4個重要的安全指標展現企業防御現狀
責編：penggao ｜2015-08-31 11:06:22現在，管理層要求安全團隊提供指標來讓他們更好地了解安全情況。本文中為大家提供了四個重要的安全指標。
隨著董事會和高層管理人士越來越重視安全性，安全專業人員被要求提供指標來展現企業防御現狀。但哪些數字很重要呢?
通常情況下，高級管理人員不知道應該問什么樣的問題，并可能過于關注防御，而太少關注緩解措施。對于非安全人士，攻擊事件平均響應成本或者防火墻阻止的攻擊數量等指標似乎很合理，但這些指標并不能改進企業的安全計劃。
專家建議專注于影響行為或改變戰略的指標。
“你有這個指標后，你會做什么?”安全軟件和咨詢公司Cigital安全舉措主管Caroline Wong表示，如果企業有成熟的高度優化的流程，那么，緩解漏洞的平均成本以及修復漏洞的平均時間等指標會很有用，但這并不適用于現在95%的企業。
衡量參與度、有效性和暴露窗口等指標可以為企業提供有用的信息，幫助他們制定計劃和改進安全舉措。
安全指標1：安全計劃參與程度
參與程度指標主要是檢查企業內的覆蓋范圍，這可能包括多少業務部門會定期執行滲透測試，或者目前多少終端正通過自動修復系統來更新。更加Wong表示，這些基本信息可以幫助企業評估安全控制水平，并發現潛在的差距。
例如，如果企業在一個月內完全修復了其系統，這雖然很好，但這并不是現實的目標，因為修復可能給一些企業帶來操作風險。查看參與度指標可以幫助排除不符合常規修復規則的系統，并專注于應該修復的系統。
安全指標2：攻擊持續時間
攻擊者在網絡中駐留的時間也可提供有價值的見解。攻擊持續時間信息可以幫助安全專業人員為阻止和控制危險以及減少破壞做好準備。
調查顯示，在被發現之前，攻擊者平均會在企業內駐留幾個月的時間。他們花時間了解基礎設施、進行偵察工作，在網絡中移動，以及竊取信息。
企業的目標應該是盡可能地減少駐留時間，這樣攻擊者沒有太多機會來實現橫向移動以及移除關鍵數據。了解駐留時間可幫助安全團隊弄清楚如何處理漏洞緩解以及事件響應。
Douglas表示：“攻擊者在網絡中的時間越長，他們就能獲得越多的信息，并且造成更大的破壞?！?/p>
安全性指標3：代碼缺陷密度
代碼缺陷密度或者在每千行代碼(或者百萬，這取決于代碼庫)中發現的問題數量可幫助企業評估其開發團隊的安全做法。
然而，背景信息很重要。如果應用程序在開發的早期階段，那么，高缺陷密度意味著所有的問題正在被發現，這是好事。在另一方面，如果應用程序在維護模式，缺陷密度應該更低，或者向下的趨勢，即可以表明應用程序正變得越來越安全。如果不是這樣的話，那就有問題。
安全指標4：暴露窗口
Wong said.企業可能會發現應用程序中的缺陷，但在這些問題解決之前，應用程序仍然容易受到攻擊。暴露窗口指標是指應用程序可能受到已知嚴重漏洞利用和問題影響的天數。這里的目標是(+微信關注網絡世界)，0天。
誤導性指標
Raytheon/Websense公司首席技術官Joshua Douglas表示，通常情況下，管理層會關注安全事件防御，這部分是因為傳統觀念認為企業可在外圍阻止所有攻擊。例如，管理層看到嘗試入侵被阻止的次數，他們會感覺很好，但這個信息沒有可操作性，這不會幫助安全團隊了解哪些攻擊被阻止。
平均響應時間或者問題發現和緩解的時間是另一個不太有用的指標。響應時間忽略了這樣的事實，即攻擊者會試圖在網絡中橫向移動。你可能解決了一個問題，但如果沒有人試圖確定攻擊者可能做的其他事情，這可能會導致相同攻擊者的另一次攻擊不被發現。如果只是專注于單個問題，而不是整體安全性，這會讓企業環境容易受到攻擊。
另一個常見指標是漏洞減少量，但這也沒有什么用。如果修復了很多低級的漏洞，企業仍然面臨相同的風險，因為關鍵問題仍然存在，有些漏洞比其他漏洞更嚴重。
在最近Raytheon/Websense的調查中，只有28%的高管感覺其企業使用的安全指標“非常有效”，而65%受訪者感覺“比較有效”。安全從業人員需要向高管解釋如何專注于可幫助確定可行目標的安全問題。否則，我們會看到太多關注浪費在無法降低風險或改進安全的信息中。
Wong詢問道：“這真的是你值得你花時間和資金的最佳位置嗎?”