近日，一份关于一组56个漏洞的安全报告已发布，这些漏洞统称为 Icefall，会影响各种关键基础设施环境中使用的运营技术 (OT) 设备。 据悉，Icefall是由Forescout的Vedere实验室的安全研究人员发现，它影响了十家供应商的设备。包括安全漏洞类型允许远程代码执行、破坏凭证、固件和配置更改、身份验证绕过和逻辑操作。受影响的供应商包括 Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bentley Nevada、Phoenix Contract、ProConOS 和 Yokogawa。他们已在 Phoenix Contact、CERT VDE和美国网络安全和基础设施安全局 ( CISA ) 协调的负责任披露中得到通知。 在过去的几年里，受 Icefall 影响的系统类型已成为专门恶意软件 Industroyer 2 和 CaddyWiper 的更频繁目标，这两种恶意软件都是不久前由俄罗斯黑客针对乌克兰发电厂部署的。   漏 洞 概 述 Vedere Labs 发现的缺陷主要涉及凭证安全、固件操纵和远程代码执行，同时操纵配置和创建拒绝服务 (DoS) 状态帐户的数量较少。 Icefall漏洞的类型 （Forescout）  Forescout在其报告中指出，“许多漏洞是由于 OT 的设计不安全”，还补充说“许多身份验证方案被破坏”，这表明实施阶段的安全控制不足。 例如，研究人员指出，许多设备使用明文凭据、弱密码或损坏密码、硬编码密钥和客户端身份验证。 这些身份验证漏洞为威胁行为者实现远程代码执行 (RCE) 和 DoS 条件或安装恶意固件映像铺平了道路。通过在目标设备或其后面的设备上发出命令来直接操作操作是研究人员强调的另一个风险。   潜 在 后 果 Icefall 影响了众多工业部门使用的各种设备，使其极具吸引力，尤其是对国家支持的对手而言。Forescout 表示，一些可能来自利用 Icefall 的威胁参与者的场景包括创建误报、更改流量设定点、中断 SCADA 操作或禁用紧急关闭和消防安全系统。 为了证明他们的发现和潜在风险，研究人员使用了风力发电和天然气运输系统，显示了各种 Icefall 缺陷的位置以及如何将它们链接起来以实现更深层次的妥协。 （图注风力发电厂的冰瀑缺陷 （Forescout）） （天然气运输系统 （Forescout）  受影响的设备分布在世界各地。分析师使用 Shodan 扫描互联网以查找暴露的易受攻击的系统，并发现以下前六名： Honeywell Saia Burgess – 2924 台设备，遍布意大利、德国、瑞士、瑞典和法国。 Omron 控制器——西班牙、加拿大、法国、美国和匈牙利的 1305 台设备。 Phoenix Contact DDI – 意大利、德国、印度、西班牙和土耳其的 705 台设备。 ProConOS SOCOMM – 236 台设备，遍布中国、美国、德国、新加坡和香港。 霍尼韦尔趋势控制——法国、丹麦、意大利、西班牙和英国的 162 台设备。 Emerson Fanuc /PACSystems – 美国、加拿大、波兰、台湾和西班牙的 60 台设备。 值得注意的是，有 74% 的易受攻击产品系列已通过安全认证，这表明这些程序既不安全，也不够全面。   缓 解 办 法 主要的安全建议是应用供应商提供的最新固件更新。不过，目前并非所有提到的供应商都发布了 Icefall 的修复程序，也有下游供应商需要采取行动。在修复可用或可以安装之前，强烈建议系统管理员对网络进行分段并监控流量和设备活动。 使用“设计安全”的设备发现和替换易受攻击的产品以及安装物理交换机是降低妥协变化的好方法。 Forescout 通过对软件、固件和硬件组件的深入手动和自动分析发现了 Icefall 漏洞集。该公司发布了一份更详细的技术报告，描述了影响一个供应商的四个漏洞，但这些漏洞仍在披露中。 建议公司遵循每个供应商的安全建议，以了解有关每个漏洞对受影响产品的具体影响的更多详细信息。   转自 E安全，原文链接：https://mp.weixin.qq.com/s/IkDCLnwuBX25YzM3ka34PQ 封面来源于网络，如有侵权请联系删除

