网络安全评估是对组织的系统、数据和控制的结构化评估，旨在在攻击者之前识别漏洞。这是了解您的实际风险所在（而不是您假设的风险所在）的最有效方法。
风险是真实的：现在平均数据泄露造成的损失为 445 万美元，而且大多数组织在 204 天内都没有发现泄露。运行良好的评估可以通过在修复成本仍然较低的情况下暴露弱点来缩小这一差距。
在本指南中，我们将分解不同类型的网络安全评估，逐步完成整个过程，向您展示正确的评估报告是什么样的，并为您提供一份您今天可以运行的免费清单。如果您正在权衡评估与全面渗透测试，或者想知道它如何适应更广泛的 GRC 计划，我们也会介绍这一点。
什么是网络安全评估？
网络安全评估是对组织 IT 环境的系统审查，以识别安全弱点、了解潜在威胁并评估现有安全控制是否足以保护关键系统和数据。
该评估不仅仅着眼于个人漏洞。它检查安全环境的不同部分如何协同工作，包括网络、应用程序、端点、云基础设施、用户访问、安全策略和数据保护控制。
典型的评估侧重于四个核心领域：
资产：需要保护的系统、应用程序、设备、云资源和敏感数据。
威胁：可能损害这些资产的潜在事件或攻击者。
漏洞：攻击者可能利用的弱点，例如过时的软件、错误配置或过多的权限。
安全控制：已采取的措施，包括防火墙、MFA、端点保护、访问控制、监控和事件响应程序。
目标不仅仅是创建一个安全问题列表。良好的评估可以帮助组织了解哪些风险最重要，如果这些风险被利用会发生什么，以及应该首先解决哪些问题。
例如，评估可能会识别环境中的数十个漏洞。孤立的测试服务器上缺少补丁可能会带来相对较小的风险，而面向互联网的管理员帐户的弱身份验证可能需要立即引起注意。
这种基于风险的方法有助于安全团队优先考虑资源，而不是将每个发现都视为同样紧急。
网络安全评估、审计、渗透测试
这些术语经常互换使用，但它们有不同的目的。
方法 | 主要目的 | 它检查什么 | 典型结果 |
|---|---|---|---|
网络安全评估 | 评估整体安全态势和风险 | 系统、漏洞、威胁、策略、控制和流程 | 优先调查结果和补救计划 |
安全审计 | 验证是否符合定义的要求 | 政策、程序、证据和安全控制 | 合规调查结果和审计报告 |
渗透测试 | 确定漏洞是否可以被利用 | 选定的网络、应用程序、系统或基础设施 | 可利用的漏洞和技术建议 |
网络安全评估提供了最广泛的视角。审计主要关注是否遵循所需的控制和标准，而渗透测试则主动测试弱点是否可以被利用。
组织通常使用这三种方法作为成熟安全计划的一部分，而不是只选择一种方法。请参阅我们的细分网络安全中的治理、风险和合规性 (GRC)了解这些工作通常如何协调。
网络安全评估的类型
并非每个组织都面临相同的安全风险。正确的评估取决于您的基础设施、行业、监管要求以及您处理的数据类型。
以下是最常见的网络安全评估类型。
1. 网络安全风险评估
网络安全风险评估可识别对关键资产的威胁，并评估这些威胁成为真实事件时的潜在影响。
它不只关注技术漏洞，而是考虑更大的前景。这包括发生事件的可能性、受影响资产的价值、现有安全控制以及潜在的财务或运营影响。
然后根据风险对调查结果进行优先级排序，帮助组织决定应首先将安全资源分配到哪里。如果您想在优先级后面添加数字，我们的网络安全风险计算器是一个有用的起点。
2. 漏洞评估
漏洞评估会搜索系统、应用程序、网络和设备中已知的安全漏洞。
安全团队可以使用 Nessus、Qualys 或 Rapid7 等漏洞扫描工具来识别问题，包括：
缺少安全补丁
过时的软件
开放端口和不必要的服务
弱配置
已知的软件漏洞
暴露系统
与渗透测试不同，漏洞评估通常侧重于识别弱点，而不是主动利用它们。
您可以在我们的渗透测试和漏洞评估策略指南中了解更多关于差异的信息。
