安全测试可以帮助事件响应的 5 种方式

组织了解他们的对手是谁以及他们如何在企业环境中运作的重要性不容低估。 面对日益动荡的威胁形势，组织的网络安全测试和弹性改进方法必须围绕这一观点得到支持。

精心设计的网络安全测试计划的核心要素应该是帮助组织识别和修复漏洞，不断挑战检测和响应能力，完善威胁情报收集优先级，并通过对响应计划的持续压力测试来增强整体事件准备。 这 IBM 的 2022 年数据泄露成本报告 显示定期测试事件响应计划的组织平均可节省 2.66 万美元（约合 2 万英镑）的违规成本。

尽管没有放之四海而皆准的解决方案，但组织在制定构建和维护网络安全测试计划的总体战略时可以关注以下五个关键考虑因素。

1.跨团队协作

协作是组织的优势所在，因此安全团队应专注于与不同团队建立内部关系。 安全团队应该记住，人为因素是至关重要的，并定义一个清晰的流程，以有效地允许来自安全运营中心 (SOC)、风险/合规、漏洞管理 (VM)、网络威胁情报 (CTI) 和安全测试功能的代表推动协作。

在可能的情况下，鼓励这些团队进行面对面的讨论。 这将创造一个在个人层面建立跨团队融洽关系的机会，并培养一种对实现共同目标大有帮助的友情。

创建一个定义明确职责并促进这些团队之间透明沟通以快速共享发现结果的治理框架，将有助于做出更好的决策、加快事件响应速度，并全面了解组织的网络能力。

协作可以增强对彼此技术和方法的理解，并可以交流知识和专业知识，以改进威胁检测和缓解策略。

2. 遵循以情报为主导和基于风险的范围定义方法

持续整理威胁情报的流程应使组织能够构建和维护一个全面且最新的基线攻击场景库。 首先，确定哪些威胁行为者团体可能有动机以组织为目标。 将其与已建立的基线情景叠加起来将有助于定义一个全面的列表 战术、技术和程序 (TTP).

组织通常在其环境中拥有多种资产，这使得识别风险点以及评估应该在漏洞识别和修复上花费的位置和金额变得困难。 从时间的角度来看，根据范围内的所有资产评估已识别 TTP 的完整列表可能是不现实的。

一种更基于风险的方法是开辟出一个合理的 TTP 序列子集，并创造性地混合和匹配基础设施和软件细节，而不受大量清单的约束。 这为攻击模拟团队创建了有针对性的子场景，以供他们最初关注。

这种方法将帮助 CISO 更精细地衡量现有的实际缓解措施的强度，并确定关键业务服务中的高优先级领域，同时优化利用现有资源。

3. 对网络防御控制进行持续压力测试

利用场景和已定义的 TTP 优先级列表来不断练习组织的技术和业务响应。 场景子集的复杂性应该随着 事件响应程序 成熟。 在安全团队之前失败的地方，必须重复这些场景，以便组织可以在发生真正的攻击时改进流程。

选择 SOC 可以检测到并且 VM 团队可以补救的“低速和缓慢”策略很重要——但不要让事情变得太容易。 仔细选择 SOC 难以防御的 TTP 会鼓励这些团队不断提高他们的技术，并推动组织更新响应策略。

复杂性、隐蔽性和速度之间的选择将由组织的风险状况和威胁优先级驱动，这些风险状况和威胁优先级有助于形成特定的测试场景。

4. 设定共享理解和改进跟踪的指标

需要定义和跟踪成功标准，以证明组织资产的整体风险降低。 减少检测和/或响应时间、减少成功攻击等指标有助于有效地阐明对董事会的改进。

比较先前和后续渗透测试、红队练习和/或目标攻击模拟的结果很有用，重点关注已识别和利用的高风险漏洞的数量，以及测试人员的总体成功率。

能够分析威胁形势的变化并展示缓解当前和不断发展的威胁的能力增强将有助于 CISO 展示改进的风险降低。

5.建立反馈渠道以推动流程改进

分解针对已执行 TTP 的测试观察结果以及在攻击链中确定的可操作缓解措施。 测试结果还将有助于更好地了解哪些漏洞最有可能被利用，并有助于优化 VM 流程中的风险优先级。

将这些结果实时共享给 CTI 团队，使他们能够监控可能利用漏洞的潜在威胁，提高对已记录威胁的理论理解，提供对以前未知漏洞的洞察力，并帮助确定优先领域以进行进一步研究和分析。

一个集中的仪表板可以实时汇总现场的测试输出，这可以为相关的 SOC 团队利益相关者提供在安全监控工具和警报系统中发现的漏洞，这是非常有用的。

提供一个 训练范围 实践和验证 IR 计划，并确定必须改进响应时间的领域，对于改进整体事件准备工作很有用。

最终目标

世界经济论坛 2023 年全球网络安全展望 表示 43% 的企业领导者认为他们的组织可能会在未来两年内遭受重大攻击。 通过加强协作和改进风险管理流程，对网络安全测试进行全面变革，增强了对网络攻击的抵御能力。

• SEO 支持的内容和 PR 分发。 今天得到放大。
• 柏拉图爱流。 Web3 数据智能。 知识放大。 访问这里。
• 与 Adryenn Ashley 一起铸造未来。 访问这里。
• 使用 PREIPO® 买卖 PRE-IPO 公司的股票。 访问这里。
• Sumber: https://www.darkreading.com/edge-articles/5-ways-security-testing-can-aid-incident-response