我们采访了三位 Unit 42 顾问，以审视他们在客户环境案件工作中观察到的最关键网络安全误区，以及纠正这些误区所需的战略转变。

误区 1：安全工具越多越好

一个普遍存在的假设是，针对每一种新兴威胁购买一款新的专用安全工具，总能带来更强的防护。实际上，在没有统一安全战略的情况下不断添加工具，可能导致工具过载，并造成关键运营漏洞。

这种方法带来的一些关键挑战包括：

• 告警疲劳和高误报率：配置不当的安全工具可能用大量告警淹没安全运营中心（SOC）分析师，使其难以区分真实威胁和误报。AI 驱动的遥测数据有助于减轻这一负担，但如果将其视为黑盒，则可能使分析师更难理解告警背后的推理过程。

• 功能利用不足：组织常常未能充分利用其现有安全平台中已经具备的能力。一些组织不是利用已有工具中的功能，而是购买新产品来满足当前工具本已能够满足的需求。

• 运营摩擦和开销增加：管理多个彼此割裂的平台会消耗宝贵时间并增加运营成本。它还可能在不同的工具和技术套件之间的集成点造成可见性缺口。

我们的顾问建议采取三项主要策略：

彻底审计你的工具

对组织已经部署的安全工具进行深入审计。查阅供应商文档、技术手册和产品资源，以识别每个平台中可用的全部能力，而不仅仅是最知名或最流行的能力。了解产品的完整能力，可能揭示在不引入额外产品的情况下满足现有安全需求的机会。

开展全面的安全架构审查

根据安全工具的主要功能和领域对其进行组织。例如，网络工具应归类为网络保护，而身份工具应归类为身份与访问管理。系统性地评估每个安全领域，以了解哪些工具是真正必需的，以及现有平台可能已经在哪些方面提供了足够的覆盖。

整合并精细调优

使你的安全组合与组织独特的环境保持一致。在可能的情况下，整合重叠的解决方案，并配置现有平台以最大化其能力。目标不仅仅是减少工具数量，而是构建一个精简、集成且能够提供有效覆盖的安全组合。

误区二：中小型组织不会受到攻击者的威胁

Unit 42 顾问观察到，中小型组织普遍存在一种假设，认为自己规模太小，不会成为主要威胁行为者的目标。

现实情况是，攻击者经常以较小实体为目标，将其作为进入更大、防护更严密的组织的通道。这一风险在公共部门尤为突出，因为较小的机构可能与更大的实体和关键基础设施保持连接或拥有访问权限。

这种假设因过度自信和糟糕的实施态势而进一步加剧。在观察到的大多数案例中，组织未能正确实施、利用和执行其实际拥有的工具。这些问题会增加被入侵的几率。

我们的顾问强调两种降低此风险的主要方法：

保持零信任思维

组织的规模、行业或当前的安全实践并不能使其免于被入侵。现代安全团队应以“假设已入侵”（Assume Breach）的心态运作，优先考虑主动就绪。

投资于您的安全策略

由一名 IT 管理员就能成功管理组织网络安全的日子已经一去不复返了。网络风险涵盖可能导致系统被入侵的每一个向量，从未修补的软件到社会工程，再到供应链漏洞。全面的安全策略对组织的长期成功至关重要，必须被列为优先事项。

误区三：安全控制和 GRC 仅仅是为了“走过场”

我们的顾问经常观察到，组织将安全控制和治理、风险与合规（GRC）控制视为例行检查点，而非主动防御的重要组成部分。将控制措施严格地与合规领域挂钩，从根本上误解了其目的。当安全团队将控制措施视为审计文书工作时，他们就削弱了其战略价值，并使企业范围内严重风险得不到解决。

以定期特权访问审查为例，这是一项旨在规范身份和访问管理的控制措施。如果被忽视，组织中的未监控账户可能获得过多权限。如果威胁行为者入侵了其中一个账户，他们就会获得更高的权限，从而能够在企业内快速横向移动和提升权限。如果该安全控制按预期执行，过多权限就会被撤销，从而消除攻击者的主要攻击路径。

我们的顾问提出了三个主要关键要点：

采用安全优先的GRC思维模式

将GRC的视角从外部审计合规转变为主动威胁缓解。这种方法使组织能够更早地识别风险、优化控制流程，并更有效地应对新兴威胁。

建立权威的安全框架

组织应建立公认的安全框架，如NIST SP 800-53、CIS Controls v8或ISO 27001，作为其GRC项目的基础。将高层级控制框架与技术规范相结合，可为需要实施和监控的控制措施提供明确指导。

采用风险控制矩阵（RCM）

分配必要的时间和资源来构建和管理动态RCM。这包括：

• 明确指定RCM负责人

• 维护跨企业应用的清晰数据映射

• 建立明确的测试计划

• 验证控制措施是否按预期运行

有效的RCM可验证控制有效性、消除歧义并加速事件响应。

最终思考

来自我们顾问的这些观点强化了一个关键要点：有效的组织安全建立在基础纪律之上，而非追逐行业趋势并不断转向下一个解决方案。定期的架构审查、对薄弱环节的持续评估以及对真实安全态势的了解，可为管理风险提供更强大、更可持续的基础。

这些误区之间的联系进一步表明它们如何相互强化。日益复杂的工具栈可能直接制造虚假的安全感，导致组织高估其防御能力并低估其暴露风险。虽然这些技术可以提供显著价值并增强组织的防御能力，但它们不能替代安全基础。挑战这些潜在假设并解决底层差距，可以从根本上将组织的安全态势从被动合规转变为真正的韧性。

获取 Unit 42 专家关于如何加强防御的个性化建议。

其他资源

• 告警疲劳与误报：为何更多告警意味着更少安全——Praetorian

• 端点之外检测所需的基本数据源——Unit 42，Palo Alto Networks

• 全球事件响应报告——Unit 42，Palo Alto Networks

标签

• AI

• 权限提升

• Unit 42 事件响应报告

转载声明：本文为转载整理，原文版权归原作者及原站点所有。

原文来源：Palo Alto Unit42

原创地址：https://unit42.paloaltonetworks.com/3-consulting-myths-debunked-by-unit-42-experts/