3. 合规性评估
合规性评估评估组织的安全控制是否满足特定的法规、行业或合同要求。
根据组织的不同，这可能涉及框架和标准，例如：
ISO 27001
NIST 网络安全框架
SOC 2
GDPR
PCI DSS
该评估可以确定现有安全实践与所需控制之间的差距，为组织提供改善合规性的清晰路线图。
合规性评估通常是更广泛的治理、风险和合规性 (GRC) 计划的一部分。如果您处于金融服务等受监管行业，那么诸如APRA CPS 230在上述标准之上添加另一层操作风险要求。
4. 第三方和供应商风险评估
组织越来越依赖云提供商、SaaS 平台、承包商、支付处理商和其他外部供应商。
第三方风险评估评估这些供应商是否引入了不可接受的安全风险。
它可能会检查数据处理、访问控制、加密、事件响应程序、安全认证、违规历史和分包商管理等领域。
当供应商可以访问敏感数据或关键业务系统时，这些评估尤其重要，并且值得结合查看您的漏洞扫描程序无法发现的第三方风险，因为单独的扫描工具很少捕获供应商方的暴露。
5. 渗透测试
渗透测试采用更具对抗性的方法。
安全专业人员模拟针对选定系统、应用程序或网络的真实攻击，以确定已识别的弱点是否真的可以被利用。
渗透测试可以发现自动漏洞扫描器可能遗漏的攻击路径，例如链式漏洞、身份验证弱点、业务逻辑缺陷和权限升级机会。
由于渗透测试涉及主动利用，因此通常在明确定义的范围内并经过正式授权进行。请参阅我们的渗透测试和漏洞评估策略指南了解这两个学科如何结合在一起。
6. 云安全评估
云安全评估评估 AWS、Microsoft Azure 或 Google Cloud 等云环境的安全配置。
它通常检查：
身份和访问管理
公开资源
存储权限
网络配置
加密
记录和监控
秘密和凭证管理
安全策略和错误配置
云环境可能会快速变化，因此这些评估在迁移、重大架构更改或部署新云服务后特别有用。一个数据风险管理框架可以帮助您确定哪些“关键”数据在迁移到云端后实际上需要最严格的控制。
许多组织结合了其中的几种评估。例如，企业可以进行年度网络安全风险评估，定期运行漏洞评估，并在主要版本发布之前对关键应用程序进行渗透测试。
为什么您的企业需要网络安全评估？
网络风险不断变化。新漏洞被发现、员工加入或离开、应用程序部署、云环境扩展以及攻击者开发新技术。
网络安全评估可以让企业清楚地了解其当前的安全状况。更重要的是，它有助于在漏洞成为安全事件之前识别它们。
定期评估可以帮助组织：
发现漏洞和安全错误配置
识别过多的用户权限和薄弱的访问控制
查找过时或不受支持的系统
评估现有安全控制是否按预期工作
根据实际风险确定安全投资的优先顺序
为监管或合规要求做好准备
降低数据泄露的可能性和潜在影响
改善事件响应和恢复准备
评估还可以发现单个工具可能无法检测到的安全漏洞。例如，漏洞扫描器可能会识别过时的服务器，但更广泛的评估可以确定该服务器是否包含敏感数据、是否暴露在互联网上以及是否有足够的监控，这实际上是正在进行的工作网络安全监控评估结束后。
这种背景有助于团队专注于带来最大业务风险的漏洞。
您应该多久进行一次网络安全评估？
对于许多组织来说，每年至少进行一次全面评估可以提供有用的基线。根据监管要求、基础设施变化和所涉及数据的敏感性，风险较高的环境可能需要更频繁的评估。
您还应该考虑在重大事件发生后进行评估，例如：
数据泄露或安全事件
主要基础设施或网络变化
迁移到新的云环境
关键应用程序的部署
合并或收购
引入可以访问敏感系统的新供应商
监管要求的重大变化
在重要的合规审核之前
年度评估不应取代持续的安全监控、漏洞管理、修补和其他日常安全实践。许多组织通过正式化这个连续层。全球安全运营中心 (GSOC)或托管端点检测和响应 (EDR)。
