網絡安全是很多組織的一個主要頭痛問題，特別是在網絡武器被私人公司出售的情況下。就在最近，我們了解到eCh0raix勒索軟件正在威脅NAS設備，而PrintNightmare繼續成為微軟的噩夢，盡管該公司幾天前剛剛發布了一個補丁，本應關閉這個漏洞。現在，在一篇詳細的博客文章中，微軟已經概述了企業需要采取的步驟，以加強他們對網絡攻擊的防御。這些方法中的大多數可以由全球任何規模的組織實施。

[[417279]]

微軟總共描述了七個步驟來加強你的組織對安全威脅的防御。這個清單當然不是詳盡無遺的，但微軟說這是最具成本效益和實用的。該公司強調，如果你的防御措施與其他行業相比高于平均水平，大多數低技能的攻擊者會迅速放棄并轉向下一個目標。

第一種方法是在更新推出的48小時內給你的系統打補丁。這不僅包括域控制器和微軟Azure Active Directory Connect，還包括瀏覽器、電子郵件等生產力客戶端。特別建議應該啟用網絡瀏覽器的自動更新，也鼓勵企業利用WindowsUpdate for Business來減少人工維護工作。

另一種方法是用微軟Endpoint防御系統、Microsoft Defender或任何其他可信的擴展檢測和響應(XDR)解決方案配置Windows設備。該公司表示，這應該是你的第一道防線，因為它可以讓微軟網絡安全團隊積極應對安全威脅。同樣，微軟還建議通過使用防火墻、雙因素認證機制和虛擬專用網來減少攻擊面和暴露。Azure上的服務器可以利用Bastion服務來限制對某些進入的IP的訪問。

還有一種限制暴露的方法是利用最小特權原則(PoLP)。這可以通過部署本地管理員密碼解決方案(LAPS)來實現，為關鍵的工作流程設置專門的管理員工作站，以及使用輪流密碼的管理服務賬戶。

微軟提到的第五項技術是在可能的情況下將企業內部服務遷移到云端。該公司表示，這可以讓系統參與到一種責任分擔的模式中，由云供應商來管理大量的安全工作。此外，這家科技巨頭還在Azure上有一套云安全工具組合供客戶使用。

微軟的另一個重要指導方針是停用或升級傳統的硬件、軟件和協議。該公司指出，很多組織仍在使用傳統的文件共享機制，這可能被用作勒索軟件攻擊的攻擊媒介。

最后，微軟建議，除了收集日志外，還應該投入精力定期監測日志，因為很多惡意活動可以直接從那里被發現。雖然購買傳統的安全事件管理(SIEM)系統對許多企業來說可能過于昂貴，但微軟已經敦促企業考慮Azure Sentinel。

訪問博客全文：

https://www.microsoft.com/security/blog/2021/08/11/7-ways-to-harden-your-environment-against-compromise/