网络安全参考框架 III - CIS 20 大控制措施（"SANS 关键控制措施）

CIS 20大控制措施（“SANS关键控制”）

CIS控制1：硬件资产库存与控制

。持续使用主动和被动资产发现解决方案以监视自身资产库存，并确保所有硬件都有人负责。

CIS控制2：软件资产库存与控制

网络盘点是夯实公司系统安全最关键的一步

CIS控制3：持续的漏洞管理

定期扫描网络查找漏洞，可在数据泄露切实发生前暴露出安全风险。对公司整个环境进行自动化验证扫描非常重要。

CIS控制4：控制管理员权限的使用

管理员凭证是网络罪犯的主要目标。幸运的是，可以采取多种方法来保护这些权限，比如维护好管理员账户清单和修改默认口令。

CIS控制5：保护移动设备、笔记本电脑、工作站和服务器上硬软件的配置

利用文件完整性监视(FIM)跟踪配置文件、主镜像等等。该控制措施满足配置监视系统自动化要求，以便发生偏离已知基线的情况时可以触发安全警报。

CIS控制6：维护、监视和分析审计日志

系统日志提供了对网络上所有活动的准确重现。这意味着，如果发生网络安全事件，恰当的日志管理操作可以拿出描述事件所需的全部数据，包括：谁干的，干了什么，在哪儿做的，什么时候做的，怎么做的。

CIS控制7：电子邮件和Web浏览器防护

电子邮件和Web浏览器的安全威胁不单单只有网络钓鱼一种。甚至电子邮件图片里的一个像素，都能给网络罪犯带来执行攻击所需的信息。

CIS控制8：恶意软件防御

确保你的反病毒工具与你其他安全工具链集成良好。完整实现该控制还意味着保持对命令行审计和DNS查询的精确日志。

CIS控制9：限制并控制网络端口、协议及服务

实现该条控制措施能帮你减小攻击界面，可采取的策略包括自动化端口扫描和应用防火墙。

CIS控制10：数据恢复功能

你定期自动化备份吗？确保恰当的数据恢复能力有助于免遭勒索软件之类威胁的侵害。

CIS控制11：安全配置网络设备，比如防火墙、路由器和交换机

有很多方法可以保护网络设备的安全，比如多因子身份验证和加密。

CIS控制12：边界防御

该条控制处理的是你网络边界上通信的管控方式。可采用基于网络的IDS传感器和入侵防御系统实现。

CIS控制13：数据保护

名称虽然简单，却是更为复杂和难以实践的控制措施之一，因为盘点敏感信息之类持续的过程要实现数据保护涉及的方面太多了。

CIS控制14：基于“有必要才知悉”原则进行访问控制

通过加密传输过程中的数据和禁止工作站之间的通信，你可以开始限制数据权限过于宽松时可能出现的安全事件了。

CIS控制15：无线访问控制

实现该控制的第一步，是统计你网络中的无线接入点。基于此，再深入到缓解所有类型的无线访问风险。

CIS控制16：账户监视与控制

为防止有效凭证落入黑客之手，你必须设置一套控制身份验证机制的系统。

CIS控制17：实现安全意识教育和培训项目

因为不断深化的网络安全技术人才短缺问题，安全培训应成为大多数公司的要务，而且，应是持续的安全培训而不是一次性的走过场。

CIS控制18：应用软件安全

内部开发的代码应经过静态及动态安全分析之类的安全评估过程审查，发现隐藏的漏洞。

CIS控制19：事件响应与管理

该控制有助于规划和测试网络安全事件应对计划，防止当事件真的发生时出现忙乱状况。

CIS控制20：渗透测试和红队演练

定期进行渗透测试有助发现漏洞和攻击方法，减小恶意黑客早已利用漏洞渗入而公司浑然不觉的概率。

---

引自：互联网安全中心(CIS)发布新版20大安全控制

https://www.cnblogs.com/meandme/p/9984137.html