将评估视为对安全计划的定期健康检查。持续监控告诉您整个环境中正在发生的情况，而评估则更广泛地审视您的防御、流程和优先级是否仍然与您的组织面临的风险相匹配。
网络安全评估流程：6 个步骤
成功的网络安全评估流程遵循结构化方法。不同组织的确切范围有所不同，但大多数评估都会经历六个核心阶段，从定义需要评估的内容到验证已识别的风险已得到解决。
1. 定义范围
第一步是准确决定评估将涵盖哪些内容。
根据组织的不同，范围可能包括：
企业网络
服务器和端点
网络应用程序
云基础设施
数据库
远程访问系统
身份和访问管理
敏感业务数据
第三方集成
安全政策和程序
明确定义范围内和范围外的内容可以防止出现差距，并确保每个人都了解评估的目的。
该范围还应确定关键业务流程和系统。例如，面向互联网的客户门户可能比孤立的开发环境需要更多的关注。
2. 发现资产和数据
您无法保护您不知道存在的系统。
下一步是建立硬件、软件、云资源、应用程序、用户帐户和敏感数据的准确清单。
安全团队应确定关键信息的存储位置、谁有权访问这些信息以及这些信息如何在系统之间移动。
资产发现还可以揭示被遗忘的服务器、不受管理的设备、未使用的云资源以及影子 IT，否则这些信息可能会处于正常安全监控之外。
3. 识别漏洞和安全漏洞
一旦了解了环境，评估就会寻找攻击者可以利用的弱点。
这可能涉及 Nessus、Qualys 和 Rapid7 等自动化漏洞扫描器，并结合手动配置审查和安全测试。有些团队更积极主动网络威胁狩猎仅靠扫描仪无法发现问题。
常见的发现包括：
缺少安全补丁
不支持的软件
弱密码或身份验证控制
过多的用户权限
暴露服务
云配置错误
不安全的网络配置
缺少端点保护
日志记录和监控不足
薄弱的备份或恢复过程
自动扫描很有用，但它不应该是整个评估。手动审查提供了扫描工具可能会错过的上下文。
4. 对风险进行评分并确定优先级
发现漏洞并不会自动使其成为关键业务风险。
每个发现都应根据可利用性、可能性、资产重要性、数据敏感性、现有控制和潜在业务影响等因素进行评估。我们的网络安全风险计算器当您相互权衡调查结果时，可以帮助您粗略地估算出这种影响。
然后，团队可以使用评级对结果进行分类，例如：
关键|高|中等|低
这可以防止安全团队在每个漏洞上花费相同的时间，并帮助他们首先解决可能造成最大损害的风险。
5. 创建报告和修复路线图
调查结果记录在网络安全评估报告中。
有用的报告不仅仅列出漏洞。它解释了相关风险、受影响的资产、建议的补救措施、优先级以及解决问题的预期时间表。
补救路线图应将立即行动与长期改进分开。
例如，禁用暴露的帐户可能需要几分钟的时间，而重新设计网络分段可能需要几个月的规划和实施。
6. 重新测试和验证
评估不应在报告交付时结束。
修复工作完成后，安全团队应验证关键问题是否已得到正确解决，并且修复是否未引入其他问题。
重新测试可能包括漏洞扫描、配置审查、访问控制检查或有针对性的渗透测试。
最终结果应该是评估、确定优先级、修复、验证和重新评估的循环。这将一次性网络安全评估转变为一个持续的过程，以改善组织的安全状况，这是之一。企业网络安全策略这将成熟的程序与反应性的程序区分开来。
网络安全评估报告包含哪些内容？
网络安全评估报告将技术发现转化为明确的行动计划。它应该帮助领导层了解整体业务风险，同时为安全和 IT 团队提供足够的技术细节来修复已发现的弱点。
一份好的报告通常包括以下部分。
执行摘要
执行摘要为高级管理层和其他非技术利益相关者提供了高级概述。
它应该解释组织的整体安全状况、发现的最重大风险以及需要立即关注的操作。
本节不应以技术细节压倒领导层，而应回答三个问题：
我们最大的网络风险是什么？
它们会对业务产生怎样的影响？
