數(shù)字化發(fā)展帶來(lái)的網(wǎng)絡(luò)安全挑戰(zhàn)仍在持續(xù)加劇，且嚴(yán)重影響企業(yè)數(shù)字化業(yè)務(wù)的深入開(kāi)展。關(guān)注網(wǎng)絡(luò)環(huán)境，加強(qiáng)安全意識(shí)，提升防范技能，是每一個(gè)企業(yè)組織都必須要做好的事情。本文收集整理了10個(gè)免費(fèi)的網(wǎng)絡(luò)安全防護(hù)指南，這些指南由美國(guó)國(guó)防部、美國(guó)國(guó)家安全局、英國(guó)國(guó)家網(wǎng)絡(luò)安全中心等專業(yè)機(jī)構(gòu)編制，全面涵蓋了網(wǎng)絡(luò)安全防護(hù)計(jì)劃制定、網(wǎng)絡(luò)威脅對(duì)抗策略以及實(shí)踐工作建議等主題，可以作為各種類型企業(yè)組織開(kāi)展網(wǎng)絡(luò)安全建設(shè)工作的參考。

1、網(wǎng)絡(luò)安全資源和參考指南Cybersecurity resource and reference guide

這是一份由美國(guó)國(guó)防部(DoD)編制發(fā)布的網(wǎng)絡(luò)安全指南，匯集了用于制定網(wǎng)絡(luò)安全計(jì)劃和建立強(qiáng)大網(wǎng)絡(luò)防護(hù)的廣泛資源，主要包括美國(guó)國(guó)防部制定的《網(wǎng)絡(luò)安全戰(zhàn)略》、《云安全戰(zhàn)略》、《NIST SP 800-39，信息安全風(fēng)險(xiǎn)管理》、《網(wǎng)絡(luò)供應(yīng)鏈風(fēng)險(xiǎn)管理(SCRM)》以及歐盟委員會(huì)發(fā)布的《歐盟網(wǎng)絡(luò)安全戰(zhàn)略：開(kāi)放、安全和安全的網(wǎng)絡(luò)空間》等。

在本指南中，讀者能夠找到有關(guān)美國(guó)聯(lián)邦政府、美國(guó)國(guó)防部編寫(xiě)和采用的網(wǎng)絡(luò)安全規(guī)范、最佳實(shí)踐、安全合作、政策和標(biāo)準(zhǔn)，以及由政府、行業(yè)和學(xué)術(shù)界提供的國(guó)際權(quán)威機(jī)構(gòu)資源。通過(guò)這些廣泛的參考資料，可以幫助企業(yè)建立和運(yùn)營(yíng)可信的網(wǎng)絡(luò)系統(tǒng)，并確保信息系統(tǒng)在使用時(shí)能夠保持適當(dāng)?shù)臋C(jī)密性、完整性、不可否認(rèn)性和可用性。

2、董事會(huì)網(wǎng)絡(luò)安全工具包Cyber Security Toolkit for Boards

這份工具包是由英國(guó)國(guó)家網(wǎng)絡(luò)安全中心(NCSC)編制，旨在幫助企業(yè)董事會(huì)和高級(jí)管理層在整個(gè)組織中建立網(wǎng)絡(luò)彈性和風(fēng)險(xiǎn)管理機(jī)制，幫助其做出與更廣泛的組織風(fēng)險(xiǎn)相一致的安全決策，并正確分配與業(yè)務(wù)發(fā)展需求相符合的網(wǎng)絡(luò)安全投資。

這份指南倡導(dǎo)企業(yè)采取主動(dòng)的網(wǎng)絡(luò)安全方法，并概述了基本的安全保障措施，可以大大降低網(wǎng)絡(luò)攻擊的可能性和影響。具體來(lái)說(shuō)，該指南為企業(yè)董事會(huì)和管理層提出了如下建議：

