何靜

對于現代企業(yè)來說，現代威脅環(huán)境是一個巨大的挑戰(zhàn)。許多企業(yè)通過從最新的熱門供應商那里購買最新的安全產品來解決"這個問題，并希望能以此為他們提供保護，但越來越多的人慢慢認識到，這并不足以保護他們的組織。

自動化滲透測試和安全人才缺口

工具和掃描器很好用，但只能找到已知的漏洞，許多漏洞只有經過培訓的安全專家才能發(fā)現。不幸的是，缺乏訓練有素、合格的安全專業(yè)人員加劇了組織面臨的挑戰(zhàn)。

安全人才的缺口并沒有變小，人們正在想出一些荒唐的想法來彌補這個缺口。最新的一個是自動滲透測試，這個想法的思路是以某種方式創(chuàng)建機器人來探測企業(yè)的防御系統(tǒng)并發(fā)現漏洞。但問題是，這與滲透測試的含義截然相反，真正的滲透測試不是自動掃描工作，而是利用有經驗的網絡專家的創(chuàng)造性思維來進行的。

滲透測試的全部意義在于其具有創(chuàng)造性，從攻擊者的角度思考，并識別機器和其他預內置邏輯無法識別的漏洞，從而領先網絡犯罪分子一步。當我們教機器人識別和解決一些漏洞時，黑客會變得更有創(chuàng)意并找到新的漏洞來繞過這些自動檢查的檢測。

我們應該盡可能多地自動化，但僅依賴于系統(tǒng)和網絡的自動化安全測試并不能保護企業(yè)。解決這個問題的唯一方法是與優(yōu)秀的網絡安全專業(yè)人員合作。

為什么思維方式的轉變是關鍵

安全團隊需要具有對抗性或黑客的思維方式，即他們必須像攻擊者一樣思考。他們需要領先于網絡犯罪分子一步，并就需要采取的重要行動及時向組織的其他成員提供建議。

并非每個漏洞都是顯而易見的。保護企業(yè)的最佳方法是讓防御者像攻擊者一樣思考，并在每次似乎遇到死胡同時更加努力，不要輕易放棄他們認為沒有意義的事情。成功防御系統(tǒng)、網絡和應用程序不僅需要了解攻擊者可以使用的工具，還需要了解他們如何使用這些工具以及何時使用。這需要大量的判斷力，多找一些問題，而這些問題無法通過自動化測試來完成。自動化測試的好壞取決于告訴他們要查找和執(zhí)行的操作，使安全變得困難的是，攻擊者每次都在做不同的新事情。

攻擊者不需要一個巨大的漏洞來影響組織———他們很有耐心，等待個人犯錯、通過網絡釣魚或社會工程進入。一旦進入，他們就會進入網絡或提升權限以獲得越來越多的敏感系統(tǒng)和數據。

嚴重的黑客攻擊和數據泄露通常始于小事故。由于大多數系統(tǒng)和網絡的設計沒有必要的安全防御機制，因此將一些小漏洞鏈接起來產生破壞性影響的情況并不少見。

此外，攻擊者不斷開發(fā)新的惡意軟件有效載荷并測試新的威脅載體。真正實現公平競爭的唯一方法是與對手一樣富有創(chuàng)造力和堅持不懈。防御者還需要及時了解最新的漏洞利用、黑客技術以及惡意軟件等。

縮小網絡安全技能差距

在網絡安全技能方面的差距是人的問題，但它不只是要找到足夠的人來操作的工具，這些工具本身是不夠的，所有工具都有保質期，攻擊者找到解決方法只是時間問題。

如果真的要解決安全問題，需要加強對所有人的安全意識培訓，需要培訓設計和構建系統(tǒng)以及網絡人員具有攻擊者思維。必須確保培訓的安全專業(yè)人員能夠像攻擊者一樣思考，及時了解最新的漏洞利用和安全問題。

毫無疑問，我們需要更多合格的安全專業(yè)人員，解決人才短缺的問題沒有靈丹妙藥。不必成為IT專家即可進入安全領域，需要有一顆好奇的心，是一個創(chuàng)造性的問題解決者，愿意付出汗水來學習這門手藝，不要輕易放棄并繼續(xù)前進。

優(yōu)秀的候選人可以來自組織的許多部門，譬如系統(tǒng)管理員、網絡工程師、Web開發(fā)人員、客戶支持成員，甚至是應屆畢業(yè)生。雖然他們無法一蹴而就，但他們將具備在安全方面取得成功的基本特征。

安全問題歸根結底是人的問題。掃描儀、工具和自動化測試可以提供幫助，但要真正解決這個問題，需要多層次的人類創(chuàng)造力來解決它。