我们首先应该解决什么问题？
范围和方法
报告应清楚地记录评估的内容以及评估的执行方式。
这可能包括网络、应用程序、云基础设施、端点、身份系统、安全策略和范围内的其他资产。
任何排除或限制也应记录在案，以便读者了解评估涵盖和不涵盖的内容。
技术发现
本节包含有关评估期间发现的每个安全漏洞的详细信息。
调查结果可能包括：
漏洞或安全漏洞
受影响的系统或资产
问题描述
潜在影响
支持这一发现的证据
建议的补救措施
风险评级
技术团队可以使用此信息来重现、调查和解决每个问题。
风险评级
根据潜在影响和利用的可能性，调查结果通常分为严重、高、中或低。
例如，可能允许未经授权访问敏感客户数据的面向互联网的漏洞通常会比隔离系统上影响较小的配置问题获得更高的优先级。
风险评级可帮助组织将有限的安全资源用于解决最重要的问题。
补救建议
每一个有意义的发现都应该包括实用的建议。
建议可能涉及应用补丁、更改配置、实施 MFA、删除不必要的特权、改进网络分段、加强监控或更新安全策略。
报告还应根据风险分配现实的补救时间表。
风险级别 | 修复优先级示例 |
|---|---|
关键 | 立即行动 |
高 | 尽快 |
中等 | 计划修复 |
低 | 通过正常的改进周期解决 |
这些时间表应适应组织的风险承受能力、运营要求和监管义务，而不是被视为通用的最后期限。
修复路线图
最后，评估报告应将各个调查结果汇总成优先路线图。
可以首先解决快速修复问题，然后可以在接下来的几周或几个月内计划更大的安全改进。
这使得网络安全评估报告不仅仅是漏洞的快照。它成为领导层、IT 团队和安全专业人员可以用来衡量进展并稳步降低风险的实用路线图。
免费网络安全评估清单
您无需等待正式审核即可开始识别安全漏洞。使用此网络安全评估清单作为对组织当前安全状况的快速基线审查。
1、资产盘点
维护服务器、端点、应用程序、网络设备和云资源的最新清单。
确定敏感和关键业务数据的存储位置。
删除或保护未知、未使用和未经授权的资产。
2. 身份和访问管理
为特权帐户和敏感帐户启用多重身份验证 (MFA)。
尽可能应用最低权限访问。
删除不活动和不必要的用户帐户。
定期审查管理员和特权访问权限。
3. 补丁和漏洞管理
保持操作系统、应用程序和网络设备更新。
定期运行漏洞扫描。
优先修复关键和高风险漏洞。
跟踪已识别的漏洞，直到它们得到解决。
4. 端点和网络安全
跨受支持的端点部署端点保护或 EDR。请参阅我们的指南托管端点检测和响应如果您正在权衡内部保险与管理保险。
配置防火墙以仅允许所需的流量。
查看面向互联网的端口和服务。
在适当的情况下，将关键系统与信任度较低的网络分开。
5. 数据保护
根据需要对传输中和静态的敏感数据进行加密。
限制对机密和关键业务信息的访问。
查看敏感数据的收集、存储、共享和删除方式，包括PII，其自行承担处理和披露义务。
监视未经授权的访问或异常数据传输，并将防止数据泄露对您最敏感的信息实施控制。
6. 备份和恢复
定期备份关键系统和数据。
保留受保护的备份副本，防止受感染的帐户轻易修改。
测试备份恢复程序。
记录关键业务服务的恢复优先级。
7. 日志记录和监控
在关键系统和应用程序上启用安全日志记录。
尽可能集中重要日志。
监视可疑的身份验证、权限更改、恶意软件和异常网络活动。
定义调查安全警报的流程。请参阅我们的网络安全监控最佳实践了解成熟的流程是什么样子的。
8. 事件响应
维护记录在案的事件响应计划。
在事件发生之前定义角色和职责。
维护升级和沟通程序。
通过练习或模拟来测试事件响应计划。
9. 第三方安全
识别可以访问敏感数据或关键系统的供应商。
在授予访问权限之前检查他们的安全实践。
将第三方权限限制在必要的范围内。
