企业安全恶意软件保护审查

一个恶意附件就能将正常的工作日变成业务中断事件。一名财务员工打开了一份看似是供应商发票的文件，凭证被捕获，共享文件被加密，客户服务无法访问所需的系统。 恶意软件防护测试 不是要选择具有最长功能列表的软件。而是要确定您的组织是否可以在不失去操作控制的情况下预防、检测、遏制和从威胁中恢复。

对于企业领导者而言，这个问题是实用的：这种保护是否适用于实际设备、实际用户、云平台、远程访问以及让公司保持运转的应用程序？正确答案取决于您的风险状况、内部 IT 能力和停机成本。

恶意软件防护的评测应该衡量哪些方面

传统防病毒产品主要用于识别已知的恶意文件。这仍然有用，但它本身已经不够用了。现代恶意软件可以通过网络钓鱼电子邮件、受感染的网站、浏览器下载、云存储、被盗的登录凭证、易受攻击的插件和未经管理的设备来传播。

因此，以业务为中心的审查应该将保护视为一个系统，而不是一个单独的应用程序。最强大的选项包括端点安全、行为监控、电子邮件控制、身份保护、补丁管理、备份和记录的响应过程。如果一层失效，另一层应该限制损害。

在审查时，还应区分消费级工具和企业安全平台。小公司可以从基本的端点产品开始，但企业环境通常需要集中可视性、策略控制、报告以及跨多个用户和设备调查事件的能力。

预防不仅仅是病毒扫描

预防可以减少威胁到您的人员和系统的威胁数量。至少，恶意软件保护应该扫描文件、网络下载、电子邮件附件和可移动媒体。它还应该经常收到情报更新，而不需要员工采取行动。

但是，仅基于签名的扫描无法发现新的或修改过的威胁。要寻找基于行为的检测，这种检测可以识别可疑行为，例如一个不熟悉的进程加密大量文件、试图禁用安全工具或与外部服务器建立不寻常的连接。这种方法尤其适用于 勒索软件 以及可能与之前发现的恶意软件不一致的无文件攻击。

网络过滤和电子邮件保护值得密切关注，因为许多事件在恶意软件到达端点之前就开始了。即使组织提供了意识培训，令人信服的网络钓鱼消息也可以绕过用户的判断。安全控制措施应该检查链接和附件，标记冒充企图，并阻止访问已知恶意目标。

预防还取决于基本的技术纪律。不支持的操作系统、延迟的安全补丁、重复使用的密码和广泛的管理员访问权限都会造成漏洞，而这些漏洞是任何防病毒产品都无法完全弥补的。强大的保护程序会将软件控制与操作标准联系起来。

检测和响应定义了真正的价值

最有用的恶意软件防护平台不会简单地显示一条警报，然后让您的团队承担责任。它们可以帮助您确定发生了什么，哪些设备受到了影响，其他设备是否也显示了类似的活动，以及接下来应该采取哪些措施。

当组织拥有敏感数据、有多个地点、有远程工作人员或对停机时间容忍度较低时，端点检测和响应功能就非常有价值。这些工具可以收集安全遥测数据，并在 IT 人员调查时将受感染的设备与网络隔离。这一隔离步骤可以防止本地感染成为全公司范围的停机。

在恶意软件防护审查期间，询问平台可以多快隔离设备、删除恶意文件并提供攻击路径的证据。在文件被加密后才检测出威胁的产品远不如在早期停止该过程并限制横向移动的产品有价值。

对于没有专门的安全运营团队的企业来说，托管检测和响应可能是更好的选择。它增加了人工分析和全天候监控，但也增加了经常性成本，并且需要明确了解谁有权采取遏制行动。对于一些组织来说，这种权衡是值得的。对于其他组织来说，一个配置良好的平台加上内部 IT 监督可能就足够了。

如何比较恶意软件防护解决方案

公平的比较应该从您的业务环境开始，而不是从供应商的定价页面开始。对所使用的设备、操作系统、远程访问方法、云服务和关键应用程序进行盘点。包括公司拥有的笔记本电脑、移动设备、服务器、虚拟机和任何允许访问业务数据的个人设备。

