩 来源: 企业网D1Net
相关推荐

2022-06-15 08:21:49

Linux运维工程师

2022-06-07 10:09:42

新技术人工智能5G

2022-06-23 12:03:00

网络安全网络安全事故

2022-06-15 11:02:40

网络安全运营

2022-05-10 14:11:05

网络安全网络犯罪

2022-06-08 14:17:57

网络安全人工智能加密流量

2022-06-14 14:03:06

网络安全从业者网络安全赎金

2022-06-02 15:28:42

网络安全信息通信数据保护

2022-06-07 09:59:21

网络安全安全漏洞

2022-05-24 15:22:09

网络安全企业风险

2022-06-16 15:42:16

攻击面管理ASM

2022-06-09 18:04:46

网络攻击网络安全

2022-06-21 14:10:43

NIST网络安全

2022-05-27 15:06:22

攻击面管理(ASM)网络安全运营

2022-05-26 16:51:07

网络丢包网络故障网络

2022-05-03 23:21:13

安全意识网络安全网络钓鱼

2022-06-23 14:03:26

混合ITCIOIT管理工具

2022-06-20 22:37:25

Linux操作系统命令

2022-04-07 18:47:36

网络安全网络攻击勒索软件

2022-06-16 16:12:57

网络资产攻击面管理CAASM

同话题下的热门内容

无线网络安全的12个优秀实践如何保证应用程序的安全性无密码身份验证需要知道什么?恢复和弹性:首席信息安全官对2022年网络安全形势的洞察勒索软件团伙声称对非洲最大的零售连锁店Shoprite发动攻击Gartner公布了2022-23年八大网络安全预测数字化时代,企业须做好用户信息安全

编辑推荐

权威解读 | 网络安全等级保护2.0标准体系以及主要标准百亿级访问量的实时监控系统如何实现?浅谈反浏览器指纹追踪符号执行:利用Angr进行简单CTF逆向分析拿什么拯救你,我的网络安全
我收藏的内容
点赞
收藏

51CTO技术栈公众号