在欧洲刑警组织协调的执法行动后，造成数百万欧元损失的网络钓鱼团伙成员被逮捕。本周二，欧洲刑警组织对外宣布:“在欧洲刑警的支持下，比利时警察(联邦警察)和荷兰警察(警察)参与了一次跨境行动，粉碎了一个涉及网络钓鱼、诈骗、诈骗和洗钱的有组织犯罪集团。” 最终警方在荷兰搜查了24个场所，并缴获枪支弹药、珠宝首饰、电子设备、现金和加密货币若干，同时还逮捕了9名嫌疑人。据调查，该组织的成员利用银行凭证窃取了数百万欧元，这些凭证是大规模的钓鱼邮件、钓鱼短信中的一部分，“这些团伙成员会编辑发送钓鱼短信、钓鱼邮件等，其中包含指向虚假银行网站的网络钓鱼链接。受害者在无法分辨钓鱼网站的情况下，就会向这些钓鱼团伙提供他们的银行凭证。” 在这些网络犯罪分子中，有些还被发现与毒品和枪支走私有联系，他们使用钱骡来清空受害者银行账户上的所有资金，并将通过欺诈获得的资金套现。据欧洲刑警说，本次行动，三名专家被派往荷兰，为调查人员提供实时分析支持，以及取证和技术专业知识。而在月初时，欧洲刑警组织还取缔了FluBot，这是现存最大的Android恶意软件活动之一。和去年不同的是，在一些组织的关键成员被捕后，执法部门紧接着就控制了FluBot的基础设施，使其无法再用于针对Android用户。4月，欧洲刑警组织还协调开展了TOURNIQUET 行动，该行动导致RaidForums 黑客论坛于1月31日在英国被捕，其管理员和创始人Diogo Santos Coelho也一并被捕。   转自 Freebuf，原文链接：https://www.freebuf.com/news/336905.html 封面来源于网络，如有侵权请联系删除

多名安全专家近期指责微软，称其在回应威胁其客户的漏洞报告时缺乏透明度和足够的速度。在本周二发布的博文中就阐述了微软在这方面的失败，内容称微软在修复 Azure 中的一个关键漏洞用了 5 个月的时间，而且先后发布了 3 个补丁。 Orca Security 在 1 月初首次向微软通报了该漏洞，该漏洞位于云服务的 Synapse Analytics 组件中，并且还影响了 Azure 数据工厂。它使任何拥有 Azure 帐户的人都能够访问其他客户的资源。 https://static.cnbetacdn.com/article/2022/0616/0b1026799301e68.gif Orca Security 研究员 Tzah Pahima 表示，攻击者可以实现 ● 在充当 Synapse 工作区的同时在其他客户帐户中获得授权。根据配置，我们可以访问客户帐户中的更多资源。 ● 泄露存储在 Synapse 工作区中的客户凭据。 ● 与其他客户的集成运行时进行通信。可以利用它在任何客户的集成运行时上运行远程代码 (RCE)。 ● 控制管理所有共享集成运行时的 Azure 批处理池。可以在每个实例上运行代码。 Pahima 说，尽管该漏洞很紧迫，但微软的响应者却迟迟没有意识到它的严重性。微软在前两个补丁中搞砸了，直到周二，微软才发布了完全修复该漏洞的更新。 Pahima 提供的时间表显示了他的公司花费了多少时间和工作来引导微软完成整治过程： ● 1 月 4 日 – Orca 安全研究团队向 Microsoft 安全响应中心 (MSRC) 披露了该漏洞，以及我们能够提取的密钥和证书。 ● 2 月 19 日和 3 月 4 日——MSRC 要求提供更多细节以帮助其调查。每次，我们都会在第二天回复。 ● 3 月下旬 – MSRC 部署了初始补丁。 ● 3 月 30 日 – Orca 能够绕过补丁。突触仍然脆弱。 ● 3 月 31 日 – Azure 奖励我们 60,000 美元用于我们的发现。 ● 4 月 4 日（披露后 90 天）– Orca Security 通知 Microsoft 密钥和证书仍然有效。 Orca 仍然可以访问 Synapse 管理服务器。 ● 4 月 7 日 – Orca 与 MSRC 会面，以阐明该漏洞的影响以及全面修复该漏洞所需的步骤。 ● 4 月 10 日 – MSRC 修补绕过，最终撤销 Synapse 管理服务器证书。 Orca 能够再次绕过补丁。突触仍然脆弱。 ● 4 月 15 日 – MSRC 部署第三个补丁，修复 RCE 和报告的攻击向量。 ● 5 月 9 日 – Orca Security 和 MSRC 都发布了博客，概述了漏洞、缓解措施和针对客户的建议。 ● 5 月底 – Microsoft 部署了更全面的租户隔离，包括用于共享 Azure 集成运行时的临时实例和范围令牌。 他表示：“任何使用 Azure Synapse 服务的人都可以利用这两个漏洞。在评估情况后，微软决定默默修补其中一个问题，淡化风险。只是在被告知我们将要上市之后，他们的故事才发生了变化……在最初的漏洞通知后 89 天……他们私下承认了安全问题的严重性。迄今为止，尚未通知 Microsoft 客户”。   转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1281335.htm 封面来源于网络，如有侵权请联系删除

一项新研究表明在 BUG 悬赏计划中，苹果所支付的赏金是三星的 5 倍多。尽管如此，苹果仍然面临着研究人员的投诉，一些人说苹果没有为报告的零日漏洞记功。 Atlas VPN 进行的研究显示，苹果公司向在其服务中发现漏洞的研究人员支付 10 万至 100 万美元，而三星的漏洞赏金计划对合格的漏洞奖励研究人员 200 至 20 万美元。另一方面，华为为其设备中发现的漏洞提供 200 至 22.4 万美元的报酬。 Atlas VPN说，这些数据是基于公开的信息，即最重要的手机和其他电子产品制造公司为其设备中发现的漏洞支付多少钱。虽然苹果公司支付的费用比三星或上面显示的这些其他公司要好，但其漏洞赏金计划并不是没有争议的。2017 年，研究人员抱怨发现的问题报酬过低。2021 年，苹果公司聘请了一位新的领导人来改革其漏洞赏金计划，因为安全研究人员对它感到”厌烦”。   转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1281367.htm 封面来源于网络，如有侵权请联系删除

据BleepingComputer网站6月14日消息，为了提高勒索效率，勒索软件团伙BlackCat创建了一个专属网站，允许受害者检查他们的数据是否在攻击中被盗，这一做法的目的是为了迫使受害者付费。 在过去勒索软件团伙通过数据泄露站点刻意泄露少量被盗数据，并向受害者发送邮件，警告他们信息已被盗取。 然而，这些勒索手段并不总是奏效，即便公司的员工、客户数据被盗，公司也有权决定不付款。 出于这个原因，勒索软件团伙不断发展他们的策略，以对受害者施加额外的压力。 最近，在BlackCat针对美国俄勒冈州一家酒店和水疗中心的勒索攻击行动中，声称窃取了 1500 名员工的 112GB 数据。但这一次，勒索软件团伙并没有仅仅在他们的 Tor 数据泄露网站上泄露数据，而是更进一步，创建了一个专门的网站，允许个人员工和顾客检查他们的数据是否在酒店攻击期间被盗。虽然顾客数据仅包含姓名、到达日期和住宿费用，但员工数据包含极其敏感的信息，例如姓名、社会安全号码、出生日期、电话号码和电子邮件地址。 允许个人员工和顾客检查数据是否被盗的网站 勒索软件团伙甚至为每位受害员工创建“数据包”，其中包含个人在酒店的工作相关的文件。由于该站点托管在公共互联网上，因此可以被搜索引擎抓取，并且暴露的信息可能会被添加到搜索结果中，从而进一步扩大了被窃信息的泄露面。 可见，在折起事件中，网站的目的很明确，就是迫使酒店员工和顾客请求删除他们的个人数据，而这只能通过支付赎金来完成。 Emisosft 安全分析师 Brett Callow表示，这是一个具有创新性的策略，如果公司知道与顾客和员工有关的信息将以这种方式被盗，会更倾向于支付赎金避免数据泄露，并避免可能受到的集体诉讼。但现在判断这一策略是否真正有效还为时过早，毕竟建立每一个个人的数据包对于勒索软件团伙来说绝对是一项耗时的工程。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/336265.html 封面来源于网络，如有侵权请联系删除