然后对每个解决方案进行评估，以确定其对日常运营的影响：

• 覆盖范围： 确认它支持您的端点、服务器和云工作负载，不会遗漏不常见的操作系统或远程设备。
• 中央管理： 管理员应该能够从一个控制台部署策略、检查保护状态、调查警报并生成报告。
• 对性能的影响: 安全软件不得导致员工设备、生产系统或专业业务应用程序出现不可接受的减速。
• 检测质量: 考虑独立测试结果，还要审查产品如何处理勒索软件行为、凭证盗窃、网络钓鱼和可疑脚本。
• 恢复支持: 确定平台是否可以隔离、修复、回滚更改（如果适用）并保存法医证据。
• 检查与防火墙、身份提供商、电子邮件平台、备份工具和现有 IT 管理系统的兼容性。

除了设备许可证的价格外，还应评估实施、配置、监控、员工培训、事件响应支持和年度续订等因素对总成本的影响。如果软件会产生过多的误报，或者需要手动操作，而您的团队无法持续操作，那么低成本的软件可能会变得昂贵。

企业面临风险的常见漏洞

许多企业认为，由于在每台计算机上都安装了端点软件，因此它们受到保护。但实际上，在该软件的设置、流程和连接系统中，往往会出现漏洞。

一个常见的问题是未经管理的端点。一名出差员工使用的笔记本电脑可能数周没有更新，或者前员工的设备可能仍保留对公司帐户的访问权限。另一个问题是过度依赖本地管理员，这会给恶意软件更多机会自行安装并更改安全设置。

备份策略是另一个关键缺口。备份应该与主环境隔离，定期测试，并受到严格的访问控制的保护。如果勒索软件可以加密生产文件和可访问的备份，那么恢复就变得更加困难。目标不仅仅是拥有备份，而是要知道企业可以在可接受的时间范围内恢复关键系统。

安全意识也很重要，但培训不应被视为技术的替代品。员工需要简单指导，了解可疑电子邮件、意外登录提示、付款更改和不寻常的文件共享请求。明确的报告渠道有助于员工迅速采取行动，而不必担心他们会因发出虚假警报而受到指责。

制定切实可行的保护计划

恶意软件防护审查应该以优先级、所有权和可衡量的后续步骤为结束。首先要保护那些如果无法使用会造成最大破坏的系统：电子邮件、金融平台、客户数据库、文件存储、网站和远程访问基础设施。

接下来，定义谁负责监控警报，谁可以隔离设备，谁负责与员工沟通，以及谁负责批准恢复决策。事件响应通常会因为责任不明确而延迟，而不是因为公司缺乏技术。当时间紧迫时，一份简明扼要、经过测试的响应计划可以为管理层和技术团队提供一个共同的起点。

定期报告可以防止安全成为一项无形的开支。领导层应该能够看到端点覆盖率、未解决的警报、补丁状态、网络钓鱼趋势、备份测试结果以及任何不符合政策的设备。这些指标可以更容易地根据风险而不是假设来资助改进。

对于那些在内部资源有限的情况下仍要实现增长的组织而言，战略技术合作伙伴可以帮助将恶意软件保护与更广泛的数字运营联系起来。DATA 将网络安全视为可靠数字基础设施的一部分，将安全控制与网站、云服务、业务应用程序、维护和持续技术支持相结合。

决策应支持业务连续性

没有一款恶意软件防护产品是适合所有公司的。一家小型专业服务公司、一家处理客户数据的在线零售商和一家多地点企业需要不同级别的可视性、管理和响应支持。合适的解决方案是适合您环境的解决方案，它可以持续维护，并为您的团队提供一个现实的攻击恢复路径。

将恶意软件保护视为业务连续性决策，而不是软件购买。当预防、检测、响应和恢复计划在一起时，即使威胁试图破坏屏幕背后的工作，您的组织也能更好地继续为客户服务。