敲响“两高一弱”安全警钟！企业如何高效实现安全风险治理？

“两高一弱”背景概述

• 背景: 公安部于2023年11月30日发布通知，要求重点行业单位（关键信息基础设施、政府、金融、交通、能源、央国企等）开展“两高一弱”（高危端口、高危漏洞和弱口令）风险排查整治工作。
• 检查形式: 由当地执法机构进行抽查和监督检查，要求单位利用资产测绘和风险监测技术自主发现、整改问题。
• 检查要求:
  • 高危漏洞: 包括CVE漏洞、远程代码执行、数据泄露、拒绝服务等。
  • 高危端口: 涉及核心业务系统、网站门户、大数据系统等不应暴露在互联网上的端口。
  • 弱口令: 容易被破解或猜测的密码。
• 检查细节:
  • 每月月底上报整改进展，自2024年7月起。
  • 针对问题隐患整改不到位的情况，加强复测复核（“回头看”措施）。

云上“两高一弱”防治难点

• 资产分散: 多个业务团队管理多个云账号，资产管理工作量大，效率低。
• 业务调整频繁: 云上业务资产变化快，两高一弱情况难以掌控。
• 漏洞问题整治难点: 安全意识薄弱导致问题屡次发生，漏洞问题误报多，整改周期长。

云上“两高一弱”防治思路

• 资产发现与管理: 快速全面发现多个账号资产详情，发现影子资产，高效管理云上资产。
• 持续精准发现风险: 分钟级发现云上资产变化及对应风险，持续精准发现“两高一弱”。
• 高效闭环处置: 提供精准漏洞信息，减少协作困难。
• 提高安全意识: 全员安全意识提升，实现安全左移。

“两高一弱”安全全防治方案架构

• 云安全中心: 一站式“两高一弱”安全防治中心，高效持续风险治理。
• 全面高效的云资产发现和管理:
  • 持续自动发现云资产。
  • 外部视角测绘，全面发现资产信息。
  • 智能分组管理，覆盖30+资产类型。
  • 最全资产管理，自动完成70%分组。
• 持续精准的发现“两高一弱”安全风险:
  • 网络漏洞扫描。
  • 云资源配置检查。
• 关键漏洞问题的高效闭环处置:
  • 高危端口：一键封禁，提供堡垒机、零信任、WAF等防护手段。
  • 弱口令：云默认安全提升口令强度，主机安全支持弱口令爆破攻击防护。
• 安全意识提高: 通过攻防演练和相关培训，提高全员安全意识。

“两高一弱”防治的三个环节

• 预防: 规范、流程与机制。
  • 规范: 员工安全意识培训、安全开发规范、安全事件惩处机制、最小开放原则。
  • 流程: DevSecOps流程、云账号权限管控、安全风险处置流程、业务下线流程。
  • 机制: 镜像规划化、便利支持研发、防火墙默认策略、系统密码复杂度要求、双因素认证、网络暴露面常态收敛。
• 发现: “两高一弱”的检测能力。
  • 检测要求: 检出的时效性、资产的全面性。
  • 资产CMDB: 通过云API读取云资产列表，实时维护资产CMDB。
  • 主机安全应用: 部署高权限Agent，采集信息，识别漏洞和弱口令。
  • 日志应用: 服务器系统日志、主机安全告警和行为日志。
• 处置: 响应与应急。
  • 影响判断: 数据是否泄露（数据库审计、数据安全审计产品、边界流量统计）、主机是否失陷（系统日志、主机安全告警）。
  • 被动的应急响应。

总结

预防为主，查漏求速，处置彻底，常态治理。