[[434588]]奇米影视盒官方下载

SolarWinds公司的Orion软件数据露馅事件变嫌了该公司的安全策略和方法。该公司首席信息安全官Tim Brown共享了一些经营首席信息安全官和软件供应商怎样为供应链报复作念好准备的建议。

旧年年底，一个名为Cozy Bear(APT29)的汇聚报复组织见效入侵了SolarWinds公司的Orion更新软件，将其造成了坏心软件的传播器用。这一汇聚监控器用使该公司快要100名客户受到侵害，其中包括一些政府部门和汇聚安全奇迹商FireEye公司。

汇聚报复者拜访和报复SolarWinds公司的IT基础设施，并对Orion软件植入木马面貌。开端发现这种软件供应链报复的FireEye公司默示，它需要汇聚报复者经心筹备和交互。

推敲东说念主员以为需要十分喜爱这次汇聚报复，SolarWinds公司也作念了积极地应答，该公司赶紧引入了外部匡助，不仅措置了面对的危险，还匡助审查了他们的安全运营圭表，并制定了安全政策，以更好地拒接曩昔的软件供应链报复。SolarWinds公司已公开了该事件的细节以及为改善其安全态势而选拔的圭表。

行业媒体为此采访了SolarWinds公司首席信息安全官兼安全副总裁Tim Brown，就这次事件怎样更正该公司的安全圭表和方法进行了探讨。Brown主要细致该公司的居品和里面安全。

在这次汇聚报复发生后，您的使命扮装发生了哪些变化?

Brown：在这次汇聚报复发生之前，我的职责并不单是包括首席信息安全官的职责，还关注公司的安全运营和居品安全政策。咱们的指标是居品和运营的连合。咱们需要细致运营安全，并主要录用居品，因此让咱们的安全团队参与其中终点迫切。

在这次汇聚报复事件发生之后， SolarWinds公司决定怎样应答和处理?

Brown：在探员时代，咱们领先引入了安全厂商Crowd Strike公司对咱们的业务进行宏不雅检验。他们的职工与咱们一王人使命了大致五个月，深入推敲了每个使命站、每个奇迹器的总共细节。

与此同期，咱们还赢得了毕马威公司取证团队的匡助，因为咱们需要一些不同的本事组合，需要有东说念主专注于工程和征战环境，然后进行微不雅检验。

为了提高后果，咱们让Crowd Strike公司专注于宏不雅环境，毕马威公司专注于微不雅环境。在探员中的前一两个月，咱们每天都与他们会面，并得到一个列出总共事项的清单。

在探员中还有一件迫切的事是，咱们需要更好地了解通盘环境。在事件发生之前，咱们运行了我方的安全运营中心(SOC)，这个安全运营中心(SOC)具有粗拙的遮蔽界限。使命站和奇迹器目下选拔CrowdStrike Falcon进行监控。

然后，SecureWorks从CrowdStrike获取咱们的AWS信息、防火墙信息、Azure信息、Microsoft 365以及咱们的总共使命站和奇迹器信息，这增强了SOC的可见性。这种可见性对咱们大要看到一切终点灵验。

另一个变化是成立全职“红队”。 红队的任务是从对抗性的角度查抄企业的步履和业务职能，以改善企业的安全情状。在汇聚安全事件发生之前，咱们的红队是兼职的。成立全职红队让咱们的团队成员不错担任几个扮装。一种是基础设施的里面红队，测试咱们实施的遣散圭表，并确保安全运营中心(SOC)作念正确的事情。

咱们按期对每个措置决策进行里面渗入测试，然后也在外部进行渗入测试。这为咱们提供了一种互补的方法。它还与工程环境密切联系，这也要进行我方的里面安全测试。

这种测试加多了三倍，这种多方的安全测试包括：外部测试、安全团队里面测试和征战团队里面测试。

对于您的团队和通盘业务来说，安全不雅念发生了奈何的变化?

Brown：有东说念主告诉我，他们试图闪征战东说念主员变嫌或闪征战东说念主员推敲安全性方面遭遇的问题。对于这一安全事件，咱们的社区和用户终点不安。因为有东说念主闯入他们的汇聚和系统，并变嫌了他们的运营环境。

确保安全性的撑握之一是创造安全文化，这是一个握续的旅程。咱们进行安全培训，饱读动阐发，并让总共职工参与。

从咱们的实践蛊卦层来看，咱们公司的首席实践官Sudhakar Ramakrishna在召开整体会议时每次都会驳倒安全问题。各个层面都在驳倒安全性。

有毒吗

另一撑握是销售团队的心态。咱们的客户目下最体恤的是安全问题。是以，这不单是是一个里面的事情，亦然推进业务发展的要害。软件征战商以及安全行业除外的公司如今都在驳倒他们的安全功能。

咱们看到客户就咱们的安全历程建议了更复杂、更瞩见地问题。我以为这很好。这将使企业在安全方面走上正确的轨说念，并教导他们需要堤防什么事项。

您为客户提供了哪些指挥或器用来匡助平缓供应链防止?