合同或项目结束时删除供应商访问权限。要更深入地了解这些关系容易失败的地方，请参阅您的漏洞扫描程序无法发现的第三方风险。
10. 安全意识
定期为员工提供网络安全意识培训。
培训用户识别网络钓鱼和社会工程尝试。
提供报告可疑电子邮件或活动的简单方法。
将安全责任纳入员工入职和离职过程中，并且不要忽视中介绍的内部风险。内部威胁计划的目标是什么。
快速评估
如果您对上述几项的回答是否定的，那么这些差距可以为更详细的网络安全评估提供有用的起点。
该清单被设计为基线，不能替代专业评估。下一步是根据差距的可能性、潜在的业务影响以及所涉及系统的重要性来确定差距的优先级。应首先关注暴露的管理访问权限、缺少 MFA、不受支持的面向互联网的系统或未经测试的备份等关键弱点。
CyberLad 如何提供帮助
仅当您知道首先要解决哪些安全漏洞时，识别安全漏洞才有用。 CyberLad 帮助企业评估其安全状况，发现潜在的弱点，并根据实际风险确定改进的优先顺序。
我们的方法侧重于实际发现，而不是充斥着几乎无法提供业务背景的问题的冗长报告。如果您想引入外部专业知识进行更深入的审查，这就是网络安全顾问会这样做以及为什么您可能需要一个。
您可以从 30 分钟的免费网络安全评估开始，初步了解您当前的安全状况。我们将帮助识别可能需要您注意的三个关键安全漏洞或漏洞，并解释您可以采取的实际步骤来降低相关风险。
根据您的环境，评估可以考虑以下领域：
网络和基础设施安全
漏洞管理
身份和访问控制
端点安全
云安全
安全监控和事件响应
数据保护和合规准备
无论您是准备审计、应对最近的安全问题，还是只是想了解最大的风险在哪里，有针对性的评估都可以为您提供更清晰的起点。
结论
网络安全评估可以让您的组织清楚地了解其漏洞、安全控制和总体风险。定期评估可以帮助您及早发现并解决问题，而不是等待事件暴露弱点。
该过程不应仅限于运行漏洞扫描。完整的评估着眼于您的资产、访问控制、基础设施、云环境、数据保护、安全流程和事件准备情况。最重要的是，它将这些发现转化为优先的补救计划。
使用上面的网络安全评估清单作为起点来识别明显的差距。要进行更深入的审查，请考虑进行全面评估，评估技术弱点及其潜在的业务影响。
网络安全不是一次性的工作。随着系统和风险的发展，进行评估、修复、验证和重复。
如果您不确定从哪里开始，CyberLad 的 30 分钟免费安全评估可以帮助识别三个关键的安全漏洞，并为您提供改善安全状况的实用后续步骤。
常见问题
网络安全评估的费用是多少？
网络安全评估的成本取决于组织的规模、系统的数量、评估范围、环境的复杂性以及所需的测试级别。小型企业评估的成本可能远低于涵盖多个网络、云环境、应用程序和位置的企业评估。
网络安全评估需要多长时间？
网络安全评估可能需要几天到几周的时间。对小型环境的集中评估可能很快就能完成，而涉及多个系统、应用程序、云平台和业务单元的企业综合评估可能需要几周的时间。
谁应该进行网络安全评估？
网络安全评估可以由内部安全团队、独立网络安全顾问或专业安全提供商来执行。内部团队非常了解环境，而独立的第三方可以提供外部视角，并可能识别内部团队忽视的风险。
组织也可以使用这两种方法，由内部团队进行定期评估，由独立专家进行定期审查。
网络安全评估和审计有什么区别？
网络安全评估的重点是识别漏洞、威胁、控制弱点和整体安全风险。安全审计主要评估组织是否遵守已定义的策略、法规、框架或标准。
评估询问：“我们的安全风险在哪里？”审计通常会问：“我们是否达到了所需的控制或标准？”
什么是网络安全风险评估？
网络安全风险评估可识别重要资产、相关网络威胁、漏洞、现有安全控制以及安全事件的潜在影响。调查结果根据风险进行优先级排序，以便组织可以将资源集中在可能对业务产生最大影响的安全问题上。