博客
如何衡量网络风险
抽象形状抽象形状
加入27,000多个网络安全通讯订阅者

信息技术已经改变了人们开展业务的方式。更好的是,它为商务和通信的各个方面带来了速度,规模和功能。更糟的是,它带来了数据泄露,破坏和中断的风险。通过其技术可以对企业造成的损害称为 网络风险并且,随着此类事件的后果越来越严重,管理网络风险(尤其是在第三方之间)已迅速成为任何组织的关键方面。

网络风险的特殊性质要求将技术细节转换为业务术语。安全等级和网络风险评估可达到此目的,就像信用评分可用来评估贷款风险一样。但是,解决方案在此领域采用的方法以及结果也各不相同。

方法学问题

网络风险和 网络安全 是复杂的问题,自数字转换开始以来就一直受到阻碍。测量风险的方式决定了查看结果的环境;这就是为什么透明度对安全评级如此重要,为什么必须知道要评估的风险范围的原因。一些解决方案使用所谓的“ IP信誉”来评估风险。

此方法监控 恶意软件 蜜罐和其他传感器的请求,并尝试根据注册的IP地址空间将其分配给组织。 UpGuard遵循“网络弹性,”,用于衡量配置,最佳做法以及组织数字运营和安全性的其他已知方面。

IP信誉

恶意软件信号

如上所述,为基于IP信誉的解决方案收集数据的主要方式是建立蜜罐或有目的的不安全系统,以便收集有关遭受其攻击的数据,包括其原始IP地址。曾经在Internet上安装了不安全系统的任何人都知道,攻击一直在发生,蜜罐仅是因为容易受到攻击就捕获了其中一部分攻击。

然而 恶意软件类型 足以随机击中蜜罐的攻击仅占正在传播的恶意软件总数的一小部分。 勒索软件 喜欢 想哭 和其他关键业务恶意软件通常是高度针对性的,例如 网络钓鱼 以及在企业中建立有价值数据的脆弱系统,而不仅仅是互联网上的任何计算机。

IP归属

一旦记录了攻击的原始IP地址,便会对照Internet上拥有的IP地址空间的映射来检查攻击。本质上,每个IP地址都位于与所有者关联的空间中。尽管有些公司可能只使用一些面向互联网的IP地址,但有些公司拥有成千上万个甚至更多。但是,准确 IP归属 由于许多原因,这一直是一个持续存在的问题。

  • 公共网络-许多公司提供访客wi-fi,计算机实验室,社区访问以及其他允许未经审查的计算机访问Internet的服务。但是,这些公共网络被禁止访问公司的内部网络,并且此类用户的行为不能反映公司的做法或安全性。
  • 误导 -攻击通常会欺骗其来源,或者在到达最终目标之前经过许多不同的连接。
  • 失效和重新定位的地址空间 -IP地址空间的所有权基于必须经常更新的注册。当注册更改时,第三方可能会先使用一个实体先前拥有的地址空间,然后再在其他站点上更新所有权。
  • 大型网络和粒度 -更大范围内,IP归属几乎变得毫无意义,因为母公司可能拥有数百万个公共IP地址,这些IP地址是通过由其他机构组成的复杂网络分配的。同样,很难与ISP或供应商共享地址空间的中小型企业。

IP信誉方法取决于属性,以将行为与特定实体正确关联。但是,除非这种归因是准确的,并且能反映出供应商对公司的实际威胁,否则整个风险分析都将出错,并且更糟糕的是,盲点中的风险被视为已得到管理,但并未得到充分理解。

单一威胁向量

即使恶意软件活动归因是一种可靠的方法,它仍然只能看到面对任何数字业务的众多威胁中的一个威胁。尽管恶意软件在网络攻击链中确实扮演着重要角色,但其进入组织的方式却跨越了几种不同的方式 攻击载体。此外,网络攻击仅占一小部分数据泄露和服务中断事件-首要原因是配置错误,这是基于IP信誉的风险分析所无法解决的。

弹性

互联网足迹

UpGuard无需使用IP地址所有权来确定组织的边界,而是着眼于其Internet足迹。通过分析网络风险进入组织的所有面向互联网的媒介,UpGuard可以衡量组织本身,针对攻击和错误配置的态势。

UpGuard收集了公司的每个Internet域名和网站,分析了每个域名和网站的相关风险因素,安全最佳实践和正确配置,并将它们汇总到CSTAR中,CSTAR是一种行业标准的安全性等级,可反映企业的实时状况。组织应对网络风险。

配置错误

令人惊讶的是,几乎没有数据泄露和服务中断事件的原因是“黑客行为”。通常,这些是由错误配置引起的-要么是未经修改的不安全的默认设置,要么是无意中使资源面临不必要风险的配置。错误配置的一个示例是将敏感数据存储在云中,并意外地将其公开给Internet。

UpGuard可以扫描Internet足迹中存在的错误配置,因为最佳实践决定了应如何加固服务器和服务以防止受到攻击。通过将供应商的状况与这些准则进行比较,UpGuard可以快速发现问题-并提供补救指导。

