网络安全通常被认为是理所当然的。至少人们认为他们的网络是安全的，直到出现问题而且安排由于他们未能解决的安全漏洞而遭受服务中断或数据泄露。主动发现安全漏洞并缩小安全漏洞是现代企业肯定必须的。
但是，许多安排缺乏辨认安全漏洞的东西和专业知识。为了帮助您的企业改进其网络安全，以下是一些有关如何查找安全漏洞的提示：
如何查找安全漏洞：审计您的网络资产
为了发现企业网络上的安全漏洞，有必要对网络上的财物以及这些财物运行的操作系统 (OS) 和软件进行准确的盘点。拥有此清单可协助组织识别来自过时软件的安全漏洞以及特定操作系统类型和软件中的已知程序过错。
假如没有这个清单，组织或许会认为他们的网络安全是最新的，即便他们的财物上或许存在多年曾经的漏洞。此外，假如将新的安全协议应用于网络上的财物以补偿安全漏洞，但网络上存在不知道财物，这或许会导致对组织的保护不均衡。
例如，假定服务器 A、B 和 C 更新为需求多要素身份验证，但不在清单列表中的服务器 D 未获得更新。歹意行为者可以运用这个安全性较低的服务器作为攻击的切入点。曾经曾以这种方式发生过违规行为。正如《纽约时报》在一篇关于影响摩根大通银行的严重数据走漏的文章中指的那样，“大多数大银行运用双重身份验证方案，称为双要素身份验证，需求第二个一次性密码才能访问受保护的系统。但摩根大通的安全团队显然疏忽了运用双密码方案升级其网络服务器之一。”
在发现安全漏洞时，彻底的网络审计对于成功必不可少。
如何查找安全漏洞：渗透测试
在完成网络审计并清点每项资产后，需要对网络进行压力测验，以确定攻击者可能会怎么测验损坏它。此类渗透测试是网络安全专业人员检查安全漏洞的办法以便在歹意攻击产生之前将其关闭。
渗透测试背面的办法可能会有所不同，具体取决于组织的网络安全架构和网络安全危险状况——没有真正的“一刀切”渗透测试办法。但是，渗透测试的一般步骤一般包括：
- 让“白帽”黑客在设定的日期/时间运行渗透测试。
- 审计现有系统以检查具有已知漏洞的资产。
- “黑客”对网络进行模拟攻击，试图利用潜在的弱点或发现新的弱点。
- 组织运行其事件响应计划 (IRP) 以尝试控制在渗透测试期间模拟的“攻击”。
除了识别安全漏洞之外，列表中的最后一项还可以帮助发现公司事件响应中的缺陷。这对于修改响应计划和措施以进一步减少暴露于某些网络安全风险很有用。
如何查找安全漏洞：创建威胁情报框架
- 渗透测试对于发现安全漏洞非常有用。然而，这并不是公司应该使用的唯一方法。识别潜在问题的另一个工具是威胁情报框架。该框架可帮助您的组织：
- 定义它需要保护的内容。
- 为整体网络安全设定目标。
- 确定主要威胁源。
- 完善网络安全保护措施。
- 选择适当的威胁情报源来监控新出现的网络威胁和攻击策略。
了解您最大的网络安全威胁是什么对于使您的网络安全保护措施保持最新状况至关重要。这是许多公司转向托管安全服务提供商(MSSP) 的地方，由于这些网络安全专家通常拥有工具和经历，能够更轻松地创建威胁情报框架。
许多 MSSP 能够供给渗透测试和领导办理服务，以快速辨认首要的网络安全问题，然后协助他们的客户在攻击者利用它们之前弥补这些安全漏洞。MSSP 还能够协助创建或修正事情响应计划，以便公司能够在不幸产生网络安全漏洞时最大极限地减少影响。