CIS关键安全控制明细(以前称之为SANS的20大关键控制)一直是安全防御提议的关键规范。这种就是你应当最先进行的每日任务。
大部分企业也没有恰当评定电子计算机的安全隐患，最后致使了安全控制与其说较大风险性的不一致。这儿有我的以数据驱动电子计算机安全防御为主题风格的书本。很多安全性权威专家都了解这一点，这就是为何在我多次讨论风险管控以后，我依然会被问到要从SANS的前20大关键控制明细中执行什么控制。
根据我所知道，最严谨的计算机安全专业人员都希望着SANS Top 20的每一次升级及其接踵而来的消息推送。它包括了很好的电子计算机安全防御提议，可是和一切行为明细一样，你不太可能一次性极致地进行几个事儿。下边是有关最先要实行什么控制的提议，但最先要我先来给予一些SANS明细的历史时间。
现在是CIS控制
SANS两年前将Top 20明细交到了网络安全核心(CIS)，如今它被称作了CIS关键安全控制。CIS是另一个深受尊重的非盈利计算机安全机构，已经有几十年的历史时间。她们最闻名的可能是其公布的电脑操作系统最佳实践安全性推荐和标准。假如你需要一个单独的、非政府组织的实体线对微软公司Windows系统的安全提意见，那麼CIS便是您的挑选。
SANS明细起源于Tony Sager
假如你了解它的历史时间，那麼CIS得到SANS的Top 20明细就不容易让人诧异了。该明细是以CIS高级副总裁兼总裁福音传道者Tony Sager逐渐的。Tony最著名的很有可能就是他的迷雾重重系列讲座，他觉得信息过载是阻拦更强的计算机安全的首要问题之一。
Tony是一个聪慧、有思维的人，他在国家安全局工作中了34年，一直专注于提升计算机安全。大部分人只觉得国家安全局便是特工的代称，但它们都有义务根据协助大家创建和执行更快的防守来保障大家的我国。为了更好地最后一个总体目标，Tony便是主人公之一。他领导干部了国家安全局第一批的“红队”之一，并最后变成了国家安全局系统漏洞剖析和实际操作新项目的总裁领导干部。
“你以为是为数不多可以说自身的全部职业发展全是在国家安全局的国防部门渡过的人之一，”Tony跟我说。“我比其他人都更掌握系统软件是怎样不成功的。我可以从一个国家侵入另一个国家所做的事儿中，掌握她们是怎么做好的，及其为什么没有可以阻拦她们，从这两个视角能够看见哪些在保护计算机层面起了功效，哪些沒有起功效。”
Tony说，最开始的明细来源于他与别的的几个人，有一天她们受困在一个屋子里，尝试一起找到一个小明细。“我们不要想一份能处理全世界全部问题的明细。”她们想选择一些她们都允许的新项目，做为她们对一切要想保护自己计算机和互联网的人的最好提议。一天完毕时，她们取出了一份简洁明了的明细，最后发展趋势变成十个控制。她们对它进行了同行业审查，Tony最后将他的明细发给了五角大楼，用他得话说成，“做为一种友善的姿势”。
他吃惊地见到他的明细最后取得成功了，并取得了信赖。因为SANS与政府部门的紧密配合关联，Tony了解SANS的Allen Paller，他通电话问SANS能不能接纳这一份明细，专家教授它，并营销推广它。Tony很兴奋。天呐，SANS取得了它，带上它离开了。这些年，Top 10变成了Top 20。它变成了严谨的计算机安全专业技术人员用于维护她们自然环境的明细。
最后，SANS和Tony觉得，针对这一份早已变成实际上的国际性安全指南的规范而言，恰当的作法是将其转交到非营利组织。因此，它从国家安全局到了五角大楼，又从国家安全局赶到了CIS。因此，几十年后，Tony的明细拥有一个机构，Tony也参加在其中以保证安全。
这也是Top 20控制的简短历史时间，如今我们一起返回您应当最先完成的控制上去。
CIS Top 20控制中的前五项
CIS的Top 20安全控制都应当被完成。沒有一个是不应该尽早考虑到和执行的。他们的确是每一个计算机安全程序流程都应当具有的最少程度。话虽如此，你也务必从某一最开始的地点逐渐。
下列是我们的Top 5明细：
- 执行安全防范意识和培训方案