Brown：咱们在不同的地方都有安全的建树信息。在汇聚报复事件发生之后，咱们将其统一到一个文档和一个区域中，这是以安全样式实施的方法。

独特是对于里面部署措置决策，这是一种互助关系。咱们需要他们大要选拔正确的手脚，并以正确的样式进行建树。但咱们并不老是对他们的建树样式有长远的了解。在某些情况下，他们并不和咱们通常和交流。他们只需装置居品即可。他们需要顺应安全地建树、监控和顾问居品，这一圭表终点迫切。

您是否提供了对公司的生态系统和正在使用的奇迹的更多可见性?

Brown：咱们将公开和共享咱们使用的器用。咱们会告诉他们，“咱们用Checkmarx作念静态代码分析。咱们使用WhiteSource来查抄开源器用。”

咱们将更多地商议咱们的安全征战人命周期(SDL)历程以及咱们在环境中实施的保护圭表。事实上，就像汇聚报复事件发生之前的大多半供应商一样，那么他们的确体恤咱们怎样保护和确立吗?目下每个东说念主都在这么作念。我和其他首席信息安全官进行了通常和交流，他们默示面对的问题越来越难，条件愈加敞开。这对各行业发展都有公正。

你提到了一些正在进行的使命，举例居品和里面审计的最低特权拜访模子。你有这些使命的时刻表吗?

Brown：咱们的里面审计是对从代码行一直到居品的总共践诺的里面审计，将在2022年第一季度完成。居品的最低特权模子也曾从文档和初步实施初始。

这是一个初始。咱们也曾对代理和其他践诺进行了革新，以匡助客户了解应该怎样建树，并从代理网罗数据。咱们也曾作念了一些事情，举例使警报系统在不同的帐户下运行，况且不错指定具有顺应权限的帐户。

下一步是与权限顾问系统的集成，这么咱们就无须在居品中使用密码，不错将它们从已批准的密码顾问系统中移除。好多东说念主初始关注咱们是怎样作念到的，并领有了所需的最低特权，但仍然大要实施咱们正在实践的功能。

这对于莫得严格拜访遣散遣散的客户有匡助吗?

Brown：确切地说，它只会为这些客户提供顺应级别的保险。在这起事件中，咱们与互助伙伴开展了Orion救济遐想。咱们的互助伙伴将匡助客户进行升级，并匡助考证建树以确保它们是合适的。

软件行业应该作念些什么来更好地保护每个东说念主免受供应链报复?

Brown：领先，企业确保我方的运营环境绘声绘色，确保为应答汇聚报复作念好准备。淌若照实发生报复事件，那么需要实施也曾制定的遐想，并不竭完成事件反应历程。

其次，对于客户来说，应该让其居品对不顺应的建树更有弹性，对一般的汇聚报复更有弹性。不管是对于怎样建树的指南，不管是器用，如故建树匡助，这一切都归结为匡助客户在其环境中进行顺应建树以提高弹性。

从行业的角度来看，将会加多可见性，这将会愈加透明。它关注于软件和材料，关注在居品中使用的总共组件，并使它们愈加公开。这将了解并提供经营征战框架和征战周期的更多信息。

从透明度的角度来看，这是正确的地点。软件行业应该剿袭这一现实，不仅要作念基础使命，还要匡助IT部门作念到这少许，以便咱们公开的框架和信息照实有助于保护环境，并使其更具叛逆报复的才气。

对于可能成为汇聚报复指标的企业，其他首席信息安全官应该作念的最迫切的使命是什么?

Brown：每个东说念主都应该剖析到的一个教导是防停步履者的级别。那些使他们难以发现和对抗的事情等于目下边临的汇聚报复者，他们初始转向有组织的罪人。

淌若不了解汇聚报复者将会追求什么，需要从了解环境初始，从了解他们将要作念什么初始。了解环境，这么就不错随时不雅察一切，并确保领有通盘环境的粗拙可见性。

确保在环境中选拔了保护圭表。从征战东说念主员的角度来看，确保了解正在顾问的缺点、我方知说念的缺点、第三方知说念的缺点，并选拔顺应的历程顺应地顾问它们。

其中一个教导是，不管怎样熟识事件反应，它都会有所不同。当这种级别的汇聚报复事情发生时，企业只需要为历程和面貌作念好准备。

东说念主们不可我方作念总共的事情。从音讯传递、反应、探员的角度来看，总共这些事情都需要有资格丰富的东说念主员参与。

大致在这次网终报复事件的前一年，咱们就制定了一个历程，对于每个安全缺点，不管是外部记载的、咱们的器用记载的如故其他地方记载的，都会成为Jira记载单，就像惯例缺点一样，但它会赢得一个安全标签。咱们的安全团队将监控这些事项。淌若不允洽咱们的里面等第奇迹条约(SLA)措置决策，他们将经过咱们的风险评估表(RAF)历程，我必须在风险评估表上署名，工程细致东说念主也要署名。这将处理居品中的缺点水平擢升到一个顺应的级别，以决定某个问题是否得到措置。

制定历程以确保在缺点方面取得施展，因为不一定是防停步履者干与企业的环境并革新代码，就像他们在咱们的运营环境中所作念的那样。另外，防停步履者可能发现了居品中的零日缺点并应用这些缺点。因此，需要确保在这两个限度都有遮蔽。

 奇米影视盒官方下载