Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Đánh giá lại chương trình an ninh mạng: Quy trình risk assessment, CSET tool và cải tiến

Cybersecurity Risk Assessment (Đánh giá rủi ro an ninh mạng) bao gồm gì?

Quy trình hệ thống xác định tài sản, mối đe dọa, lỗ hổng, rủi ro → Ưu tiên biện pháp kiểm soát.

Quy trình 6 bước (Theo NIST SP 800-30)

  1. Xác định phạm vi (Scope): Hệ thống, ranh giới, tài sản, môi trường
  2. Nhận diện tài sản (Asset Identification): Hardware, Software, Data, People, Process, Cloud, SaaS, OT
  3. Nhận diện mối đe dọa (Threat Identification): MITRE ATT&CK, Threat Intel, Advisory, Industry reports
  4. Nhận diện lỗ hổng (Vulnerability Identification): Scanner (Nessus, OpenVAS, Qualys), Pen Test, Code Review, Config Audit
  5. Phân tích rủi ro (Risk Analysis): Likelihood (Khả năng) × Impact (Tác động) = Risk Level. Định lượng (FAIR) hoặc Định tính (High/Med/Low)
  6. Ưu tiên & Xử lý rủi ro (Risk Prioritization & Treatment): Mitigate (Giảm), Transfer (Bảo hiểm), Accept (Chấp nhận), Avoid (Tránh). Tạo Plan of Action & Milestones (POA&M)
  7. Giám sát & Review liên tục: Continuous Monitoring, KRI/KPI, Threat Hunting, Annual Re-assessment

CSET (Cybersecurity Evaluation Tool) - Công cụ miễn phí DHS/CISA

  • Desktop app hướng dẫn bước بخط: Asset → Network Diagram → Questions (NIST CSF, IEC 62443, NERC CIP, etc.) → Report
  • Phù hợp: ICS/OT, IT, Hybrid. Đặc biệt tốt cho Critical Infrastructure
  • Tải: https://github.com/cisagov/cset hoặc csrc.nist.gov

Cải thiện Cybersecurity (Top 10 hành động)

  1. Enforce Password Policy + MFA: Dòng phòng thủ thứ nhất
  2. Patch Management tự động: Critical patch < 30 ngày, Exploited in wild < 72h (CISA KEV)
  3. VPN cho mọi remote access: Không expose RDP/SSH ra Internet
  4. Retire dịch vụ không dùng: Giảm attack surface
  5. Tận dụng sẵn có: Windows Defender, Firewall, BitLocker, AppLocker, WDAC
  6. Bảo vệ Data, không chỉ Perimeter: Encryption, DLP, Classification, Backup 3-2-1
  7. Giám sát Insider Threat: UEBA, DLP, PAM, Least Privilege
  8. Mã hóa mọi thiết bị: Full Disk Encryption (BitLocker, FileVault, LUKS)
  9. Security Testing định kỳ: Pen Test, Red Team, Purple Team, Breach Simulation
  10. Đầu tư Cyber Security: Budget, People, Tools, Training - không phải chi phí mà đầu tư

Security Assessment vs Audit

  • Assessment: Dựa trên mục tiêu kinh doanh, risk-based, không phải checklist cứng nhắc
  • Audit: Kiểm tra tuân thủ tiêu chuẩn/chính sách (Checklist-based)

Metrics đo lường hiệu quả (Effectiveness Metrics)

  • MTTD (Mean Time To Detect)
  • MTTR (Mean Time To Respond/Resolve)
  • MTTC (Mean Time To Contain)
  • False Positive Rate (Tỷ lệ cảnh báo giả)
  • Vulnerability Remediation Rate (Tỷ lệ vá lỗ hổng trong SLA)
  • Security Control Coverage (Độ phủ kiểm soát: NIST CSF, CIS Controls)
  • Phishing Click Rate (Tỷ lệ click test)

Cải thiện Security Awareness (Nhận thức bảo mật)

  • Phishing Simulation định kỳ (Não bắt buộc, giáo dục không trừng phạt)
  • Tabletop Exercise (Bàn bàn kịch bản sự cố)
  • Role-based training (Dev: Secure Coding, HR: BEC, IT: Incident Response)
  • Metrics: Completion rate, Click rate, Report rate, Behavior change

Viết báo cáo Security Assessment

  1. Executive Summary (Rủi ro cao nhất, Khuyến nghị Top 5)
  2. Methodology & Scope (Framework, Tools, Thời gian, Phạm vi)
  3. Findings (Mô tả, Evidence, Risk Rating, CVE/CWE, MITRE ATT&CK)
  4. Recommendations (Quick wins, Strategic, Compensating controls)
  5. Roadmap & POA&M (Priority, Owner, Timeline, Budget)
  6. Appendices: Asset list, Scan raw data, Config review