八大低成本策略：不花大钱也能大幅提升安全防护

摘要：削减成本同时增强网络安全？这看似矛盾，但通过正确的方法可以变得非常有效。

正如每位安全领导者所知，维持强大的安全态势代价高昂。但鲜为人知的是，有许多方法可以通过相对微小的投入来增强网络安全。只需创造性地思考，安全领导者就能以最低成本大幅提升企业防护水平。

以下八种方法可以在不严重消耗预算的情况下改善企业网络安全。

1. 强制执行多因素认证（MFA）

风险缓解应从基础做起。合规技术服务公司TrustNet的CISO Trevor Horwitz表示：“MFA直接支持保密性和访问控制，这是核心安全目标。在我们分析的几乎每一次数据泄露中，都涉及被盗凭证。”

大多数组织已经拥有这项能力，建议开启MFA，尤其是对特权访问。

认证机构CompTIA的CISO Randy Gross建议，“首先明确定义‘核心资产’和下一层级的重要系统，在这些环境中强制执行MFA和最小权限，然后针对这些系统中的重大漏洞设定有时限的修复预期，最后再将注意力扩展到更广泛的环境。”

2. 充分利用现有工具

安全服务公司GuidePoint Security的CISO Gary Brickhouse表示，在不产生额外重大开支的情况下加强企业安全的一个实用方法是，确保充分利用组织内已有解决方案的能力。

“大多数组织在安全解决方案上投入了大量资金，但多数只使用了这些工具能力的一部分，”他解释说。“通过优化现有技术并将其运营化，组织可以以很少的投入降低网络安全风险。”

Brickhouse表示，这种方法非常有效，因为它侧重于提高运营成熟度，而不是增加更多技术解决方案。“这种策略还能通过确保组织从已有解决方案中获得最大价值，从而提高投资回报率。”

3. 开展桌面演练

IT服务提供商New Charter Technologies的CISO Ryan Davis建议，不要低估桌面演练的力量。“它们几乎保证能带来积极行动，唯一的成本是时间。”

桌面演练要求参与者从执行角度而非理论角度审视场景。“为意外场景进行演练，能让团队锻炼平时不常用的能力，”Davis说。“它让团队成员有机会提出日常场景中可能没时间或没必要问的问题。”

他补充说，这种方法还能快速凸显哪些优势无需再关注，以及哪些缺口需要弥补。

4. 利用应用层

网络安全平台提供商SecurityBridge的董事总经理Bill Oliver表示，将应用层纳入网络安全策略是增强覆盖面和降低整体风险的有效方法。他指出，ERP系统处于公司运营的核心，多年来一直是恶意攻击者的目标。

“与其它网络安全举措相比，监控ERP系统的缺失补丁、错误安全配置、实时安全事件等，可以以相对较低的成本为您提供强大的网络安全保护，”他说。“了解实时发生的安全事件，将极大地增强公司的网络安全计划，并纠正一个从第一天起就存在的弱点。”

5. 实施通行密钥

帮助受监管行业保护其基础设施的公司Fortify Cyber的CISO John Coursen表示，通行密钥消除了大多数组织面临的最大攻击向量：被盗或网络钓鱼的凭证。

“它们去除了认证中的人为因素，”他解释道。Coursen指出，密码往往会被重复使用、被钓鱼以及被塞入凭证数据库。“通行密钥无法被钓鱼，因为没有共享秘密可窃取。”

Coursen观察到，大多数现代身份提供商（如Azure AD和Okta）已经支持通行密钥。“技术本身不难实现——难的是行为改变和让用户接受它。”

Coursen建议从最高风险用户开始，包括高管、财务团队以及任何有权访问敏感客户数据或电汇权限的人员。

6. 直击要害

安全技术提供商Aikido Security的CISO Mike Wilkes建议，瞄准攻击者实际利用的东西。“设置冗余DNS提供商——它们成本低、影响大，且被严重低估，”他说。“例如，在面向公众的应用前加上Cloudflare的免费套餐，您就能立即获得DDoS缓解和一层WAF。”

开启SPF、DMARC和DKIM，因为电子邮件仍然是第一大初始攻击向量，而这些DNS控制只需一个下午就能完成。“使用免费的Google Authenticator在各地启用MFA，”Wilkes说，同时建议检查DNS记录并审计MFA是否存在缺口。

7. 考虑人为风险管理

网络安全意识培训公司NINJIO的首席创新与安全官Matt Lindley表示，在绝大多数网络攻击涉及人为因素的当下，人为风险管理是保护企业安全的关键且经济高效的方式。

Lindley说，人为风险管理之所以有效，是因为它通过在组织的每个层级建立网络安全文化，来应对大多数企业面临的最紧迫的网络威胁。

“不应将员工视为组织安全态势中的薄弱环节，而应将其视为最大的安全资产，”他指出。“当员工被赋能去识别、报告和阻止网络攻击时，企业就拥有了一层分布式的、自适应的网络安全。”

Lindley表示，有效的人为风险管理要求安全领导者提供有吸引力、可操作且个性化的安全意识培训。它还要求高度的问责性。他指出，安全领导者应该能够通过超越虚荣指标（如完成率）的基准来判断行为干预是否真正有效。

“这意味着要提供关于钓鱼报告以及其他实际改善组织安全态势的数据，所有这些都将在高管层中赢得支持，”他说。

8. 加倍夯实网络安全基础

技术服务公司Resultant的网络安全副总裁Jeff Foresman表示，最有效的低成本安全策略之一是在身份保护、补丁、可见性和用户意识等基础方面加倍投入。

Foresman指出，大多数组织已经通过终端和电子邮件安全堆栈拥有了所需的工具，但真正的机会在于更好的配置和规范执行，例如在各地强制执行MFA、减少不必要的管理员访问、快速修补面向互联网的系统，以及改进钓鱼邮件报告和响应。“仅这些步骤就能显著降低实际风险。”

Foresman指出，这种基础主义方法之所以有效，是因为它瞄准了攻击者实际获取访问权限的方式。他解释说，大多数数据泄露仍然始于凭证被盗、网络钓鱼、系统暴露或配置错误，而非高级零日漏洞利用。通过聚焦身份、电子邮件和减少攻击面，组织可以解决最常见的入口点。