freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

用幼儿园所学拆解美国总统网络安全行政令
2021-05-24 19:09:22

2021年5月12日,美国总统拜登发布了旨在改进美国网络安全局势的行政令。

该行政令是对最近发生的一系列软件供应链和网络安全事件如 SolarWinds、Codecov、依赖混淆、Microsoft Exchange 和 Colonial Pipeline 事件做出的响应。这些事件表明,美国公私实体遭遇了非常复杂的攻击者实施的恶意活动。

从技术角度理解该行政令较为复杂,牵涉多种关于动机、攻击向量、工程概念以及快速发展的防御战略等因素。好在,从人的角度出发理解该行政令非常简单。实际上,所有我们需要了解的东西都很可能早在幼儿园就了解了。

下面我们就从幼儿园已经学到的知识来拆解这项行政令。

学会分享

在幼儿园,如果你看到不好的行为,你会通知老师并共享信息。同样,这项行政令确保 IT 服务提供商能够和政府共享信息并要求尽快透露某些数据泄露信息。过去,IT服务提供商经常会犹豫要不要主动交代攻陷详情。这样做的原因各不相同,就像出于多种原因,你并不总会把所有发生在幼儿园的不好的事情告诉老师。

但底线是:在幼儿园,小朋友被寄望于共享信息,使班级保持安静。另外在伤害到别的小朋友时要说“对不起”且需要自己收拾自己闯的祸。当前,由于该行政令的颁发,IT厂商被要求自己收拾烂摊子并要求就共享敏感、清晰的信息道歉,并在数据泄露事件发生后快速通知官员。

饭前要洗手

在上学前洗澡并不意味着你在吃午饭时手是干净的。在幼儿园,老师会时刻提醒小朋友,我们学习到了“零信任”卫生和定期洗手的重要性。行政令本身就像是一位老师在不断地告知技术提供商关于零信任安全实践的重要性。“饭前要洗手”和“永远都要使用双因素认证”以及“永远要在数据传输过程中和其它过程加密数据”是一样的指南。

了解所吃食物,吃健康食物

美国食品和药品管理局 (FDA) 首次在1994年推出食品标签,旨在为所有地方的学生、父母和幼儿园老师提供关于支撑我们活动的热量的重要营养信息,其中包括每种原料的完整清单。该行政令是一样的,它设置了基准安全标准并说明所有出售给政府的软件应该附带软件物料清单 (SBOM),它就像软件中每个组件的完整成分清单。

SBOM的目的是将数字化原料(第三方开源代码和第一方源代码)的透明度最大化,这些原料是为政府员工和运营商提供的应用程序的组成部分。太多的软件,包括任务关键软件中都含有会被恶意人员利用的已知漏洞。

就像白宫在情况说明书中写道的那样,“这是一个长期的、为人熟知的问题,但很久以来我们放任不管。我们需要利用联邦政府的采购权力来促使市场从头开始在所有的软件中构建安全性。”为此,我们需要了解软件的透明度。要获得软件的透明度,我们需要使所有应用程序都配备一个详细的 SBOM。

吃一堑长一智

如果犯错了,那就吸取教训,不要再犯。IT 组织机构很多时候就像幼儿园的小朋友一样,会重复犯错而不会学到珍贵的经验。如果发生极其糟糕的事情(在幼儿园和网络安全行业均如此),那么相关方必须携手,提出硬核问题,避免类似错误再次发生。

学校安全委员会旨在阻止操场受伤情况一而再再而三地发生,同样,该行政令设立了一个由政府和私营行业牵头的网络安全安全审计委员会。该委员会会在严重的数据泄露实践发生时发挥作用,分析所发生的事件并提供具体建议,防止类似事件再次发生。

制定火灾应对计划

你永远不知道意外何时降临。制定并实践标准化规划很重要,以便有效应对突发事件。该行政令创建了一种标准化手册和一系列定义,供联邦部门和机构对网络事件做出响应。就像幼儿园不能等待实际火灾发生后才了解如何安全逃生一样,该行政令也创建了一份事件响应手册,它将确保所有的联邦机构均满足某种已确定的门槛,并且准备好采取识别和缓解网络威胁的统一措施。

走廊监控器助力安全提升

假设你现在是一名小学校长。走廊处的监控器就像是另外一双可信任的眼睛,它能最大限度地保护整个社区的安全。这项行政令本身设立了“数字走廊监控器”来改进政府检测所有联邦网络中恶意网络活动的能力。具体而言,这些数字化走廊监控器将观察到政府范围内的端点检测情况,且便于联邦机构之间共享信息,保护国家网络安全。

简言之,安全开发和保护国家软件安全并非复杂伤神的工作。当然,我们可以探讨如何实现行政令中所有内容的细微差别。但是,只要有一点点幼儿园水平的聪明才智,我们就会让世界更美好,且共同提升国家的网络防御能力。

原文链接

https://blog.sonatype.com/bidens-executive-order-on-improving-national-cyber-defense-everything-i-need-to-know-i-learned-in-kindergarten

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 ”。

本文作者:,转载请注明来自FreeBuf.COM

# 供应链安全
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0文章数
  • 0评论数
  • 0关注者
文章目录
登录/ 注册后在FreeBuf发布内容哦
收入专辑