- 不断的漏洞管理
- 控制管理员权限的应用
- 审批日志的维护保养、监管和剖析
- 事情回应和管理方法
1. 执行安全防范意识和培训方案
依据Verizon的2019年数据泄漏调查研究报告，达到90%的故意数据泄漏是由钓鱼攻击和社会心理学工程项目产生的。只此一点就促使第一条控制越来越名存实亡了。与很多进攻种类一样，您可以应用技术性控制(例如，服务器防火墙、反恶意程序、垃圾邮件过滤、反钓鱼攻击、內容过虑)和学习培训结合的方法来做好防御力。
无论您应用怎样的技术性控制，一些钓鱼攻击最后都是会传达给终端用户。这就是为何要教全部的客户如何识别故意，及其当她们见到故意时应该怎么做的缘故。怎样开展安全意识培训由您自身决策，但文化教育应当一年开展多次，一个季度都务必有一次以上。低次数的学习培训不利于减少风险性。
2. 不断的漏洞管理
未修复漏洞的系统在所有的取得成功的数据泄漏事情中占到了20%到40%，这使它变成了机构取得成功被侵略的第二大普遍缘故。漏洞管理肯定应当就是你的第二个优先选择事宜。这不但代表着必须扫描仪自然环境中的缺陷和缺少补丁包，还需要最大限度地自动化技术修复程序流程。
必须修复哪些?在上年发布的16555个独立的系统漏洞中，仅有还不到2%的系统漏洞被用以伤害某一机构。几乎全部这些人都使用了没有人监管的编码，这也是手机软件系统漏洞是不是会被用于进攻机构的最好预测分析。假如公共性中沒有列举一个系统漏洞，就可以减少其必要性。
次之，众所周知受伤害最明显的手机客户端系统漏洞是电脑浏览器和浏览器载入项，次之是电脑操作系统系统漏洞。在服务端，系统漏洞关键与互联网服务器程序、数据库查询和服务器管理相关。是的，其他类型的手机软件也有可能会遭受进攻，但以上这种类型是到目前为止最易于遭到伤害的种类。从积极主动修复这种类别的软件系统逐渐，您的计算机安全风险性将大幅度降低。
3. 控制管理员权限的应用
最大限度地降低管理方法账号的总数并应用高安全系数来维护管理方法账号是最好的。大部分尝试闯进你的自然环境的各种不良行为会在起初的运用后把提高帐户管理权限做为第一要务，那样它们就可以导致较大的危害。针对网络攻击而言，你没有和不常常采用的每一个管理方法账号全是一个总体目标。
- 降低一切高管理权限组的人员总数
- 规定全部更新的账号应用多要素身份认证登陆
- 规定查验提升管理权限的凭据
- 漏洞利用時间的限定
- 很多纪录该类应用和登陆
想阻拦对您的电脑和网上的最明显的故意乱用吗?请阻拦恶人得到管理权限。
4. 财务审计日志的维护保养、监管和剖析
Verizon的数据泄漏调查研究报告得出以下结论：，大部分安全性日志里都存有故意侵入的直接证据，假如机构可以剖析它们的日志，从而产生的危害就有可能会降到最低。我明白了，搜集和剖析日志并不易。它必须搜集数以亿计的事情，在其中的大部分并没体现出故意，这也是在海底捞针。
这就是为何您必须一个顶尖的事件记录系统软件来为您汇聚和剖析日志。一个好的安全信息事情管理方法(SIEM)系统软件应当可以为你搞好全部的艰辛工作中。您所必须做的便是回应标示的异常事情，并改动和练习系统软件，以最大限度地降低乱报和少报。
5. 事情回应和管理方法
无论你干什么，都是会有些人利用你的防御力。从来没有完美无缺的防御，因此要尽你能够搞好不成功的方案。这代表要开发设计高效的事情回应工作人员、专用工具和步骤。事情反应的调研和弥补越好、越快，对自然环境引起的危害便会越小。
针对您应当达到的Top 5安全控制(如电子邮箱和电脑浏览器控制)，也有很多别的强大的竞争对手，但这种才算是我能放到所有人的安全控制明细最前头的。一些控制并并不像很多人所感的那麼有协助，例如网站访问控制和登陆密码对策。大家花在这里2个控制上的每一分钟都比不上花在更问题上的時间。
最终一点：最多见的root漏洞检测(社会工程和未修复手机软件)是自电子计算机创造发明至今最多见的进攻种类。大家必须做的用于抵抗她们的事儿都没有很大的更改。大家只要把注意力集中在极少数游戏玩家的身上，并降低她们的危害。