深受安全工具过剩之苦

本文最初发表于 Security Boulevard。经更新后在此同步发布。

‍

“多多益善”的观念几乎已根植于我们的集体潜意识中。如果你喜欢某样东西，那么拥有两三个甚至更多也无可厚非。毕竟，好东西谁会嫌多呢？

遗憾的是，这种逻辑虽然适用于某些事物，但在数量过多时往往会迅速失效。在某些情况下，你会开始经历边际效用递减。第 13 块巧克力蛋糕真的能为你带来额外的价值或快乐吗？此外，在某些情况下，过度追求“好东西”反而会给个人或组织带来巨大的风险。

网络安全工具过多

网络安全工具就是一个典型的“好东西变坏”的例子，近年来在大多数组织中已泛滥成灾。《Dark Reading》的一项研究发现，大多数首席信息安全官平均依赖 55 到 75 种 不同的安全产品或应用程序来保护网络。然而，攻击依然在发生。根据 Verizon《2023 年数据泄露调查报告》，成功的攻击呈上升趋势，且其中最复杂的攻击 检测耗时比以往更长。

攻击者是如何绕过表面上看似无懈可击的 75 种以上网络安全工具防线的？事实是，他们往往会触发警报，但人类防御者因忙于维护防御工具或处理每天成千上万的警报而无暇顾及。拥有过多的安全工具反而为攻击者提供了掩护，使他们能够保持隐蔽。

TechRadar 最近的一篇报道强调了 负面后果，即拥有过多的网络安全工具。在接受调查的公司中，71% 的受访者认为他们拥有的工具超出了网络安全团队的有效管理能力。随着工具的增加，这实际上导致了安全状况的恶化。事实上，与“工具越多越安全”的观念相反，绝大多数受访者表示，由于环境中安装了过多的网络安全工具，他们反而感到更加不安全。

随着大多数组织大规模向云端迁移，这种情况变得更加糟糕。在网络中堆叠大量安全工具以覆盖所有可能的攻击路径，这种做法之所以流行，是因为在几乎完全依赖本地资产的时代，该策略确实有效。或者至少，组织不会那么快遇到边际效用递减和负面后果。然而，在云环境中，工具添加得越多，产生的复杂性和漏洞就越多。

除了维护重叠工具所需的工作量外，以工具为中心的方法带来的另一个大问题是，随着更多工具上线，必然会出现海量的误报。追查误报会耗尽安全人员的所有时间，却无法为组织带来任何实际利益。与此同时，真正的攻击很容易隐藏在这些虚假警报中。网络安全专业人员可能永远无法发现真正的威胁，直到为时已晚。

更好的方法

移除环境中所有的安全工具是灾难性的。但你也不希望工具多到让真正有用的核心工具得不到足够的关注。关键在于找到合适的工具组合，并确保不会因为工具过多而耗尽时间和资源。

实现工具整合的关键在于同时投资于以人为本的安全方法。这应该包括利用一种传统上未被部署在此类角色中的资产：负责编写被攻击者盯上的应用程序和软件的开发团队。

尽管开发人员传统上不负责安全工作，但这种情况正在改变。事实上，鼓励开发人员关注安全是 DevSecOps 运动的一个关键方面，即每个人都对部署安全的应用程序承担一定责任。没人指望开发人员突然成为安全专家或承担组织安全的主要责任，但教导他们编写安全代码并给予奖励，对于消除那些重叠的安全工具大有裨益。

如果从编写优质、安全的代码开始，你就能轻松消除数百种旨在扫描常见漏洞和风险的网络安全工具。最终，你将营造出一种环境：开发人员能够创建安全的代码，而少数精选的安全工具则作为额外的检查手段，既易于安全团队监控和维护，又不会因过多的“好东西”而不堪重负。