1. 將網(wǎng)絡(luò)安全嵌入到組織的日常業(yè)務(wù)運(yùn)營(yíng)中。

2. 建立積極的網(wǎng)絡(luò)安全文化。

3. 不斷積累網(wǎng)絡(luò)安全專業(yè)知識(shí)和能力。

4. 識(shí)別組織中的關(guān)鍵資產(chǎn)。

5. 全面了解網(wǎng)絡(luò)安全威脅。

6. 盡快開(kāi)展網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理。

7. 實(shí)施有效的網(wǎng)絡(luò)安全措施。

8. 加強(qiáng)第三方風(fēng)險(xiǎn)管理，與您的供應(yīng)鏈和合作伙伴協(xié)作。

9. 為應(yīng)對(duì)可能的網(wǎng)絡(luò)安全事件做好計(jì)劃。

3、美國(guó)國(guó)防部網(wǎng)絡(luò)安全參考架構(gòu)Department of Defense Cybersecurity Reference Architecture

這份指南是美國(guó)國(guó)防部用于指導(dǎo)網(wǎng)絡(luò)安全現(xiàn)代化的參考框架，旨在幫助相關(guān)機(jī)構(gòu)以”基本原則、基本組件、能力和設(shè)計(jì)模式“的方式構(gòu)建網(wǎng)絡(luò)安全架構(gòu)，更好地應(yīng)對(duì)傳統(tǒng)網(wǎng)絡(luò)邊界內(nèi)外的威脅。在指南的5.0版本中，概述了用于對(duì)抗內(nèi)部和外部網(wǎng)絡(luò)威脅、確保網(wǎng)絡(luò)空間生存能力和運(yùn)營(yíng)彈性的原則、組件和設(shè)計(jì)模式，并增加了與推動(dòng)零信任架構(gòu)采用的相關(guān)建議，能夠減少M(fèi)ITRE ATT&CK中所述的持久性、特權(quán)升級(jí)和橫向移動(dòng)。

4、遠(yuǎn)程訪問(wèn)軟件安全指南Guide to Securing Remote Access Software

該指南由美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)、美國(guó)國(guó)家安全局(NSA)、聯(lián)邦調(diào)查局(FBI)等多家機(jī)構(gòu)聯(lián)合編寫(xiě)，概述了常見(jiàn)的漏洞利用及其相關(guān)戰(zhàn)術(shù)、技術(shù)和程序(TTPs)，能夠?yàn)榻M織提供了一種主動(dòng)和靈活的方法來(lái)遠(yuǎn)程監(jiān)督網(wǎng)絡(luò)、計(jì)算機(jī)和其他設(shè)備。這份指南還為IT/OT以及ICS專業(yè)人員和組織提供了關(guān)于使用遠(yuǎn)程功能的最佳實(shí)踐建議，并給出如何識(shí)別和抵制惡意行為者濫用遠(yuǎn)程訪問(wèn)軟件的防護(hù)策略。

5、城市供水和廢水處理事件響應(yīng)指南Incident Response Guide: Water and Wastewater Sector

城市供水和廢水處理(WWS)企業(yè)是重要的關(guān)鍵基礎(chǔ)設(shè)施保護(hù)單位，近年來(lái)，針對(duì)公共供水系統(tǒng)的網(wǎng)絡(luò)攻擊正在增加，這有可能癱瘓或污染普通民眾的日常生活用水，造成嚴(yán)重的安全后果。

2024年1月，美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局( CISA )、美國(guó)環(huán)境保護(hù)局( EPA )和美國(guó)聯(lián)邦調(diào)查局( FBI )聯(lián)合發(fā)布了一項(xiàng)網(wǎng)絡(luò)安全實(shí)踐指南，包含了對(duì)WWA企業(yè)開(kāi)展網(wǎng)絡(luò)安全事件響應(yīng)的多個(gè)階段行動(dòng)指導(dǎo)和建議：

· 在準(zhǔn)備工作階段：指南要求WWS 企業(yè)組織應(yīng)制定事件響應(yīng)計(jì)劃，實(shí)施可用的服務(wù)和資源，以提高他們的網(wǎng)絡(luò)安全基線，并與網(wǎng)絡(luò)安全社區(qū)廣泛接觸。