Thunderbird 已经有将近 20 年的历史了，Mozilla 似乎将更多的资源重新注入这个项目中，不仅各项开发进度加速进行，而且项目背后的团队也在扩大。Mozilla 现在确认 Thunderbird 将会被移植到 Android 平台。 但想要让 Thunderbird 登陆 Android 平台，并实现所有现有功能，可能需要至少数年的开发和版本更迭。于是，Thunderbird 团队正在采取不同的方法：采用 K-9 Mail for Android。K-9 也是一个开源项目（以《神秘博士》中的机器狗命名），它可能是 Android 上功能最丰富的电子邮件应用，不需要外部服务器或专有服务。 K-9 的维护者 Christian Ketterer（也被称为”cketti”）已经加入了 Thunderbird 的团队。Mozilla 在其公告中说：“Thunderbird 将把财政和开发资源用于改进 K-9 邮件，增加新的功能，以及用户界面的改进”。目标是，一旦取得足够的进展，K-9 邮件将被重新命名为 Android 版 Thunderbird。 Mozilla 目前为 K-9 制定的路线图包括改进文件夹管理，与桌面版 Thunderbird 相同的账户自动配置，消息过滤器，以及使用 Firefox Sync在桌面和移动之间进行某种程度的同步。Thunderbird 的非电子邮件功能（日历、任务、馈送等）不会出现在移动应用中，至少在初期是这样–该团队”仍在讨论如何最好地实现这一点”。 由于 K-9 邮件将在未来几个月内慢慢成为 Android 版 Thunderbird，从技术上讲，你现在就可以通过安装 K-9 获得它。然而，Mozilla 警告人们，随着开发的进展，界面”可能会改变几次”。 Thunderbird 还计划为 iPhone 和 iPad 提供一个应用程序，但目前仍没有（公开）计划。K-9 邮件不能用于 iPhone 和 iPad，所以 Mozilla 将不得不从头开始为 iOS/iPadOS 平台搭建，或者收购/分担另一个移动应用来重塑品牌。   转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1280529.htm 封面来源于网络，如有侵权请联系删除

Help Net Security 网站披露了 Deep Instinct 发布的第三版年度 SecOps 报告，报告重点关注了 1000 名高管和高级网络安全专业人员日益增长的压力。 研究发现，45% 的受访者因压力过大，从而考虑退出该行业，压力主要来自勒索软件的无情威胁和需要随时待命。 该研究强调，是否支付赎金依然是一个备受争议的话题。 38% 的受访者承认支付了赎金，44% 的人表示支付赎金后也无法恢复所有数据。 从业者压力巨大 根据报告的结果来看，网络安全从业者每天面临的安全问题日益增多，46% 的受访者认为自身承受的压力在过去 12 个月中显著增加，对于一些在关键基础设施中工作的人来说，这种情况更为严重。 这些不断增加的压力导致网络安全专业人士考虑彻底离开这个行业，加入“大辞职”浪潮中，部分人表示不会在寻找其他网络安全相关工作。 受访者中，45% 的从业者承认至少考虑了一两次是否退出该行业， 46% 的人表示在过去一年，认识的朋友中至少有一个因压力过大，彻底离开了网络安全行业。 谁在承受压力，压力从何而来？ 从报告来看，不仅仅是 SOC 团队和前线的网络安全工作人员能够切身感受到压力，高管团队也会承担巨大压力 。 压力产生的罪魁祸首：勒索软件 45% 的受访者表示，勒索软件是公司高管最大的担忧。调查发现，38% 的受访者承认为获得加密密钥而付费。 在许多情况下，支付赎金不能保证网络攻击问题得以解决。在支付赎金的人群中，46% 的人声称他们的数据仍然被黑客曝光，44% 的人无法恢复所有的数据，只有16% 的人声称到目前为止没有其他问题。 关于之后遇到勒索软件是否支付赎金的问题，73% 的受访者声称以后将不会支付赎金，但是也有部分受访者因为各种原因选择继续支付赎金。 选择支付赎金的理由包括以下几点： 54% 的人担心犯罪分子仍会将数据外流的情况公之于众； 52% 的人担心攻击者会安装一个后门并返回。 Deep Instinct 首席执行官 Guy Caspi 表示，随着社会向前发展，不断出现的网络攻击浪潮可能会变得更加普遍和隐蔽，因此确保那些将自己的职业和生命奉献给保卫企业和国家的人不会过度紧张至关重要。 人工智能是新的 “压力球 “吗？ 越来越多的人承认，支持人工智能（AI）的工具在打击诸如勒索软件等复杂攻击方面非常有效。 