网络安全十诫（1）

刚刚过去的10月份是美国的网络安全意识宣传月。今年的网络安全意识月核心议题，面向所有行业。无论公营还是私营，不管公司规模大小，都面临着同一个问题：如何第一时间应对网络攻击。

作为一个重要领域，网络安全已经进化到非战略和科技不能解决的程度。但同时，有些基本原则是历经时间考验的，被证明即便威胁态势快速改变，都能有效防止数据泄露发生的“铁规”。

以下列出的“网络安全十诫”皆是最重要最基础的实践，帮助企业避免网络攻击的成功进行，让企业的生产力免于遭到严重破坏，并使客户依然信任你的品牌。

1. 确保系统、应用和用户都打上补丁

应用最新安全补丁的重要性，再怎么强调都不为过。攻击者总在尝试通过最方便的路线闯进公司，这条康庄大道往往就是未打补丁的系统。至于雇员，确保部署持续的用户培训项目，保证强口令策略得到实现，并要求多因子身份验证。

2. 预防措施共享

防止网络攻击并击退攻击者的最佳机会，存在于有效安全控制措施在网络、终端和云上能协同执行，就像同一平台的不同部分一样。这意味着安全团队不用管理和编配单独的策略、实现、可见性及威胁情报。每个元素都能利用其它元素的成果，比如说，终端上发现的威胁，网络上和云端都能自动阻止，不用人工干预。

3. 实现一致的安全模型，不论用户位置或设备类型

如果所有位置上都有一致的预防措施，攻击者就无法在防护较弱的地方获得初始立足点，无法据此迈向公司中其他地方。无论是远程用户或系统，核心数据中心或边界，云服务或基于SaaS的应用，你都必须确保环境中没有安全空白。可以考虑将边界延伸至远程用户及网络，就好像他们是在你的核心网络上一样。

4. 实践最小权限原则

分隔是必须，微分隔正在快速到来。没谁，或者没有什么东西，需要跟全部人/物沟通。无论是什么，无论在哪里，都不能对任何实体有默认信任。通过建立区隔网络不同部分的“零信任”界限，公司企业可以保护数据不受未授权App或用户访问，减少脆弱系统的暴露面，防止恶意软件在整个网络上巡游。