· 在檢測(cè)分析階段 ：指南強(qiáng)調(diào)了準(zhǔn)確及時(shí)的報(bào)告和快速的集體分析對(duì)于全面了解網(wǎng)絡(luò)事件的范圍和危害至關(guān)重要。同時(shí)，指南提供了驗(yàn)證事故、報(bào)告水平、可用技術(shù)分析和支持等實(shí)用信息。

· 在遏制、消除和恢復(fù)生產(chǎn)方面： 指南要求WWS企業(yè)要提前制定網(wǎng)絡(luò)安全事件響應(yīng)計(jì)劃，并確保這些計(jì)劃能夠被有效實(shí)施，而聯(lián)邦監(jiān)管機(jī)構(gòu)也會(huì)在事件發(fā)生后協(xié)調(diào)一致的信息傳遞和信息共享，并為企業(yè)提供第三方補(bǔ)救和緩解援助。

· 事件后的調(diào)查活動(dòng)：指南強(qiáng)調(diào)了WWS企業(yè)要做好網(wǎng)絡(luò)安全攻擊活動(dòng)的證據(jù)保留，并全面收集事件相關(guān)的活動(dòng)數(shù)據(jù)，這是正確分析事件和進(jìn)行經(jīng)驗(yàn)總結(jié)的首要因素。

6、NIST網(wǎng)絡(luò)釣魚(yú)檢測(cè)難度評(píng)估指南NIST Phish Scale User Guide

這份指南旨在為實(shí)施網(wǎng)絡(luò)安全和網(wǎng)絡(luò)釣魚(yú)意識(shí)培訓(xùn)的人員提供幫助，以評(píng)估在企業(yè)的電子郵件系統(tǒng)中檢測(cè)網(wǎng)絡(luò)釣魚(yú)攻擊的難度。指南中提供了一個(gè)網(wǎng)絡(luò)釣魚(yú)量表，主要可以在以下兩個(gè)方面幫助網(wǎng)絡(luò)釣魚(yú)意識(shí)培訓(xùn)實(shí)施者：

1. 通過(guò)為目標(biāo)受眾提供有關(guān)培訓(xùn)消息點(diǎn)擊率和報(bào)告率的上下文;

2. 通過(guò)提供一種描述實(shí)際網(wǎng)絡(luò)釣魚(yú)威脅的方法，培訓(xùn)實(shí)施者可以根據(jù)組織面臨的威脅類型定制培訓(xùn)，從而降低組織的安全風(fēng)險(xiǎn)。

值得一提的是，本指南還附有一份工作表，以幫助培訓(xùn)人員更加有效地使用釣魚(yú)量表，以及有關(guān)電子郵件特征和相關(guān)研究結(jié)果的詳細(xì)信息。

7、在網(wǎng)絡(luò)釣魚(yú)攻擊的早期阻止攻擊Phishing guidance: Stopping the attack cycle at phase one

這份指南由網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)、國(guó)家安全局(NSA)、聯(lián)邦調(diào)查局(FBI)等多家機(jī)構(gòu)聯(lián)合編寫(xiě)發(fā)布，概述了惡意行為者常用的網(wǎng)絡(luò)釣魚(yú)技術(shù)，并為網(wǎng)絡(luò)防御者和軟件制造商提供了應(yīng)對(duì)指導(dǎo)，旨在幫助企業(yè)降低網(wǎng)絡(luò)釣魚(yú)攻擊的風(fēng)險(xiǎn)和危害。

該指南還為缺乏專業(yè)IT人員進(jìn)行釣魚(yú)防御的中小型企業(yè)提供了可行的防護(hù)指導(dǎo)建議，主要包括：用戶網(wǎng)絡(luò)釣魚(yú)意識(shí)培訓(xùn)、識(shí)別網(wǎng)絡(luò)釣魚(yú)漏洞、啟用MFA、實(shí)施強(qiáng)密碼策略認(rèn)證用戶、實(shí)現(xiàn)DNS過(guò)濾或防火墻拒絕列表、實(shí)施防病毒解決方案、實(shí)施文件限制策略、啟用安全網(wǎng)頁(yè)瀏覽策略等。