许多人认为人工智能具有减少关键生产力挑战的潜力，例如减少误报，这使团队能够将更多的时间和资源集中在更关键的网络防御问题上。 53% 的受访者承认自身需要通过 AI/ML 实现更大的自动化，以改善安全操作； 82% 的人愿意依靠人工智能替代人类来寻找威胁； 仅仅有 6% 的人声称不相信人工智能。 最后，报告结果显示，27% 的受访者声称，遇到的误报率在过去一年中有所增加，26% 的受访者因不堪重负，完全关闭了警报，这些操作可能导致组织存在严重的安全漏洞。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/336142.html 封面来源于网络，如有侵权请联系删除

德国汉堡大学的研究人员进行了一项现场实验，捕获了数十万路人的WiFi连接探测请求，以此探究哪些隐私信息是在用户无法察觉的情况下泄露出去的。 众所周知，WiFi探测是智能手机和调制解调器/路由器之间建立连接所需的双边通信的一部分。在日常生活中，智能手机会一直搜索可用的WiFi网络并自动连接那些可连接的信号。 目前，许多商场和商店都在使用WiFi探测来跟踪客户的位置和移动。由于此跟踪仅在探测中使用匿名 MAC 地址，因此被认为符合GDPR隐私保护政策。 研究人员决定分析这些探测器以查看它们可能包含的其他内容，结果显示，23.2%的AP广播了这些设备过去连接过的网络SSID。 实验结果 2021年11月，研究人员在德国市中心一个繁华的步行街开展了这个实验，在三个小时内所有共捕获了252242个探测请求，其中 46.4% 在 2.4GHz 频谱中，53.6% 在 5GHz 频谱中。 随后，研究人员从中获得了 58489 个 SSID，其中包含 16 位或更多位的数字字符串，这些字符串可能是来自 FritzBox 或 Telekom 的德国家用路由器的“初始密码”。 在捕获的 SSID 的其他子集中，研究人员还发现了与106个不同名称的商超WiFi网络、三个电子邮件地址和 92 个以前添加为可信赖网络的度假酒店的字符串。 在三个小时内，还有不少用户反复进行探测，其中一些敏感的字符串被广播了数十次、数百次，在某些情况下甚至达到数千次。 来自同一设备的三个探针（汉堡大学） 隐私泄露和跟踪 每台设备的MAC地址是固定且不变的，通过在后台的大数据数据库进行比对，从用户的MAC地址可以顺藤摸瓜显示用户的手机号、最近消费记录、年龄、兴趣爱好、常用app等，形成一个用户画像。商家通过用户画像，对不同用户推送不同的广告促销信息，从而达到所谓的精准营销目的。 除此之外，WiFi探测还可以实现持续跟踪。尽管 Android 和 iOS系统都已经让MAC 地址随机变化，这让隐私泄露和跟踪变的更加困难。虽然不能完全杜绝隐私泄露，但这已经是一个非常明显的进步。 实验结果表明，较新的操作系统版本在探测请求中具有更多的随机性和更少的信息，但是当与信号强度、序列号、网络能力等数据集参数结合使用时，仍然可以对单个设备进行指纹识别。 下面概述了每个操作系统版本的隐私功能。 每个操作系统版本上与 WiFi 探测相关的隐私功能（汉堡大学） 很明显，操作系统版本越新，隐私保护功能越强，但更新版本的可用性并不意味着立即采用。 在现场实验时，Android 8 及更早版本大约占 Android 智能手机的四分之一。在 iOS 中，由于 Apple 更严格的软件更新政策和长期支持，使得旧版本的隐私保护程度要好上不少。 以前的研究也反映了从逐步升级到更安全的操作系统的改进。例如，在 2014 年的一项研究中，46.7% 的记录探测请求包含 SSID，而在 2016 年进行的另外两项研究中，该百分比介于29.9% 和 36.4% 之间。 如何保护隐私 对于智能手机来说，第一步要做的，也是最简单的就是升级他们的操作系统，并在后续使用中及时更新更新、更安全的版本。其次，删除不再使用或不需要的SSID，在不使用WiFi时尽量关闭。 Android 和 iOS 也都提供了快速禁用自动加入网络的方法，这使得热点攻击无法成功。最后，用户可以完全静默探测请求，这可以通过高级网络设置来完成。然而，这种方法有几个实际的缺点，例如连接建立速度较慢、无法发现隐藏网络以及更高的电池消耗。   转自 FreeBuf，原文链接：https://www.freebuf.com/news/336129.html 封面来源于网络，如有侵权请联系删除

