使用TP平臺(tái)的現(xiàn)代企業(yè), 安全已非可選項(xiàng)。我們團(tuán)隊(duì)過去三年服務(wù)了上百家企業(yè)客戶, 發(fā)現(xiàn)能真正保障業(yè)務(wù)連續(xù)性的,通常是將官方安全建議落地執(zhí)行的組織。安全事項(xiàng)從本質(zhì)上來說, 就是把恰當(dāng)做法轉(zhuǎn)化成習(xí)慣。

第一道防線是身份認(rèn)證, TP官方推薦運(yùn)用多因素認(rèn)證, 禁止以周期性更換的方式設(shè)置弱口令, 許多企業(yè)在這點(diǎn)上敷衍塞責(zé)且只用一個(gè)密碼通行, 建議針對(duì)不同層級(jí)賬戶制訂不同安全策略讓核心管理人員賬戶開啟硬件Key驗(yàn)證, 要及時(shí)配置登錄異常告警使任何非工作時(shí)間段的異地登錄都觸發(fā)人工確認(rèn)。

數(shù)據(jù)傳輸加密同樣是至關(guān)重要的, TP平臺(tái)是能支持端到端加密的, 不過要求開發(fā)團(tuán)隊(duì)主動(dòng)去進(jìn)行配置, 我們?cè)慷眠^太多的項(xiàng)目, 由于嫌麻煩從而關(guān)閉了TLS。這就致使敏感數(shù)據(jù)在傳輸進(jìn)程中處于裸奔狀態(tài), 數(shù)據(jù)庫連接字符串同樣需要進(jìn)行加密存儲(chǔ), 硬編碼于代碼里的憑據(jù)乃是安全隱患的重災(zāi)區(qū), 每月開展一次滲透測(cè)試, 找出加密配置的盲點(diǎn)較之事后補(bǔ)救更為劃算。

按需分配是權(quán)限管控的原則所在, TP官方所推薦的RBAC模型應(yīng)當(dāng)被嚴(yán)格地執(zhí)行起來, 不要將超乎工作所需的權(quán)限給予用戶 , 我們察覺到諸多安全事故皆起源于過度授權(quán) , 比如一個(gè)已經(jīng)離職員工的賬號(hào)依舊在對(duì)核心數(shù)據(jù)進(jìn)行訪問 , 每一個(gè)季度都要開展一次權(quán)限復(fù)核工作 , 對(duì)僵尸賬戶以及過期權(quán)限予以清理 , 特權(quán)賬戶的操作務(wù)必要留有痕跡 , 任何提權(quán)行為均得經(jīng)由審批流程。

安全審計(jì)并非能等到出了事再去著手準(zhǔn)備, 應(yīng)急響應(yīng)同樣如此, TP平臺(tái)里面內(nèi)置了詳盡的日志系統(tǒng), 然而好多人并未開啟關(guān)鍵模塊的審計(jì)功能, 日志需要集中采集到SIEM平臺(tái), 還要設(shè)置妥當(dāng)?shù)母婢?guī)則, 應(yīng)急預(yù)案得定期進(jìn)行演練, 因?yàn)榧埳险劚鷮?shí)際操作可是兩碼事, 每次安全事件發(fā)生之后都要開展復(fù)盤, 要將經(jīng)驗(yàn)沉淀到操作規(guī)程當(dāng)中。