對于無休無止的威脅，我們往往將過多的精力放在了外部威脅上，對內(nèi)部人員可能造成的威脅卻重視不足。

這可能是一種戰(zhàn)略性的錯誤，因為內(nèi)部人員的威脅正在上升，而且與高級的外部攻擊有許多相同之處。安全團隊?wèi)?yīng)當(dāng)能夠以一種統(tǒng)一的方式同時解決外部人員和內(nèi)部人員威脅，從而在最大程度上減少企業(yè)的總體風(fēng)險。

[[156094]]

安全專家普遍感到，內(nèi)部人員威脅比外部威脅更難以檢測。

內(nèi)部人員擁有網(wǎng)絡(luò)和資源的特權(quán)訪問。內(nèi)部人員不像外部的攻擊者，惡意的內(nèi)部人員不必找到漏洞、開發(fā)漏洞利用和惡意軟件，或者創(chuàng)建隱蔽的通道來管理攻擊。

其實，無論是惡意的內(nèi)部人員還是高級的外部攻擊者，都可以繞過防御控制。

外部的攻擊者可能針對的是零日漏洞，并使用可以感知沙箱的惡意軟件來滲透到網(wǎng)絡(luò)，而惡意的內(nèi)部人員只需用合法的憑據(jù)就可以登錄。

不管攻擊者是否獲得了特權(quán)，內(nèi)部和外部的威脅必須尋找并獲得有價值的數(shù)據(jù)。無論是因為感染惡意軟件或背叛，這些活動很容易被觀察并與正常行為區(qū)分開。

因而，安全模型必須對威脅如何進入網(wǎng)絡(luò)和進入網(wǎng)絡(luò)后的動作保持高度警惕。通過監(jiān)視網(wǎng)絡(luò)內(nèi)部主機的行為，安全團隊可以快速地確定正在收集數(shù)據(jù)或在非正常時間訪問資源的主機。

例如，主機是否正在訪問平常并不到達的區(qū)域?有沒有跡象表明數(shù)據(jù)被遷移到其它位置?當(dāng)然，也許是有管理員在內(nèi)部傳輸數(shù)據(jù)，或者將數(shù)據(jù)復(fù)制到一個外部位置(如Dropbox)。

最聰明的安全團隊都知道，威脅事件往往與網(wǎng)絡(luò)中的關(guān)鍵資產(chǎn)緊密相連。除了要理解威脅，安全團隊需要知道威脅對企業(yè)的影響。在檢測到威脅時，受到損害的設(shè)備會給哪些資產(chǎn)帶來風(fēng)險?可疑設(shè)備可以直接訪問關(guān)鍵資產(chǎn)嗎?這是安全團隊必須重視的問題。

專注于網(wǎng)絡(luò)中的關(guān)鍵資產(chǎn)可以使安全團隊更容易地看出，異常行為什么時候在其最關(guān)心的資產(chǎn)上發(fā)生。

這些方法可以有效地檢測內(nèi)部和外部威脅。更為重要的是，由于明確了內(nèi)部的關(guān)鍵資產(chǎn)，安全團隊就不僅可以追蹤威脅，還可以真正地減少威脅。

資產(chǎn)被竊或破壞會使企業(yè)遭受真正的破壞。幾乎所有的威脅都集中于企業(yè)最寶貴的內(nèi)部資產(chǎn)，所以安全模式也應(yīng)這樣。