對于現(xiàn)代企業(yè)來說，現(xiàn)代威脅環(huán)境是一個巨大的挑戰(zhàn)。許多企業(yè)通過從最新的熱門供應商那里購買最新的安全產品來 "解決 "這個問題，并希望能以此為他們提供保護，但越來越多的人慢慢認識到，這并不足以保護他們的組織。

[[420866]]

自動化滲透測試和安全人才缺口

工具和掃描器很好用，但那些只能找到已知的漏洞。許多漏洞只有經過培訓的安全專家才能發(fā)現(xiàn)。不幸的是，缺乏訓練有素、合格的安全專業(yè)人員加劇了組織面臨的挑戰(zhàn)。

安全人才的缺口并沒有變小，人們正在想出一些荒唐的想法來彌補這個缺口。最新的一個是自動滲透測試，這個想法的思路是，我們可以以某種方式創(chuàng)建機器人來探測企業(yè)的防御系統(tǒng)并發(fā)現(xiàn)漏洞。但問題是，這與滲透測試的含義截然相反。真正的滲透測試不是自動掃描工作。真正的滲透測試是利用一個有經驗的網絡專家的創(chuàng)造性思維來進行的。

滲透測試的全部意義在于具有創(chuàng)造性，從攻擊者的角度思考，并識別機器和其他預內置邏輯無法識別的漏洞，從而領先網絡犯罪分子一步。當我們教機器人識別和解決一些漏洞時，黑客會變得更有創(chuàng)意并找到新的漏洞來繞過這些自動檢查的檢測。

我們應該盡可能多地自動化，但僅依賴于您的系統(tǒng)和網絡的自動化安全測試并不能保護您的企業(yè)。解決這個問題的唯一方法是與優(yōu)秀的網絡安全專業(yè)人員合作。

為什么思維方式的轉變是關鍵

安全團隊需要具有對抗性或黑客的思維方式，即他們必須像攻擊者一樣思考。他們需要領先于網絡犯罪分子一步，并就需要采取的重要行動及時向組織的其他成員提供建議。

并非每個漏洞都是顯而易見的。保護企業(yè)的最佳方法是讓防御者像攻擊者一樣思考，并在每次似乎遇到死胡同時更加努力，不要輕易放棄他們認為沒有意義的事情。成功防御系統(tǒng)、網絡和應用程序不僅需要了解攻擊者可以使用的工具，還需要了解他們如何使用這些工具以及何時使用它們。這需要大量的判斷力，多找一些問題，而這些問題無法通過自動化測試來完成。自動化測試的好壞取決于您告訴他們要查找和執(zhí)行的操作。使安全變得困難的是，攻擊者每次都在做不同的新事情。

攻擊者不需要一個巨大的漏洞來影響組織——他們很有耐心，等待個人犯錯，通過網絡釣魚或社會工程讓他們進入。一旦進入，他們就會進入網絡或提升權限以獲得越來越多的敏感系統(tǒng)和數(shù)據(jù)。

嚴重的黑客攻擊和數(shù)據(jù)泄露通常始于小事故。由于大多數(shù)系統(tǒng)和網絡的設計沒有必要的安全防御機制，因此將一些小漏洞鏈接起來產生破壞性影響的情況并不少見。

此外，攻擊者不斷開發(fā)新的惡意軟件有效載荷并測試新的威脅載體。真正實現(xiàn)公平競爭的唯一方法是與對手一樣富有創(chuàng)造力和堅持不懈的人類防守者。防御者還需要及時了解最新的漏洞利用、黑客技術、惡意軟件等。

縮小網絡安全技能差距

在網絡安全技能方面的差距是一個人的問題，但它不只是要找到足夠的人來操作的工具，因為這些工具本身是不夠的。所有工具都有保質期，攻擊者找到解決方法只是時間問題。

如果我們真的要解決安全問題，我們需要加強對所有人的安全意識培訓。我們需要培訓設計和構建系統(tǒng)以及網絡的人員具有攻擊者思維。我們必須確保我們培訓的安全專業(yè)人員能夠像攻擊者一樣思考，及時了解最新的漏洞利用和安全問題。

毫無疑問，我們需要更多合格的安全專業(yè)人員，解決人才短缺的問題沒有靈丹妙藥。您不必成為 IT 專家即可進入安全領域。你需要有一顆好奇的心，是一個創(chuàng)造性的問題解決者，愿意付出汗水來學習這門手藝，不要輕易放棄并繼續(xù)前進。

優(yōu)秀的候選人可以來自組織的許多部門，譬如系統(tǒng)管理員、網絡工程師、Web 開發(fā)人員、客戶支持成員，甚至是應屆畢業(yè)生。雖然他們無法一蹴而就，但他們將具備在安全方面取得成功的基本特征。

安全問題歸根結底是人的問題。掃描儀、工具和自動化測試可以提供幫助，但要真正解決這個問題，需要多層次的人類創(chuàng)造力來解決它。