8、勒索軟件防護(hù)指南#StopRansomware Guide

本指南是由美國(guó)聯(lián)合勒索軟件特別工作組(JRTF)發(fā)布，提供了勒索軟件檢測(cè)、預(yù)防、響應(yīng)和恢復(fù)的最佳實(shí)踐，包括兩個(gè)方面的勒索軟件防護(hù)資源：

· 勒索軟件和數(shù)據(jù)勒索預(yù)防最佳實(shí)踐;

· 勒索軟件和數(shù)據(jù)勒索響應(yīng)清單;

在這份指南中提出了多項(xiàng)勒索軟件和數(shù)據(jù)勒索預(yù)防和響應(yīng)最佳實(shí)踐和建議，都是基于CISA、MS-ISAC、國(guó)家安全局(NSA)和聯(lián)邦調(diào)查局(FBI)的實(shí)踐經(jīng)驗(yàn)積累，適用于企業(yè)的IT專業(yè)人士，以及組織內(nèi)參與制定網(wǎng)絡(luò)事件響應(yīng)計(jì)劃的其他相關(guān)人員。

9、在線服務(wù)安全使用指南Using online services safely

很多中小型企業(yè)組織會(huì)更多使用在線服務(wù)來(lái)完成日常任務(wù)，這無(wú)疑也擴(kuò)大了組織的攻擊面。本指南是NCSC專門針對(duì)中小型企業(yè)組織制定的網(wǎng)絡(luò)安全防護(hù)指南，旨在幫助組織安全地使用在線服務(wù)，以避免淪為新型網(wǎng)絡(luò)攻擊的受害者。

在指南中，給出了具體的在線服務(wù)安全應(yīng)用策略，包括：

· 選擇信譽(yù)良好的服務(wù);

· 備份組織的關(guān)鍵數(shù)據(jù);

· 保護(hù)公共域名;

· 創(chuàng)建單獨(dú)的用戶帳戶;

· 保護(hù)用戶帳戶;

· 保護(hù)管理帳戶;

· 保護(hù)在線帳戶免受惡意軟件侵害;

· 使用服務(wù)內(nèi)置的安全特性;

· 恢復(fù)被黑的賬戶或服務(wù)。

10、C2M2和CMMC用戶指南Guide for Users of C2M2 and CMMC

網(wǎng)絡(luò)安全能力成熟度模型(C2M2)是美國(guó)能源部(DOE)開(kāi)展的安全研究項(xiàng)目，關(guān)注的是與IT、OT、信息資產(chǎn)及其運(yùn)行環(huán)境相關(guān)的網(wǎng)絡(luò)安全實(shí)踐的實(shí)施和管理。而網(wǎng)絡(luò)安全成熟度模型認(rèn)證(CMMC)是美國(guó)國(guó)防部(DoD)推出的安全管理項(xiàng)目，旨在加強(qiáng)整個(gè)國(guó)防工業(yè)基地(DIB)的網(wǎng)絡(luò)彈性，建立通用評(píng)估標(biāo)準(zhǔn)，并幫助在國(guó)防部采購(gòu)中執(zhí)行合同合規(guī)性標(biāo)準(zhǔn)。

C2M2和CMMC中描述的網(wǎng)絡(luò)安全活動(dòng)有很大的重疊，都側(cè)重于旨在加強(qiáng)組織網(wǎng)絡(luò)安全態(tài)勢(shì)的實(shí)踐。但C2M2中的成熟度指標(biāo)水平(MIL)與CMMC之間沒(méi)有直接的相關(guān)性。本指南可以幫助企業(yè)了解并履行國(guó)防部(DoD)合同義務(wù)中的網(wǎng)絡(luò)安全能力成熟度要求，并識(shí)別出那些需要滿足CMMC認(rèn)證要求的相關(guān)事務(wù)。