所有接触和破坏的载体

UpGuard按威胁组织评估,因此公司确切知道哪种媒介对每个供应商来说都是最危险的。这包括常见的攻击,例如:

  • 中间人 -UpGuard评估 加密 机制和配置,以了解供应商如何很好地保护其客户免受数据拦截。
  • 网络钓鱼 -有针对性的电子邮件可以诱使人们绕过自己的防御措施,泄露数据或汇款。 UpGuard会检查电子邮件做法,以确定供应商是否已采取措施来减轻网络钓鱼的风险。
  • 漏洞端口 -最近记忆中最大的勒索软件攻击WannaCry和Petya都依赖于暴露 Microsoft SMB端口 感染系统。 UpGuard检查每个供应商站点上的端口是否存在危险的攻击。
  • 过时且未修补的软件 -UpGuard查找由供应商的站点发布的软件。攻击者可以轻松找到 漏洞利用 用于旧的和未修补的软件。
  • 内部威胁 -不健康的企业文化会增加内部渎职和经营不善的风险。两者都会影响您的数据和服务。 UpGuard衡量公司的满意度和首席执行官的批准,以便可以预先标记不健康的文化。
  • 黑名单 -UpGuard确实包含 最好的IP信誉列表,通过对照Google的恶意软件黑名单检查每个网站,确保如果供应商的网站以前有信誉问题,那么客户就可以知道。

IP信誉未涵盖的威胁

云泄漏

当供应商采用云技术时,他们存储在其中的数据将面临以下风险: 接触整个互联网。忘记黑客;配置错误的存储桶可以泄漏整个数据库,而无需输入密码即可获取。 UpGuard网络风险团队拥有 研究并记录了这些违规行为 以显示在处理不当时易受攻击的信息的程度。无论您的IP信誉多么出色,配置错误的云服务器或存储实例都可能使您的整个业务面临风险。

脆弱且未修补的软件

几乎所有成功的攻击都利用已知的漏洞并整年提供补丁。无法更新面向互联网的应用程序是网络风险的主要指标。 IP信誉方法不会触及此向量,因为它是合法基础结构中的弱点,而不是某些恶意第三方放置在其中的恶意代理。如果组织希望通过威胁的严重性来优先考虑网络风险管理,则未打补丁和配置错误的软件应该是第一要务。

网络钓鱼易感性

某种形式的 社会工程学 通常先于 网络攻击。网络钓鱼或高度关注的对象 鱼叉式,使用欺诈性电子邮件诱使人们向犯罪的第三方发送信息,文档甚至金钱。但是,如果适当的防御措施和配置正确,网络钓鱼电子邮件甚至可以在被捕获之前就被捕获并隔离。 UpGuard检查每个供应商的每个域,以确保这些机制已经到位并起作用。

结论

确定哪种方法最适合您的需求取决于您的网络风险计划的目标。 IP信誉有时可以检测到归因于公司拥有的地址空间的恶意软件信号,但UpGuard的网络弹性策略会查看每个公司的Internet足迹并检查所有数据泄露和服务中断所依据的媒介,包括配置错误,领先者成功攻击的原因,也是IP信誉策略无法检测到的原因。

UpGuard的VendorRisk 提供最全面的外部评估,评估供应商的互联网覆盖范围。每家公司都被分配了一个网络安全等级,可以从最高层次上了解第三方风险。与IP信誉解决方案不同,UpGuard还为检测到的每种风险提供必要的技术详细信息,以及补救和补偿控制信息。 VendorRisk还可以自动执行 问卷调查过程,以便供应商证明以及他们的评估和评级可以自动交付,存储和组织。 UpGuard端到端管理整个第三方网络风险过程。

免费电子书

买家'第三方风险管理指南

您是否正在寻找一种解决方案来帮助您的企业管理第三方供应商风险?了解了解网络风险,管理供应商并避免数据泄露所需的功能。
白色UpGuard徽标
买家'第三方风险管理指南
可供下载的UpGuard免费资源
学到更多

下载我们的免费电子书和白皮书

关于网络安全和供应商风险管理的见解。
白色UpGuard徽标
电子书,报告& Whitepapers
可供下载的UpGuard免费资源
UpGuard客户支持团队UpGuard客户支持团队UpGuard客户支持团队

观看UpGuard的实际应用

与我们的一位网络安全专家预订免费的个性化入职电话。
抽象形状抽象形状

相关文章

了解有关网络安全的最新问题的更多信息。
传送图标

注册我们的时事通讯

每周在收件箱中获取最新精选的网络安全新闻,漏洞,事件和更新。
抽象形状抽象形状
免费即时安全评分

您的组织有多安全?

索取免费的网络安全报告,以发现您的网站,电子邮件,网络和品牌上的主要风险。
  • 检查图标
    您可以立即采取行动的即时见解
  • 检查图标
    13个风险因素,包括电子邮件安全,SSL,DNS运行状况,开放端口和常见漏洞
网站安全扫描结果网站安全扫描等级抽象形状