构建实用的缓解措施

了解攻击只是工作的一半；其余工作是实施缓解措施。缓解措施是任何能够降低威胁发生可能性或影响的措施。没有任何单一控制措施可以阻止所有攻击，因此需要分层部署多种措施，以降低总体风险。

本课汇总技术人员用于加固网络、抵御您所学习过的攻击的实用日常防御措施。

修补管理是最有效的防御措施之一。大多数攻击都利用已有修复方案的已知漏洞。及时为操作系统、应用程序和网络设备应用安全更新，可以堵住这些漏洞。

自动修补和定期更新计划能够让系统保持最新状态，大幅缩短攻击者利用已知漏洞攻击您的时间窗口。

薄弱或重复使用的密码会导致无数次数据泄露。请强制使用强度高且唯一的密码，并加入MFA（多因素身份验证）。除密码外，MFA 还要求提供第二种证明，例如手机验证码。

MFA 是现有价值最高的防御措施之一：即使攻击者通过网络钓鱼窃取了密码，没有掌握第二个验证因素，仍然无法登录。

应用最小权限原则：只为每个用户和服务提供其所需的访问权限。如果账户遭到入侵，受限的权限可以限制损害并遏制横向移动。

定期检查权限，及时删除不再使用的账户，并将管理账户与日常使用账户分开，避免一次普通的入侵就交出管理员权限。

使用防火墙并采取默认拒绝的策略，只允许必要的流量通过；同时对网络进行分段，使某一区域遭到入侵时无法自由扩散。将访客、物联网设备和敏感系统隔离到不同的网络分段中。

这些网络控制措施能够遏制事件，将原本可能波及整个网络的入侵限制在单个分段内，变成局部问题。

对传输中的数据（HTTPS、VPN、加密 Wi-Fi）和静态数据（加密驱动器和数据库）进行加密。加密可以抵御窃听和中间链路攻击；即使数据被窃取，没有密钥也无法使用。

将加密设为所有场景的默认配置，意味着攻击者截获的流量和窃取的磁盘只会呈现乱码般的无用数据。

在设备上部署防病毒软件或 EDR（终端检测与响应）来发现恶意软件，并使用电子邮件过滤，在网络钓鱼邮件和恶意附件到达收件箱之前将其拦截。

由于电子邮件是攻击最主要的传播方式，强大的垃圾邮件和网络钓鱼过滤器配合终端防护，可以在用户看到威胁之前自动阻止其中很大一部分。

看不见的威胁就无法阻止。使用IDS/IPS（入侵检测/防御系统）、集中式日志记录和SIEM（安全信息与事件管理）来快速发现可疑活动。

建立正常行为基线后，监控系统就能标记异常；快速检测可以限制攻击者在被阻止前造成的损害。

可靠的备份是抵御勒索软件和数据丢失的最终防线。遵循3-2-1 规则：保留三份副本，使用两种介质，其中一份存放在异地或离线环境。

请定期测试恢复过程，因为未经测试的备份可能会在最需要时失效。有了良好的备份，即使攻击成功，也能将事件恢复，而不是酿成灾难。

当攻击目标是人员时，仅靠技术控制措施并不足够。持续开展安全意识培训、制定明确的政策并建立事件响应计划，可以让用户成为防御层，并确保发生问题时能够快速、有序地响应。

经过培训、知道如何发现并报告可疑活动的员工队伍，是所有防御措施中成本效益最高的措施之一。

有效的安全防护会分层采用多种实用缓解措施：修补、MFA、最小权限、防火墙与网络分段、加密、终端与电子邮件防护、监控、备份以及培训。没有任何单一措施足够可靠，但它们结合起来会大幅提高攻击发起、扩散和成功的难度。

检验您对缓解措施的了解。

通过叠加实用的缓解措施，可以降低风险：修补管理、MFA和强身份验证、最小权限、防火墙与网络分段、全面加密、终端与电子邮件防护、监控（IDS/IPS、SIEM）、经过测试的备份（3-2-1）以及用户培训。没有任何控制措施单独就足够。