做网络安全需要知道对手怎么进行操作_知己知彼
著名的军国主义者、哲学家孙子说："那些相互认识、了解自己的人，不会有一百场战争的危险。"2000年前的这句话符合当前的网络安全形势。私营和公共部门的安全领导人往往忽视了他们已经拥有的一些基本的网络防御问题。就网络安全而言，这可归因于以下问题：\我是否知道我的内部控制正常运作？\我们的网络安全吗？
今天，了解内部弱点和弱点特别重要。一些组织在不活动期间尤其容易受到数据泄露的影响(例如美国最近的政府停摆时)。安全证书可能在不活动期间过期，在此期间，代理更弱，更容易受到威胁。而且，由于需要处理积压，安全小组没有时间处理基本的安全任务。要真正做好应对网络威胁的准备，各组织必须开始从内部到外部实施一种安全观点，同时关注网络净化。
网络核心的净化
传统上，业界的公司倾向于根据供应商的产品运行正常和产品部署和配置正确的假设来管理网络安全。然而，在验证组织的网络防御信息是否准确和验证是否存在空白或错误信息方面存在缺陷。代理需要以持续的方式验证控件，而不是将安全度量视为单个快照。
(美国国土安全部)，美国国土安全部最近通过促进正在进行的诊断和缓解(CDM)方案，强调了这项工作。清洁发展机制敦促政府机构通过持续监测，实时了解其安全系统。从静态渗透测试或审计转向连续监视，因为连续监视可以在更长的时间内对系统提供更全面的理解。这使得代理可以量化和验证控制是否可以保护关键资产。同时，安全领导和团队可以使用更有意义的指标来管理他们的网络安全计划，这可以促进决策，优化操作，并最终改善他们的网络条件。
从内到外查看网络安全\
虽然在清洁发展机制等方案方面取得了一些进展，但不断监测仍然需要核查解决方案的执行情况和相关数据。因此，私营公司和政府机构迫切需要对网络安全采取以下\内部对外部的\办法：
1.确定攻击生命周期中漏洞的确切点
第一个缺陷是组织自己的人员。安全领导应该专注于帮助他们的团队理解网络中特定部分的攻击者的行为，而这些部分是团队需要保护的。然后，需要通过测试事件响应过程来测试防御。测试成员是否知道该打电话给谁，以及如何量化他们所看到的？他们是否将网络钓鱼信息转发给正确的收件人？当安全领导人了解团队在实际情况下如何应对威胁时，他们就可以决定在哪里加强防御。
2、衡量网络安全投资的投资回报
政府在支出纳税人的钱时需要谨慎，企业需要确保与合作伙伴服务器租用和客户建立信任。特别重要的是，各组织在考虑网络安全投资时，应核实投资预期回报是否可行，而不是假定投资预期回报是可行的。安全领导人需要数据来准确地显示安全漏洞在哪里，以及在哪里进行更多的投资。
3.采取以风险为基础的决定，而不是以遵守为基础的决定
传统模型在衡量网络安全的有效性时往往采用孤立的、基于遵从性的方法，因此网络安全措施在不同的企业渠道中进行管理，而重要的数据却没有得到充分的利用。这也会导致一种"名单"心态，这会使公司容易受到攻击。因此，为了走另一条路，网络安全必须符合组织的最大风险和关键任务的业务需求，并确保任务关键业务所使用的产品提供全面和操作上的洞察力。
4.您需要确定哪些技术可以改进，哪些技术可以从堆栈中删除
网络安全人员需要管理许多产品。重要的是要验证哪些产品可以工作，哪些产品在环境中不起作用。适合一家公司的解决方案可能不适合另一家公司。确定哪些技术产品提供了最大的价值，哪些产品适合当前的体系结构，这样您就不会购买多余的产品。自动映射安全控件还可以更容易地标记和列出可识别的威胁。