2022年时间6月6日，RSA Conference 2022在旧金山召开。本届RSAC的主题为“Transform(转型)”，被认为是RSAC 2021年主题“弹性”的进一步延伸和拓展。转型在当下，是很多企业不得不面对的问题，像云计算、物联网、移动办公等新技术与业务的加速融合，让传统网络边界逐渐变得模糊，小至企业之弹性，大至行业之转型，网络安全产业正处于变革之中，传统边界防护手段已不足以有效应对新时代的威胁与挑战。 在此背景下，以“从不信任、始终验证”为核心原则的零信任概念应运而生，并迅速成为热门话题。很多企业高管将考虑开展零信任安全策略，因为他们希望零信任安全策略的实施可以让企业的安全建设取得明显进展。根据云安全联盟(CSA)的一项新调查，对80%的CxO技术领导者来说，零信任是企业的重要事项，77%的高管表示他们将增加对零信任安全建设的支出。 增加对零信任的投入对很多企业来说具有重大意义，超过五分之二的高管称企业在零信任安全建设方面的预算增加了至少26%。 根据对来自对全球800多名IT和安全专业人士的调研，以及包括200多名C级高管的回答，随着数字化转型的推进、疫情期间劳动力的转移以及美国网络安全行政命令的宣布，零信任已成为保护企业的一道盾牌。该研究表明，对于大多数企业来说，零信任策略仍然是一个相对较新的网络安全路线图，53% 的企业表示他们开始实施零信任策略的时间还不到两年。他们用来指导战略规划的标准五花八门，比如CISA、Forrester ZTX、IEEE、NIST和CSA等。其中的领跑者要数CISA标准，有33%的企业报告说他们使用的正是CISA的标注作为他们的零信任战略指导。 零信任是一种不断发展的安全模型，它将许多长期运行的安全概念(最小特权、基于风险因素的有条件访问和隔离)联系在一起——不仅在网络级别，而且在应用程序和工作负载级别。其核心概念是消除IT长期以来在用户和设备使用密码登录后对网络的无条件信任。 实施零信任的目的是用一种更具适应性和持续评估的授予访问权限的模式来代替它，该模式提供有限的访问权限，并且不仅基于身份，还基于操作和威胁环境。执行此操作需要很多部分，包括强大的身份和访问管理 (IAM)、有效的网络策略执行、强大的数据安全性和有效的安全分析。很多企业在过去的安全建设中其实已经有过对这些部分投入，而零信任策略只是重新整合和利用这些已经投入过的资源。 因此，尽管许多企业表示他们开始零信任之旅才一两年，但这项调查的受访者表示，他们在终端/设备成熟度、应用安全、IAM、数据流管理、网络安全管理、用户行为和资产管理等核心零信任领域已经有一些经验了。 在执行零信任策略时，基本策略、架构和集成工作会将冒牌者与竞争者区分开来。RackTop系统公司的首席执行官兼国防和金融领域的长期安全和技术从业者Eric Bednash表示，组织要想开展零信任之旅，他们必须先了解IT和安全堆栈如何结合。“这是关于从对企业整体架构和业务流程的深入了解开始，你需要了解它们如何联系在一起。它超越了任何单一元素。而且你还要记住，零信任不是一件具象化的东西，而是一种理念，“ 他说。“它更像是一种指导方针。而不是说，’这东西是零信任，这东西不是零信任。’ 简单来说，零信任是一种方法论，它没有捷径可走，这就是为什么它如此难以实施的原因。” 实施零信任策略需要高管的充分支持、足够的专业知识和人员配备，以及明智的变革管理。根据CSA调查，40%的企业表示缺乏专业知识，34%的企业表示他们没有内部协调或得到支持，23%的企业表示抵制变革阻碍了前进的道路。专家表示要克服这些业务和流程障碍需要外交和有纪律的沟通。“为了有效地管理变化，你需要开展行动并逐步的实施。你可能知道你想去哪里，你甚至可能已经为你的网络解决方案签订了合同，但不要一次实施所有事情”，Perimeter 81首席执行官兼联合创始人Amit Bareket说，“变革管理的艺术在于知道要实施多少——所以不要一次改变太多，但也不要无限期地拖延这个过程。”   转自 FreeBuf，原文链接：https://www.freebuf.com/news/335698.html 封面来源于网络，如有侵权请联系删除