文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

CISA发布十大常见网络安全错误配置

2024-11-30 05:11

关注

报告分析的数据来自两家机构的红队和蓝队在对多个美国政府部门进行的网络安全评估和事件响应活动,包括来自国防部(DoD)、联邦民用执行部门(FCEB)、州、地方、部落和领土(SLTT)政府以及私营企业网络的数据。

评估显示,一些最常见的错误配置可将整个国家的人民置于网络安全风险之中,例如软件和应用程序的默认凭证、服务权限和配置、用户/管理员权限的不当分离、内部网络监控不足、糟糕的补丁管理等。

报告公布的十大最常见网络安全错误配置包括:

  1. 软件和应用程序的默认配置
  2. 用户/管理员权限的不当分离
  3. 内网监控不足
  4. 缺乏网络分段
  5. 糟糕的补丁管理
  6. 系统访问控制的绕过
  7. 弱或误配置的多因素认证(MFA)方法
  8. 网络共享和服务的访问控制列表(ACLs)不足
  9. 糟糕的凭证卫生
  10. 无限制的代码执行

上述错误配置是许多大型企业网络中最常见的系统性漏洞和攻击风险,凸显了软件开发商采用和遵循安全设计原则的重要性和紧迫性。

报告建议软件开发商停止使用默认密码,并确保单个安全控制点被入侵后不会危及整个系统的完整性。此外,采取积极措施消除整个漏洞类别也至关重要,例如使用内存安全的编码语言或实施参数化查询。

最后,报告建议强制实施特权用户进行多因素认证(MFA),并将MFA设为默认措施,使其成为标准实践而非可选项。

NSA和CISA还建议网络防御者实施推荐的缓解措施,以减少攻击者利用这些常见误配置的风险。这些缓解措施包括:

NSA和CISA还建议软件开发商也采纳安全设计和默认策略来提高客户端的安全性,具体缓解措施建议如下:

此外,NSA和CISA推荐“针对MITRE ATT&CK for Enterprise框架映射的威胁行为来演练、测试和验证组织的安全计划”。

两个机构还建议测试组织现有的安全控制清单,以评估它们对建议中描述的ATT&CK技术的性能。

来源:GoUpSec内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