Mitre公司不久前發(fā)布了D3FEND安全矩陣，一種幫助企業(yè)用戶(hù)更好應(yīng)對(duì)網(wǎng)絡(luò)安全威脅的策略圖譜，它提供了一種強(qiáng)化網(wǎng)絡(luò)、檢測(cè)和隔離威脅的方法，以及從網(wǎng)絡(luò)中欺騙和驅(qū)逐攻擊者的方法。本文重點(diǎn)討論Windows系統(tǒng)管理員如何依照D3FEND指南來(lái)加固網(wǎng)絡(luò)。

　　01 應(yīng)用強(qiáng)化

　　Mitre D3FEND建議使用以下流程來(lái)強(qiáng)化應(yīng)用程序：

　　死代碼消除

　　異常處理程序指針驗(yàn)證

　　流程段執(zhí)行預(yù)防

　　段地址偏移隨機(jī)化

　　棧幀canary驗(yàn)證

　　指針認(rèn)證

　　作為大型組織的CSO，雖然可能會(huì)影響企業(yè)用戶(hù)的軟件選型，但可能無(wú)法影響實(shí)際的軟件編碼。用戶(hù)可以與軟件供應(yīng)商討論這些概念，并向他們?cè)儐?wèn)安全流程。用戶(hù)可以聘請(qǐng)顧問(wèn)來(lái)審查企業(yè)內(nèi)部的代碼項(xiàng)目，以確保企業(yè)的應(yīng)用程序在設(shè)計(jì)時(shí)考慮到了安全性。

　　02 憑證強(qiáng)化

　　憑證強(qiáng)化從證書(shū)固定開(kāi)始，包括端到端證書(shū)固定以及證書(shū)和公鑰固定。根據(jù)Mitre的說(shuō)法，就是通過(guò)將證書(shū)或公鑰的可信副本與服務(wù)器相關(guān)聯(lián)，從而降低經(jīng)常訪問(wèn)的站點(diǎn)遭受中間人攻擊的可能性。證書(shū)或公鑰可以在建立可信連接后固定，或者固定到可以預(yù)加載的應(yīng)用程序中，這是移動(dòng)應(yīng)用程序的首選方法。

　　下一個(gè)憑據(jù)強(qiáng)化建議是多因素身份驗(yàn)證 （MFA）。MFA部署可以采用令牌、密鑰卡、手機(jī)應(yīng)用程序或撥打指定電話(huà)號(hào)碼的形式，它通常要求用戶(hù)確定大多數(shù)關(guān)鍵高風(fēng)險(xiǎn)應(yīng)用程序支持的通用身份驗(yàn)證平臺(tái)，通常這些平臺(tái)包括Microsoft Authenticator、Google Authenticator等應(yīng)用程序或Duo.com等第三方平臺(tái)。諸如Yubikey之類(lèi)的密鑰卡可以提供額外的身份驗(yàn)證級(jí)別。

　　如果用戶(hù)使用手機(jī)和應(yīng)用程序作為身份驗(yàn)證器，那么企業(yè)可能需要為員工部署商務(wù)電話(huà)或報(bào)銷(xiāo)員工個(gè)人電話(huà)作為身份驗(yàn)證設(shè)備的費(fèi)用。通常，IT部門(mén)必須使用多個(gè)電話(huà)平臺(tái)測(cè)試MFA，并確保向最終用戶(hù)提供清晰的說(shuō)明、設(shè)置幫助臺(tái)以在MFA推出時(shí)處理詢(xún)問(wèn)。

　　一次性密碼部署是另一種選擇，但這需要與SIM交換、密碼不安全交付和其他攻擊風(fēng)險(xiǎn)進(jìn)行平衡。我們經(jīng)常會(huì)看到一次性密碼用于在兩方之間傳輸文件或信息，而不是在辦公環(huán)境中永久部署。

　　強(qiáng)密碼策略以及有關(guān)構(gòu)成強(qiáng)密碼的內(nèi)容的通信是保持網(wǎng)絡(luò)安全的關(guān)鍵。僅使用組合策略來(lái)設(shè)置強(qiáng)密碼策略是不夠的，正確選擇密碼保存程序，以及對(duì)用戶(hù)進(jìn)行安全意識(shí)教育，避免用戶(hù)在潛在的網(wǎng)絡(luò)釣魚(yú)中泄漏密碼也十分重要。

　　03 消息強(qiáng)化

　　消息強(qiáng)化可能是一種難以實(shí)施的防御技術(shù)。除非用戶(hù)所在的行業(yè)需要加密，否則電子郵件將以明文形式發(fā)送。加密通常與第三方加密消息傳遞系統(tǒng)一起添加。就像密碼一樣，消息強(qiáng)化也需要在實(shí)際實(shí)施中對(duì)用戶(hù)進(jìn)行安全意識(shí)培訓(xùn)。

　　傳輸代理身份驗(yàn)證的難易程度有很大差異，如果用戶(hù)唯一的電子郵件流程依賴(lài)于Gmail或Office 365等第三方郵件平臺(tái)，則供應(yīng)商會(huì)提供必要的DMARC、DKIM 和 SPF設(shè)置。如果用戶(hù)在發(fā)送過(guò)程中使用其他電子郵件平臺(tái)，那可能就需要在SPF和DNS記錄中進(jìn)行多項(xiàng)設(shè)置，以識(shí)別將使用的電子郵件平臺(tái)類(lèi)型。通常，用戶(hù)必須查看電子郵件標(biāo)題以確保設(shè)置符合個(gè)人預(yù)期。

　　04 平臺(tái)強(qiáng)化

　　平臺(tái)強(qiáng)化是我們?cè)诰W(wǎng)絡(luò)安全上花費(fèi)大量時(shí)間和資源的地方。從磁盤(pán)加密開(kāi)始，這可以確保如果資產(chǎn)被盜，攻擊者將無(wú)法讀取硬盤(pán)驅(qū)動(dòng)器上的數(shù)據(jù)。驅(qū)動(dòng)程序加載完整性檢查可確保設(shè)備在啟動(dòng)過(guò)程中具有完整性。如果設(shè)備需要射頻屏蔽，請(qǐng)確保此類(lèi)系統(tǒng)具有適當(dāng)?shù)谋Ｗo(hù)性。

　　TPM啟動(dòng)完整性是微軟的Windows 11平臺(tái)力推的一個(gè)功能。正如微軟所指出的：在引導(dǎo)過(guò)程中，BIOS引導(dǎo)塊（TPM安全模式下的核心信任root）測(cè)量引導(dǎo)組件（固件、ROM）。TPM對(duì)這些被測(cè)量的組件進(jìn)行散列并將散列值存儲(chǔ)在平臺(tái)配置寄存器 （PCR） 中。在后續(xù)啟動(dòng)時(shí)，這些散列值被提供給驗(yàn)證器，該驗(yàn)證器將存儲(chǔ)的測(cè)量值與新的啟動(dòng)測(cè)量值進(jìn)行比較。如果它們匹配，就可以確保引導(dǎo)組件的完整性。結(jié)合引導(dǎo)加載程序身份驗(yàn)證，這可確保在引導(dǎo)過(guò)程開(kāi)始之前系統(tǒng)不會(huì)被篡改。

　　最后，CSO需要制定一個(gè)計(jì)劃來(lái)管理頻繁的軟件變更。替換計(jì)算機(jī)系統(tǒng)組件上的舊軟件是保持系統(tǒng)安全的關(guān)鍵方法，修補(bǔ)漏洞則能確保攻擊者無(wú)法使用持久性或特權(quán)升級(jí)來(lái)接管用戶(hù)的系統(tǒng)。