安全

这个分类涵盖什么

防止系统和账号被接管：身份与访问、终端防护、漏洞管理、密钥、对可疑活动的监控，以及事情发生时的响应。

产品的范围从单一管控，到覆盖整个资产的平台。重要的是对攻击者真正使用的路径的覆盖，这远比宣传所暗示的要窄。

团队的凭据存储归入密码管理。审计证据和框架归入合规与GRC。

按真实风险的顺序来买

小型和中型公司的大多数事故，始于三个地方之一：被盗的密码，暴露在互联网上未打补丁的系统，或者有人被邮件说服去做了某件事。

这个顺序告诉您该先买什么。所有账号都启用多因素认证，尤其是邮箱和管理员账号。一个托管的补丁更新方式。具备集中可见性的终端防护，而不是每台笔记本上没人看管的一份授权。

高级平台值得以后再买。先买的话，它们产生的告警没人有时间去看，这样只有成本而没有保护。

身份如今就是边界

访问控制已成为主要防线，因为工作转移到浏览器和手机之后，网络边界已经没有多大意义。

• 单点登录，让账号在一个地方创建和移除。
• 账号开通，把访问权限与在职状态挂钩，而不是靠记忆。
• 强认证的第二因素，为管理员提供防钓鱼的选项。
• 最小权限，包括短期提权，而不是长期持有权限。
• 会话控制，让被盗的令牌只有有限的寿命。

问一问产品如何处理单点登录之外的那些账号。每个组织都有一些，而它们正是有人离职时被遗忘的那些。

终端、漏洞与枯燥的维护

终端防护已经从拦截已知威胁，转向记录行为，让您事后调查。有用的问题是分析人员实际能做什么：隔离一台设备，取回一个文件，查看进程历史，回滚某个操作。

漏洞管理没那么刺激，却能堵上更多漏洞。重要的不是报告有多长，而是它是否按可利用性和可达性排出优先级，以及修复能否被跟踪到完成，而不是永远列在那里。

补丁节奏胜过这个分类里几乎所有其他管控。一款只告诉您缺了什么、却不帮您装上的工具，只是转移了工作，而不是减少了工作。

监控，以及由谁来盯

日志收集和告警，只有在有人响应时才有用。

在购买平台之前，先决定凌晨两点谁来看告警，以及他们有什么权限。如果诚实的答案是没人，那托管服务是更好的购买，因为它把工具变成了响应。

然后设定对噪音的预期。摄入量推高成本，误报造成疲劳，所以调优是持续的工作，而不是一次性的配置任务。问一问产品里的调优是什么样的，以及告警质量如何衡量。

人，以及最便宜的管控

培训和模拟钓鱼常被嘲笑，却确实有效，因为它们所针对的攻击是最常见的那一种。

保持简短、频繁，并贴合员工实际遇到的情形。配上几秒钟就能完成的上报途径，并把上报一封可疑邮件视为成功，而不是打扰。

这个分类的定价按终端、按用户、按摄入数据量或按扫描次数，托管服务则就人工的关注另行收费。按包含这部分关注的总额建模，而不是只看授权费，并参考定价页隐藏了什么中描述的惯例。

三种规模下的良好状态

二十人以下的公司，良好状态意味着每个账号都有第二因素保护，笔记本已加密并打好补丁，凭据放在密码库里，并且有一个人负责这件事。不需要安全团队也能做到。

一百人的规模，良好状态还要加上身份管理、入职和离职的自动化、终端检测，以及一份有人真正演练过的书面响应计划。

再往上，问题就从技术层面变成了组织层面：谁来看告警，被攻破的账号能多快被控制住，以及这些答案在公共假日的凌晨两点是否依然成立。

值得注意的规律是，花钱很少是因为工具太便宜而失败。失败是因为没人对结果负责，这是人员配置的决定，而不是采购的决定。